Sécurité M & L

Introduction à la sécurité
Informatique
Dr Arnaud AHOUANDJINOU
Enseignant-Chercheur IFRI-UAC, Bénin
EC/ Membre associé ULCO, LISIC, France
Chef Projet TAKA
15/03/2017 Par Arnaud AHOUANDJINOU 1

Sommaire - Introduction
Introduction
Qu’est ce que la sécurité ?
Quoi protéger ?
Pourquoi ?
Contre qui ?
Qui croire ?
Comment protéger ?
La politique de sécurité.

Qu’est ce que la sécurité ?
La sécurité recouvre l'ensemble de techniques
informatiques permettant de réduire au maximum les
chances de fuites d'information, de modification de
données ou de détérioration des services.
Elle consiste à un très grand nombre de méthodes,
de technologies, d'architectures permettant
d'atteindre un certain niveau de protection.

Qu’est ce que la sécurité (2) ?
"Sécuriser" consiste à utiliser une ou plusieurs de ces
techniques dans le but d'élever le niveau de sécurité d'un
système ou d'une architecture.
La menace représente le type d'action susceptible de nuire dans l'absolu

La vulnérabilité représente le niveau d'exposition face à la menace dans un
contexte particulier.
Enfin la contre-mesure est l'ensemble des actions mises en œuvre en prévention
de la menace.
Quoi protéger ?
L’« Information » au sens large.
Voix et Vidéo
Informations Sécurité des

Non systèmes d’information
numérisées Quelle que soit la forme
prise par l’information ou
Sécurité des
Archives Réseaux et échanges quels que soient les
Sécurité des
systèmes moyens par lesquels elle
est transmise ou stockée,
il faut qu’elle soit
Sécurité juridique Sécurité des toujours protégée de
développements manière appropriée.
LA SECURITE DE L’INFORMATION

Quoi protéger (2) ?
Le triptyque DIC :
Disponibilité.
Garantir que les utilisateurs habilités ont accès à l’information et aux
ressources associées au moment voulu (pas d’accès non autorisé)
Intégrité.
Sauvegarder l’exactitude et la fidélité de l’information et des méthodes de
traitement des données (pas de modification non autorisée).
Confidentialité
Garantir que seules les personnes habilitées peuvent accéder à
l’information (pas de divulgation non autorisée).

Quoi protéger (3) ?
Les actifs.
Les actifs sont caractérisés par leur type
et surtout par leur valeur
Actifs d’informations Actifs physiques
Fichiers de données, bases de données Serveurs informatiques, PC, portables,

Procédures et manuels utilisateurs, Matériels réseaux, PABX, unités de
archives. climatisation.
Actifs applicatifs Actifs liés à la fourniture de

services
Progiciels, logiciels spécifiques,
Systèmes d’exploitation, outils de Services généraux (alimentation
développement, utilitaires. Électrique, climatisation, etc…)…

Pourquoi protéger ?
L’information est une ressource stratégique, une matière première, elle
est un atout pour celui qui la possède et donc attise souvent les
convoitises
Les S.I. facilitent l’accès à l’information
Ils gèrent de grandes quantités d’information et peuvent la rende accessible depuis
n’importe quel point du globe
La destruction d’un S.I. peut permettre d’anéantir une entité de manière
anonyme et sans faire un seul mort
La loi, la réglementation et l’éthique seront toujours en retard sur la
technique
Les individus se comportent rarement comme on l’attend
Le comportement d’un individu confronté à des situations inhabituelles et critiques
est imprévisible

Pourquoi protéger?
Les conséquence à retenir
Vol d’informations et du savoir faire
Dans un contexte de haute technologie notamment
Atteinte à l’image de marque
NASA, e-bay, Wanadoo, RSA, …
Indisponibilité du service
e-business, …
Perte de temps et de moyen humains
Remise en service, recherche des dégradations
Tache TRES difficile, peut nécessiter des moyens énormes
Pertes financières !
Modification des montants de facture …
Perte d’exploitation
Erreurs de traitement
Contre qui ?
Les menaces
Les différents types de pirates
Les différentes arnaques et attaques
Les accidents et inconsciences

La menace - Définitions
« Violation potentielle de la sécurité » - ISO-7498-2
Menace accidentelle
Menace d’un dommage non intentionnel envers le SI
Catastrophe naturelle, erreur d’exploitation, pannes
Menace intentionnelle ou délibérée
Par opposition à la précédente, elle est le fait d’un acte délibéré
Menace active
Menace de modification non autorisée et délibérée de l’état du système
Dommage ou altération du SI
Menace Passive
Menace de divulgation non autorisée des informations, sans que l’état du SI soit modifié
Écoutes, lecture de fichiers, …
Menace Physique
Menace l’existence ou l’état physique du SI
Sabotage, incendie volontaire, vol, …

Catégories de menaces
intentionnelles
L’espionnage
Obtention d’informations
Le vol
Obtention d’informations ou de ressources
La perturbation
Affaiblir le S.I.
Le sabotage
Mise hors service du S.I.
Le chantage
Gain financier, menace de sabotage, …
La fraude physique (récupération de bandes, listings, …)
Les accès illégitimes (usurpation d’identité)

