Sécurité des systèmes d'information

• Les notes de cours portent sur la sécurité informatique.

Généralités

• Un système d'information organise l'acquisition, le stockage, la transformation, la diffusion, l'exploitation et la gestion des informations.
• L'utilisation d'un système informatique est un moyen technique de faire fonctionner un système d'information.
• Les systèmes informatiques sont essentiels aux systèmes d'information et sont visés par ceux qui recherchent des informations.
• La protection de l'information implique d'assurer la sécurité des systèmes informatiques.
• La sécurité absolue n'existe pas
• La sécurité est une préoccupation de l'administrateur réseau.

Défis de la sécurité absolue

• Bugs dans les programmes et les systèmes d'exploitation.
• Faiblesses en cryptographie, comme les mots de passe.
• Abus de pouvoir par des individus.
• Vulnérabilité des mécanismes de sécurité aux attaques.

Objectifs de la sécurité informatique

• Authenticité : Garantir l'état des documents voulus par leurs auteurs et propriétaires ; l'identité des acteurs de la communication doit être vérifiée.
• Non-répudiation (NR) :Confirmer et enregistrer correctement l'identité des auteurs de documents ou des signataires d'engagements. Empêcher la répudiation ultérieure.
• Intégrité (I) : Conserver les documents dans leur état original, à l'abri de la destruction et des modifications non autorisées.
• Confidentialité (C) : Rendre l'information inintelligible aux personnes autres que les acteurs de la transaction et protéger les documents des regards indiscrets.
• Disponibilité (D) : Assurer l'accès aux services ou ressources aux utilisateurs autorisés dans de bonnes conditions.

Contexte et Aspects de la sécurité

• Les utilisateurs doivent être sensibilisés aux problèmes de sécurité.
• La sécurité logique comprend les données, les applications et les systèmes d'exploitation.
• La sécurité physique inclut les salles sécurisées, les lieux publics et les postes de travail du personnel.
• La sécurité des communications concerne les réseaux, les serveurs et les serveurs d'accès distant.

Attaques, services et mécanismes de sécurité

• Une attaque est toute action compromettant la sécurité des informations.
• Un mécanisme de sécurité détecte, prévient et lutte contre une attaque.
• Un service de sécurité améliore la sécurité des traitements et des échanges de données d'un système. Il utilise un ou plusieurs mécanismes de sécurité.

Types d'attaques

• Interruption : Vise à rendre les informations non disponibles
• Interception : Vise à compromettre la confidentialité des informations
• Modification : Vise à compromettre l'intégrité des informations
• Fabrication : Vise à compromettre l'authenticité des informations

Classification des attaques

• Attaques actives et passives avec un aperçu du type d'attaques dans ces catégories
• Les attaques passives incluent l'analyse du trafic et la divulgation du contenu des messages.
• Les attaques actives incluent l'usurpation d'identité, le déni de service, la modification de contenu et la relecture.

Vulnérabilités

• Définition : Une vulnérabilité est une faiblesse dans un système informatique qui permet à un attaquant de constituer une menace.
• Microsoft Windows : Exemples de causes de vulnérabilité :IIS, MS-SQL Server ou Internet Explorer.
• Unix: Le service "finger" permet à quiconque à l'extérieur du réseau de voir quels utilisateurs sont connectés et d'où ils accèdent à l'ordinateur.
• Un rapport "finger" à distance peut révéler des noms de connexion et temps d'inactivité, pouvant être utilisés pour compromettre le système.

Menaces

• Une menace est une cause potentielle d'incident pouvant endommager un système ou une organisation.
• Utilisateurs du système : Ils sont souvent négligents et causent la majorité des problèmes de sécurité.
• Individus malveillants : Ces acteurs peuvent accéder illégitimement à des données ou programmes.
• Logiciels malveillants : Ils peuvent nuire aux ressources du système, ouvrant l'accès aux intrusions, la modification des données et la collecte d'informations personnelles.
• Sinistres : Ils peuvent entraîner une perte de matériel ou de données (vol, incendie, dégâts d'eau).

Gestion des risques

• Risque = Vulnérabilité + Menace
• Évaluez l'équilibre entre l'efficacité et le coût des contre-mesures.
• Comparer le coût prévisionnel d'un incident au coût des contre-mesures.

Vulnérabilité des réseaux

• Elle peut être causée par une mauvaise implémentation des piles UDP/IP et TCP/IP.
• Elle peut être causée par une faille des protocoles.

TCP, Transport Control Protocol - Rappel de connexion

• Établissement d'une connexion TCP: 3 temps (Three Way Handshake)

Sniffer

• C'est un outil indispensable pour visualiser les trames sur un segment de réseau.
• Il nécessite des droits administrateur et soulève des questions juridiques.
• Il utilise des sockets en mode "promiscuous" tel que socket (AF_INET,SOCK_RAW,IPPROTO_RAW).
• De nombreux logiciels sniffers sont disponibles, avec tcpdump comme sniffer de base pour Unix.
• Il affiche les en-têtes de paquets répondant à des critères spécifiques.

IP Spoofing

• Technique d'attaque qui copie l'adresse IP d'un autre ordinateur.
• Elle permet de masquer les traces ou d'accéder à des systèmes dont l'authentification repose sur l'adresse IP.

