Introduction à la sécurité informatique Objectif du cours. Connaître les différentes approches de la sécurité. Connaître les principes de base pour sécuriser les systèmes informatiques. Savoir expliquer en détail : le RAID, les sauvegardes, le principe de redondance. 1- Les différentes approches de la sécurité. Ce qu'il faut protéger. - - Disponibilité : s'assurer que les différentes ressources (données, logiciels et ordinateurs, réseaux internes et externes) restent disponibles pour pouvoir travailler avec. Intégrité : s'assurer que les informations ne subissent aucune altération (malveillante ou accidentelle), pendant leur stockage et pendant leur transmission. Confidentialité : s'assurer que les tiers non autorisées ne puissent pas consulter les informations qui ne les concernent pas. La sécurité informatique a également pour but d'assurer la non-répudiation (permet d'empêcher à une personne de nier le fait qu'elle a effectué une opération telle que l'envoi d'un message, la passation d'une commande, etc.). Extrait de l'étude de cas Métropole 2002 - Option DA (JMS) Question 1.3 Dire quels éléments sont nécessaires pour assurer la sécurité des moyens informatiques mis en œuvre dans ce réseau local. Correction officielle : La sécurité des moyens informatiques répond à trois problématiques : Disponibilité : La sécurité de fonctionnement du serveur est assurée par un onduleur qui le protège des coupures d’alimentation. Le choix dépend de la puissance et de la technologie (on line ou off line). En outre le serveur peut être équipé d’un système de disque en miroir. Une sauvegarde journalière des données du serveur sera mise en place et nécessite l’achat d’un lecteur de disque amovible d’une capacité adaptée au serveur. Intégrité : La présence d’un antivirus sur chaque station du réseau permet de lutter contre les dégradations logicielles, il faut que la version de l’antivirus soit à jour. Confidentialité : Les utilisateurs seront identifiés par un nom et un mot de passe. Des droits sont associés à chaque utilisateur sur les ressources. On devra trouver des éléments de sécurité logique (2,5 points) et de sécurité physique (2,5 points) Les différents types de moyens à mettre en œuvre pour assurer la sécurité. Moyens logiciels : logiciels anti-virus, firewalls logiciels, RAID logiciel (c'est à dire géré par le système d'exploitation) etc. Moyens matériels : périphériques de sauvegardes, RAID matériel (c'est à dire géré par un contrôleur) redondance (détail ci-dessous), onduleurs, firewalls matériels, etc. Moyens logiques : authentification, cryptage, procédures de rappel automatique, etc. Extrait de l'étude de cas Métropole 2003 - Option ARLE (Cas Ludo) Question 1.1 Citer les dispositifs matériels permettant de sécuriser les nouveaux serveurs afin qu’ils répondent à l’exigence de continuité du service rendu qui est exprimée dans le cahier des charges. Extrait de l'étude de cas Nouméa 2003 - Option DA (cas Anabio) Question 4.1 Proposer une liste des différents matériels et des différents logiciels qui vous semblent nécessaires pour répondre à ce souci de sécurité relatif à la mise en place d’un intranet et d’un accès à Internet. Expliquer la fonction de chacun des composants. La réponse n'excédera pas dix lignes. Les risques (classification d'après CLUSIF). Accidents : pannes, catastrophes naturelles, incendies, etc. Malveillances : piratage, vol, etc. Erreurs humaines : erreurs d'utilisation des logiciels, erreurs de conception des logiciels (bogues). 2 - Les mots de passe. Cf. document La sécurité commence par un bon mot de passe Les mots de passe forts sont une condition préalable à une bonne sécurité. Malheureusement, il est fréquent de trouver des mots de passe : faibles, par défaut, écrits sous le clavier ou sur l'écran, etc. Un mot de passe fort est long, et constitué de caractères variés : lettres en minuscule, en majuscule, chiffres, caractères spéciaux (par exemple : þ que j'obtiens avec Alt231). Il est important d'avoir une bonne politique de sécurité : o sensibiliser le personnel à l'importance du mot de passe : sa complexité et sa confidentialité. o paramétrer le serveur pour qu'il n'accepte pas les mots de passe faibles o utiliser des outils de crackage de mots de passe (par exemple : John the ripper pour Unix, LCP5 ou SAMInside pour Windows, etc.) pour déceler, dans son réseau, les mots de passe faibles. o certains recommandent de changer de mot de passe régulièrement. o certains recommandent d'utiliser des mots de passe différents pour chaque authentification. 