Origines / Attaquants (1)
Accidents
Type de menace
Menaces accidentelles (cf. définition)
Type d’attaquants
La nature !
Incendies, Foudre, Inondations, etc…
Les fournisseurs
EDF, Fournisseurs de connectivité, Fournisseurs de matériels et de logiciels, …
Agresseurs internes (La majorité des cas)
Inconsciences et accidents (A ne pas négliger !)
Provoqués par l’inattention ou le manque de formation des administrateurs ou
des utilisateurs
Hors du cadre de cette présentation
Accidents
Type de menace
Menaces accidentelles (cf. définition)
Type d’attaquants
La nature !
Incendies, Foudre, Inondations, etc…
Les fournisseurs
EDF, Fournisseurs de connectivité, Fournisseurs de matériels et de logiciels, …
Agresseurs internes (La majorité des cas)
Inconsciences et accidents (A ne pas négliger !)
Provoqués par l’inattention ou le manque de formation des administrateurs ou
des utilisateurs
Hors du cadre de cette présentation
Menaces à caractère stratégiques
Type de menace
Menace intentionnelle active, passive et physique
Pour un état
Le secret défense et la sûreté de l’état
Le patrimoine scientifique, technique, économique, diplomatique
La disponibilité des SI et le fonctionnement des institutions
Pour l’entreprise
Informations concernant ses objectifs et son fonctionnement
Les clients, procédés de fabrication, recherche et développement
Catégories de menace
Espionnage, vol, perturbation, sabotage, fraude physique, accès illégitimes …
Type d’attaquants
Espions
Particuliers (rare), Entreprises, Gouvernements
Terroristes
Menace à caractère idéologique
Type de menace
Le combat pour les idées est incessant et peut être le moteur d’actes les plus
extrêmes
Idéologie politique, raciale, religieuse, économique, …
Catégorie de menace
Espionnage, vol, perturbation, sabotage, chantage, fraude physique, accès
illégitimes, …
Type d’attaquants
Militants
Vandales
Terroristes

Menace à caractère terroriste
Type de menace
Actions concourant à déstabiliser l’ordre établi
A caractère violant : destruction
A caractère insidieux : désinformation, détournements
Espionnage, vol, perturbation, sabotage, chantage, fraude physique,
accès illégitimes, …
Type d’attaquants
Terroristes

Menace à caractère cupide
Type de menace
Gain pour l’attaquant
Financier, technologique, …
Pertes pour la victime
Entraînant un gain pour l’agresseur : parts de marché, déstabilisation du concurrent, …
Espionnage, vol, perturbation, sabotage, chantage, fraude physique, accès
illégitimes, …
Type d’attaquant
Espions (concurrent ou pour le compte de)
Crime Organisé
Intervenants
Ont souvent accès à des informations sensibles, et conservent souvent des fichiers de
configuration, …
Menace à caractère ludique
Type de menace
Menace intentionnelle active
Désir de s’amuser ou d’apprendre
C’est la prouesse technique qui est mise en avant
Vol, perturbation, sabotage, accès illégitimes, …
Type d’attaquant
« Joyriders »
Vandales
Collectionneurs

Menace à caractère vengeur
Type de menace
Également un moteur d’actes extrêmes
Souvent l’expression d’un employé brimé ou licencié qui peut possédé une très bonne connaissance
du SI
Vol, perturbation, sabotage, accès illégitimes, …
Type d’attaquant
Personnes extérieures en désaccord avec l’entité
Peur être un client, un fournisseur, un intervenant, …
Les employés malveillants ou aigris
Ont souvent une bonne connaissance de l’entreprise
Utilisateurs dépassant leurs prérogatives
Administrateurs, informaticiens, …
Origines / Attaquants (Conclusion)
Conclusion
Liste non exhaustive
La menace peut être composite
Plusieurs motivations (origines)
Cupide + Ludique, Idéologique + Terroriste, …
Plusieurs profils de pirate
Employé malveillant + Espion, …
Les Hackers et Crackers monopolisent l’attention mais ne sont
en réalité qu’une composante de la problématique de sécurité !

Contre qui ? - Critères
Comment caractériser les agresseurs ?
Leurs compétences techniques
Le temps qu'ils sont prêts à passer pour réussir
Leurs motivations
Leurs moyens
Leurs connaissances préalables de la cible

Niveaux de gravité et niveaux de probabilité
Gravité
Criticité
Catastrophique
Non 4
Acceptable
3
Grave
2
Majeur
1
Mineur
Négligeable Acceptable
Probabilité
d’occurrence
Rare
Probable
Fréquent
Extrèmement
Extrèmement
Improbable
Rare
23
Classement
Compétence Temps Motivation
Un hacker / étudiant externe pour le plaisir Forte Fort Moyenne

Un concurrent Forte Faible Forte
Un escroc (enjeu financier) Moyenne Moyen Moyenne
Un opportuniste Faible Faible Faible
Un membre de société de service Forte Faible Faible
Un ancien membre du personnel Moyenne Faible Moyenne
Un membre du personnel Moyenne Faible Faible
Un stagiaire Forte Moyen Faible
24
Démarche basique (Cracker)
Collecter les
1 Outils (logiciels)
Attaquer la
2 victime
3 Se vanter

