Cours Architecture Sécurité PDF

La sécurité des réseaux: Pare-feu › L'objectif de la sécurité réseau est de garantir la confidentialité, l'intégrité et la disponibilité des informations et des ressources sur un réseau, en protégeant contre les menaces telles que les logiciels malveillants, le piratage et le vol de données. ›...

La sécurité des réseaux: Pare-feu › L'objectif de la sécurité réseau est de garantir la confidentialité, l'intégrité et la disponibilité des informations et des ressources sur un réseau, en protégeant contre les menaces telles que les logiciels malveillants, le piratage et le vol de données. › Une sécurité réseau efficace nécessite une approche globale qui prend en compte à la fois les facteurs techniques et non techniques et implique un examen et une mise à jour réguliers des mesures de sécurité pour s'adapter à l'évolution des menaces. › Un pare-feu est un système de sécurité réseau qui surveille et contrôle le trafic réseau entrant et sortant en fonction de règles de sécurité prédéterminées. › Il agit d’une barrière entre deux réseaux ne laissant passer que le trafic autorisé. Ils peuvent être basés sur du matériel, des logiciels ou une combinaison des deux. › Les pare-feu peuvent être configurés pour filtrer le trafic en fonction des adresses source et de destination, des numéros de port et des protocoles d'application, entre autres facteurs. › L'objectif d'un pare-feu est d'améliorer la sécurité en contrôlant l'accès vers et depuis un réseau et en le protégeant contre les activités malveillantes. 33 Sécurité des réseaux: Segmentation réseau › La segmentation du réseau est le processus de division d'un réseau informatique en sous-réseaux plus petits, appelés segments, pour améliorer la sécurité, la gestion et les performances du réseau. › La segmentation du réseau crée des parties isolées d'un réseau, ce qui réduit la surface d'attaque et limite les dommages potentiels qu'une faille de sécurité peut causer. › Chaque segment peut se voir attribuer un niveau de sécurité différent, permettant de sécuriser différemment différentes parties du réseau. Par exemple: – les données sensibles peuvent être stockées dans un segment doté de mesures de sécurité plus strictes, – tandis que les données moins sensibles peuvent être stockées dans un segment doté de mesures de sécurité plus souples. › Cette approche aide les organisations à équilibrer le besoin de sécurité avec le besoin d’accessibilité et de performance. › Par exemple : les fonctions RH traitant les informations sensibles des employés (salaires…etc) peuvent être segmentées séparément des fonctions de recherche et développement différemment sensibles (brevets) qui peuvent être différentes des fonctions de finance. 34 Sécurité des réseaux: Segmentation réseau › La segmentation du réseau peut être réalisée via diverses méthodes: – les réseaux locaux virtuels (VLAN), – les réseaux privés virtuels (VPN) – les pares-feux. › Le choix de la méthode dépend des exigences spécifiques de l’organisation et de l’architecture du réseau. › La segmentation du réseau est comme une bonne pratique pour améliorer la sécurité du réseau et elle est largement utilisée par les organisations de toutes tailles. 35 Sécurité des réseaux: Micro-segmentation › Micro-segmentation amène la segmentation du réseau à un niveau plus granulaire. Il crée de petits domaines de sécurité isolés pour des applications ou des charges de travail individuelles au sein d'un réseau. › La micro-segmentation offre un niveau de sécurité plus élevé, car elle contribue à limiter la propagation des menaces et réduit la surface d'attaque en créant des domaines de sécurité plus petits et bien définis. › La micro-segmentation est une approche de sécurité réseau qui permet aux architectes de sécurité de construire des limites de zones de sécurité réseau par machine dans les DataCenters et le cloud afin de séparer et sécuriser les «Workload». 