Sécurité des Systèmes d'Information : Concepts Clés

Définition de la sécurité des systèmes d'information

• La sécurité informatique concerne les mesures et contrôles visant à garantir la confidentialité, l'intégrité et la disponibilité des actifs d'un système d'information, y compris le matériel, les logiciels et les données.
• La sécurité de l'information assure la protection des informations et des systèmes d'information contre les accès non autorisés, l'utilisation abusive, la divulgation, la perturbation, la modification ou la destruction, garantissant ainsi la confidentialité, l'intégrité et la disponibilité.
• La SSI moderne se concentre sur la protection de la vie privée numérique des individus, la protection des actifs et des idées, la distribution de contenu en ligne, la gestion des droits d'auteur et la protection des infrastructures à grande échelle.
• La sécurité de l'information protège la confidentialité, l'intégrité et la disponibilité des informations. Elle englobe légalement l'authenticité, l'imputabilité, la non-répudiation et la fiabilité.
• La "Sécurité informatique" est un sous-ensemble de la "Sécurité des systèmes d'information", qui elle même est un sous-ensemble de la "Sécurité de l'information".
• Les attaques contre un SI peuvent être motivées par des gains financiers, la satisfaction personnelle (plaisir, concurrence entre hackers), la vengeance, les convictions politiques ou l'espionnage d'État.

Besoins en matière de sécurité

• Les besoins en sécurité existent à plusieurs niveaux, bien que les limites entre ces niveaux soient parfois floues.
• Cela comprends la sécurité physique des locaux, des infrastructures et des équipements.
• Cela comprends également la sécurité des réseaux et des systèmes d'exploitation.
• Cela inclus également la sécurité des données.

Cycle de la sécurité

• Un système de sécurité fonctionne selon un cycle avec les étapes suivantes : sécurisation, surveillance, améliorations et audit.
• Approche PDCA (Plan-Do-Check-Act).

Politique de sécurité (PS)

• Une politique de sécurité doit définir des règles d'accès acceptables aux ressources du système d'information.
• Diverses normes (famille ISO 27000) et méthodes peuvent servir de guide pour élaborer une PS.
• La PS doit traiter le diagnostic de l'existant, l'analyse des risques, la définition des rôles, l'estimation des coûts, les procédures de protection, de détection, de réaction et de redressement.

Terminologie de sécurité

• Un actif est un élément de valeur pour une organisation.
• Un événement lié à la sécurité de l'information est une occurrence identifiée d'un état indiquant une faille possible.
• Un incident de sécurité est un ou plusieurs événements indésirables présentant une forte probabilité de compromettre les activités de l'organisme.
• Une menace est toute action susceptible de causer des dommages à un actif ou de violer la politique de sécurité, selon les services CIA (confidentialité, intégrité, disponibilité).
• La vulnérabilité est une faiblesse qui peut être exploitée et entrainer un impact négatif.
• Une attaque est une instance spécifique d'une menace.
• Un risque est une estimation de la probabilité d'une exploitation de vulnérabilité causant une attaque.
• L'impact est l'ampleur des conséquences d'une attaque.
• Risque = Impact * Probabilité d'occurrence

Mesures et mécanismes de sécurité

• Une mesure est un moyen de réduire un risque en agissant sur les vulnérabilités.
• Le vecteur d'attaque est le point d'accès pour une potentielle attaque.
• La surface d'attaque est l'ensemble des points d'entrée qu'un attaquant peut exploiter.
• Le facteur de travail est le temps et l'effort requis pour exploiter un vecteur d'attaque.
• Pour protéger les actifs, il faut minimiser la surface d'attaque, maximiser le facteur de travail et mettre en place des contre-mesures.

STRIDE

• Menaces liées à la sécurité.
• Spoofing Identity concerne l'authentification et la protection des mots de passe.
• Tampering with Data (Modification) concerne le contrôle des accès et la signature digitale.
• Repudiation concerne les logs et la signature digitale.
• Information Disclosure concerne le contrôle d'accès et le cryptage.
• Denial of service concerne le filtrage et la sauvegarde.
• Elevation of Privilege concerne le contrôle d'accès et le sandboxing.

DREAD

• Formule de calcul utilisé pour gérer chaque menace et les risques afférents.
• Risk_DREAD (/10) = (DAMAGE + REPRODUCIBILITY + EXPLOITABILITY + AFFECTED USERS + DISCOVERABILITY) / 5)

Services de sécurité

• Confidentialité : Garantir que l'information n'est accessible qu'aux personnes autorisées.
• Intégrité : Protéger l'exactitude et l'exhaustivité des actifs.