Déni de service ou DOS (Denial of Service)

• Attaque visant à empêcher l'utilisation d'une machine ou d'un service.
• Type d'attaque à des fins de frustration, rancune ou nécessité, relativement simple à réaliser et pouvant causer des pertes importantes pour une entreprise.
• Il est souvent plus facile de paralyser un réseau que d'y accéder.

Types de DOS

• DOS local : Épuisement des ressources.
• DOS réseau : Consommation de la bande passante.

Stratégies d'atténuation du SYN Flood

• Augmentation de la taille de la file d'attente.
• Réduction de la durée du délai d'établissement d'une connexion.
• Mise en place de protections par des OS modernes (SYN Cookie, SYN cache, etc.).

Spoofing ARP

• Pollution du cache ARP avec des fausses associations entre l'adresse MAC et l'adresse IP.
• Peut conduire à des attaques de type "homme du milieu", des attaques DOS ou transgresser un pare-feu à travers l'usurpation d'adresse.
• Exemples d'outils d'arp spoofing : arp-sk (unix) winarp-sk (windows) et WinArpSpoof.
• Les parades contre le spoofing ARP incluent l'utilisation d'associations statiques et la surveillance des changements d'association (arpwatch et WinARP Watch).

Attaque Smurf

• Envoi d'une trame ICMP "echo request" à une adresse de diffusion.
• Méthode utilisée pour identifier les machines actives dans une plage d'adresses IP.
• Les contre-mesures comprennent l'interdiction de réponses aux trames ICMP sur les adresses de diffusion, au niveau du routeur et au niveau de la machine.

Distributed Denial of Service ou DDOS

• Type d'attaque très répandu visant à paralyser une machine et/ou à saturer la bande passante de la victime.
• Il nécessite l'utilisation de plusieurs machines compromises.
• Une attaque populaire a eu lieu le 14 février 2000 sur des sites renommés et le coupable, «Mafiaboy», a causé des pertes de 1,2 milliard de dollars en 24 heures.

Vulnérabilités applicatives

• De nombreuses applications sont vulnérables en raison d'une mauvaise programmation ou intentionnellement (portes dérobées).
• Toutes les applications ont besoin de sécurité, y compris les services réseau (daemons), les applications téléchargées, les applications web, et les programmes avec des privilèges setuid/setgid.
• Les vulnérabilités peuvent être dues à des portes dérobées (backdoors), des erreurs de programmation, des dépassements de mémoire tampon, des chaînes de format ou des entrées utilisateur mal validées.

###Buffer Overflow

• Vulnérabilité très répandue qui consiste à écrire des données en dehors de la zone mémoire allouée.
• Si le tampon est une variable C locale, cela pourrait permettre à un attaquant de forcer la fonction à exécuter du code malveillant ("stack smashing attack").
• De nombreuses applications écrites en langage C sont vulnérables, en raison des choix qui ont été faits en matière de simplicité et d'efficacité.

Mécanismes de défense

• Chiffrement : Utiliser des algorithmes basés sur des clés pour transformer les données. Sa sécurité dépend entre autre du niveau de sécurité des clés.
• Signature numérique : Ajouter des données pour vérifier l'intégrité ou l'origine des données.
• Ajout de trafic : Compléter les données pour assurer la confidentialité au niveau du volume du trafic.
• Notarisation: Utiliser un tiers de confiance pour garantir certains services de sécurité.
• Contrôle d'accès : Vérifie les droits d'accès d'un acteur aux données, mais n'empêche pas l'exploitation d'une vulnérabilité.
• Logiciel qui protège l'ordinateur contre les programmes malveillants (ou fichiers potentiellement exécutables).
• Il ne protège pas contre un intrus qui utilise un logiciel légitime, ou contre un utilisateur légitime qui accède à une ressource lorsqu'il n'est pas autorisé à le faire.
• Pare-feu : C'est un élément (logiciel ou matériel) du réseau informatique contrôlant les communications qui le traversent. Son rôle est de faire respecter la politique de sécurité du réseau, en déterminant quelles communications sont autorisées ou interdites.
• Détection d'intrusion : Identifie les activités anormales ou suspectes sur le réseau surveillé et permet la journalisation et l'analyse des activités de chaque acteur. Elle permet d'identifier les points de vulnérabilité du système.
• Contrôle de routage: Sécurise les chemins (liens et équipements d'interconnexion).
• Authentification : Elle authentifie des acteur en utilisant un élément: ce qu'il sait, ce qu'il a et ce qu'il est.
• Protection physique : Peut fournir une protection totale, de manière excessive toutefois.
• Politiques de sécurités : elle détermine la longueur des clefs, les choix des algorithmes ou le rythme de changement des mots de passes. Une fois définies, la mise en oeuvre et la bonne gestion sont critiques
• Sécuriser l'accès aux communications et imposer l'horodatage sécurisé des instants significatifs, la certification des droits accordés et une distribution sécurisée des clés.

Autres éléments essentiels

• Respect du facteur humain, incluant l'ingénierie sociale, par le respect des règles et leurs compréhensions.
• Architecture de sécurité: pare-feu, DMZ (zone démilitarisée), l'IDS, les logs, le VPN.
• Virtual Private Network (VPN): seuls les agents autorisés peuvent y avoir accès et les réseaux virtuels dépend du nombre des types d'agents.
• Il possède plusieurs implémentations : Au niveau 2 les Ethernet sont complétées par un VID et niveau il est accompagné d'une phase d'authentification.