36 Sécurité des réseaux: Micro-segmentation › Il existe trois principaux types de micro-segmentation : – Native OS host-based firewall: Utilise des pares-feux du système d'exploitation pour contrôler le trafic réseau entre les segments du réseau. Au lieu d'utiliser un routeur, des pare-feu réseau ou de déployer des agents, chaque pare-feu hôte est utilisé pour effectuer à la fois l'audit et l'application, empêchant les attaquants de se déplacer latéralement entre les machines du réseau. Bien que les pares-feux basés sur l'hôte natif du système d'exploitation puissent mettre en œuvre de nombreux schémas de segmentation, y compris la micro-segmentation, seules les innovations récentes dans le domaine ont rendu la mise en œuvre et la gestion réalisables à grande échelle. – Segmentation hôte-agent (Host-agent segmentation): Ce type de micro-segmentation utilise des agents des « EndPoints ». En disposant d'un gestionnaire centralisé ayant accès à tous les flux de données, la difficulté de détecter des protocoles obscurs ou des communications chiffrées est atténuée. L’utilisation de la technologie hôte-agent est communément reconnue comme une méthode puissante de micro-segmentation. Étant donné que les appareils infectés agissent comme des hôtes, une stratégie d'hébergement solide peut. empêcher les problèmes de se manifester en premier lieu. Ce logiciel doit cependant être installé sur chaque hôte – Segmentation de l'hyperviseur (Hypervisor segmentation): Dans cette implémentation de micro-segmentation, tout le trafic passe par un hyperviseur. Étant donné que la surveillance du trafic au niveau de l'hyperviseur est possible, les pare-feu existants peuvent être utilisés et les règles peuvent être activées au fur et à mesure que les 37 instances sont lancées et arrêtées. Micro-segmentation: Avantages/défis › Avantages: – La micro-segmentation permet de contrecarrer presque toutes les méthodes d'attaque en fermant les vecteurs d'attaque au sein des réseaux internes afin que les attaquants soient stoppés dans leur élan. – La micro-segmentation dans les environnements Internet des objets (IoT) peut aider les entreprises à maîtriser le volume croissant de communications latérales entre appareils, qui ne sont actuellement pas gérées par des mesures de sécurité basées sur le périmètre. › Défis (Chalenges): – Malgré ses fonctionnalités utiles, la mise en œuvre et la maintenance de la micro-segmentation peuvent être difficiles. – La définition de politiques qui répondent aux exigences de chaque système interne constitue un autre obstacle potentiel. – La connexion réseau entre des actifs très sensible et d’autres moins sensibles à l’intérieur de la même limite de sécurité nécessite de savoir quels ports et protocoles doivent être ouverts et dans quelle direction. – La micro-segmentation est largement compatible avec les environnements exécutant des systèmes d'exploitation courants, notamment Linux , Windows et MacOS. Toutefois, ce n’est pas le cas des entreprises qui s’appuient sur des mainframes ou d’autres formes de technologie obsolètes.  Pour profiter des avantages de la micro-segmentation malgré ses défis, les entreprises ont développé des solutions en utilisant l'automatisation et le libre-service 38 Sécurité des réseaux: Zero Trust Network Access (ZTNA) › Zero Trust Network Access (ZTNA) : – est un modèle de sécurité qui suppose que tous les utilisateurs, appareils et trafic réseau ne sont pas de confiance « Untrusted » et nécessite donc une vérification de l'identité et de la sécurité des équipements avant d'accorder l'accès aux applications et aux ressources. – Contrairement aux modèles d'accès réseau traditionnels, qui s'appuient sur un périmètre réseau pour la sécurité, ZTNA utilise une approche « ne jamais faire confiance, toujours vérifier » qui applique des politiques d'accès par utilisateur et par appareil. – ZTNA utilise diverses technologies de sécurité pour appliquer les politiques d'accès, notamment l'authentification multi-facteurs, le profilage des Devices la segmentation du réseau et le chiffrement. Ces technologies fonctionnent ensemble pour garantir que seuls les utilisateurs et équipements autorisés peuvent accéder à des applications et ressources spécifiques, et que les données sensibles sont protégées contre tout accès non autorisé. – ZTNA est de plus en plus populaire dans les environnements modernes cloud et hybrides où les segmentations réseaux traditionnelles ne suffisent souvent pas à assurer une sécurité efficace. – En utilisant une approche ZTNA, les organisations peuvent fournir un accès sécurisé aux applications et aux ressources depuis n'importe quel emplacement ou appareil, sans compromettre la sécurité. 