RSX112 – Sécurité et réseauxrsx112.free.fr/Module1.pdf · - Protocoles d'intégrité et...
Transcript of RSX112 – Sécurité et réseauxrsx112.free.fr/Module1.pdf · - Protocoles d'intégrité et...
1 © CNAM 2007-01/EBU
RSX112 – Sécurité et réseaux
Module 1 - Introduction
2 © CNAM 2007-01/EBU
Présentation
• Intervenant
• Elèves– Tour de table
3 © CNAM 2007-01/EBU
Calendrier
• 16 séances de 3 heures
• Mercredi de 18h à 21h
• Sauf les 14 mars et 4 avril
• Examen– 2 heures
– Prévu le 27 juin 2007
4 © CNAM 2007-01/EBU
Contenu
1) Introduction- Positionnement des problèmes de sécurité- Risques et menaces, contexte normatif, méthodologies d'analyse de sécurité (Marion, Melisa, Mehari). - Les différents problèmes à résoudre. - Situation des protocoles de sécurité dans l'architecture Internet. - Contexte légal et aspects juridiques.
2) Protection de l'accès aux données et protection des interfaces dans les systèmes- Gestion des droits dans les systèmes : politiques discrétionnaires et obligatoires. - Architectures de machines à anneaux et à capacités. - Exemple de la protection dans les systèmes de fichiers, dans les répertoires de pages Web.
3) Protection dans les réseaux- Mécanismes de filtrages des messages, murs pare-feux (firewalls).
4) Cryptographie- Introduction aux problèmes de cryptographie- Cryptographie à clés secrètes : concepts généraux, exemple des chiffres DES, IDEA, RC4, AES. - Cryptographie à clé publique : concepts généraux, exemple du RSA. - Fonctions de hachage sécuritaire : exemples MD5, SHA.
5) Protocoles de sécurité dans les réseaux- Protocoles de confidentialité : mise en œuvre des méthodes de chiffrement par blocs, par flots- Protocoles d'intégrité et d'authentification des messages : MAC et signatures - Protocoles d'authentification des usagers : protocoles à mots de passe (Radius), protocoles à clés publiques. - Mécanismes de protection contre les virus.
6) Mise en œuvre des protocoles de sécurité- Infrastructures à clés publiques (PKI)- Sécurité de la couche liaison (L2TP, protection des réseaux WIFI)- Sécurité au niveau réseau : IPSEC- Sécurité au niveau transport : SSL, TLS. - Sécurisation du DNS : normes DNSSEC- Sécurité du courrier électronique : SMIME, mécanismes anti spam. - Sécurité des applications Web : sécurisation http, sécurisation des services Web. - Introduction aux techniques de détection d'intrusion (IDS).
5 © CNAM 2007-01/EBU
Objectifs
• Sensibiliser à la sécurité
• Comprendre le contexte et les raisons de la SSI
• Appréhender les concepts, les enjeux et les moyens de protection envisageables
• Comprendre les techniques possibles/utiles
• Faire de vous des pirates, des pen-testers
• Devenir des RSSI
• Permettre de faire des audits
6 © CNAM 2007-01/EBU
Contexte
• Système d’information de plus en plus répandus
• Utilisés dans tous les domaines– Tertiaire (banque, assurance, service)
– Industrie
– PME, artisanat
– Administration (déclaration, vote, consultation)
– Personnel (achat, gestion de comptes)
• Complexification des systèmes
• Gain d’efficacité– Dématérialisation
– Flux virtualisés
• Ouverture des systèmes vers l’extérieur
7 © CNAM 2007-01/EBU
Les trois lois de la robotique(I. Asimov)
• Un robot ne peut porter atteinte à un être humain ni en restant passif, laisser cet être humain exposé au danger
• Un robot doit obéir aux ordres donnés par des êtres humains sauf quand de tels ordres sont en contradiction avec la première loi
• Un robot doit protéger sa propre existence dans la mesure ou une telle protection ne s’oppose pas à la première et seconde loi
8 © CNAM 2007-01/EBU
Pourquoi craindre les systèmes d’information ?
