Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

OFPPT ROYAUME DU MAROC Support de formation Concepteur : M TAIS Adil de l’ISTA

OFPPT ROYAUME DU MAROC Support de formation Concepteur : M TAIS Adil de l’ISTA Taza Office de la Formation Professionnelle et de la Promotion du Travail DIRECTION RECHERCHE ET INGENIERIE DE FORMATION SECTEUR TERTIAIRE & NTIC A AS SS SU UR RA AN NC CE E D DE E L LA A S SE EC CU UR RI IT TE E E ET T D DE E L L’ ’I IN NT TE EG GR RI IT TE E D DU U S SY YS ST TE EM ME E I IN NF FO OR RM MA AT TI IQ QU UE E Module : Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS - 1/59 Assurance de la sécurité et de l’intégrité du système informatique 1. Intro à la sécurité informatique _______________________________________ 3 2. Objectifs de la sécurité informatique _________________________________ 3 3. Classification des risques ______________________________________________ 3 4. Techniques de sécurisation d'un système ____________________________ 4 4.1 Contrôle d'accès TV : _______________________________________________ 5 4.2 Contrôle d'accès dans les entreprises : ___________________________ 5 4.3 Contrôle d'accès aux systèmes informatiques : __________________ 5 4.4 Identification des personnes : _____________________________________ 5 4.5 Surveillance du réseau _____________________________________________ 6 4.5.1 Packet sniffer _____________________________________________________________________6 4.5.2 Système de détection d'intrusion __________________________________________________6 4.6 Sécurité applicative : _______________________________________________ 7 4.6.1 Séparation des privilèges__________________________________________________________7 4.6.2 Audit de sécurité __________________________________________________________________7 4.6.3 Rétro-ingénierie ___________________________________________________________________7 4.6.4 Rétro-ingénierie et logiciel_________________________________________________________7 4.7 Pare-feu : ___________________________________________________________ 8 4.7.1 Introduction à la notion de firewall ________________________________________________8 4.7.2 Qu'est-ce qu'un pare-feu ? ________________________________________________________8 4.7.3 Fonctionnement d'un système pare-feu____________________________________________9 4.7.4 La Zone DeMilitarized (DMZ) ______________________________________________________9 4.7.5 Implémentations connues :________________________________________________________9 4.7.6 Architecture simple_______________________________________________________________10 4.7.7 Architectures complexes__________________________________________________________11 4.7.8 Architecture DMZ trois tiers ______________________________________________________13 4.8 VLAN _______________________________________________________________ 13 4.8.1 Définition ________________________________________________________________________13 4.8.2 Applications : ____________________________________________________________________14 4.9 Sécuriser un réseau Wi-Fi_________________________________________ 16 4.10 Antivirus ___________________________________________________________ 19 4.10.1 Qu’est ce-qu’un virus ?_________________________________________________________20 4.10.2 Principaux antivirus : __________________________________________________________23 4.11 Spam _______________________________________________________________ 24 4.12 Cibles du pourriel : ________________________________________________ 25 4.12.1 Par courrier électronique : _____________________________________________________25 4.12.2 Par des fenêtres pop-up de Windows. __________________________________________25 4.12.3 Par systèmes vocaux : _________________________________________________________25 4.12.4 Spamdexing - Référencement abusif ___________________________________________25 4.13 Lutte contre le pollupostage ______________________________________ 26 4.13.1 Lutte technique ________________________________________________________________26 4.13.2 Modération ____________________________________________________________________27 4.14 Logiciel espion _____________________________________________________ 27 4.14.1 Étymologie ____________________________________________________________________27 Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS - 2/59 4.14.2 Fonctionnement________________________________________________________________27 4.14.3 Où trouve-t-on des logiciels espions ? __________________________________________27 4.14.4 Comment lutter contre les logiciels espions ?