Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

Analyse de risque Jean-Marc Robert Génie logiciel et des TI Jean-Marc Robert, E

Analyse de risque Jean-Marc Robert Génie logiciel et des TI Jean-Marc Robert, ETS Analyse de risque - A08 2 Plan de la présentation Introduction – Rappel Les objectifs de l’analyse de risque Définitions NIST SP 800-30 Évaluation des risques Atténuation des risques Évaluation et appréciation Conclusions Jean-Marc Robert, ETS Analyse de risque - A08 3 L’analyse de risque – le premier pas Définir les besoins. Déterminer les actifs à protéger et leurs propriétaires.  Quelles sont leurs valeurs? Quelles sont leurs criticités? Quelles sont leurs propriétés? Déterminer les menaces représentant des risques.  Quels sont les acteurs – attaqueurs? Quels sont leurs motivations et leurs moyens? Déterminer les objectifs à atteindre.  Quelles sont les propriétés des actifs à protéger? Proposer une solution. Déterminer les contre-mesures à mettre en place. Évaluer les risques résiduels. Déterminer quelles sont les vulnérabilités toujours présentes. Déterminer leurs impacts sur les objectifs initiaux. Jean-Marc Robert, ETS Analyse de risque - A08 4 L’analyse de risque – schématiquement Propriétaires Contre-mesures Actifs Risques Menaces Attaqueurs désirant accéder à représentant à à augmentant désirant minimiser tenant à demandant réduisant Adapté de ISO/IEC 15408 – Common Criteria. Jean-Marc Robert, ETS Analyse de risque - A08 5 Objectif Avoir une meilleure protection des systèmes qui conservent, traitent et transmettent les informations essentielles au bon déroulement des affaires. Prendre de meilleures décisions basées sur des faits tangibles et mesurables. Investissement en équipement, personnel, formation, … Permettre à une organisation d’accomplir sa mission. Jean-Marc Robert, ETS Analyse de risque - A08 6 Les définitions Vulnérabilité Défaut ou faiblesse d’un système dans sa conception, sa mise en œuvre ou son contrôle interne pouvant mener à une faille de sécurité ou à la violation de sa politique de sécurité. Une vulnérabilité peut être exploitée de façon accidentelle ou de façon malicieuse. Menace La possibilité qu’une vulnérabilité soit exploitée accidentellement ou par un agent malicieux. Risque Impact sur la mission de l’entreprise. Dépends à la fois de la vraisemblance de la menace et de son impact sur les actifs et les ressources. Jean-Marc Robert, ETS Analyse de risque - A08 7 NIST SP 800-30 Jean-Marc Robert, ETS Analyse de risque - A08 8 NIST SP 800-30 – Objectif Décrire une méthodologie permettant de réaliser une analyse de risque pour des systèmes des TI tenant compte du cycle de développement de ces systèmes. Initiation Acquisition et développement Implémentation Opération et maintenance Élimination Jean-Marc Robert, ETS Analyse de risque - A08 9 NIST SP 800-30 – Trois grandes étapes Évaluation des risques Identification et évaluation des risques et de leurs impacts. Détermination des priorités de ces risques. Recommandation de contre-mesures. Atténuation des risques Classement par ordre de priorité des contre-mesures. Implémentation des contre-mesures. Évolution et évaluation Évaluation continue du système au cours de son évolution. Jean-Marc Robert, ETS Analyse de risque - A08 10 NIST SP 800-30 – Évaluation des risques Neuf étapes Caractérisation du système Identification des menaces Identification des vulnérabilités Analyse des fonctionnalités de sécurité Détermination de la vraisemblance Analyse des impacts Détermination des risques Recommandation des contre-mesures Documentation Jean-Marc Robert, ETS Analyse de risque - A08 11 NIST SP 800-30 – Évaluation des risques Étape 1 Caractériser le système  Matériel  Logiciel  Interfaces  Actifs  Acteurs  Mission  Frontières  Fonctionnalités  Criticité et sensitivité  Système  Données Entrée Résultat Étape 2 Identifier les menaces  Évaluations antérieures  Audits et tests  Exigences de sécurité  Liste des menaces Étape 3 Identifier les vulnérabilités  Historique des attaques  Bases de connaissance  Liste des vulnérabilités Jean-Marc Robert, ETS Analyse de risque - A08 12 NIST SP 800-30 – Évaluation des risques Étape 4 Analyser les fonctionnalités  Fonctionnalités  Actuelles  Prévues  Liste des fonctionnalités Entrée Résultat Étape 5 Déterminer la vraisemblance  Motivation  Capacité  Type de vulnérabilités  Fonctionnalités  Estimation de la vraisemblance Étape 6 Analyser les impacts (Intégrité, confidentialité et disponibilité)  Mission  Actifs  Criticité et sensi- tivité des actifs  Estimation des impacts Jean-Marc Robert, ETS Analyse de risque - A08 13 NIST SP 800-30 – Évaluation des risques Étape 7 Déterminer les risques  Fonctionnalités  Vraisemblance des menaces  Impacts  Risques  Niveaux de risque Entrée Résultat Étape 8 Recommander des contre-mesures  Liste des contre-mesures Étape 9 Documentation  Rapport Jean-Marc Robert, ETS Analyse de risque - A08 14 Étape 1 – Caractérisation du système Définir les limites du système à évaluer Mission d’affaire  Acteurs – usagers, administrateurs, …  Actifs informationnels – criticité et sensitivité (intégrité, confidentialité et disponibilité)  Exigence de sécurité Matériel  Topologie, mécanismes de