• Historiquement, automatisation et contrôle de processus critiques– Transport, énergie, …
• Nouvelles technologies au service des pirates ou d’états – Enjeux grandissant
• Flux financiers• Recoupement de données (vie privée)• Collecte de données en volume (base clients)
– Interconnexions• Utilisation de réseaux publics• Liens avec des environnements non-maîtrisés
– Pénétration dans la sphère personnelle• Vie privée• Comptes bancaires• Protection de l’enfance
• Complexe de Frankenstein ou crainte légitime des effets pervers d’une informatisation trop rapide de la société?
9 © CNAM 2007-01/EBU
Complexité de la gestion des risques liés à la SSI
• Enjeux– Attaques sur les réseaux
networks
– Contrôle par les virus
– Fraudes et crimes informatiques
– Sécurité physique
– Continuité d’activité
– Conformité réglementaire
– Préserver la confiance du marché et des clients
• Risques– Pertes financières
– Confiance des investisseurs
– Responsabilité & assurances
– Perte d’informations
– Indisponibilité
– Presse négative
– Non-conformitéréglementaire
– Vie privée
10 © CNAM 2007-01/EBU
19/07/2006
La Belgique s’est transformée l’espace d’un jour en véritable cour de récréation pour des pirates. Près de 240 sites belges (.be) auront étébarbouillés, défigurés, tagués ce 18 juillet, par un groupe nomméBiyoSecurityTeam. A chaque fois, en guise de page de garde des sites concernés, la simple mention « Hacked By RMx FromBiyoSecurityTeam - BiyoSecurityTeam : Liz0ziM, Codexploder'tq, RMx, Erne, Cache, Entrika, Korsan, TR_ip. HAcked by EJDER ;) ». Un autre groupe, lui aussi d’origine turque, a participé à la petite sauterie, laissant sur son passage le laconique « by Thehacker Ownz your b0x -bla bla bla ». La quasi-totalité des sites visés dans ces attaques sont sous Windows 2003, avec web server IIS/6.0. Selon le site Datanews.be, deux serveurs fonctionnant sous cet environnement ont été pris pour cibles, alors qu’ils hébergeaient justement plusieurs dizaines de sites. Une faille non mise à jour aurait ainsi été exploitée à grand ampleur. On en trouvera la liste sur le site Zone-H, véritable encyclopédie du défacement sur le web.
Ce n’est pas la première fois que les pirates turcs se font ainsi remarquer. Voilà peu, un certain Iskorpitx parvenait à défigurer très exactement 21 549 sites, avec l’aide d’un script ASP, automatiquement installé sur les comptes des serveurs fragilisés.
Médiatisation (1/2)
by E d U. KaishunIt only seemed like yesterday that Atlanta Public Schools (APS)
made headlines for negative reasons: disrepair of facilities, decliningstudent achievement, rising drop-out rate, etc. Remarkably, APS isnow continually featured in positive headlines. Since its nadir in thelate 1990’s, APS has ta ken steps to raise academic standards andexpec tations for Atlanta’s children, produce graduates much better
APRIL 2, 2001
FINAL★★★
“Your Company” a victimof Cyberspace crime againThird time in Two Weeks Could it have been prevented
prepared for successful careers a nd low er the drop-out rate to 10%.In a news conference last w eek, the Mayor publicly congratulatedthe APS faculty, the Atlanta School Board, and the Superintendenton a job well done at the Fifth A nnua l Atlanta Public EducationSummit. Since the beginning of this year, APS has rece ived similaraccolades from the Georgia Board of Education, the Governor a ndthe Business Roundtable, an educational advocacy groupre pre senting 200 U.S. corporations.
This begs the question – H ow did this remarka ble turnaroundoccur? We we nt looking for the answer to this question. Many inAtlanta point to the collective efforts of APS and the Metro AtlantaChamber of Commerc e in 1998 as the watershed event.
