Universite de Politehnique Bucharest 2011

PROJET Fiabilité et contrôle de la qualité

Étudiante : Andra CODREANU Groupe: 1230F

Prof. Coordonnateur: Ioan BACIVAROV

1. Enjeux de la sécurité des systèmes d'information

2. Introduction à la sécurité informatique 2.1 Objectifs de la sécurité informatique. 2.2 Nécessite d’une approche globale 2.3 Le processus de sécurité 3. Sécurité - Définition des besoins 3.1 Identification des besoins 3.2 Analyse des risques 3.3 La politique de sécurité 3.3.1 Mise en place d’une politique de sécurité 4. Mesure des risques 4.1 Risques humains 4.2 Risques techniques 4.3 Risques juridiques 4.4 Liste des risques 5. Les Tests d’intrusion 5.1 Notion d’Audit 5.2 Phase de détection des incidents 6. Sécurité - Réaction aux incidents 7. La sécurité des systèmes informatiques 8. Conclusions et perspectives 9. Bibliographie
1. Annexe1 2. Annexe2

2

négligences et malveillances en particulier avec l'ouverture sur internet. par exemple. Ils comprennent les données de télécommunications (voix analogique. ou de la révéler à des tiers qui ne doivent pas en avoir connaissance (on parle de « confidentialité de l'information »). l'accès rapide aux informations. 3 . stocker. D'autres dommages substantiels. erreurs. les partages de données et l'interactivité ont augmenté de façon considérable — mais c'est également le cas des pannes — indisponibilités. ou bien par exemple de porter atteinte à sa disponibilité (on parle alors de « disponibilité du système »). acheminer ou présenter de l'information. traiter. comme ceux liés au vol de numéros de cartes de crédit.1. celui-ci n'a pas appliqué un correctif dans des délais raisonnables. à l'électricité et destiné à élaborer. Ces personnes peuvent aussi profiter de ces vulnérabilités pour diffuser de fausses informations sur son propriétaire (on parle alors de désinformation). susceptibles d'altérer ou de détruire l'information (on parle d'« intégrité de l'information »). certaines menaces peuvent nuire à l'image même du propriétaire du système d'information. Indirectement aussi. Les systèmes d'information s'appuient en règle générale sur des systèmes informatiques pour leur mise en œuvre. Depuis les années 1970. Enjeux de d'information la sécurité des systèmes Le terme « système informatique » désigne ici tout système dont le fonctionnement fait appel. incidents. et peuvent pour cette raison être sanctionnés lorsqu'une négligence de l'hébergeur est établie : si. la rapidité et l'efficacité des traitements. des sommes de l'ordre de plusieurs milliards de dollars US ont été avancées suite à des dommages causés par des programmes malveillants comme le ver Code Red. Certaines de ces menaces peuvent aussi. ont été déterminés plus précisément. Outre les aspects financiers. De tels systèmes se prêtent à des menaces de types divers. d'une façon ou d'une autre. voix sur IP…) et dans certains cas. bien qu'il soit relativement difficile de les estimer. causer d'importants dommages financiers. Par exemple. indirectement. des bris de sécurité informatique peuvent causer du tort à la vie privée d'une personne en diffusant des informations confidentielles sur elle (entre autres ses coordonnées postales ou bancaires). Des techniques répandues de « defacing » (une refonte d'un site web) permettent à une personne mal intentionnée de mettre en évidence des failles de sécurité sur un serveur web. les données sur papier.

consistant à assurer que seules les personnes autorisées aient accès aux ressources échangées. les personnels sont amenés à « transporter » une partie du système d'information hors de l'infrastructure sécurisé de l'entreprise. c'est-à-dire garantir que les données sont bien celles que l'on croit être.1 Objectifs de la sécurité informatique Afin de pouvoir sécuriser un système. Cela signifie que la sécurité doit être abordée dans un contexte global et notamment prendre en compte les aspects suivants : 4 . La sécurité informatique vise généralement cinq principaux objectifs: . Introduction à la sécurité informatique Avec le développement de l'utilisation d'internet. Par ailleurs. 2.L'authentification.2 Nécessite d’une approche globale La sécurité d'un système informatique fait souvent l'objet de métaphores. . . avec le nomadisme.La non répudiation. il est donc essentiel de connaître les ressources de l'entreprise à protéger et de maîtriser le contrôle d'accès et les droits des utilisateurs du système d'information. de plus en plus d'entreprises ouvrent leur système d'information à leurs partenaires ou leurs fournisseurs.La disponibilité. . il est nécessaire d'identifier les menaces potentielles. permettant de garantir qu'une transaction ne peut être niée . En effet. Il en va de même lors de l'ouverture de l'accès de l'entreprise sur internet. on la compare régulièrement à une chaîne en expliquant que le niveau de sécurité d'un système est caractérisé par le niveau de sécurité du maillon le plus faible.La confidentialité. consistant à assurer que seules les personnes autorisées aient accès aux ressources. consistant à permettre aux personnels de se connecter au système d'information à partir de n'importe quel endroit. 2. . et donc de connaître et de prévoir la façon de procéder de l'ennemi. permettant de maintenir le bon fonctionnement du système d'information .2. une porte blindée est inutile dans un bâtiment si les fenêtres sont ouvertes sur la rue. Ainsi.L'intégrité.

La phase de définition comporte ainsi trois étapes :   L'identification des besoins L'analyse des risques 5 . serveurs de l'entreprise. La sécurité physique. 2.  Afin d'élaborer une politique de sécurité cohérente. puis d'étudier les différents risques et la menace qu'ils représentent afin de mettre en oeuvre une politique de sécurité adaptée. postes de travail des personnels. La sécurité des télécommunications : technologies réseau. notamment les données de l'entreprise. L'objectif consiste à déterminer les besoins de l'organisation en faisant un véritable état des lieux du système d'information.3 Le processus de sécurité Le processus de sécurité doit être intégré de façon dynamique :  Le contrôle de risque permet d'énumérer les vulnérabilités présentes. lieux ouverts au public.Définition des besoins Phase de définition La phase de définition des besoins en terme de sécurité est la première étape vers la mise en oeuvre d'une politique de sécurité. réseaux d'accès. etc. Sécurité . etc.  Puis l'analyse des risques consiste à évaluer la criticité d'une menace en fonction de sa probabilité et son impact.    La sensibilisation des utilisateurs aux problèmes de sécurité La sécurité logique. espaces communs de l'entreprise. les applications ou encore les systèmes d'exploitation. 3. c'est-à-dire la sécurité au niveau des données.  Une implémentation d'architecture sécurisée pourra alors être organisée. associées à des degrés de gravité. soit la sécurité au niveau des infrastructures matérielles : salles sécurisées.il faut émettre toutes les préconisations nécessaires à la sécurisation de l'infrastructure.