protection, … Logiciel Flots d’information  Connectivité réseau  Interfaces de programmation (API) Contrôle de gestion et Contrôle opérationnel Évaluer la tâche à accomplir et les efforts requis. Jean-Marc Robert, ETS Analyse de risque - A08 15 Étape 1 – Information Questionnaires Entrevues Revue de la documentation Outils automatiques de balayage Jean-Marc Robert, ETS Analyse de risque - A08 16 Étape 2 – Identification des menaces Développer une liste des sources de menaces potentielles contre le système des TI. Source de menace: Tout circonstance ou événement pouvant potentiellement causer des dommages. Naturelle  Inondations, tremblements de terre, tornades, … Environnementale  Pollution, pannes électriques prolongées, fuites d’eau, … Humaine  Erreurs humaines non intentionnelles  Actions malicieuses  Actions non malicieuses, mais cherchant à contourner une politique de sécurité  Par exemple, une porte dérobée pour fin de débogage Jean-Marc Robert, ETS Analyse de risque - A08 17 Étape 2 – Identification des menaces Une fois que les sources de menaces ont été identifiées, il faut pouvoir évaluer: Leurs motivations  Argent, terroristes, activistes, … Leurs moyens  Monétaire, technologique, … Leurs aptitudes  Novice, intermédiaire, expert, … Jean-Marc Robert, ETS Analyse de risque - A08 18 Étape 2 – Information Agences gouvernementales ou paragouvernementales FBI InfraGard (http://www.infragard.net/) US Computer Emergency Readiness Team (http://www.us-cert.gov/) CMU Software Engineering Institute CERT (www.cert.org) Organismes commerciaux SANS (http://www.sans.org/) SecurityFocus (http://www.securityfocus.com/) … Media Jean-Marc Robert, ETS Analyse de risque - A08 19 Étape 3 – Identification des vulnérabilités Humain  Personnel TI et usagers Politiques de sécurité Architecture  IT, logiciel Implémentation  IT, logiciel Déploiement  IT, configuration logicielle Développer une liste des vulnérabilités pouvant être exploitées par les diverses sources de menaces. Pour un système existant, l’identification des vulnérabilités vérifie que les exigences de sécurité – définies à l’étape 1 – sont satisfaites. Sources de vulnérabilités Jean-Marc Robert, ETS Analyse de risque - A08 20 Étape 3 – Information Agences gouvernementales ou paragouvernementales FBI InfraGard (http://www.infragard.net/) US Computer Emergency Readiness Team (http://www.us-cert.gov/) CMU Software Engineering Institute CERT (www.cert.org) US National Vulnerability Database (http://nvd.nist.gov/) Mitre, Common Vulnerabilities and Exposure (http://cve.mitre.org/cve/) Organismes commerciaux Sites des entreprises: Microsoft, Oracle, Symantec, … SANS (http://www.sans.org/) SecurityFocus (http://www.securityfocus.com/)  Bugtraq Outils de détection Nessus, Codenomicon, … Media Jean-Marc Robert, ETS Analyse de risque - A08 21 Étape 4 – Analyse des fonctionnalités Développer une liste des fonctionnalités de sécurité existantes ainsi que celle planifiées afin de réduire ou éliminer la probabilité qu’une source de menaces puisse exploiter une vulnérabilité. Une vulnérabilité a peu de chance d’être exploitée si et seulement si Les sources de menaces sont peu motivées ou ont peu de moyens, ou Il existe un moyen de défense réussissant à diminuer l’exposition à cette vulnérabilité. Jean-Marc Robert, ETS Analyse de risque - A08 22 Étape 4 – Méthodes de contrôle Méthodes techniques Logiciel et matériel: contrôle d’accès, identification, authentification, chiffrement, … Méthodes non techniques Politiques de sécurité, procédures opérationnelles, sécurité du personnel, sécurité physique, … Jean-Marc Robert, ETS Analyse de risque - A08 23 Étape 4 – Types de contrôle Prévenir les tentatives de violation de politiques de sécurité. Contrôle d’accès, chiffrement et authentification, systèmes de prévention d’intrusions, … Détecter les tentatives (ou les réussites) de violation de politiques de sécurité. Pistes de vérification (Audit trail) , systèmes de détection d’intrusions, codes d’intégrité, … Réagir aux tentatives de violation de politiques de sécurité. Pare-feu bloquant le trafic malveillant, réseau de quarantaine, … Jean-Marc Robert, ETS Analyse de risque - A08 24 Étape 5 – Détermination de la vraisemblance La vraisemblance indique la probabilité qu’une vulnérabilité soit exploitée par une source de menaces. Afin de déterminer la vraisemblance, il faut considérer les points suivants: Les aptitudes et la motivation d’une source de menaces La nature de la vulnérabilité L’existence et l’efficacité d’un moyen de contrôle Jean-Marc Robert, ETS Analyse de risque - A08 25 Étape 5 – Détermination de la vraisemblance Vraisemblance Définition Haut La source de menaces est hautement motivée et possède tous les moyens requis pour effectuer son attaque ET aucun moyen de contrôle efficace n’est en place. Moyen La source de menaces est motivée et possède les moyens courants, MAIS des moyens de contrôle sont en place afin de réduire l’impact de vulnérabilité. Bas La source de menaces manque de motivation ou de moyen OU il existe un moyen efficace afin de prévenir l’exploitation de la vulnérabilité. Jean-Marc Robert, ETS Analyse de risque - A08 26 Étape 6 – uploads/Management/ cours-01-c-analyse-de-risque.pdf