1 © CNAM 2007-01/EBU

RSX112 – Sécurité et réseaux

Module 1 - Introduction

2 © CNAM 2007-01/EBU

Présentation

• Intervenant

• Elèves– Tour de table

3 © CNAM 2007-01/EBU

Calendrier

• 16 séances de 3 heures

• Mercredi de 18h à 21h

• Sauf les 14 mars et 4 avril

• Examen– 2 heures

– Prévu le 27 juin 2007

4 © CNAM 2007-01/EBU

Contenu

1) Introduction- Positionnement des problèmes de sécurité- Risques et menaces, contexte normatif, méthodologies d'analyse de sécurité (Marion, Melisa, Mehari). - Les différents problèmes à résoudre. - Situation des protocoles de sécurité dans l'architecture Internet. - Contexte légal et aspects juridiques.

2) Protection de l'accès aux données et protection des interfaces dans les systèmes- Gestion des droits dans les systèmes : politiques discrétionnaires et obligatoires. - Architectures de machines à anneaux et à capacités. - Exemple de la protection dans les systèmes de fichiers, dans les répertoires de pages Web.

3) Protection dans les réseaux- Mécanismes de filtrages des messages, murs pare-feux (firewalls).

4) Cryptographie- Introduction aux problèmes de cryptographie- Cryptographie à clés secrètes : concepts généraux, exemple des chiffres DES, IDEA, RC4, AES. - Cryptographie à clé publique : concepts généraux, exemple du RSA. - Fonctions de hachage sécuritaire : exemples MD5, SHA.

5) Protocoles de sécurité dans les réseaux- Protocoles de confidentialité : mise en œuvre des méthodes de chiffrement par blocs, par flots- Protocoles d'intégrité et d'authentification des messages : MAC et signatures - Protocoles d'authentification des usagers : protocoles à mots de passe (Radius), protocoles à clés publiques. - Mécanismes de protection contre les virus.

6) Mise en œuvre des protocoles de sécurité- Infrastructures à clés publiques (PKI)- Sécurité de la couche liaison (L2TP, protection des réseaux WIFI)- Sécurité au niveau réseau : IPSEC- Sécurité au niveau transport : SSL, TLS. - Sécurisation du DNS : normes DNSSEC- Sécurité du courrier électronique : SMIME, mécanismes anti spam. - Sécurité des applications Web : sécurisation http, sécurisation des services Web. - Introduction aux techniques de détection d'intrusion (IDS).

5 © CNAM 2007-01/EBU

Objectifs

• Sensibiliser à la sécurité

• Comprendre le contexte et les raisons de la SSI

• Appréhender les concepts, les enjeux et les moyens de protection envisageables

• Comprendre les techniques possibles/utiles

• Faire de vous des pirates, des pen-testers

• Devenir des RSSI

• Permettre de faire des audits

6 © CNAM 2007-01/EBU

Contexte

• Système d’information de plus en plus répandus

• Utilisés dans tous les domaines– Tertiaire (banque, assurance, service)

– Industrie

– PME, artisanat

– Administration (déclaration, vote, consultation)

– Personnel (achat, gestion de comptes)

• Complexification des systèmes

• Gain d’efficacité– Dématérialisation

– Flux virtualisés

• Ouverture des systèmes vers l’extérieur

7 © CNAM 2007-01/EBU

Les trois lois de la robotique(I. Asimov)

• Un robot ne peut porter atteinte à un être humain ni en restant passif, laisser cet être humain exposé au danger

• Un robot doit obéir aux ordres donnés par des êtres humains sauf quand de tels ordres sont en contradiction avec la première loi

• Un robot doit protéger sa propre existence dans la mesure ou une telle protection ne s’oppose pas à la première et seconde loi

8 © CNAM 2007-01/EBU

Pourquoi craindre les systèmes d’information ?