Moyenne : la menace est réelle . La meilleure approche pour analyser l'impact d'une menace consiste à estimer le coût des dommages qu'elle causerait (par exemple attaque sur un serveur ou détérioration de données vitales pour l'entreprise). Ce 6 . Matériels. Il existe de nombreux risques en sécurité du système d'information. commutateurs. etc. Infrastructure de communication (routeurs. Sur cette base. aussi appelé « cyber-criminalité ». 3. Faible : la menace a peu de chance de se produire .1 Identification des besoins La phase d'identification des besoins consiste dans un premier temps à faire l'inventaire du système d'information. La définition de la politique de sécurité 3. topologie physique. Haute : la menace a de grandes chances de se produire. etc. Liste des noms de domaine de l'entreprise . serveurs et les services qu'ils délivrent . Le terme criminalité informatique. définit à mauvais titre les différentes attaques contre les systèmes informatiques. il peut être intéressant de dresser un tableau des risques et de leur potentialité. qui évoluent d'année en année. d'estimer leur probabilité et enfin d'étudier leur impact. la plupart des attaques pouvant être classifiées comme des délits. c'est-à-dire leur probabilité de se produire. en leur affectant des niveaux échelonné selon un barème à définir. notamment pour les éléments suivants :       Personnes et fonctions .2 Analyse des risques L'étape d'analyse des risques consiste à répertorier les différents risques encourus. et non des crimes.) Données sensibles. topologie logique. par exemple :     Sans objet (ou improbable) : la menace n'a pas lieu d'être . Cartographie du réseau (plan d'adressage.) .

il ne revient pas aux seuls administrateurs informatiques de définir les droits d'accès des utilisateurs mais aux responsables hiérarchiques de ces derniers. mais elle doit aller au-delà et notamment couvrir les champs suivants :      Un dispositif de sécurité physique et logique. De plus.terme est souvent employé comme FUD. les clauses concernant le personnel doivent leur être communiquées. La politique de sécurité est donc l'ensemble des orientations suivies par une organisation (à prendre au sens large) en terme de sécurité. Un tel document doit nécessairement être conduit comme un véritable projet associant des représentants des utilisateurs et conduit au plus haut niveau de la hiérarchie. Une procédure de management des mises à jour . A cet égard. généralement par les même personnes qui considèrent les hackers comme des terroristes. afin qu'il soit accepté par tous. grâce à des actions de formation et de sensibilisation auprès des utilisateurs. éventuellement de conseiller les décideurs sur les stratégies à mettre en oeuvre. 3. Lorsque la rédaction de la politique de sécurité est terminée. La sécurité informatique de l'entreprise repose sur une bonne connaissance des règles par les employés. de procédures et de bonnes pratiques permettant d'assurer un niveau de sécurité conforme aux besoins de l'organisation. car elle concerne tous les utilisateurs du système. 7 . Un système documenté à jour . ainsi que d'être le point d'entrée concernant la communication à destination des utilisateurs sur les problèmes et recommandations en terme de sécurité. afin de donner à la politique de sécurité le maximum d'impact. A ce titre elle se doit d'être élaborée au niveau de la direction de l'organisation concernée.3 La politique de sécurité La politique de sécurité est le document de référence définissant les objectifs poursuivis en matière de sécurité et les moyens mis en oeuvre pour les assurer. Un plan de reprise après incident . il lui revient de faire remonter les informations concernant la sécurité à sa direction. étant donné qu'il est le seul à connaître parfaitement le système. La politique de sécurité définit un certain nombre de règles. Le rôle de l'administrateur informatique est donc de s'assurer que les ressources informatiques et les droits d'accès à celles-ci sont en cohérence avec la politique de sécurité définie par l'organisation. Une stratégie de sauvegarde correctement planifiée . adapté aux besoins de l'entreprise et aux usages des utilisateurs .

html La norme ISO 17799. Voici une liste non exhaustive des principales méthodes :  MARION (Méthodologie d'Analyse de Risques Informatiques Orientée par Niveaux). Surveiller et détecter les vulnérabilités du système d'information et se tenir informé des failles sur les applications et matériels utilisés . http://www.ssi. la sécurité informatique doit être étudiée de telle manière à ne pas empêcher les utilisateurs de développer les usages qui leur sont nécessaires. C'est la raison pour laquelle il est nécessaire de définir dans un premier temps une politique de sécurité. Définir les actions à entreprendre et les personnes à contacter en cas de détection d'une menace . dont la mise en oeuvre se fait selon les quatre étapes suivantes :     Identifier les besoins en terme de sécurité.fr/fr/production/mehari/ EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité). Ainsi.clusif.fr/fr/confiance/ebios.fr/fr/production/mehari/ MEHARI (MEthode Harmonisée d'Analyse de RIsques) .1 Mise en place d’une politique de sécurité La sécurité des systèmes informatiques se cantonne généralement à garantir les droits d'accès aux données et ressources d'un système en mettant en place des mécanismes d'authentification et de contrôle permettant d'assurer que les utilisateurs des dites ressources possèdent uniquement les droits qui leur ont été octroyés.gouv. Les mécanismes de sécurité mis en place peuvent néanmoins provoquer une gêne au niveau des utilisateurs et les consignes et règles deviennent de plus en plus compliquées au fur et à mesure que le réseau s'étend. les risques informatiques pesant sur l'entreprise et leurs éventuelles conséquences .3. mise au point par le CLUSIF . et de faire en sorte qu'ils puissent utiliser le système d'information en toute confiance.asso.asso. https://www.3. Elaborer des règles et des procédures à mettre en oeuvre dans les différents services de l'organisation pour les risques identifiés . mise au point par la DCSSI (Direction Centrale de la Sécurité des Systèmes d'Information) . Il existe de nombreuses méthodes permettant de mettre au point une politique de sécurité.    8 .clusif. https://www.