In the winter of 1998, the Education Committee of the Chamberassembled a Special Task Force on Education. This task forceserved to ide ntify how Atlanta’s business community could bestsupport A tlanta Public Schools in generating more employablegraduates.
According to Odie Dona ld, then cha ir of the EducationCommittee, “Unlike other ef forts to narrow the gulf between APSand the Business Community, the Spec ial Task Force on Educationallowed both parties to w ork in true partnership for the benefit ofAtlanta’s children.” Adds Benjamin Canada, the n APSSuperintendent, “APS was give n a seat at the table, rathe r than be ing
treated as a patient. As I look back on the ear ly days of the SpecialTask Force on Education, three signif icant things come to mind –strong leadership, unwa vering commitment and accountability.”
As a result of APS’ remarkable achievements, the Atlantabusiness c ommunity has continued to signif ic antly support theschool district. Monetary, human and in-kind resources have beenstrategically allocated to e ffec t change. Additionally, ED UPACfunding has been earmarked to support the succ essful re-elec tioncampaigns of several sc hool board me mbers.
The initial actions of the Specia l Task Force on Educationserved as a rally ing point to improve public educ ation in Atlanta.Over the past five years, an e xpansive coa lition of organizations andeduca tional initiative s have complemente d the effort. The resulttoday is sweeping cha nges in the city’s school district.
Annually, members of this educ ation coalition come together atthe Atlanta Public Education Summit, held by the Metro AtlantaChamber of Commerc e. Important performance measures areanalyzed, improve ments are discusse d and recognition is give n toexemplary programs and coalition partners.
$0
$5 00
$1,0 00
$1,5 00
$2,0 00
$2,5 00
$3,0 00
$3,5 00
$4,0 00
Revolution Within
Public Schools
“The tas k force adopted a dua l focus.
Not on ly did we concen trate on assistingthe At lanta P ub li c Schoo ls i n producing
more empl oyable g raduates, we a ls ofocused on bringing forth m ore emp loyab le
AP S graduates”
— Gary Lee, Jr., former task member, retired VP
and E xecutive Director of the UPS Foundation
“AP S [Atlanta P ublic Schools ] was givena s eat a t the tab le , rather than be ing
treated as a pa tient. A s I look back on theearly days o f the Spec ial Task Forc e on
Educ ation , thr ee significant things cometo mind — strong leadership , unw averi ng
comm itment and accountab i lity”
— Dr. Benjamin Canada,
Secretary of E ducation
by J ane Doe
This inaugural issue celebrates how
Atlanta Public Schools transformed itse lf intoa world-class school district. It may serve as a
template to othe r municipalities on how to
make significant improvements in publiceducation.
The va ried contributors to this specialedition of The Atlanta Journal-Constitution’s
Guide to A tlanta Public Education refle ct the
city-wide coalition responsible for theseremarkable results.
Contributors:
Atlanta Publ ic Schools
Atlanta Board of Education
Metro Atlanta Chamber ofCommerce
Atlanta Commi tte e for Publi cEduc ation
Mayor’s Renai ssance
Commission
Atlanta Partners for Education
Atlanta’s Business Community
Atlanta’s Non-Profi t Agencies Public education in Atlanta: Much has changed in five years
Inside Th is Issu eInside Th is Issu eInside Th is Issu eInside Th is Issu e
Interv iew with th e At lan ta PublicSchools Superintenden t . . . . . . . . . .3
�
“Revo lu tion within A PS”:5 Year Chrono lo gy of Events(19 98-Presen t) . . . . . . . . . . . . . . . . . . .4
�
Per spectives: Stud ents, Faculty,Par ents, C ommunity Partner s . . . .5
Washington Post
13/09/2006
Le gouverneur de la Californie Arnold Schwarzenegger est en plein mini-scandale cybernétique. L'ancien acteur hollywoodien s'est récemment fait chiper l'enregistrement d'un de ses entretiens téléphoniques, dans lequel il fait référence au « sang chaud » de certains élus locaux hispaniques et afro-américains dans leur passion de la chose politique.