3 - Les différentes catégories de logiciels malveillants. Le terme malware (en français : maliciel) désigne l'ensemble des logiciels malveillants, créés pour nuire aux systèmes informatiques ou aux utilisateurs. On les classe en différentes catégories selon : o leur mode de propagation, o leur mode de déclenchement, o les dégâts occasionnés, ou autres conséquences (la "charge utile"). Les différentes catégories de logiciels malveillants sont : o les vers (worm) et les virus : ils sont capables de s'auto-répliquer. Ils peuvent se modifier pendant la réplication, pour essayer de contourner les protections antivirus (on parle alors de virus polymorphe). Le vers est indépendant et se propage par les réseaux, alors que le virus dépend d'un hôte (exécutable, document, etc.). o les chevaux de Troie (ou Trojan Horse) : c'est un logiciel malveillant caché dans un logiciel d'apparence inoffensive (jeu ou utilitaire). Ils sont différents des virus dans la mesure où ils n'ont pas de fonction d'auto-réplication. o Les portes dérobées (ou backdoors) : un cas particulier de cheval de Troie. Le logiciel malveillant permet au pirate de prendre le contrôle de l'ordinateur à distance. o Les logiciels espions (ou spyware) : un cas particulier de cheval de Troie. Le logiciel malveillant va envoyer au pirate des informations confidentielles trouvée sur l'ordinateur infecté (mots de passe, historique de navigation, etc.) o Les composeurs (ou dialers) : c'est un logiciel malveillant qui, si l'ordinateur est connecté au réseau téléphonique grâce à un modem RTC, va composer automatiquement des numéros de téléphone surtaxés. o Les publiciels (ou adware) : c'est un logiciel malveillant qui va régulièrement ouvrir des fenêtres de publicité sur l'ordinateur infecté. o Les canulars (ou hoax) : se sont des courriers électroniques sans conséquences techniques, répandant des informations erronées. Leur seule conséquence est de saturer les serveurs de messages inutiles. 4 - Les attaques provenant d'Internet. Avec la généralisation des connexions à Internet et de son utilisation, on voit apparaître de nouveaux problèmes : o Les spams : Qu'est-ce que c'est ? Des courriers publicitaires non sollicités, ne respectant pas les lois sur la protection de la vie privée (loi Informatique et Liberté). Comment s'en protéger : en installant un logiciel anti-spam, en activant le filtrage spam chez son fournisseur d'adresse électronique, en activant le filtre antispam sur son logiciel de messagerie, etc. o Les virus envoyés par mail : Qu'est-ce que c'est ? Des courriers contenant une pièce jointe, qu'on vous incite à ouvrir. La pièce jointe contient un virus, ou un keylogger, etc. Comment s'en protéger ? En installant un logiciel antivirus, ou en activant le filtre antivirus du logiciel de messagerie. o Le phishing : Qu'est-ce que c'est ? Des courriers se faisant passer pour une banque, ou pour PayPal. Ils vous redirigent vers un site frauduleux, semblable à celui de la banque. Le but est de vous extorquer vos identifiants bancaires, pour détourner votre argent. Comment s'en protéger ? En activant le filtre antiphishing des navigateurs, en étant vigilant (vérifier que le site de destination ait la bonne URL, soit crypté par SSL et ait un certificat valide). o Le DOS (Deny Of Service) et DDOS (Distributed Deny Of Service) o Les attaques sur les ports ouverts : Qu'est-ce que c'est ? Comme vous partagez certains services dans votre réseau local (imprimante, partage de fichiers), vous les partagez également sur Internet. Comment s'en protéger ? En se mettant derrière un routeur, ou en installant un firewall. (montrer le firewall de Windows). Extrait de l'étude de cas de secours Métropole 2005 - Option DA (cas Media35) Le routeur ADSL met en œuvre le mécanisme de translation d’adresse réseau (NAT - Network Address Translation). Travail à faire 3.3 Expliquer en quoi ce mécanisme est utile pour la sécurité de l’entreprise. 