Authentification

• L'authentification est le mécanisme qui assure que l'entité avec laquelle on communique est bien celle qu'elle prétend être.
• Elle valide l'authenticité identitaire et protège contre "Spoofing Identity".
• La non-répudiation offre la garantie qu'un émetteur ne peut nier l'envoi d'un message et qu'un récepteur ne peut nier la réception.
• Le contrôle d'accès protège les ressources contre les accès non autorisés. Car la confidentialité nécessite que seuls les utilisateurs autorisés puissent consulter les informations et les modifier.

Disponibilité et Imputabilité

• La disponibilité assure l'accessibilité et l'utilisabilité des ressources.
• L'imputabilité (Auditabilité/traçabilité /Accounting) garantit que les accès et les tentatives d'accès sont tracés.

Mécanismes de sécurité

• Les mécanismes de sécurité soutiennent les services de sécurité.
• La cryptographie est une discipline qui inclut des principes de transformation des données pour cacher leur contenu.
• La cryptanalyse étudie les méthodes de cryptographie pour trouver les faiblesses.
• Les attaques de cryptanalyse peuvent être classées en trois catégories : cipher-text only, known plain-text et chosen plain-text.
• Le principe de Kerckhoffs (1883) stipule que la sécurité d'un cryptosystème ne doit dépendre que du secret de la clé.
• Le cryptage asymétrique utilise une paire de clefs différentes, dont une publique et une privée.
• Le cryptage symétrique utilise la même clef secrète pour le cryptage et le décryptage.

Qualité d'un algorithme de cryptage

• La qualité d'un algorithme de cryptage dépend de plusieurs facteurs, tels que le type de cryptage, la taille de la clef et la complexité du calcul.
• Les algorithmes symétriques sont utilisés pour le chiffrement de masse.
• Les algorithmes à clefs publiques sont utilisés pour établir l'authentification.
• La signature à clef symétrique utilise un code d'authentification (MAC).
• La signature numérique est le résultat d'une transformation cryptographique permettant de prouver la source et l'intégrité d'une unité de donnée.

Authentification numérique

• Authentification du signataire, l'acceptation des conditions du document signé et la preuve de l'accord en cas litiges.
• L'authentification électronique est une donnée sous forme électronique.
• L'authentification numérique/digitale est l'ajout aux données d'une transformation cryptographique.
• Les mécanismes d'authentification permettent de fournir ou d'assurer la preuve d'identité.
• Les niveaux d'authentification varient, du niveau 0 (identification seule) au niveau 3 (preuve physique).
• Le stockage du mot de passe se fait soit déchiffré soit crypté avec ou sans salage.
• Modèle de contrôle d'accès : sujet, objet et action.

Concepts du contrôle d'accès

• Un sujet est une entité active.
• Un objet est une entité passive.
• Une action représente l'effet désiré.
• La capabilité est une permission qui représente un certain type d'accès à un objet.

Sécurité et classification

• Chaque objet correspond à un niveau de sensibilité.
• L'utilisateur correspond à un niveau d'accréditation.
• Un ensemble de règles permet de gérer les accès, modèle Bell-La Padula.
• Un hash ou MAC suffit lorsqu'on a uniquement besoin de l'intégrité d'un message, d'un fichier ou d'un document.
• Le watermark consiste à intégrer (de préférence de manière cachée) un message secondaire.
• Le bourrage de trafic maintient un débit de transmission constant.
• Le service d'audit assure la traçabilité.
• Le sandboxing limite l'environnement d'exécution d'un code suspect.

Sécurité du système d'exploitation

• La sécurité du système d'exploitation vise à minimiser les privilèges des utilisateurs et des processus sur les ressources du système d'exploitation.
• Le moniteur de référence prend les décisions de contrôle d'accès.
• Les critères communs (CC) standardisent l'évaluation de l'efficacité des contrôles de sécurité.

Solutions d'audit et de traçabilité

• Maintenir une ACL ou un équivalent, protéger la mémoire, gérer le partage et communication inter-processus.
• Utiliser un mécanisme de traçabilité pour créer des journaux d'activités et des événements relatifs à la sécurité.

Conclusion sur la sécurité des systèmes d'information

• La sécurité des SI est une chaîne où l'humain est souvent le maillon faible.
• Il n'existe pas de sécurité à 100 %, une bonne politique de sécurité est primordiale.
• La sécurité doit être un processus vivant et continu.
• La sécurité 60% (bonne politique de sécurité + sensibilisation) et 40% (outils bien paramétrés).