L'enregistrement, stocké initialement sur un ordinateur appartenant à l'État, a finalement atterri dans les bureaux du Los Angeles Times, qui n'a pas manqué d'en publier de larges extraits. L'opposition qualifie immédiatement les propos de l'ex-Terminator d' «agressifs et embarrassants » pour les communautés concernées.
L'opposant monté au créneau est un fervent ennemi démocrate de Schwarzenegger, Phil Angelides. Il fut le premier à réagir à l'article du Los Angeles Times, un peu trop vite d'ailleurs... Du côté du « gouvernator », on affirme que l'enregistrement a été volé par un pirate qui s'est illégalement introduit dans les fichiers d'un ordinateur d'État, l'adresse IP de l'attaquant aurait d'ailleurs été identifiée. Le vol aurait eu lieu la nuit du 29 au 30 août dernier...
Après quelques excuses formulées par Schwarzenegger en personne, certains républicains auront même qualifié l'affaire de « Watergate technologique ». Bref, un petit scandale à l'occidentale.
Et ce n'est pas fini, le dénouement est encore tout frais. Le fameux démocrate Phil Angelides, premier critique virulent du gouverneur, avoue aujourd'hui avoir légèrement aidé le Los Angeles Times à obtenir l'enregistrement litigieux. Mais il se défend d'avoir commis un acte de piratage, car aucune « cyber-effraction » n'a été nécessaire, selon lui.
Angelides affirme en effet que ces fichiers audio ont été téléchargés « sur un site accessible publiquement, ne requérant pas de mot de passe, sans aucune mention de confidentialité ». Considérant cela, il a estimé que ces fichiers se devaient d'être publiquement révélés. La page Web en question a été supprimée depuis, mais elle est encore visible sur le cache de Google, certainement plus pour longtemps...
La page, censée rester dans le domaine privé, se serait retrouvée sur le Web à la suite d'une erreur d'administration réseau, le dossier dans lequel sont stockés les MP3 du scandale n'aurait alors eu aucune restriction d'accès. On en saura plus sur cette histoire de colosse aux pieds d'argile à la fin de l'enquête des autorités californiennes.
07/06/2005
Quelques jours après l'annonce du piratage du site MSN Corée, on apprend qu'une des pages de MSN.com (ilovemessenger.msn.com) a souffert d'une faille de cross site scripting (CSS). C'est un jeune hollandais de 20 ans, Alex de Vries qui a découvert la brèche.
Les failles de CSS sont très fréquentes sur les sites web. Profitant d'erreurs de filtrage, elles permettent en pratique à l'aide d'une simple URL spécialement formée avec des bouts de balises, d'injecter du code, voire de voler le cookie d'un usager par exemple. C'est justement ce qui a été découvert ici par Alex. Résultat ? il est possible théoriquement de dérober celui d'un abonné Hotmail et d'obtenir alors l'accès à sa boite, en toute discrétion.
Par ce cookie, le pirate peut en effet montrer patte blanche et faire ainsi croire àMicrosoft que l'on est le véritable détenteur de la boite. L'attaque n'exige pas que les serveurs de Microsoft soient altérés ou modifiés mais simplement que l'usager se laisse tromper. Le traquenard a lieu généralement dans un mail envoyé, àl'instar d'un phishing. En cliquant sur le lien piégé, l'abonné transmet en douceur son cookie d'identification au malicieux pirate distant.
L'attaque a été décrite sur une page spéciale mais fort heureusement, Microsoft a été alerté et la firme a pu rapidement colmater la brèche.