• Historiquement, automatisation et contrôle de processus critiques– Transport, énergie, …

• Nouvelles technologies au service des pirates ou d’états – Enjeux grandissant

• Flux financiers• Recoupement de données (vie privée)• Collecte de données en volume (base clients)

– Interconnexions• Utilisation de réseaux publics• Liens avec des environnements non-maîtrisés

– Pénétration dans la sphère personnelle• Vie privée• Comptes bancaires• Protection de l’enfance

• Complexe de Frankenstein ou crainte légitime des effets pervers d’une informatisation trop rapide de la société?

9 © CNAM 2007-01/EBU

Complexité de la gestion des risques liés à la SSI

• Enjeux– Attaques sur les réseaux

networks

– Contrôle par les virus

– Fraudes et crimes informatiques

– Sécurité physique

– Continuité d’activité

– Conformité réglementaire

– Préserver la confiance du marché et des clients

• Risques– Pertes financières

– Confiance des investisseurs

– Responsabilité & assurances

– Perte d’informations

– Indisponibilité

– Presse négative

– Non-conformitéréglementaire

– Vie privée

10 © CNAM 2007-01/EBU

19/07/2006

La Belgique s’est transformée l’espace d’un jour en véritable cour de récréation pour des pirates. Près de 240 sites belges (.be) auront étébarbouillés, défigurés, tagués ce 18 juillet, par un groupe nomméBiyoSecurityTeam. A chaque fois, en guise de page de garde des sites concernés, la simple mention « Hacked By RMx FromBiyoSecurityTeam - BiyoSecurityTeam : Liz0ziM, Codexploder'tq, RMx, Erne, Cache, Entrika, Korsan, TR_ip. HAcked by EJDER ;) ». Un autre groupe, lui aussi d’origine turque, a participé à la petite sauterie, laissant sur son passage le laconique « by Thehacker Ownz your b0x -bla bla bla ». La quasi-totalité des sites visés dans ces attaques sont sous Windows 2003, avec web server IIS/6.0. Selon le site Datanews.be, deux serveurs fonctionnant sous cet environnement ont été pris pour cibles, alors qu’ils hébergeaient justement plusieurs dizaines de sites. Une faille non mise à jour aurait ainsi été exploitée à grand ampleur. On en trouvera la liste sur le site Zone-H, véritable encyclopédie du défacement sur le web.

Ce n’est pas la première fois que les pirates turcs se font ainsi remarquer. Voilà peu, un certain Iskorpitx parvenait à défigurer très exactement 21 549 sites, avec l’aide d’un script ASP, automatiquement installé sur les comptes des serveurs fragilisés.

Médiatisation (1/2)

by E d U. KaishunIt only seemed like yesterday that Atlanta Public Schools (APS)

made headlines for negative reasons: disrepair of facilities, decliningstudent achievement, rising drop-out rate, etc. Remarkably, APS isnow continually featured in positive headlines. Since its nadir in thelate 1990’s, APS has ta ken steps to raise academic standards andexpec tations for Atlanta’s children, produce graduates much better

APRIL 2, 2001

FINAL★★★

“Your Company” a victimof Cyberspace crime againThird time in Two Weeks Could it have been prevented

prepared for successful careers a nd low er the drop-out rate to 10%.In a news conference last w eek, the Mayor publicly congratulatedthe APS faculty, the Atlanta School Board, and the Superintendenton a job well done at the Fifth A nnua l Atlanta Public EducationSummit. Since the beginning of this year, APS has rece ived similaraccolades from the Georgia Board of Education, the Governor a ndthe Business Roundtable, an educational advocacy groupre pre senting 200 U.S. corporations.

This begs the question – H ow did this remarka ble turnaroundoccur? We we nt looking for the answer to this question. Many inAtlanta point to the collective efforts of APS and the Metro AtlantaChamber of Commerc e in 1998 as the watershed event.

In the winter of 1998, the Education Committee of the Chamberassembled a Special Task Force on Education. This task forceserved to ide ntify how Atlanta’s business community could bestsupport A tlanta Public Schools in generating more employablegraduates.