La norme ne détaille pas les mesures. Chapitre 14 : Gestion de la continuité d'activité. Contenu de la norme La norme ISO/CEI 27002 est composée de onze sections principales. publiée en juillet 2007 par l'ISO. Chapitre 8 : Sécurité liée aux ressources humaines. Chapitre 15 : Conformité légale et réglementaire. Chapitre 7 : Gestion des biens. Cette norme remplace la norme ISO/CEI 17799 depuis le 1er juillet 2007. Cette norme n'a pas de caractère obligatoire pour les entreprises. de l'intégrité et de la disponibilité de l'information ». Chapitre 12 : Acquisition. L'ISO/CEI 27002 est un ensemble de 133 mesures dites « best practices » (bonnes pratiques en français). Son respect peut toutefois être mentionné dans un contrat : un prestataire de services pourrait ainsi s'engager à respecter les pratiques normalisées dans ses relations avec un client. Chapitre 11 : Contrôle d'accès. Chaque section constitue un chapitre de la norme : • • • • • • • • • • • Chapitre 5 : Politique de sécurité. Chaque section spécifie les objectifs à atteindre et énumère un ensemble de mesures (les « best practices ») permettant d'atteindre ces objectifs. destinées à être utilisées par tous ceux qui sont responsables de la mise en place ou du maintien d'un Système de Management de la Sécurité de l'Information (SMSI). La sécurité de l'information est définie au sein de la norme comme la « préservation de la confidentialité. développement et maintenance des systèmes d'information. Chapitre 10 : Gestion des communications et de l'exploitation. Chapitre 6 : Organisation de la sécurité de l'information. Chapitre 9 : Sécurité physique et environnementale. dont le titre en français est Code de bonnes pratiques pour la gestion de la sécurité de l'information . publiée en juin 2005. qui couvrent le management de la sécurité aussi bien dans ses aspects stratégiques que dans ses aspects opérationnels. 9 .La norme ISO/CEI 27002 est une norme internationale concernant la sécurité de l'information. Le contenu de la norme ISO/CEI 27002:2005 est le même. car chaque organisation est censée procéder à une évaluation de ses propres risques afin de déterminer ses besoins avant de choisir les mesures qui seront appropriées dans chacun des cas possibles. Chapitre 13 : Gestion des incidents liés à la sécurité de l'information. que celui de la norme ISO/CEI 17799:2005. à la virgule près. cette dernière étant dépréciée.

divulgation d'informations confidentielles ou erronées pouvant profiter à des sociétés concurrentes ou nuire à l'image de l'entreprise. mais aussi chaque utilisateur. ce qui les rend inexploitables. ont peut-être évité de graves désagréments. Parfois. 10 . parfois l'incident est bloquant et on doit procéder à une réparation ou une correction avant de poursuivre le travail entrepris. les risques et les moyens de prévention sont essentiellement évalués en raison de leurs coûts. en complément de la politique de sécurité de l'information de l'entreprise. données ou traitements durablement indisponibles. une panne électrique de grande ampleur ou la saturation du réseau Internet pendant plusieurs heures. il suffit de le relancer. a tout intérêt à évaluer. Il est par exemple évident qu'une panne qui aurait pour conséquence l'arrêt de la production d'une usine pendant une journée mérite qu'on consacre pour la prévenir une somme égale à une fraction de la valeur de sa production quotidienne . Le fait de respecter cette norme permet de viser. même si la réalité du risque a parfois été (et reste aujourd'hui) controversée. à moyen terme. Hormis ces cas exceptionnels. peuvent avoir des conséquences négligeables ou catastrophiques. déclenchement d'actions pouvant provoquer des accidents physiques ou induire des drames humains. la mise en place d'un Système de Management de la Sécurité de l'Information. 4. une éventuelle certification ISO/CEI 27001. même grossièrement. Mais ces mêmes incidents peuvent avoir des conséquences beaucoup plus fâcheuses :     données irrémédiablement perdues ou altérées. Chaque organisation. le traitement informatique en cours échoue. Dans le monde professionnel. on imagine assez bien l'impact que pourraient avoir des événements majeurs comme. Mesure des risques Il importe de mesurer ces risques. par exemple. cette fraction sera d'autant plus importante que la probabilité et la fréquence d'une telle panne sont élevées. On peut citer en exemple les précautions prises peu avant l'an 2000 qui. beaucoup de risques peuvent être anticipés et il existe des parades pour la plupart d'entre eux. et à long terme. les risques qu'il court et les protections raisonnables qu'elle ou il peut mettre en œuvre.Cette norme est de plus en plus utilisée par les entreprises du secteur privé comme un référentiel d'audit et de contrôle. éventuellement par une autre méthode si on craint que la cause ne réapparaisse . A l'ère de la généralisation des traitements et des échanges en masse. selon les circonstances et le moment où ils se manifestent. pouvant entraîner l'arrêt d'une production ou d'un service. mais aussi en mesurant leurs effets possibles. non seulement en fonction de la probabilité ou de la fréquence de leurs survenances. Ces effets.