___________________________________28 4.14.5 Utiliser un anti-espiogiciel______________________________________________________28 4.15 Cheval de Troie (informatique)___________________________________ 28 4.15.1 Exemples de chevaux de Troie _________________________________________________29 4.16 L'usurpation d'identité: le phishing ______________________________ 29 4.17 Cryptographie______________________________________________________ 29 4.17.1 Vocabulaire ____________________________________________________________________29 4.17.2 Algorithmes et protocoles ______________________________________________________30 4.17.3 Fonctions de hachage (exemple avec la signature électronique) ________________31 4.18 Access Control List: _______________________________________________ 32 4.18.1 Pourquoi les ACL?______________________________________________________________33 4.18.2 Utilisation______________________________________________________________________33 4.18.3 Les ACL chez les autres systèmes ______________________________________________33 4.18.4 ACL en réseau _________________________________________________________________33 4.19 Stéganographie____________________________________________________ 33 4.20 Les certificats numériques ________________________________________ 34 4.20.1 Familles _______________________________________________________________________34 4.20.2 Nature et composition _________________________________________________________34 4.20.3 Gestion ________________________________________________________________________34 4.20.4 Modes de création _____________________________________________________________35 4.20.5 Scénario de fin de vie __________________________________________________________35 4.21 Infrastructure à clés publiques ___________________________________ 36 4.21.1 Rôle d'une infrastructure de gestion des clés ___________________________________36 4.21.2 Composants de l'infrastructure de gestion des clés _____________________________36 5 Politique de sécurité de l'information ________________________________ 36 5.1 Qu'est ce qu'une politique de sécurité de l'information? _______ 36 5.2 Light Information Security Policy: _______________________________ 37 5.3 Politique de sécurité renforcée (Reinforced Information Security Policy) : __________________________________________________________________ 39 6 Guide de survie :_______________________________________________________ 42 6.1 Quelques conseils : ________________________________________________ 42 6.2 Les audits sécurité et les tests de disponibilité _________________ 42 7 Éléments de sécurité sous Windows XP______________________________ 43 7.1 Nouveautés en matière de sécurité ______________________________ 43 7.2 Protéger votre ordinateur en ligne _______________________________ 44 7.2.1 Sécurité de votre ordinateur______________________________________________________44 7.2.2 Utilisation de certificats pour la confidentialité et la sécurité_______________________45 7.2.3 Présentation des cookies _________________________________________________________46 7.2.4 Utilisation des Dossiers Web______________________________________________________46 7.2.5 Partager votre ordinateur de façon plus sûre______________________________________47 7.2.6 Vue d'ensemble du partage des fichiers et des dossiers ___________________________50 8 Glossaire _______________________________________________________________ 56 9 Références :____________________________________________________________ 59 Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS - 3/59 1. Intro à la sécurité informatique Le terme « système d'information » désigne ici tout système dont le fonctionnement fait appel, d'une façon ou d'une autre, à l'électricité et destiné à élaborer, traiter, stocker, acheminer ou présenter de l'information. De tels systèmes se prêtent à des intrusions de types diverses, susceptibles de modifier ou détruire l'information, ou de la révéler à des tiers qui ne doivent pas en avoir connaissance. Ces intrusions peuvent être simples. Utilisant des technologies et de méthodes très répandues, elles sont à la portée de services spécialisés dans la recherche du renseignement comme à celle de particuliers à l'affût d'informations pouvant servir leurs intérêts, entre autres les organisations criminelles, terroristes ou susceptibles de compromettre l'ordre public. La Sécurité des systèmes d’information (SSI) est l’ensemble des moyens techniques, organisationnels, juridiques et humains nécessaires pour conserver ou rétablir la disponibilité, l'intégrité et la confidentialité des informations ou du système. 