39 Sécurité des réseaux: Pare-feu nouvelle génération (NGFW) › Pare-feu de nouvelle génération (NGFW: Next-generation Firewall) – est un type de pare-feu qui offre des fonctionnalités de sécurité avancées au-delà des pares-feux traditionnels. – Les solutions NGFW intègrent généralement des fonctionnalités telles que l'inspection approfondie des paquets (deep packet inspection), le contrôle des applications (application control),la gestion de l'identité des utilisateurs (User Identity Management) et la prévention des intrusions. – L'objectif de NGFW est de fournir une solution de sécurité complète capable de détecter et de prévenir les menaces, tout en permettant aux organisations d'appliquer des politiques de sécurité et de gérer le trafic réseau. – Les solutions NGFW sont conçues pour répondre aux besoins des organisations modernes qui s'appuient sur des environnements réseau complexes et diversifiés et nécessitent un niveau de sécurité plus sophistiqué pour se protéger contre les cybermenaces avancées. 40 Sécurité des réseaux: Pare-feu Cloud Nouvelle Génération › Cloud Next-Generation Firewall (NGFW) fait référence à un type de pare-feu qui assure la sécurité du réseau dans un environnement de cloud computing. › Une solution cloud NGFW est déployée et gérée dans un environnement cloud, tel qu'Amazon Web Services (AWS) ou Microsoft Azure ou Google Cloud, plutôt que dans du matériel sur site (On-premises hardware) › Les solutions Cloud NGFW offrent plusieurs avantages par rapport aux solutions NGFW traditionnelles, notamment : 1. Évolutivité (Scalability): les solutions Cloud NGFW peuvent être facilement mises à l'échelle ou réduites pour s'adapter aux besoins changeants du réseau, sans avoir besoin de mises à niveau des matériels/hardwares. 2. Flexibilité : les solutions Cloud NGFW sont accessibles de n'importe où, permettant aux organisations de sécuriser les accès distants et divers sites/filiales de l’entreprise. 3. Rentabilité : les solutions Cloud NGFW peuvent réduire les coûts associés à l'achat et à la maintenance du matériel et des logiciels sur site. 4. Sécurité améliorée : les solutions Cloud NGFW peuvent offrir une sécurité améliorée par rapport aux solutions traditionnelles sur site, car elles sont gérées et entretenues par des experts en sécurité expérimentés. Lors du choix d'une solution cloud NGFW, il est important de prendre en compte les exigences de sécurité spécifiques du réseau, la taille et la complexité du réseau, ainsi que les capacités techniques du fournisseur de cloud. Il est également important de s'assurer que la solution s'intègre bien aux autres solutions et outils de sécurité déjà utilisés au sein de l'organisation. 41 Sécurité des réseaux: Inspection approfondie des paquets (DPI) › L'inspection et l'analyse des paquets « Packet inspection and analysis » est une technique couramment utilisée dans la sécurité des réseaux pour surveiller et se protéger contre les activités malveillantes. En examinant le contenu de chaque paquet, les dispositifs de sécurité peuvent identifier et empêcher le trafic malveillant d'entrer dans le réseau ou identifier et isoler les appareils infectés au sein du réseau. › L'inspection approfondie des paquets (DPI): – est une méthode utilisée pour inspecter les paquets en temps réel lorsqu'ils traversent un réseau. – DPI permet à l'appareil d'examiner non seulement l'en-tête d'un paquet, mais également sa Payload, permettant ainsi une analyse plus approfondie des données transmises. – est souvent utilisé par les pares-feux, les systèmes de détection d'intrusion (IDS) et les systèmes de prévention d'intrusion (IPS) pour identifier et prévenir les activités réseau malveillantes. – Il peut également être utilisé pour surveiller le trafic réseau et appliquer des politiques telles que la qualité de service (QoS) et la gestion de la bande passante. 