Elle consiste à se faire passer pour quelqu’un que l’on est pas (en général un administrateur) et de demander des informations personnelles (nom de connexion. ou en introduisant volontairement de mauvaises informations dans une base de données. certains utilisateurs. pour obtenir des informations sur des activités concurrentes.1 Risques humains Les risques humains sont les plus importants.) en inventant un quelconque prétexte (problème dans le réseau. il leur arrive donc plus ou moins fréquemment d'exécuter un traitement non souhaité. mot de passe. peuvent volontairement mettre en péril le système d'information. en vue de les exploiter à d'autres fins (publicitaires par exemple). les humains commettent des erreurs . etc. Ils concernent les utilisateurs mais également les informaticiens eux-mêmes. L'inconscience et l'ignorance : de nombreux utilisateurs d'outils informatiques sont encore inconscients ou ignorants des risques qu'ils encourent aux systèmes qu'ils utilisent. que l'on n'est pas normalement autorisé à obtenir. données confidentielles. le capital humain est considéré comme l'une des trois composantes du capital immatériel de l'entreprise. etc. pour des raisons très diverses. projets en cours. à se tromper sur les causes et les problèmes). heure tardive.  La maladresse : comme en toute activité. De même il est relativement aisé pour un informaticien d'ajouter délibérément des fonctions cachées lui permettant. tant les médias ont pu parler des différents problèmes de virus et de vers ces dernières années (même s'ils ont tendance. même s'ils sont le plus souvent ignorés ou minimisés. en y introduisant en connaissance de cause des virus (en connectant par exemple un ordinateur portable sur un réseau d'entreprise). Ainsi.4. etc. clients et prospects. Elle peut se faire soit au moyen d’une simple communication téléphonique. etc. procédés de fabrication. politique de prix.     Dans les approches de type ingénierie des connaissances.). et introduisent souvent des programmes malveillants sans le savoir. modification de celui-ci. il serait quasiment inconcevable de prétexter l'ignorance des risques sus-cités. futurs produits. en vulgarisant. L'espionnage : l'espionnage. d'effacer involontairement des données ou des programmes. emploie les même moyens. soit par mail. notamment industriel. Des manipulations inconsidérées (autant avec des logiciels que physiques) sont aussi courantes. directement ou avec l'aide de complices. 11 . soit en se déplaçant directement sur place. La malveillance : Aujourd'hui. L'ingénierie sociale : l'ingénierie sociale (social engineering en anglais) est une méthode pour obtenir d'une personne des informations confidentielles. de détourner à son profit de l'information ou de l'argent. ainsi que bien d'autres (influence).

Incidents liés à l'environnement : les machines électroniques et les réseaux de communication sont sensibles aux variations de température ou d'humidité (tout particulièrement en cas d'incendie ou d'inondation) ainsi qu'aux champs électriques et magnétiques. on divise le risque total par la probabilité de pannes 12 .2 Risques techniques Les risques techniques sont tout simplement ceux liés aux défauts et pannes inévitables que connaissent tous les systèmes matériels et logiciels. on recourt généralement à des moyens simples bien que parfois onéreux :  Redondance des matériels : la probabilité ou la fréquence de pannes d'un équipement est représentée par un nombre très faible (compris entre 0 et 1.   Pour s'en prémunir. donc difficiles à prévoir. exprimé sous la forme 10-n). Certains programmes sont conçus pour communiquer avec internet et il n'est donc pas souhaitable de les bloquer complètement par un firewall (navigateur internet par exemple). peuvent comporter des défauts et bien entendu finissent un jour ou l'autre par tomber en panne. ils font inévitablement des erreurs que les meilleures méthodes de travail et les meilleurs outils de contrôle ou de test ne peuvent pas éliminer en totalité. Il n'est pas rare que des ordinateurs connaissent des pannes définitives ou intermittentes à cause de conditions climatiques inhabituelles ou par l'influence d'installations électriques notamment industrielles (et parfois celle des ordinateurs euxmêmes !). voire très indirectes. des erreurs de calcul).4. Ces incidents sont évidemment plus ou moins fréquents selon le soin apporté lors de la fabrication et des tests effectués avant que les ordinateurs et les programmes ne soient mis en service. Certaines de ces pannes sont assez difficiles à déceler car intermittentes ou rares. produits en grandes séries. Cependant les pannes ont parfois des causes indirectes. Individuellement ou collectivement. Incidents liés au logiciel : ils sont de très loin les plus fréquents . Certaines failles ne sont pas corrigées rapidement par leurs auteurs (cf les listes actualisées des "unpatched vulnerabilities" sur Secunia). Des failles permettant de prendre le contrôle total ou partiel d'un ordinateur sont régulièrement rendues publiques et répertoriées sur des sites comme SecurityFocus ou Secunia. la complexité croissante des systèmes d'exploitation et des programmes nécessite l'effort conjoint de dizaines. la plupart des composants électroniques. voire de milliers de programmeurs. de centaines. En doublant ou en triplant (ou plus) un équipement. dans certaines circonstances.  Incidents liés au matériel : si on peut le plus souvent négliger la probabilité d'une erreur d'exécution par un processeur (il y eut néanmoins une exception célèbre avec l'une des toutes premières générations du processeur Pentium d'Intel qui pouvait produire.

1 Programmes malveillants Un logiciel malveillant (malware en anglais) est un logiciel développé dans le but de nuire à un système informatique. Le cheval de Troie (trojan en anglais) : programme à apparence légitime (voulue) qui exécute des routines nuisibles sans l'autorisation de l'utilisateur . On peut citer notamment :     le non respect de la législation relative à la signature numérique. et une mauvaise gestion des documents d'archive. 4. etc. attentat. Le ver (worm en anglais) : exploite les ressources d'un ordinateur afin d'assurer sa reproduction . Le résultat est donc un nombre beaucoup plus faible .4 Liste des risques Attention. Programmes ou procédures de contrôle indépendants : ils permettent bien souvent de déceler les anomalies avant qu'elles ne produisent des effets dévastateurs.3 Risques juridiques L'ouverture des applications informatiques par le web et la multiplication des messages électroniques augmentent les risques juridiques liés à l'usage des technologies de l'information. dont les conditions d'application en droit civil sont différentes de celles de la Common law. 4. autrement dit l'ensemble est beaucoup plus fiable (ce qui le plus souvent reporte le risque principal ailleurs). cette liste n'est pas exhaustive. ni un ver) .4. Voici les principaux types de programmes malveillants :      Le virus : programme se dupliquant sur d'autres ordinateurs . les risques concernant la protection du patrimoine informationnel. 13 . tempête. le non respect des dispositions légales relatives au droit de la preuve. le non respect de la législation relative à la vie privée. à distance .) a très peu de chance de se produire simultanément en plusieurs endroits distants.  simultanées. 4. Dispersion des sites : Un accident (incendie. les risques évoluant jour après jour. tremblement de terre. La porte dérobée (backdoor en anglais) : ouvreur d'un accès frauduleux sur un système informatique. Le wabbit : programme qui se réplique par lui-même (mais qui n'est ni un virus.