According to Odie Dona ld, then cha ir of the EducationCommittee, “Unlike other ef forts to narrow the gulf between APSand the Business Community, the Spec ial Task Force on Educationallowed both parties to w ork in true partnership for the benefit ofAtlanta’s children.” Adds Benjamin Canada, the n APSSuperintendent, “APS was give n a seat at the table, rathe r than be ing

treated as a patient. As I look back on the ear ly days of the SpecialTask Force on Education, three signif icant things come to mind –strong leadership, unwa vering commitment and accountability.”

As a result of APS’ remarkable achievements, the Atlantabusiness c ommunity has continued to signif ic antly support theschool district. Monetary, human and in-kind resources have beenstrategically allocated to e ffec t change. Additionally, ED UPACfunding has been earmarked to support the succ essful re-elec tioncampaigns of several sc hool board me mbers.

The initial actions of the Specia l Task Force on Educationserved as a rally ing point to improve public educ ation in Atlanta.Over the past five years, an e xpansive coa lition of organizations andeduca tional initiative s have complemente d the effort. The resulttoday is sweeping cha nges in the city’s school district.

Annually, members of this educ ation coalition come together atthe Atlanta Public Education Summit, held by the Metro AtlantaChamber of Commerc e. Important performance measures areanalyzed, improve ments are discusse d and recognition is give n toexemplary programs and coalition partners.

$0

$5 00

$1,0 00

$1,5 00

$2,0 00

$2,5 00

$3,0 00

$3,5 00

$4,0 00

Revolution Within

Public Schools

“The tas k force adopted a dua l focus.

Not on ly did we concen trate on assistingthe At lanta P ub li c Schoo ls i n producing

more empl oyable g raduates, we a ls ofocused on bringing forth m ore emp loyab le

AP S graduates”

— Gary Lee, Jr., former task member, retired VP

and E xecutive Director of the UPS Foundation

“AP S [Atlanta P ublic Schools ] was givena s eat a t the tab le , rather than be ing

treated as a pa tient. A s I look back on theearly days o f the Spec ial Task Forc e on

Educ ation , thr ee significant things cometo mind — strong leadership , unw averi ng

comm itment and accountab i lity”

— Dr. Benjamin Canada,

Secretary of E ducation

by J ane Doe

This inaugural issue celebrates how

Atlanta Public Schools transformed itse lf intoa world-class school district. It may serve as a

template to othe r municipalities on how to

make significant improvements in publiceducation.

The va ried contributors to this specialedition of The Atlanta Journal-Constitution’s

Guide to A tlanta Public Education refle ct the

city-wide coalition responsible for theseremarkable results.

Contributors:

Atlanta Publ ic Schools

Atlanta Board of Education

Metro Atlanta Chamber ofCommerce

Atlanta Commi tte e for Publi cEduc ation

Mayor’s Renai ssance

Commission

Atlanta Partners for Education

Atlanta’s Business Community

Atlanta’s Non-Profi t Agencies Public education in Atlanta: Much has changed in five years

Inside Th is Issu eInside Th is Issu eInside Th is Issu eInside Th is Issu e

Interv iew with th e At lan ta PublicSchools Superintenden t . . . . . . . . . .3

�

“Revo lu tion within A PS”:5 Year Chrono lo gy of Events(19 98-Presen t) . . . . . . . . . . . . . . . . . . .4

�

Per spectives: Stud ents, Faculty,Par ents, C ommunity Partner s . . . .5

Washington Post

13/09/2006

Le gouverneur de la Californie Arnold Schwarzenegger est en plein mini-scandale cybernétique. L'ancien acteur hollywoodien s'est récemment fait chiper l'enregistrement d'un de ses entretiens téléphoniques, dans lequel il fait référence au « sang chaud » de certains élus locaux hispaniques et afro-américains dans leur passion de la chose politique.