42 Sécurité des réseaux: Inspection approfondie des paquets (DPI) › L'inspection et l'analyse des paquets « Packet inspection and analysis » est une technique couramment utilisée dans la sécurité des réseaux pour surveiller et se protéger contre les activités malveillantes. En examinant le contenu de chaque paquet, les dispositifs de sécurité peuvent identifier et empêcher le trafic malveillant d'entrer dans le réseau ou identifier et isoler les appareils infectés au sein du réseau. › L'inspection approfondie des paquets (DPI): – est une méthode utilisée pour inspecter les paquets en temps réel lorsqu'ils traversent un réseau. – DPI permet à l'appareil d'examiner non seulement l'en-tête d'un paquet, mais également sa Payload, permettant ainsi une analyse plus approfondie des données transmises. – est souvent utilisé par les pares-feux, les systèmes de détection d'intrusion (IDS) et les systèmes de prévention d'intrusion (IPS) pour identifier et prévenir les activités réseau malveillantes. – Il peut également être utilisé pour surveiller le trafic réseau et appliquer des politiques telles que la qualité de service (QoS) et la gestion de la bande passante. 43 Sécurité des réseaux: Inspection approfondie des paquets (DPI) › DPI fonctionne en examinant chaque paquet en détail, à la recherche de modèles et d'attributs spécifiques qui correspondent aux menaces de sécurité connues ou violent les politiques réseau. › Ces informations peuvent ensuite être utilisées pour bloquer le trafic malveillant ou pour appliquer des politiques de sécurité et optimiser les performances du réseau. › Le DPI est considéré comme un élément important des solutions de sécurité avancées, car il permet aux organisations de se protéger contre les menaces évolutives et de maintenir des réseaux sécurisés. › Cependant, cela peut également poser des problèmes de confidentialité, car il permet aux organisations d’inspecter et potentiellement de stocker des données sensibles. 44 Sécurité des réseaux: Application Control › Le contrôle des applications est une fonctionnalité de sécurité utilisée pour surveiller et gérer l'utilisation des applications sur un réseau. › L'objectif du contrôle des applications est d'empêcher les applications non autorisées ou malveillantes de s'exécuter sur le réseau, tout en permettant aux applications autorisées de fonctionner normalement. › Le contrôle des applications fonctionne généralement en examinant les caractéristiques du trafic réseau, telles que les adresses source et de destination, les numéros de port et les protocoles d'application puis utiliser ces informations pour identifier et contrôler les applications générant le trafic. › Les informations sont utilisées pour créer des politiques qui définissent quelles applications sont autorisées à s'exécuter sur le réseau et lesquelles ne le sont pas. › Le contrôle des applications est considéré comme un élément important des solutions de sécurité avancées, car il aide les organisations à empêcher la propagation de logiciels malveillants et d'autres menaces, et à appliquer des politiques d'utilisation des applications sur le réseau. › Cependant, cela peut également introduire un certain niveau de complexité et de surcharge de gestion, car les organisations doivent créer et maintenir des politiques pour chaque application utilisée sur le réseau. 45 Sécurité des réseaux: User Identity Management (UIM) › La gestion de l'identité des utilisateurs (UIM) est le processus d'identification, d'authentification et d'autorisation des individus ou des systèmes à accéder aux ressources du réseau d'une organisation. › L’objectif de l’UIM est de garantir que seuls les utilisateurs autorisés ont accès aux données et systèmes sensibles, tout en facilitant l’accès des utilisateurs aux ressources dont ils ont besoin. › L'UIM implique généralement l'utilisation de comptes d'utilisateurs, de mots de passe et d'autres formes d'authentification, telles que des cartes à puce, des dispositifs biométriques et des systèmes d'authentification unique (SSO). › Les informations d'authentification sont ensuite utilisées pour accorder ou refuser l'accès à des ressources spécifiques, en fonction du rôle et des privilèges de l'utilisateur au sein de l'organisation. › L'UIM est un élément essentiel de la stratégie de sécurité de toute organisation, car il contribue à empêcher tout accès non autorisé aux données et systèmes sensibles et à maintenir la confidentialité, l'intégrité et la disponibilité des informations. 46 Sécurité des réseaux: User Identity Management (UIM) › Il existe plusieurs défis associés à l'UIM, notamment : – la nécessité de gérer un grand nombre d'utilisateurs et leurs informations d'authentification associées, – la nécessité de prendre en charge plusieurs méthodes et protocoles d'authentification – la nécessité de s'intégrer à d'autres systèmes et technologies de sécurité. › Une UIM efficace nécessite une stratégie bien conçue, des systèmes de sécurité robustes, ainsi qu'une surveillance et une gestion continues pour garantir que les utilisateurs sont correctement authentifiés et autorisés à accéder aux ressources. 