11 © CNAM 2007-01/EBU
Médiatisation (2/2)
26/05/2006Cela serait le plus vaste piratage de toute l’histoire de l’hébergement web, affirme le site Zone-H spécialisé dans l’identification des attaques web. « Le piratage a eu lieu semble-t-il par un script ASP qui a été automatiquement installé sur tous les comptes des serveurs faillibles. » Les causes exactes de ces bugs ne sont pas à ce jour déterminé, il s’agirait peut-être de sites web mal ficelés qui valideraient mal certaines entrées.
Pour cette attaque massive, 21 549 sites ont été piratés et défigurés d’un coup par un certain Iskorpitx, figure historique en la matière et d’origine turque. A la place justement, un Drapeau turc, sous lequel on peut lire le message « Fucked Armanian-Fucked France-Fucked Greece-Fucked Pkk Terror », passage qui ne nécessitera pas de traduction particulière… Le texte est suivi parfois par cette phrase : « iscorpitx, marque du monde, présente ses salutations à tout le monde », rédigée en français. Les activités de l’intéressé ont débuté en 2003 indique Zone H qui dénombre à son actif pas moins de 117 000 sites défacés.
Pour cette fois, comme à chaque fois les attaques ont eu lieu via le dossier SSFM dans lequel était placé le fichier isko.htm (site.com/ssfm/isko.htm). On trouvera sur la liste des 21 549 sites patiemment mise à jour et archivée par Zone H.
12 © CNAM 2007-01/EBU
Plus de compétences, plus de connaissances
• Pratique personnelle– Augmentation du nombre de PC à domicile
• Pratique professionnelle– Nombre d’utilisateurs professionnels en augmentation
• Connaissances diffusées largement– Internet
– Magazines
13 © CNAM 2007-01/EBU
Automatisation et diffusion de connaissance
Elevé
Faible
1980 1985 1990 1995 2000 2005
ConnaissancesNécessaires
Outilsautomatisés &
Sophistication des attaques
14 © CNAM 2007-01/EBU
Démos
• http://www.securityfocus.com/
• Metasploit : http://metasploit.com/
• Nessus : http://www.nessus.org/
• Agobot/phatbot : http://www.lurhq.com/phatbot.html
• HackFAQ : http://www.nmrc.org/pub/faq/hackfaq/index.html
15 © CNAM 2007-01/EBU
Deux approches de la SSI
• Erreurs et accidents– méthodes et moyens mis en œuvre pour éviter les
défaillances "naturelles" dont les effets ont un caractère catastrophique (safety – sûreté)
• Sabotage et malveillance– méthodes et moyens mis en œuvre pour se protéger
contre les défaillances résultant d'une action intentionnelle (security – sécurité)
16 © CNAM 2007-01/EBU
Matérialisation des problèmes
• Refus de faire les actions
• Défaillance plus complexe– Fait trop tôt ou trop tard ce que le système doit faire
– Actions différentes de celles prévues
• Influence– Actions « involontaires » sur la demande d’un pirate
– Collecte des comportements type « consommateur »
– Surveiller les communications (état policier)
17 © CNAM 2007-01/EBU
Conséquences
• Dans la majorité des cas assez bénignes (perte de données)– « Retaper » deux ou trois fois la même chose, suite à la
« perte d'un fichier »
– Prospection par email ou par téléphone
• Impacts potentiellement graves– Paralysie des serveurs Web
– Vol de sommes considérables
– Faillite d'une entreprise qui ne peut plus facturer, la création d'embouteillages monstrueux
– Echec du tir d'Ariane V
– Panne de courant paralysant une métropole
18 © CNAM 2007-01/EBU
Internet n’est pas sûr !