L'enregistrement, stocké initialement sur un ordinateur appartenant à l'État, a finalement atterri dans les bureaux du Los Angeles Times, qui n'a pas manqué d'en publier de larges extraits. L'opposition qualifie immédiatement les propos de l'ex-Terminator d' «agressifs et embarrassants » pour les communautés concernées.

L'opposant monté au créneau est un fervent ennemi démocrate de Schwarzenegger, Phil Angelides. Il fut le premier à réagir à l'article du Los Angeles Times, un peu trop vite d'ailleurs... Du côté du « gouvernator », on affirme que l'enregistrement a été volé par un pirate qui s'est illégalement introduit dans les fichiers d'un ordinateur d'État, l'adresse IP de l'attaquant aurait d'ailleurs été identifiée. Le vol aurait eu lieu la nuit du 29 au 30 août dernier...

Après quelques excuses formulées par Schwarzenegger en personne, certains républicains auront même qualifié l'affaire de « Watergate technologique ». Bref, un petit scandale à l'occidentale.

Et ce n'est pas fini, le dénouement est encore tout frais. Le fameux démocrate Phil Angelides, premier critique virulent du gouverneur, avoue aujourd'hui avoir légèrement aidé le Los Angeles Times à obtenir l'enregistrement litigieux. Mais il se défend d'avoir commis un acte de piratage, car aucune « cyber-effraction » n'a été nécessaire, selon lui.

Angelides affirme en effet que ces fichiers audio ont été téléchargés « sur un site accessible publiquement, ne requérant pas de mot de passe, sans aucune mention de confidentialité ». Considérant cela, il a estimé que ces fichiers se devaient d'être publiquement révélés. La page Web en question a été supprimée depuis, mais elle est encore visible sur le cache de Google, certainement plus pour longtemps...

La page, censée rester dans le domaine privé, se serait retrouvée sur le Web à la suite d'une erreur d'administration réseau, le dossier dans lequel sont stockés les MP3 du scandale n'aurait alors eu aucune restriction d'accès. On en saura plus sur cette histoire de colosse aux pieds d'argile à la fin de l'enquête des autorités californiennes.

07/06/2005

Quelques jours après l'annonce du piratage du site MSN Corée, on apprend qu'une des pages de MSN.com (ilovemessenger.msn.com) a souffert d'une faille de cross site scripting (CSS). C'est un jeune hollandais de 20 ans, Alex de Vries qui a découvert la brèche.

Les failles de CSS sont très fréquentes sur les sites web. Profitant d'erreurs de filtrage, elles permettent en pratique à l'aide d'une simple URL spécialement formée avec des bouts de balises, d'injecter du code, voire de voler le cookie d'un usager par exemple. C'est justement ce qui a été découvert ici par Alex. Résultat ? il est possible théoriquement de dérober celui d'un abonné Hotmail et d'obtenir alors l'accès à sa boite, en toute discrétion.

Par ce cookie, le pirate peut en effet montrer patte blanche et faire ainsi croire àMicrosoft que l'on est le véritable détenteur de la boite. L'attaque n'exige pas que les serveurs de Microsoft soient altérés ou modifiés mais simplement que l'usager se laisse tromper. Le traquenard a lieu généralement dans un mail envoyé, àl'instar d'un phishing. En cliquant sur le lien piégé, l'abonné transmet en douceur son cookie d'identification au malicieux pirate distant.

L'attaque a été décrite sur une page spéciale mais fort heureusement, Microsoft a été alerté et la firme a pu rapidement colmater la brèche.

11 © CNAM 2007-01/EBU

Médiatisation (2/2)

26/05/2006Cela serait le plus vaste piratage de toute l’histoire de l’hébergement web, affirme le site Zone-H spécialisé dans l’identification des attaques web. « Le piratage a eu lieu semble-t-il par un script ASP qui a été automatiquement installé sur tous les comptes des serveurs faillibles. » Les causes exactes de ces bugs ne sont pas à ce jour déterminé, il s’agirait peut-être de sites web mal ficelés qui valideraient mal certaines entrées.