47 Sécurité des réseaux – Intrusion Prevention › Systèmes de prévention des intrusions (IPS: Intrusion Prevention System) : – un IPS est une solution de sécurité qui utilise l'inspection approfondie des paquets (DPI) et d'autres techniques pour surveiller et prévenir les menaces de sécurité en temps réel. – IPS fonctionne en examinant le contenu des paquets réseau en temps réel et en comparant ces informations à une base de données des menaces de sécurité connues. – Si une menace est détectée, l'IPS prendra des mesures pour empêcher le trafic d'entrer dans le réseau. 48 Sécurité des réseaux – IPS Architecture › Au cœur du déploiement d’un système de prévention des intrusions se trouvent un ou plusieurs capteurs. Chaque capteur est stratégiquement positionné pour surveiller le trafic sur des segments de réseau particuliers. › Auparavant, les organisations déployaient un capteur pour chaque segment de réseau, mais désormais, un seul capteur peut surveiller plusieurs segments de réseau simultanément. › Afin de surveiller les segments de réseau clés dans une organisation, les capteurs IPS sont souvent déployés dans les points de connexions avec des politiques de sécurité différentes comme l’accès Internet. › En plus des capteurs d'Appliance hardware, certains fournisseurs proposent également des capteurs d'Appliance virtuels. 49 Sécurité des réseaux – Intrusion Detection System (IDS) › Un système de détection d'intrusion (IDS) rassemble et analyse des informations provenant d'un ordinateur ou d'un réseau pour identifier les accès non autorisés, les utilisations abusives et les violations possibles. › IDS peut également être appelé un sonde/sniffer qui intercepte les paquets acheminés sur divers supports de communication. Tous les paquets sont analysés après leur capture. 50 Sécurité des réseaux – Unified Threat Management (UTM) › Unified Threat Management (UTM) Devices: – un appareil UTM est une solution de sécurité qui combine plusieurs technologies de sécurité en un seul appareil ou une seule plate-forme. – Les UTM incluent généralement des pares-feux, des IPS, des antivirus, des anti-spam et d'autres technologies de sécurité. – L'objectif d'un UTM est de fournir une solution de sécurité complète aux petites et moyennes organisations, en combinant plusieurs technologies de sécurité en un seul appareil ou une seule plate-forme. 51 Sécurité des réseaux – Les types des NGFW (Next Generation Firewall) › Les NGFWs sont des solutions de pare-feu avancées qui offrent des fonctionnalités de sécurité améliorées par rapport aux pare-feu traditionnels. Il existe plusieurs types de NGFW, notamment : – Stateful Firewall NGFW – Application-Aware NGFW – Threat Prevention NGFW – Identity-Aware NGFW – SSL/TLS Inspection NGFW 52 Les types des NGFW - Stateful Firewall NGFW › Ce type de pare-feu NGFW offre les mêmes fonctionnalités que les pares-feux traditionnels, mais avec des performances et une évolutivité améliorée. Un pare-feu dynamique assure le suivi de l'état de chaque connexion, ce qui lui permet de gérer le trafic réseau et d'appliquer plus efficacement les politiques de sécurité. › L'état d'une connexion fait référence à l'état ou à la condition actuelle d'une communication entre deux équipements d'un réseau. › Dans un pare-feu avec état, l'état de chaque connexion est suivi et maintenu par le pare- feu, ce qui lui permet de gérer le trafic réseau et d'appliquer plus efficacement les politiques de sécurité. – Par exemple, lorsqu'une connexion est établie entre un client et un serveur, le pare-feu dynamique enregistre des informations sur la connexion, telles que les adresses IP source et de destination (comme l'adresse des emplacements physiques utilisés dans le contexte d'Internet), les ports utilisés, et l'état actuel de la connexion (par exemple, établie, fermée, etc.). Ces informations sont utilisées pour autoriser ou bloquer le trafic réseau ultérieur lié à cette connexion, en fonction des politiques de sécurité définies dans le pare-feu. – En suivant l'état de chaque connexion, un pare-feu dynamique peut fournir un niveau de sécurité plus élevé que les pares-feux traditionnels, qui examinent uniquement les adresses source et de destination de chaque paquet et ne peuvent pas faire la distinction entre les différents types de trafic réseau liés à une seule connexion. En résumé, l'état de chaque connexion est un concept important dans la technologie des pare-feu dynamiques, car il permet au pare-feu de gérer efficacement le trafic réseau et d'appliquer des politiques de sécurité basées sur l'état et le contexte de chaque connexion. 