et pour identifier les machines qui communiquent sur le réseau. et font perdre du temps à leurs destinataires. La mystification (en anglais spoofing) : technique consistant à prendre l'identité d'une autre personne ou d'une autre machine.    Le logiciel espion (spyware en anglais) : collecteur d'informations personnelles sur l'ordinateur d'un utilisateur sans son autorisation.2 Techniques d'attaque par messagerie En dehors des nombreux programmes malveillants qui se propagent par la messagerie électronique. et font perdre du temps à leurs destinataires L'hameçonnage (phishing en anglais) : un courrier électronique dont l'expéditeur se fait généralement passer pour un organisme financier et demandant au destinataire de fournir des informations confidentielles Le canular informatique (hoax en anglais) : un courrier électronique incitant généralement le destinataire à retransmettre le message à ses contacts sous divers prétextes.Elle est généralement utilisée pour récupérer les mots de passe des applications qui ne chiffrent pas leurs communications. L'exploit : programme permettant d'exploiter une faille de sécurité d'un logiciel .3 Attaques sur le réseau Voici les principales techniques d'attaques sur le réseau : • Le sniffing : technique permettant de récupérer toutes les informations transitant sur un réseau (on utilise pour cela un logiciel sniffer). Le rootkit : ensemble de logiciels permettant généralement d'obtenir les droits d'administrateur sur une machine. que l'on ne pourrait pas avoir autrement.   4. Ils encombrent le réseau. L'enregistreur de frappe (keylogger en anglais) : programme généralement invisible installé sur le poste d'un utilisateur et chargé d'enregistrer à son insu ses frappes clavier .4. • 14 . Ils encombrent le réseau. et d'effacer les traces laissées par l'opération dans les journaux système. et en envoyant celles-ci à un organisme tiers . Dans certains cas. la plupart du temps de la publicité. il existe des attaques spécifiques à celle-ci :  Le pourriel (spam en anglais) : un courrier électronique non sollicité.4. 4. de truquer les informations susceptibles de révéler la compromission. ils incitent l'utilisateur à effectuer des manipulations dangereuses sur son poste (suppression d'un fichier prétendument lié à un virus par exemple). d'installer une porte dérobée. Elle est généralement utilisée pour récupérer des informations sensibles.

ou “G0d” pour “god”). Si les outils antispam sont aussi efficaces que certains éditeurs le prétendent..).6 Le spam Le spam est un message électronique non sollicité.4.). Elles fonctionnent à un instant t mais demeurent incapables d’évoluer en avance de phase face aux spammeurs. Aujourd’hui. à des fins publicitaires ou malveillantes. ou des diminutifs (comme par exemple “powa” pour “power”.4.5 Attaques sur les mots de passe Les attaques sur les mots de passe peuvent consister à faire de nombreux essais jusqu’à trouver le bon mot de passe. Dans ce cadre. Et d'autres techniques plus subtiles :       Hijacking Attaque de l'homme du milieu (MITM) Fragments attacks Tiny Fragments Fragment Overlapping TCP Session Hijacking 4.• Le déni de service (en anglais denial of service) : technique visant à générer des arrêts de service. envoyé massivement à un grand nombre de destinataires. liens hypertextes.. population visée. un peu à l’instar des outils antivirus. et ainsi d’empêcher le bon fonctionnement d’un système. les objectifs des spams sont très variés ainsi que les réseaux/utilisateurs qu’ils ciblent. avec un chiffre à la fin. contenu du message électronique. pourquoi n’y a-t-il aucun engagement contractuel sur les performances de détection et de faux–positifs de ces produits ? Bien évidemment 15 . Ces listes sont généralement dans toutes les langues les plus utilisées. contiennent des mots existants. etc. L'attaque par force brute : toutes les possibilités sont faites dans l’ordre jusqu’à trouver la bonne solution (par exemple de “aaaaaa” jusqu'à “ZZZZZZ” pour un mot de passe composé strictement de six caractères alphabétiques). Toutes les solutions de filtrage de contenu et d’enveloppe ne sont que des solutions réactives au problème du spam. fichiers attachés.  4. notons les deux méthodes suivantes:  L'attaque par dictionnaire : le mot testé est pris dans une liste prédéfinie contenant les mots de passe les plus courants et aussi des variantes de ceux-ci (à l’envers. De très nombreuses sous-catégories existent pour distinguer les différents types/objectifs de spams d’après leurs caractéristiques (objectif ciblé.

sera essentiel pour assurer une pérennité de ce type de solution. de quels autres moyens dispose l’utilisateur final pour éviter d’être submergé par le fléau du spam à l’heure actuelle ? Bien évidemment ce type d’outil doit être combiné avec une bonne gestion de la machine (mises à jour régulières pour éviter les failles de sécurité. notamment dans les outils utilisés pour la détection humaine. prometteuses même si elles méritent encore des améliorations. elles négligent l’aspect financier engendré et ne seront donc jamais adoptées à grande échelle. dans un contexte bien précis. Les techniques visant à renforcer l’architecture de messagerie électronique sont. de là à dire que ces techniques et outils sont inutiles.car les taux de performance annoncés ne sont valables qu’à un instant t. pour certaines d’entre elles.. Mais. même si parfois techniquement intéressantes par certains aspects. Les solutions de filtrage par détection humaine sont nettement plus proactives que les techniques évoquées précédemment. 16 . D’autres propositions sont. irréalisables car. c’est un peu présomptueux. En effet. mais des problèmes et des failles demeurent.). Elles ont toutefois un défi de taille à relever : obtenir le consensus des différents acteurs impliqués (SPF et Sender ID sont des exemples de cette difficulté).. tout en restant proactif. quant à elles. Les résoudre.

afin de réaliser un test en situation réelle . On distingue généralement deux méthodes distinctes :  La méthode dite « boîte noire » (en anglais « black box ») consistant à essayer d'infiltrer le réseau sans aucune connaissance du système. L'objectif de l'audit est ainsi de vérifier que chaque règle de la politique de sécurité est correctement appliquée et que l'ensemble des dispositions prises forme un tout cohérent. 5. lorsqu'il met en évidence une faille. Les Tests d’intrusion Les tests d'intrusion (en anglais penetration tests. dans la mesure où des vulnérabilités peuvent avoir échappé aux testeurs. A contrario. abrégés en pen tests) consiste à éprouver les moyens de protection d'un système d'information en essayant de s'introduire dans le système en situation réelle. est un bon moyen de sensibiliser les acteurs d'un projet. dans la mesure où elle peut aboutir à des dégâts éventuels et étant donné que les méthodes mises en oeuvre sont interdites par la loi en l'absence de l'autorisation du propriétaire du système. Un test d'intrusion. Exemple : Annexe 1 17 . Les audits de sécurité permettent d'obtenir un bien meilleur niveau de confiance dans la sécurité d'un système étant donné qu'ils prennent en compte des aspects organisationnels et humains et que la sécurité est analysée de l'intérieur. La méthode dite « boîte blanche » (en anglais « white box ») consistant à tenter de s'introduire dans le système en ayant connaissance de l'ensemble du système. il ne permet pas de garantir la sécurité du système.  Une telle démarche doit nécessairement être réalisé avec l'accord (par écrit de préférence) du plus haut niveau de la hiérarchie de l'entreprise. afin d'éprouver au maximum la sécurité du réseau.5. Un audit de sécurité permet de s'assurer que l'ensemble des dispositions prises par l'entreprise sont réputées sûres. au regard de la politique de sécurité.1 Notion d’Audit Un audit de sécurité (en anglais security audit) consiste à s'appuyer sur un tiers de confiance (généralement une société spécialisée en sécurité informatique) afin de valider les moyens de protection mis en oeuvre.