Pour cette attaque massive, 21 549 sites ont été piratés et défigurés d’un coup par un certain Iskorpitx, figure historique en la matière et d’origine turque. A la place justement, un Drapeau turc, sous lequel on peut lire le message « Fucked Armanian-Fucked France-Fucked Greece-Fucked Pkk Terror », passage qui ne nécessitera pas de traduction particulière… Le texte est suivi parfois par cette phrase : « iscorpitx, marque du monde, présente ses salutations à tout le monde », rédigée en français. Les activités de l’intéressé ont débuté en 2003 indique Zone H qui dénombre à son actif pas moins de 117 000 sites défacés.

Pour cette fois, comme à chaque fois les attaques ont eu lieu via le dossier SSFM dans lequel était placé le fichier isko.htm (site.com/ssfm/isko.htm). On trouvera sur la liste des 21 549 sites patiemment mise à jour et archivée par Zone H.

12 © CNAM 2007-01/EBU

Plus de compétences, plus de connaissances

• Pratique personnelle– Augmentation du nombre de PC à domicile

• Pratique professionnelle– Nombre d’utilisateurs professionnels en augmentation

• Connaissances diffusées largement– Internet

– Magazines

13 © CNAM 2007-01/EBU

Automatisation et diffusion de connaissance

Elevé

Faible

1980 1985 1990 1995 2000 2005

ConnaissancesNécessaires

Outilsautomatisés &

Sophistication des attaques

14 © CNAM 2007-01/EBU

Démos

• http://www.securityfocus.com/

• Metasploit : http://metasploit.com/

• Nessus : http://www.nessus.org/

• Agobot/phatbot : http://www.lurhq.com/phatbot.html

• HackFAQ : http://www.nmrc.org/pub/faq/hackfaq/index.html

15 © CNAM 2007-01/EBU

Deux approches de la SSI

• Erreurs et accidents– méthodes et moyens mis en œuvre pour éviter les

défaillances "naturelles" dont les effets ont un caractère catastrophique (safety – sûreté)

• Sabotage et malveillance– méthodes et moyens mis en œuvre pour se protéger

contre les défaillances résultant d'une action intentionnelle (security – sécurité)

16 © CNAM 2007-01/EBU

Matérialisation des problèmes

• Refus de faire les actions

• Défaillance plus complexe– Fait trop tôt ou trop tard ce que le système doit faire

– Actions différentes de celles prévues

• Influence– Actions « involontaires » sur la demande d’un pirate

– Collecte des comportements type « consommateur »

– Surveiller les communications (état policier)

17 © CNAM 2007-01/EBU

Conséquences

• Dans la majorité des cas assez bénignes (perte de données)– « Retaper » deux ou trois fois la même chose, suite à la

« perte d'un fichier »

– Prospection par email ou par téléphone

• Impacts potentiellement graves– Paralysie des serveurs Web

– Vol de sommes considérables

– Faillite d'une entreprise qui ne peut plus facturer, la création d'embouteillages monstrueux

– Echec du tir d'Ariane V

– Panne de courant paralysant une métropole

18 © CNAM 2007-01/EBU

Internet n’est pas sûr !

• Réseau intrinsèquement non sécurisé– Créé par les USA

– Objectif : disponibilité « être aussi difficile à détruire qu’une toile d’araignée avec un révolver »

– Communauté réduite avec des liens forts

• Pas de responsable, pas de contrôle

• Réglementations hétérogènes entre pays

• Comment donner sa confiance ?– Informations

– Certificats

19 © CNAM 2007-01/EBU

Exemples de connexion avec DNS

Réseau téléphonique(commuté ou ligne

spécialisée)

R

Ordinateurd’Alice

NAS

DNS

Adresse IP192.165.28.8

MIC

R

R

R

RMIC

Ordinateursupport duserveur de

Bob

Adresse IP193.78.60.3

Réseau localdu prestataire

d'AliceOnrasegratuit

Réseau local

BSTde l’université

20 © CNAM 2007-01/EBU

Arborescence DNS

comedu gov fr nl

cnam

iie

village ens

ens

yale

cs

linda

mail

mailhost

vu

Sun

IP=163.171.128.2IP=128.37.16.112

. (Racine)

BabaIP=163.168.25.3BST

Onrasegratuit

BobIP=193.78.60.3.