• Réseau intrinsèquement non sécurisé– Créé par les USA
– Objectif : disponibilité « être aussi difficile à détruire qu’une toile d’araignée avec un révolver »
– Communauté réduite avec des liens forts
• Pas de responsable, pas de contrôle
• Réglementations hétérogènes entre pays
• Comment donner sa confiance ?– Informations
– Certificats
19 © CNAM 2007-01/EBU
Exemples de connexion avec DNS
Réseau téléphonique(commuté ou ligne
spécialisée)
R
Ordinateurd’Alice
NAS
DNS
Adresse IP192.165.28.8
MIC
R
R
R
RMIC
Ordinateursupport duserveur de
Bob
Adresse IP193.78.60.3
Réseau localdu prestataire
d'AliceOnrasegratuit
Réseau local
BSTde l’université
20 © CNAM 2007-01/EBU
Arborescence DNS
comedu gov fr nl
cnam
iie
village ens
ens
yale
cs
linda
mailhost
vu
Sun
IP=163.171.128.2IP=128.37.16.112
. (Racine)
BabaIP=163.168.25.3BST
Onrasegratuit
BobIP=193.78.60.3.
21 © CNAM 2007-01/EBU
Fonctionnement DNS
Alice.Onrasegratuit.com
serveur Onrasegratuit.com
serveur .com
serveur racine
serveur .edu
serveur BST.edu
22 © CNAM 2007-01/EBU
Attaque DNS
• Estelle veut tromper Alice sur l’adresse de Bob.BST.edu.
• Elle trouve l’adresse IP du serveur de DNS de Onrasegratuit.com
• Elle lance elle-même (avant la première requête d’Alice) une interrogation sur ce nom sur le serveur de Onrasegratuit.com
• Elle attend que celui ci propage sa demande et l’intercepte
• Elle répond avec une fausse adresse en se faisant passer pour le serveur de .com
• La réponse, considérée comme bonne, est stockée dans la base du serveur de Onrasegratuit.com.
• Lorsque Alice fait sa demande le serveur lui donnera la fausse réponse.
23 © CNAM 2007-01/EBU
Exemple sur un serveur Web
24 © CNAM 2007-01/EBU
Evolution des menaces
Organisation
Régional
Pér
imèt
re
PCindividuels
Secteur
Impactglobal
2000 20031990 Temps
� Virus 1 ère gén.� DdS localisé� Modif. Site Web
� Ver email� DdS� Piratage CB
�Menaces combinées�Menaces limitées Warhol�DdS via vers�Piratage CB national�Piratage infrastructure
Menaces futures� Menaces Flash ?� DdS massifs via des vers� Attaques d’infra. critiques
25 © CNAM 2007-01/EBU
Evolution des codes malicieux
Heures
Temps
Semainesou mois
Jours
Minutes
Secondes
1990 1994 1997 2000 2003
Ech
elle
de
cont
amin
atio
n
Classe IRéponse humaine : possible
Menaces “Flash”
Virus fichiers
Classe IIIRéponse humaine : impossibleRéponse automatique : peu probableBlocage préventif : possible
Classe IIRéponse humaine : difficile/impossibleRéponse automatique : possible
Macro Virus
Ver emails
Menaces combinées
Menaces “Warhol”
26 © CNAM 2007-01/EBU
De plus en plus de failles
Source: Symantec
Moyenne du nombre de vulnérabilitésdécouvertes par semaine
0
20
40
60
80
100
1999 2000 2001 2002 2003 2004 2005 2006
27 © CNAM 2007-01/EBU
De plus en plus de failles
28 © CNAM 2007-01/EBU
De plus en plus d’attaques
25,000
50,000
75,000
100,000
125,000
150,000
1996 1997 1998 1999 2000 2001 2002 20030
100M
200M
300M
400M
500M
600M
700M
800M
900M
0
Menaces combinées(CodeRed, Nimda, Slammer)
Déni de Service(Yahoo!, eBay)
Virus emails massifs(Love Letter/Melissa)
Zombies
Virus Polymorphes(Tequila)
Tentativesd’infection parcode malicieux
Tentativesd’intrusionréseau
Analyse faite par Symantec Security Response surla base des estimations 2003 de Symantec, IDC, ICSA
Ten
tativ
esd’
infe
ctio
n
Ten
tativ
esd’
intr
usio
n ré
seau
29 © CNAM 2007-01/EBU
L’exploitation de failles est de plus en plus rapide
• Complexité de la gestion des correctifs de sécurité
• Blaster est apparu seulement 26 après l’annonce de la vulnérabilité
39%
25%
14%10%
4% 5%1% 1%
0%
10%
20%
30%
40%
50%
0 - 6 mois 6 - 12 mois 12 - 18mois
18 - 24mois
24 - 30mois
30 - 36mois
36 - 42mois
42 - 48mois
Age des vulnérabilités
% d
e ci
bles
de
nouv
elle
s at
taqu
es 64% des nouvellesattaques visent des vulnérabilités de moins d’un an
Source: Internet Security Threat Report - September 2003
30 © CNAM 2007-01/EBU
Temps de réaction
31 © CNAM 2007-01/EBU
Mise en commun de ressources
• Plusieurs objectifs– Spam
– Dénis de service
– Brute force
32 © CNAM 2007-01/EBU
La sécurisation technique est insuffisante
• Parmi les entreprises ayant subi des attaques, près de 100% utilisaient un firewall !