5 - Le social engineering. Un mode d'attaque original car non technique, mais toutefois très efficace : il consiste à sous-tirer des informations ou à altérer le fonctionnement d'un système informatique, directement auprès d'une personne, en essayant de gagner la confiance de cette personne, ou en abusant de sa crédulité. Le phishing est considéré comme faisant parti du Social Engineering. 6 - Principe de redondance, un élément de sécurité essentiel. Airbus A380 : "Tous les calculs qui entrent en œuvre dans le fonctionnement de l'appareil possèdent un niveau de redondance qui dépend de leur importance et de la tolérance de défaillance admise. L'Agence Européenne de la Sécurité Aérienne a défini un niveau de sûreté des équipements draconiens. Le risque que la panne d'un seul instrument de l'avion puisse conduire à une catastrophe majeure doit être inférieur à 10-9 ! Les systèmes sont dits "redondants et dissimilaires", ce qui signifie qu'ils fonctionnent de la même manière, mais sont conçus différemment. Ceci pour éviter que le système redondant soit affecté par le même dysfonctionnement que celui qu'il doit remplacer (d'après l'Ordinateur Individuel, décembre 2009). Redondance des alimentations. Redondance des disques (RAID, Redundant Array of Inexpensive Disks). Redondance des serveurs d'authentification. Redondance des serveurs d'application : o clustering de serveurs. o serveurs en mirroring. o serveur spare (de secours). Redondance des connexions LAN et WAN. Redondance des salles de travail. Exemple : incendie dans la salle des marchés du Crédit Lyonnais, en 1997. 7 - D'autres pistes de réflexion. Comment sécuriser un serveur ? RAID. Onduleur. Alimentation redondante. Et, pour aller plus loin : o garantie et contrats de maintenance, o mises à jour régulières, o redondance des serveurs. Extrait de l'étude de cas Nouvelle-Calédonie 1999 - Option ARLE (BATIMETAL) [...] La solution matérielle retenue doit être totalement sécurisée (fonctionnement 24 h sur 24) [...] Deux fournisseurs ont pour l’instant renvoyé leur proposition, dont un extrait est fourni en annexe 4. Question 4.2 Citer les éléments indispensables pour assurer un fonctionnement sécurisé du serveur à installer. Extrait de l'étude de cas Nouvelle-Calédonie 2005 - Option ARLE (Polymousse) Après la mise en œuvre du plan d’adressage global au sein du groupe, il s’avère nécessaire de mettre en place un service privé de résolution de nom DNS. L’architecture DNS présentée en annexe 2, doit permettre de nommer les différents serveurs du groupe qui sont répartis sur l’ensemble des Divisions. [...] TRAVAIL À FAIRE [...] 1.3. Proposer une solution permettant d’améliorer la tolérance aux pannes du service DNS d’une division. Comment sécuriser les accès aux comptes ? politique de mots de passe : o sensibilisation des utilisateurs ; o paramétrage d’Active Directory. procédures de rappels automatiques ; audit des tentatives d'intrusion. Comment rendre les données sur un poste confidentielles ? limiter l'accès physique et logique au poste ; utiliser un SGF (système de gestion de fichiers) sécurisé ; éviter les partages ou les sécuriser avec un Firewall/des droits d'accès ; ne pas oublier de clés ; se déloguer. Comment se protéger contre les incendies ? équipement matériels : alarmes incendies, extincteurs, armoires ignifuges, portes coupe-feu ; installation électrique aux normes ; serveurs ignifuges (photo ci-contre). Comment se protéger contre le vol physique ? Protéger les accès aux locaux de l'entreprise : o alarmes, o télésurveillance, o salles verrouillées. mot de passe au BIOS, ordinateurs cadenassés. Comment assurer la confidentialité des échanges ? ne pas utiliser Internet (dit "réseau public") mais des réseaux privés, utiliser des réseaux privés virtuels (VPN, Virtual Private Network), qui sont cryptés grâce au protocole SSL. Comment développer une application exempte de bugs ? utiliser des méthodes de développement (Merise, RAD, etc.), écrire un code lisible et facilement maintenable, découper l'application en modules autonomes. 8 - Pour aller plus loin. cours sur le RAID. cours sur la sauvegarde. Page d'accueil de la sécurité, du CRU.