21 © CNAM 2007-01/EBU

Fonctionnement DNS

Alice.Onrasegratuit.com

serveur Onrasegratuit.com

serveur .com

serveur racine

serveur .edu

serveur BST.edu

22 © CNAM 2007-01/EBU

Attaque DNS

• Estelle veut tromper Alice sur l’adresse de Bob.BST.edu.

• Elle trouve l’adresse IP du serveur de DNS de Onrasegratuit.com

• Elle lance elle-même (avant la première requête d’Alice) une interrogation sur ce nom sur le serveur de Onrasegratuit.com

• Elle attend que celui ci propage sa demande et l’intercepte

• Elle répond avec une fausse adresse en se faisant passer pour le serveur de .com

• La réponse, considérée comme bonne, est stockée dans la base du serveur de Onrasegratuit.com.

• Lorsque Alice fait sa demande le serveur lui donnera la fausse réponse.

23 © CNAM 2007-01/EBU

Exemple sur un serveur Web

24 © CNAM 2007-01/EBU

Evolution des menaces

Organisation

Régional

Pér

imèt

re

PCindividuels

Secteur

Impactglobal

2000 20031990 Temps

� Virus 1 ère gén.� DdS localisé� Modif. Site Web

� Ver email� DdS� Piratage CB

�Menaces combinées�Menaces limitées Warhol�DdS via vers�Piratage CB national�Piratage infrastructure

Menaces futures� Menaces Flash ?� DdS massifs via des vers� Attaques d’infra. critiques

25 © CNAM 2007-01/EBU

Evolution des codes malicieux

Heures

Temps

Semainesou mois

Jours

Minutes

Secondes

1990 1994 1997 2000 2003

Ech

elle

de

cont

amin

atio

n

Classe IRéponse humaine : possible

Menaces “Flash”

Virus fichiers

Classe IIIRéponse humaine : impossibleRéponse automatique : peu probableBlocage préventif : possible

Classe IIRéponse humaine : difficile/impossibleRéponse automatique : possible

Macro Virus

Ver emails

Menaces combinées

Menaces “Warhol”

26 © CNAM 2007-01/EBU

De plus en plus de failles

Source: Symantec

Moyenne du nombre de vulnérabilitésdécouvertes par semaine

0

20

40

60

80

100

1999 2000 2001 2002 2003 2004 2005 2006

27 © CNAM 2007-01/EBU

De plus en plus de failles

28 © CNAM 2007-01/EBU

De plus en plus d’attaques

25,000

50,000

75,000

100,000

125,000

150,000

1996 1997 1998 1999 2000 2001 2002 20030

100M

200M

300M

400M

500M

600M

700M

800M

900M

0

Menaces combinées(CodeRed, Nimda, Slammer)

Déni de Service(Yahoo!, eBay)

Virus emails massifs(Love Letter/Melissa)

Zombies

Virus Polymorphes(Tequila)

Tentativesd’infection parcode malicieux

Tentativesd’intrusionréseau

Analyse faite par Symantec Security Response surla base des estimations 2003 de Symantec, IDC, ICSA