• La technologie n’est pas suffisante !
Source : 2003 CSI/FBI Computer Crime and Security Survey
92829092Contrôle d’accès999098100Logiciels anti-virus69586462Chiffrement de fichiers73606150Système de détection d’intrusions98899578Firewalls
2003200220012000Technologie de sécurisation utilisée (%)
33 © CNAM 2007-01/EBU
Etude sécurité e-Commerce, banque en ligne
Greatest Threat to Online Banking (U.S)
81%
57% 59%48% 44% 41%
0%0%
10%20%30%40%50%60%70%80%90%
Identity theft Risk ofnetw ork,
transactionand account
intrusionattacks
Fraud Insuff icientencryption of
sensitivedata
Phishing Insuff icientdata security
policy andenforcement
Other
Threats Experienced in Last Year(U.S.)
32%
7% 7%
62%
0%
10%
20%
30%40%
50%
60%
70%
Phishing Identity theft Fraud None of theabove
Reaction to Security Breach (US)
28%
55%
32%
10%
30%
0%
10%
20%
30%
40%
50%
60%
Not takeimmediate actionand see how the
bank handles thiscrisis
Discontinuebanking activityuntil you were
assured the crisiswas resolved
Discontinue onlinebanking and use
telephone, ATM orbranch only
Close someaccounts and try
another bank
Close all accountsand eventually
move to anotherbank
Vision des utilisateurs
34 © CNAM 2007-01/EBU
Les risques sont souvent d’origine humaine
• Erreur de conception
• Erreur de réalisation
• Erreur d’exploitation– La négligence, l’inattention…
– Les fautes réelles (violation d’une procédure formalisée)
• Malveillance à caractère ludique
• Fraude, Vol
• Sabotage
35 © CNAM 2007-01/EBU
Echelle probabilité/faisabilité
Niveaux de probabilité Code de Probabilité
Extrêmement improbable PA
Extrêmement Rare PB
Rare PC
Probable PD
Fréquent PE
36 © CNAM 2007-01/EBU
Echelle impact
Niveau de gravité
Code de gravité
Description
Catastrophique 0A Risque de perte de vie humaine ou agression sur le personnel d’exploitation..Effets sur l’environnement à long terme.
Grave 0B Destruction importante de biens qui interrompent les activités sur une longue période.Effets sur l’environnement à court terme.
Majeur 1 Perte de mission.Endommagement d’un bien.
Mineur 2 Mission dégradée.
Négligeable 3 Sans effet sensible sur le déroulement de la mission.