il est possible que l'administrateur du système réagisse selon un des scénarios suivants :     Obtention de l'adresse du pirate et riposte .1 Phase de réaction La phase de réaction est généralement la phase la plus laissée pour compte dans les projets de sécurité informatique. dans le cas par exemple d'un défaçage de site web (modification des pages). il est impossible d'écarter totalement tous les risques et toute entreprise doit s'attendre un jour à vivre un sinistre. lorsque la compromission provoque un dysfonctionnement du service. Néanmoins. En effet. Réinstallation du systèe. la réputation de toute l'entreprise est en jeu.2 Phase de détection des incidents Afin d'être complètement fiable. un système d'information sécurisé doit disposer de mesures permettant de détecter les incidents. 18 . 6.5. Il existe ainsi des systèmes de détection d'intrusion (notés IDS pour Intrusion Detection Systems) chargés de surveiller le réseau et capables de déclencher une alerte lorsqu'une requête est suspecte ou non conforme à la politique de sécurité. un arrêt de longue durée peut être synonyme de pertes financières. La disposition de ces sondes et leur paramétrage doivent être soigneusement étudiés car ce type de dispositif est susceptible de génèrer de nombreuses fausses alertes. une panne matérielle ou encore un dégât des eaux. 6.Réaction aux incidents Il est essentiel d'identifier les besoins de sécurité d'une organisation afin de déployer des mesures permettant d'éviter un sinistre tel qu'une intrusion. Elle consiste à anticiper les événements et à prévoir les mesures à prendre en cas de pépin. Dans ce type de cas de figure la vitesse de réaction est primordiale car une compromission implique une mise en danger de tout le système d'information de l'entreprise. Sécurité . De plus. Extinction de l'alimentation de la machine . Débranchement de la machine du réseau . Enfin. dans le cas d'une intrusion par exemple.

Par ailleurs.2 Restauration  La remise en fonction du système compromis doit être finement décrit dans le plan de reprise après sinistre et doit prendre en compte les éléments suivants : Datation de l'intrusion : la connaissance de la date approximative de la compromission permet d'évaluer les risques d'intrusion sur le reste du réseau et le degré de compromission de la machine . la responsabilité de l'entreprise risque d'être engagée. si la machine compromise a servi de rebond pour une autre attaque. si le fonctionnement de la machine compromise est vitale pour le fonctionnement du système d'information ou s'il s'agit du site d'une entreprise de vente en ligne. Dans le cas contraire. Stratégie de sauvegarde : si l'entreprise possède une stratégie de sauvegarde. si les données ont été infectées par un virus ou un cheval de Troie. il est essentiel de constituer des preuves.Or. l'indisponibilité du service pendant une longue durée peut être catastrophique. Par ailleurs. Mise en place d'un site de repli : plutôt que de remettre en route le système compromis. il est plus judicieux de prévoir et d'activer en temps voulu un site de repli. 6. En effet. Confinement de la compromission : il s'agit de prendre les mesures nécessaires pour que la compromission ne se propage pas . chacune de ces actions peut potentiellement être plus nuisible (notamment en termes de coûts) que l'intrusion elle-même. un plan de sinistre correctement mis au point définit les responsabilités de chacun et évite des ordres et contre-ordres gaspilleurs de temps. en cas d'enquête judiciaire. il est conseillé de vérifier les modifications apportées aux données du système compromis par rapport aux données réputées fiables. En effet.      19 . permettant d'assurer une continuité de service. Constitution de preuves : il est nécessaire pour des raisons légales de sauvegarder les fichiers journaux du système corrompu afin de pouvoir les restituer en cas d'enquête judiciaire . dans ce type de cas. leur restauration risque de contribuer à la propagation du sinistre . La mise en place d'un plan de reprise après sinistre permet ainsi d'éviter une aggravation du sinistre et de s'assurer que toutes les mesures visant à établir des éléments de preuve sont correctement appliquées.

Ils comprennent les données de télécommunications (voix analogique. la rapidité et l'efficacité des traitements. et peuvent pour cette raison être sanctionnés lorsqu'une négligence de l'hébergeur est établie : si. ou bien par exemple de porter atteinte à sa disponibilité (on parle alors de « disponibilité du système »). Depuis les années 1970. D'autres dommages substantiels. acheminer ou présenter de l'information. erreurs.6. 7. des bris de sécurité informatique peuvent causer du tort à la vie privée d'une personne en diffusant des informations confidentielles sur elle (entre autres ses coordonnées postales ou bancaires). des sommes de l'ordre de plusieurs milliards de dollars US ont été avancées suite à des dommages causés par des programmes malveillants comme le ver Code Red. les données sur papier. Outre les aspects financiers. voix sur IP…) et dans certains cas. à l'électricité et destiné à élaborer. ont été déterminés plus précisément. causer d'importants dommages financiers. De tels systèmes se prêtent à des menaces de types divers. les partages de données et l'interactivité ont augmenté de façon considérable — mais c'est également le cas des pannes — indisponibilités. celui-ci n'a pas appliqué un correctif dans des délais raisonnables. indirectement. comme ceux liés au vol de numéros de cartes de crédit. Certaines de ces menaces peuvent aussi. susceptibles d'altérer ou de détruire l'information (on parle d'« intégrité de l'information »). ou de la révéler à des tiers qui ne doivent pas en avoir connaissance (on parle de « confidentialité de l'information »). négligences et malveillances en particulier avec l'ouverture sur internet. 20 . Par exemple. stocker. Les systèmes d'information s'appuient en règle générale sur des systèmes informatiques pour leur mise en œuvre. par exemple. traiter. incidents. d'une façon ou d'une autre.3 La répétition de plan de sinistre La répétition du plan de sinistre permet de vérifier le bon fonctionnement du plan et permet également à tous les acteurs concernés d'être sensibilisés. au même titre que les exercices d'évacuation sont indispensables dans les plans de secours contre les incendies. l'accès rapide aux informations. bien qu'il soit relativement difficile de les estimer. La sécurité des systèmes informatiques Le terme « système informatique» désigne ici tout système dont le fonctionnement fait appel.