Ten

tativ

esd’

infe

ctio

n

Ten

tativ

esd’

intr

usio

n ré

seau

29 © CNAM 2007-01/EBU

L’exploitation de failles est de plus en plus rapide

• Complexité de la gestion des correctifs de sécurité

• Blaster est apparu seulement 26 après l’annonce de la vulnérabilité

39%

25%

14%10%

4% 5%1% 1%

0%

10%

20%

30%

40%

50%

0 - 6 mois 6 - 12 mois 12 - 18mois

18 - 24mois

24 - 30mois

30 - 36mois

36 - 42mois

42 - 48mois

Age des vulnérabilités

% d

e ci

bles

de

nouv

elle

s at

taqu

es 64% des nouvellesattaques visent des vulnérabilités de moins d’un an

Source: Internet Security Threat Report - September 2003

30 © CNAM 2007-01/EBU

Temps de réaction

31 © CNAM 2007-01/EBU

Mise en commun de ressources

• Plusieurs objectifs– Spam

– Dénis de service

– Brute force

32 © CNAM 2007-01/EBU

La sécurisation technique est insuffisante

• Parmi les entreprises ayant subi des attaques, près de 100% utilisaient un firewall !

• La technologie n’est pas suffisante !

Source : 2003 CSI/FBI Computer Crime and Security Survey

92829092Contrôle d’accès999098100Logiciels anti-virus69586462Chiffrement de fichiers73606150Système de détection d’intrusions98899578Firewalls

2003200220012000Technologie de sécurisation utilisée (%)

33 © CNAM 2007-01/EBU

Etude sécurité e-Commerce, banque en ligne

Greatest Threat to Online Banking (U.S)

81%

57% 59%48% 44% 41%

0%0%

10%20%30%40%50%60%70%80%90%

Identity theft Risk ofnetw ork,

transactionand account

intrusionattacks

Fraud Insuff icientencryption of

sensitivedata

Phishing Insuff icientdata security

policy andenforcement

Other

Threats Experienced in Last Year(U.S.)

32%

7% 7%

62%

0%

10%

20%

30%40%

50%

60%

70%

Phishing Identity theft Fraud None of theabove

Reaction to Security Breach (US)

28%

55%

32%

10%

30%

0%

10%

20%

30%

40%

50%

60%

Not takeimmediate actionand see how the

bank handles thiscrisis

Discontinuebanking activityuntil you were

assured the crisiswas resolved

Discontinue onlinebanking and use

telephone, ATM orbranch only

Close someaccounts and try

another bank

Close all accountsand eventually

move to anotherbank

Vision des utilisateurs

34 © CNAM 2007-01/EBU

Les risques sont souvent d’origine humaine

• Erreur de conception

• Erreur de réalisation

• Erreur d’exploitation– La négligence, l’inattention…

– Les fautes réelles (violation d’une procédure formalisée)

• Malveillance à caractère ludique

• Fraude, Vol

• Sabotage

35 © CNAM 2007-01/EBU

Echelle probabilité/faisabilité

Niveaux de probabilité Code de Probabilité

Extrêmement improbable PA

Extrêmement Rare PB

Rare PC

Probable PD

Fréquent PE

36 © CNAM 2007-01/EBU

Echelle impact

Niveau de gravité

Code de gravité

Description

Catastrophique 0A Risque de perte de vie humaine ou agression sur le personnel d’exploitation..Effets sur l’environnement à long terme.

Grave 0B Destruction importante de biens qui interrompent les activités sur une longue période.Effets sur l’environnement à court terme.

Majeur 1 Perte de mission.Endommagement d’un bien.

Mineur 2 Mission dégradée.

Négligeable 3 Sans effet sensible sur le déroulement de la mission.