Collecter les
Identifier la
1 Outils et se
cible
documenter
Collecter des
2 informations 4
Attaquer
3,5 la victime

Maîtrise des Identifier la
concepts et outils cible
Collecter des Développer

2 informations les outils 4
Attaquer
3,5 la victime

Attaques
Attaque != Vulnérabilité
Attaque
Action de malveillance consistant à tenter de contourner les fonctions
de sécurité d’un SI (ISO)
Vulnérabilité
Faiblesse ou faille dans les procédures de sécurité, les contrôles
administratifs, les contrôles internes d’un système, qui pourrait être
exploitée pour obtenir un accès non autorisé au SI, à un de ses
services, à des informations ou à la connaissance de leur existence et
de permettre de porter atteinte à la confidentialité, à l’intégrité et à la
disponibilité du SI et de ses informations

Vulnérabilités
Dans la conception
Matériel
Protocole
Architecture (Système, Réseau, …)
Logiciel (OS, application, …)
Dans l’implémentation
Matériel
Protocole
Architecture (Système, réseau …)
Configuration, exploitation
Équipement (Routeurs, Firewalls, Serveur, …)
Attaques
Intrusions
Vandalisme
Denis de service (DOS)
Vol d’informations
Escroqueries

Attaques (1)
Intrusions
Recherche de mots de passe
Dictionnaire
Écoute du réseau
« Brute force »
Le « Spoofing »
Les sniffers et scanners
Les exploits

Attaques (2)
• Vandalisme
• Destruction de fichiers
• Destruction de systèmes
• Défiguration de site Web
32
Attaques (3)
• Denis de service (DOS)
• Bombes logiques (virus)
• Le « flood »
• TCP-SYN Flooding
• Le « Nuke »
• Le « spamming »
• Denis de service distribué (DDOS)
• Amplification des DOS
33
Attaques (4)
• Vol d’information
• Suite à une intrusion
• Interception
• Écoute
• Cryptanalyse
34
Menaces
(failles de sécurité, Attaques et vulnérabilités)
Introduction
Les différents types de vulnérabilités
Virus, vers, chevaux de Troie et autres
Vulnérabilités applicatives
Vulnérabilités des réseaux
Espionnage

Protections
Formation des utilisateurs

Poste de travail
Antivirus
Authentification et cryptage
Pare-feu (firewall) : translation, filtrage et proxies
Détection d’intrusion
Communications et applications sécurisées
VPNs

Protections
2008/2009
Gestion de la sécurité
Définition d’une politique de sécurité.

Normes et standards de sécurité
L’audit.

illustration d’un Systèmes d’information

FIN! Questions

Sécurité M & L

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Sécurité M & L

Uploaded by

Copyright:

Available Formats

Introduction à la sécurité

15/03/2017 Par Arnaud AHOUANDJINOU 1

15/03/2017 Par Arnaud AHOUANDJINOU 2

15/03/2017 Par Arnaud AHOUANDJINOU 3

La menace représente le type d'action susceptible de nuire dans l'absolu

Informations Sécurité des

15/03/2017 Par Arnaud AHOUANDJINOU 5

15/03/2017 Par Arnaud AHOUANDJINOU 6

Actifs d’informations Actifs physiques

Fichiers de données, bases de données Serveurs informatiques, PC, portables,

Actifs applicatifs Actifs liés à la fourniture de

15/03/2017 Par Arnaud AHOUANDJINOU 7

15/03/2017 Par Arnaud AHOUANDJINOU 8

15/03/2017 Par Arnaud AHOUANDJINOU 10

15/03/2017 Par Arnaud AHOUANDJINOU 11

15/03/2017 Par Arnaud AHOUANDJINOU 12

15/03/2017 Par Arnaud AHOUANDJINOU 16

15/03/2017 Par Arnaud AHOUANDJINOU 17

15/03/2017 Par Arnaud AHOUANDJINOU 19

15/03/2017 Par Arnaud AHOUANDJINOU 21

15/03/2017 Par Arnaud AHOUANDJINOU 22

Un hacker / étudiant externe pour le plaisir Forte Fort Moyenne

Un stagiaire Forte Moyen Faible

15/03/2017 Par Arnaud AHOUANDJINOU 25

15/03/2017 Par Arnaud AHOUANDJINOU 26

Collecter des Développer

15/03/2017 Par Arnaud AHOUANDJINOU 27

15/03/2017 Par Arnaud AHOUANDJINOU 28

15/03/2017 Par Arnaud AHOUANDJINOU 30

15/03/2017 Par Arnaud AHOUANDJINOU 31

15/03/2017 Par Arnaud AHOUANDJINOU 35

Formation des utilisateurs

15/03/2017 Par Arnaud AHOUANDJINOU 36

Définition d’une politique de sécurité.

15/03/2017 Par Arnaud AHOUANDJINOU 38

15/03/2017 Par Arnaud AHOUANDJINOU 39

15/03/2017 Par Arnaud AHOUANDJINOU 40

You might also like