Le principe de sécurité multiniveau trouve ses origines dans les recherches de résolution des problèmes de sécurité de l'information militaire. Des techniques répandues de « defacing » (une refonte d'un site web) permettent à une personne mal intentionnée de mettre en évidence des failles de sécurité sur un serveur web. Le TCSEC. Ces personnes peuvent aussi profiter de ces vulnérabilités pour diffuser de fausses informations sur son propriétaire (on parle alors de désinformation). est issu du Department of Defense (DoD) des États-Unis. 21 . citons les leurres reposant sur l'argument que interdire explicitement l'accès à une donnée consiste à fournir une information sur cette dernière… ce qui sous-tend à l'hypothèse réaliste que la sécurité à 100% n'est pas atteinte. certaines menaces peuvent nuire à l'image même du propriétaire du système d'information. Le cas le plus répandu.Indirectement aussi. plusieurs mécanismes sont étudiés . reste la sécurisation de l'information stratégique et plus particulièrement militaire. Aujourd'hui. ouvrage de référence en la matière. et sans aucun doute les précurseurs en matière de sécurité de l'information.

consiste à assurer que les ressources matérielles ou logicielles d'une organisation sont uniquement utilisées dans le cadre prévu. soit la sécurité au niveau des infrastructures matérielles (voir la « stratégie de reprise »). cela passe par exemple par la programmation sécurisée .   22 . Le système d'information représente un patrimoine essentiel de l'entreprise." Harper La sécurité d'un système d'information peut être comparée à une chaîne de maillons plus ou moins résistants. c'est-à-dire garantir que les données sont bien celles que l'on croit être . la sécurité des applications (débordement de tampon). liée aux questions d'interopérabilité. La sécurité informatique. et les données communes sont souvent très hétérogènes (format. ou dans certains cas « prise de conscience » (les anglophones utilisent le terme awareness) . occurrences. Ainsi. La confidentialité. la sécurité des systèmes d'exploitation . Elle est alors caractérisée par le niveau de sécurité du maillon le plus faible. et aux besoins de cohérence des données en univers réparti . structure. …).la sécurité du système d'information doit être abordée dans un contexte global: • • • • • • • • • la sensibilisation des utilisateurs aux problématiques de sécurité. la sécurité des télécommunications . consistant à assurer que seules les personnes autorisées aient accès aux ressources échangées . c'est gérer son avenir et gérer son avenir. la sécurité des réseaux . qu'il convient de protéger. La sécurité informatique vise généralement cinq principaux objectifs : L'intégrité. la sécurité physique. la sécurité des données est à la base de la sécurité des systèmes d'information. d'une manière générale. c'est gérer son information. "Bien gérer une entreprise. la sécurité des données.En ce qui concerne le système informatique d’une entreprise : Le système d'information est généralement défini par l'ensemble des données et des ressources matérielles et logicielles de l'entreprise permettant de les stocker ou de les faire circuler. la sécurité de l'information . Pour certains. car tous les systèmes utilisent des données.

permettant de garantir qu'une transaction ne peut être niée . c'est-à-dire de garantir à chacun des correspondants que son partenaire est bien celui qu'il croit être. La Confidentialité : La confidentialité consiste à rendre l'information inintelligible à d'autres personnes que les seuls acteurs de la transaction. 23 . L'authentification. Un contrôle d'accès peut permettre (par exemple par le moyen d'un mot de passe qui devra être crypté) l'accès à des ressources uniquement aux personnes autorisées. consistant à assurer que seules les personnes autorisées aient accès aux ressources.   La disponibilité. L’Authentification : L’authentification consiste à assurer l'identité d'un utilisateur. La Disponibilité : L'objectif de la disponibilité est de garantir l'accès à un service ou à des ressources. L’Intégrité : Vérifier l'intégrité des données consiste à déterminer si les données n'ont pas été altérées durant la communication (de manière fortuite ou intentionnelle). permettant de maintenir le bon fonctionnement du système d'information . La non répudiation. La Non-répudiation : La non-répudiation de l'information est la garantie qu'aucun des correspondants ne pourra nier la transaction.

Néanmoins ce type de dispositif ne protège pas la confidentialité des données circulant sur le réseau.1 La Phase de Mise en oeuvre La phase de mise en oeuvre consiste à déployer des moyens et des dispositifs visant à sécuriser le système d'information ainsi que de faire appliquer les règles définies dans la politique de sécurité. La mise en place de tunnels sécurisés (VPN) permet d'obtenir un niveau de sécurisation supplémentaire dans la mesure où l'ensemble de la communication est chiffrée.7. la plupart du temps il est nécessaire de recourir à des applications implémentant des algorithmes cryptographiques permettant de garantir la confidentialité des échanges. 24 . Ainsi. Les principaux dispositifs permettant de sécuriser un réseau contre les intrusions sont les systèmes pare-feu.

alors que les mathématiciens qui les conçoivent ne disposent que de très peu de données publiques et donc peu de modèles sont valables. tables. Ce sont des modèles théoriques. files d’attente. il serait intéressant d’identifier le type de fautes qui sont susceptibles de se propager et évaluer la robustesse de l’application critique par rapport à ce type de fautes. etc. Conclusions et perspectives La fiabilité expérimentale étudie le comportement initial grâce à des collectes de données. Il s’agit d’évaluer l’impact d’un processus erroné de niveau d’intégrité bas sur le comportement d’un processus de haut niveau d’intégrité. qui ne communiquent pas d’une manière explicite mais qui s’exécutent sur le même OS. Cette mesure constitue une forme de aractérisation de la capacité de l’OS à contenir de telles erreurs. On applique ensuite des modèles mathématiques extrapolant le comportement du logiciel dans le temps. Ils présentent l'inconvénient d'être très nombreux. Ces modèles sont appelés modèles de croissance de la fiabilité. L’exemple que nous citons concerne le risque de propagation d’erreurs entre processus à travers le système d’exploitation. D’autres mesures de sûreté de fonctionnement ou de performance en présence de fautes peuvent élargir l’ensemble de mesures fournies par nos étalons.8. Annexe1 IGM a bâti sa réputation et son expérience dans le domaine de la sécurité informatique depuis 2001 dans les domaines : 25 .) du système d’exploitation. Dans ce cadre. Ce type de mesures est intéressant dans le cas où deux processus de niveaux d’intégrité ifférents se partageraient les mêmes ressources (structures de données.