37 © CNAM 2007-01/EBU

Estimation des risques

Gravité

Probabilitéd’occurrence

NonAcceptable

Acceptable

Catastrophique

Grave

Majeur

Mineur

Négligeable

Ext

rèm

em

ent

Impr

oba

ble

Ext

rèm

em

ent

Rar

e Rar

e

Pro

bab

le

Fré

que

nt

Mar

ge

Criticité

4

3

2

1

38 © CNAM 2007-01/EBU

Qu’est-ce que la sécurité

Confidentialité■ Divulgation

d’informations,■ Écoute réseau,■ Vol, …

Disponibilité■ Saturation réseau,■ Plantage de

serveurs,■ Plantage

d’applications, …

Intégrité■ Falsification

d’informations, de programmes,

■ Erreurs de traitement, …

Définition (dictionnaire)Confiance, absence d’inquiétude, sûreté, …

� Pas applicable à la Sécurité des Systèmes d’Information

39 © CNAM 2007-01/EBU

Confidentialité

• Caractère réservé d’une information dont l’accès est limitéaux seules personnes admise à la connaître dans le cadre de ses activités

• Déterminé par le propriétaire de l’information ou automatiquement, en fonction de règles

• Exemples– Un mot de passe ne doit jamais pouvoir être connu par un

autre que son possesseur– Un dossier médical ne doit pouvoir être consulté que par le

malade et le personnel médical habilité

• Atteintes à la confidentialité– Divulgation d’information– Vol d’information– Ecoute réseau– Social engineering– Phishing

40 © CNAM 2007-01/EBU

Intégrité

• Garantie que le système, l’information, la fonction ne sont modifiés que par une action volontaire et légitime

• Atteintes– Modification d’informations

– Erreurs de traitement

– Erreurs de saisie

– Modification de programme (rootkit)

41 © CNAM 2007-01/EBU

Disponibilité

• Aptitude du système à remplir une fonction dans des conditions définies d’horaires, de délais et de performances

• Souvent bien assuré dans les systèmes

• Atteintes– Coupure réseau, électrique

– Plantage serveur

– Déni de service (cf. attaque sur les serveurs DNS)

42 © CNAM 2007-01/EBU

Attaques en déni de service

43 © CNAM 2007-01/EBU

Authentification

• Propriété qui ajoute à l’identification la reconnaissance sûre de l’identité d’une entité

• Protège de l'usurpation d'identité

• Entités à authentifier

– une personne

– un programme qui s’exécute (processus)

– une machine dans un réseau

• Moyens d’authentification

– Ce que je suis

– Ce que je sais

– Ce que je possède

• Lié à la signature au sens habituel : le signataire est le seul à pouvoir « écrire » sa signature

44 © CNAM 2007-01/EBU

Non-répudiation, auditabilité

• Notion de preuve

• Non-répudiation

– Assurance que l’émetteur (origine) ou le destinataire (destination) ne peut nier avoir émis/reçu une information

– Implique intégrité

– Lié à la signature au sens habituel : engagement du signataire à faire/reconnaître quelque chose

– Accusé de réception

• Auditabilité

– Possibilité de pouvoir auditer les résultats fournis

• Signature

– Associe intégrité, authentification et non-répudiation d’origine

45 © CNAM 2007-01/EBU

Besoin d’en connaître

• Besoin d’en-connaître : nécessité pour une personne habilitée au bon niveau d’accéder à une information/fonction dans le cadre de ses attributions

• Avantage– Permet de cloisonner les informations/fonctions

sensibles

– Limiter la collecte d’informations

– Limiter l’impact d’une défection/divulgation/…

46 © CNAM 2007-01/EBU

Moindre privilège

• Moindre privilège : ne donner que les droits minimums pour réaliser une actions ou accéder àune information

• S’applique– Aux utilisateurs

– Aux administrateurs

– Aux programmes

– Aux systèmes

• Permet de limiter l’impact d’une compromission d’un objet

• Permet de limiter les utilisateurs ayant les droits administrateur

47 © CNAM 2007-01/EBU

Recherche d’un compromis

• La sécurité totale n’existe pas

• On cherche plutôt un niveau de sécuritéhomogène

Services disponibles Services requis

Facilité d’utilisation

Coût de la sécurité

ConfidentialitéDisponibilité

Coût de la perte

Contrôle d‘accès