2. Objectifs de la sécurité informatique La sécurité informatique vise généralement cinq principaux objectifs : La confidentialité La confidentialité consiste à rendre l'information inintelligible à d'autres personnes que les seuls acteurs de la transaction. L'intégrité Vérifier l'intégrité des données consiste à déterminer si les données n'ont pas été altérées durant la communication (de manière fortuite ou intentionnelle). La disponibilité L'objectif de la disponibilité est de garantir l'accès à un service ou à des ressources. La non-répudiation La non-répudiation de l'information est la garantie qu'aucun des correspondants ne pourra nier la transaction. L'authentification L'authentification consiste à assurer l'identité d'un utilisateur, c'est-à-dire de garantir à chacun des correspondants que son partenaire est bien celui qu'il croit être. Un contrôle d'accès peut permettre (par exemple par le moyen d'un mot de passe qui devra être crypté) l'accès à des ressources uniquement aux personnes autorisées. 3. Classification des risques La sécurité informatique vise à se protéger contre les risques liés à l'informatique, pouvant être fonction de plusieurs éléments : • les menaces qui pèsent sur les actifs à protéger ; • les vulnérabilités de ces actifs ; • la sensibilité de ceux-ci, qui est la conjonction de différents facteurs : o Disponibilité, o Intégrité, o Confidentialité, o Imputabilité. Si l'un des éléments est nul, le risque n'existe pas. C'est pourquoi, l'équation est généralement représentée par : Risque = Menaces * Vulnérabilités * Sensibilité Les principales menaces effectives auxquelles on peut être confronté sont : Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS - 4/59 • l'utilisateur : l'énorme majorité des problèmes liés à la sécurité d'un système d'information est l'utilisateur (par insouciance ou malveillance) • les programmes malveillants : un logiciel destiné à nuire ou à abuser des ressources du système est installé (par mégarde ou par malveillance) sur le système, ouvrant la porte à des intrusions ou modifiant les données • l'intrusion : une personne parvient à accéder à des données ou à des programmes auxquels elle n'est pas censée avoir accès • un sinistre (vol, incendie, dégât des eaux) : une mauvaise manipulation ou une malveillance entraînant une perte de matériel et/ou de données. CSI/FBI 2004 Computer Crime and Security Survey Results (source: http://www.gocsi.com/ 4. Techniques de sécurisation d'un système • Contrôle des accès aux systèmes informatiques • Surveillance du réseau : supervision, sniffer, système de détection d'intrusion • Sécurité applicative : séparation des privilèges, audit de code, rétro-ingénierie • Emploi de technologies ad-hoc : pare-feu, antivirus, anti-spams, anti-spyware, anti-trojan Voir aussi: Cryptographie, liste de contrôle d'accès, stéganographie, infrastructure à clés publiques Nombre d’incidents connus liés à la sécurité informatique répertoriés par le CERT (http://www.cert.org/) Module : Assurance de la sécurité et de l’intégrité du système informatique -Concepteur : M. TAIS - 5/59 4.1 Contrôle d'accès TV : Contrôle d'accès, embarqué ou alors par module via l'interface commune, pour la télévision par satellite ou par émetteurs de télévision terrestre, TNT (Télévision Numérique Terrestre), en mode crypté: • Viaccess (TPS (Télévision par satellite), SSR, AB Sat, HRT, … • Mediaguard (groupe Canal Plus, AB SAT ,Cyfra) • Irdeto (Nova) • Videoguard (Sky italia) • … 4.2 Contrôle d'accès dans les entreprises : A différencier nettement le contrôle d'accès à certaines parties « sensibles » d'un bâtiment au contrôle de présence des employés dans l'entreprise. Le contrôle d'accès grâce à la biométrie commence à se développer. 4.3 Contrôle d'accès aux systèmes informatiques : Définition : Le contrôle d'accès à des ressources informatiques est généralement étudié suivant la règle AAA (Authentication Authorization Accounting): 4.4 Identification des personnes : La biométrie est couramment utilisée, seule ou associée à l'anthropométrie, afin d'identifier des personnes sur la base de caractéristiques physiques individuelles. Technologies : Les systèmes de contrôle biométrique peuvent analyser des caractéristiques morphologiques ou comportementales. > Analyse morphologique • les empreintes digitales ; • les empreintes palmaires (forme de la main) ; • la rétine ; • l'iris ; • le visage . > Analyse comportementale • la dynamique de signature uploads/Management/ ok-ofppt-module-securite-informatique-m-tais-ista-taza.pdf