NORMAN et F-Prot … Solution de gestion automatique de Patchs Microsoft avec des partenaires comme Shavlik ….   Mise en place de Solution Complète de Sécurité informatique Audit et Pré-Audit Sécurité informatique Formation et Conseil en Sécurité informatique Afin d’avoir le meilleur rapport Qualité/Prix aux niveaux des produits et logiciels de Sécurité informatique. une meilleure adaptation aux besoins des clients et aux besoins d’intégration avec d’autres produits et logiciels de sécurité. spécialiste dans les solutions innovantes et fiables dans le domaine de la Sécurité des Systèmes et Réseaux :              Firewalls et VPN avec des partenaires comme ASTARO. IGM est un intégrateur de Solutions de Sécurité informatique . Messagerie sécurisée avec des technologies comme PGP et S/MIME … Plate-forme sécurisée pour applications à base de Proxies SOCKS (PERMEO) Proxies applicatifs (Filtrage d’URL) Analyseur et corrélation de Logs en temps réel et d’alertes de sécurité informatique avec des partenaires comme Open Service … Solution de sauvegarde centralisée avec des partenaires comme DC Protect … Authentification forte avec des partenaires comme RSA … Solution de cryptographie et de biométrie. Nos compétences en interne nous permettent en outre de développer autour de ces solutions ouvertes. Gateways Antivirales avec des partenaires comme ASTARO. Stonegate … IDS/IPS (Détection et Prévention d’Intrusion) et sondes avec des partenaires comme ASTARO. PACKETALARM -Host IDS avec des partenaire comme Tripwire. Notre partenaire principale en matière de solution de sécurité est HERMTAGE Solutions SARL . société du même groupe que nous . systèmes et réseaux. IGM a beaucoup investi dans les solutions à base de logiciels libres (OPEN SOURCE). Annexe 2 Validation des résultats de DBench-OSPostmark 26 . en effet ces produits sont plus performants. le groupe MAPSYS. plus fiables et moins chers. ce qui nous permet une meilleure maîtrise de ces produits. Trend Micro Solution Complète Anti-Virus et Anti-Spam avec des partenaires comme Trend Micro.

BIBLIOGRAFIE 27 .1. section 4. nous constatons sur les deux Figures A3-1 et A3-2 qu’aucun cas de blocage ou de panique n’a été signalé pour les deux familles.5.3. entre les différents systèmes de la même famille d’OSs. Une étude similaire a été effectuée avec les résultats de DBench-OS-JVM. Les résultats obtenus en appliquant les ensembles F0 et F0+F1 séparément montrent l’équivalence du point de vue de robustesse des versions considérés de Windows.4 du chapitre 4). les versions de Linux sont équivalentes en termes de robustesse avec ces ensembles. Le nombre des expériences est réduit à 77 expériences (au lieu de 418) pour Windows et à 55 expériences (au lieu de 206) pour Linux. et F2 aux cas où les valeurs sont substituées par des données incorrectes (cf. et l’équivalence des versions de Linux. après l’applicatoin de l’ensemble de valeurs hors-limites (F0) pour JVM. De la même façon. Enfin. Le taux de retour de code d’erreur et le taux de levée d’exception n’ont pas varié significativement pour les OSs d’une même famille. en termes de robustesse. Nous rappelons que dans F0. La Figure A3-2 illustre la robustesse des six systèmes d’exploitation des familles Windows et Linux. vis-à-vis de la technique de corruption de paramètres. A titre d’exemple.5) à 264 expériences. les valeurs des paramètres sont substituées par des données hors-limites. Nous avons réalisé une première étude de sensibilité des résultats obtenus avec DBenchOS-Postmark.et DBench-OS-JVM par rapport à l’ensemble de fautes Nous présentons dans cette annexe une étude de sensibilité des résultats des deux étalons DBench-OS-Postmark et DBench-OS-JVM par rapport à la nature de valeurs de substitution des paramètres des appels système. nous avons constaté que le comportement des systèmes d’exploitation d’une même famille (Windows ou Linux) reste invariable avec les deux activités Postmark et JVM. nous présentons sur la Figure A3-1 les résultats de l’application des valeurs hors-limite sur les différents OSs (ensemble de fautes F0) pour Postmark. le taux de non signalement a été identique pour les systèmes de chacune des familles ciblées. Les résultats obtenus valident les résultats de la Figure 5. nous avons évalué la robustesse de la famille Windows et de la famille Linux en prenant l’ensemble F0+F1+F2. F1 correspond aux cas où les valeurs des paramètres sont substituées par des adresses incorrectes. dans la mesure où ils montrent l’équivalence des systèmes de la même famille du point de vue de robustesse. et que sur les 457 expériences réalisées sur les systèmes Linux. Elle montre que les trois versions de Windows sont équivalentes en termes de robustesse en utilisant F0. Sur ces deux figures. Cette figure montre l’équivalence. F0+F1 et F0+F1+F2. seules 119 expériences ont été retenues en utilisant F0. Pour cela. Nous notons que le nombre d’expériences réalisées sur Windows est passé de 1295 (Figure 5. A titre d’exemple. Les résultats obtenus ont montré que les différentes versions de la même famille sont équivalentes en termes de robustesse.

iso27001security.html • http://cisec.org • http://www.inp-toulouse.com/html/27002.fr/archive/00000110/01/kalakech.enseeiht.pdf 28 .• http://fr.fr/images/docs/080708FIABILITE/080708cise c_boulanger.pdf • http://ethesis.wikipedia.

Sign up to vote on this title
UsefulNot useful