53 Les types des NGFW – SSL/TLS Inspection NGFW › Le protocole TLS permet aux applications de communiquer sur un réseau de manière à garantir la confidentialité et l'intégrité des communications. › Ce type de NGFW est conçu pour inspecter le trafic réseau chiffré, tel que celui généré par les applications chiffrées SSL/TLS. Il permet organisations pour inspecter le contenu du trafic réseau chiffré et appliquer des politiques de sécurité, même lorsque le trafic est chiffré. › L'inspection SSL/TLS fait référence au processus d'examen du contenu du trafic réseau chiffré pour garantir qu'il est conforme aux politiques de sécurité. › En inspectant le trafic SSL/TLS, les organisations peuvent détecter et prévenir les menaces de sécurité qui pourraient autrement être cachées dans le trafic réseau chiffré. 54 Les types des NGFW - Autres › Application-Aware NGFW: – ce type de NGFW est conçu pour inspecter et contrôler le trafic des applications. – Il utilise l'inspection approfondie des paquets (DPI) et d'autres techniques pour identifier et contrôler des applications spécifiques, telles que les applications Web, la messagerie électronique et la messagerie instantanée. – Cela permet aux organisations d'appliquer des politiques de sécurité et de contrôler l'utilisation d'applications spécifiques sur leurs réseaux. › Threat Prevention NGFW: – Ce type de NGFW est conçu pour empêcher les menaces de sécurité, telles que les logiciels malveillants, de pénétrer dans le réseau. – Il utilise des systèmes de prévention des intrusions (IPS) et d'autres technologies de sécurité pour inspecter le trafic réseau en temps réel et bloquer ou mettre en quarantaine le trafic soupçonné d'être malveillant. › Identity-Aware NGFW: – Ce type de NGFW est conçu pour appliquer des politiques de sécurité basées sur l'identité de l'utilisateur. – Il s'intègre aux systèmes de gestion de l'identité des utilisateurs pour fournir une sécurité contextuelle, permettant aux organisations de contrôler l'accès à des ressources spécifiques en fonction du rôle et des privilèges de l'utilisateur. 55 NGFW: Dimensionnement › Le dimensionnement d'une solution NGFW implique de déterminer les ressources et capacités appropriées requises pour gérer et sécuriser efficacement votre organisation. Voici quelques facteurs à prendre en compte: – Taille et complexité du réseau : la taille et la complexité du réseau, y compris le nombre, types de devices, et les locations, auront un impact sur le dimensionnement de la solution NGFW. – Volume et bande passante du trafic : auront un impact sur la taille et la capacité de la solution NGFW requise. – Applications et services : les applications et services spécifiques utilisés dans le réseau auront un impact sur la taille de la solution NGFW requise, car différentes applications peuvent avoir des exigences de sécurité différentes. – Exigences de sécurité : le niveau de sécurité requis pour le réseau, tel que le besoin de prévention des intrusions, de protection avancée contre les menaces ou de prévention des pertes de données « Data Loss », aura un impact sur la taille de la solution NGFW requise. – Capacités du fournisseur de cloud : les capacités du fournisseur de cloud, y compris les fonctionnalités de sécurité disponibles et la capacité de son infrastructure, auront un impact sur la taille de la solution cloud NGFW requise. Il faut être extrêmement clair sur ce que les fournisseurs de services cloud appellent « matrice de responsabilité partagée » – Monitoring and Management: La surveillance et la gestion d'une solution NGFW impliquent plusieurs tâches pour garantir que la solution fonctionne correctement et protège efficacement le réseau Trrafic analysis, Log management, configuration management, monitoring…Etc). 56