37 © CNAM 2007-01/EBU
Estimation des risques
Gravité
Probabilitéd’occurrence
NonAcceptable
Acceptable
Catastrophique
Grave
Majeur
Mineur
Négligeable
Ext
rèm
em
ent
Impr
oba
ble
Ext
rèm
em
ent
Rar
e Rar
e
Pro
bab
le
Fré
que
nt
Mar
ge
Criticité
4
3
2
1
38 © CNAM 2007-01/EBU
Qu’est-ce que la sécurité
Confidentialité■ Divulgation
d’informations,■ Écoute réseau,■ Vol, …
Disponibilité■ Saturation réseau,■ Plantage de
serveurs,■ Plantage
d’applications, …
Intégrité■ Falsification
d’informations, de programmes,
■ Erreurs de traitement, …
Définition (dictionnaire)Confiance, absence d’inquiétude, sûreté, …
� Pas applicable à la Sécurité des Systèmes d’Information
39 © CNAM 2007-01/EBU
Confidentialité
• Caractère réservé d’une information dont l’accès est limitéaux seules personnes admise à la connaître dans le cadre de ses activités
• Déterminé par le propriétaire de l’information ou automatiquement, en fonction de règles
• Exemples– Un mot de passe ne doit jamais pouvoir être connu par un
autre que son possesseur– Un dossier médical ne doit pouvoir être consulté que par le
malade et le personnel médical habilité
• Atteintes à la confidentialité– Divulgation d’information– Vol d’information– Ecoute réseau– Social engineering– Phishing
40 © CNAM 2007-01/EBU
Intégrité
• Garantie que le système, l’information, la fonction ne sont modifiés que par une action volontaire et légitime
• Atteintes– Modification d’informations
– Erreurs de traitement
– Erreurs de saisie
– Modification de programme (rootkit)
41 © CNAM 2007-01/EBU
Disponibilité
• Aptitude du système à remplir une fonction dans des conditions définies d’horaires, de délais et de performances
• Souvent bien assuré dans les systèmes
• Atteintes– Coupure réseau, électrique
– Plantage serveur
– Déni de service (cf. attaque sur les serveurs DNS)
42 © CNAM 2007-01/EBU
Attaques en déni de service
43 © CNAM 2007-01/EBU
Authentification
• Propriété qui ajoute à l’identification la reconnaissance sûre de l’identité d’une entité
• Protège de l'usurpation d'identité
• Entités à authentifier
– une personne
– un programme qui s’exécute (processus)
– une machine dans un réseau
• Moyens d’authentification
– Ce que je suis
– Ce que je sais
– Ce que je possède
• Lié à la signature au sens habituel : le signataire est le seul à pouvoir « écrire » sa signature
44 © CNAM 2007-01/EBU
Non-répudiation, auditabilité
• Notion de preuve
• Non-répudiation
– Assurance que l’émetteur (origine) ou le destinataire (destination) ne peut nier avoir émis/reçu une information
– Implique intégrité
– Lié à la signature au sens habituel : engagement du signataire à faire/reconnaître quelque chose
– Accusé de réception
• Auditabilité
– Possibilité de pouvoir auditer les résultats fournis
• Signature
– Associe intégrité, authentification et non-répudiation d’origine
45 © CNAM 2007-01/EBU
Besoin d’en connaître
• Besoin d’en-connaître : nécessité pour une personne habilitée au bon niveau d’accéder à une information/fonction dans le cadre de ses attributions
• Avantage– Permet de cloisonner les informations/fonctions
sensibles
– Limiter la collecte d’informations
– Limiter l’impact d’une défection/divulgation/…
46 © CNAM 2007-01/EBU
Moindre privilège
• Moindre privilège : ne donner que les droits minimums pour réaliser une actions ou accéder àune information
• S’applique– Aux utilisateurs
– Aux administrateurs
– Aux programmes
– Aux systèmes
• Permet de limiter l’impact d’une compromission d’un objet
• Permet de limiter les utilisateurs ayant les droits administrateur
47 © CNAM 2007-01/EBU
Recherche d’un compromis
• La sécurité totale n’existe pas
• On cherche plutôt un niveau de sécuritéhomogène
Services disponibles Services requis
Facilité d’utilisation
Coût de la sécurité
ConfidentialitéDisponibilité
Coût de la perte
Contrôle d‘accès