Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

Sécurité Informatique Cours Sécurité Informatique CHAKIR EL MOSTAPHA chakirsmi@

Sécurité Informatique Cours Sécurité Informatique CHAKIR EL MOSTAPHA chakirsmi@gmail.com 1 Sécurité Informatique La sécurité informatique Les attaques informatiques La cryptographie PKI (Public Key Infrastructure) Les politiques de sécurité L’authentification Systèmes contribuant à la sécurité des réseaux informatiques Les normes de sécurité Les réseaux privés virtuels VPN La supervision IP Travaux pratiques: Cryptographie, PKI (Open SSL, Reverse Proxy Apache), VPN SSL (OpenVPN) Matières de formation 2 Sécurité Informatique Chapitre 1 : Notions de base de la sécurité Informatique 3 Sécurité Informatique Quel est le but de la sécuritéinformatique ?  Protéger la réputation  Satisfaire aux exigences légales  Eviter des pertes financières La sécurité = {mesures} permettant d’assurer la protection de l’information & Systèmes 4 Sécurité Informatique Quel est le but de la sécuritéinformatique ? Protéger l’informatique ?  Assurer son intégrité ?  Assurer sa confidentialité?  Assurer sa disponibilité ?  Apporter des preuves ? Empêcherles accès aux utilisateurs non autorisés ? 5 Sécurité Informatique Se protéger contre qui ? Externes Pirates Saboteurs Concurrents Anciens employés Organisations criminelles Internes Employés mécontents Fraudeurs Espions Innocents employés 6 Sécurité Informatique Causes de l’insécurité Au sein d’un réseau informatique, on distingue généralement cinq types de faille qui peuvent causer l’état d’insécurité: Les failles physiques : généralement dans une entreprise ou une administration la sécurité d’accès aux matériels informatiques n’a pas une grande importance. Il suffit de trouver des prétextes comme faire des tests, de la maintenance ou le nettoyage pour accéder. L’exploitation de cet accès physique pour: voler un mot de passe, effacer des données, usurper l’identité d’un autre injecter des programmes malveillants peut causer des dégâts catastrophiques pour une entreprise. 7 Sécurité Informatique Causes de l’insécurité Les failles réseaux : les réseaux informatiques sont fondés sur des normes et des standards bien réfléchis où plusieurs organismes collaborent pour les perfectionner. Malgré tous les efforts faits, il existe certaines failles ou détournements de fonctionnement des standards exploitables. Le problème avec les failles réseau c’est la complexité de leurs corrections qui varie d’après la taille du réseau. À titre d’exemple, corriger les failles réseau d’internet est utopique, c’est la raison pour laquelle on se contente de faire des améliorations comme le passage vers IPV6. 8 Sécurité Informatique Causes de l’insécurité Les failles systèmes: les systèmes d’exploitation sont de plus en plus sophistiqués, ils intègrent différent mécanisme de sécurité comme les mots de passe, les logs, séparation des privilèges...etc. La complexité, la mauvaise configuration ainsi que les faiblesses de certains mécanismes des systèmes d’exploitation représentent un danger pour les utilisateurs. Par exemple la complexité d’un mécanisme de sécurité pousse les utilisateurs à le désactiver, de plus la mauvaise configuration peut engendrer l’arrêt ou la saturation du système. 9 Sécurité Informatique Causes de l’insécurité Les failles applicatives : les failles applicatives sont des failles très connues et très répondues. Ils peuvent être causés par: la mauvaise conception, non-traitement des exceptions, faille dans le langage de programmation. Ces failles peuvent engendrer beaucoup de problèmes qui influencent le fonctionnement du système. 10 Sécurité Informatique Causes de l’insécurité Les failles Web : le monde du web représente la combinaison de différent protocole, réseaux, système et application. Les failles web peuvent être causées par l’une des failles précédemment citées ou par des failles qui résident au niveau des protocoles et des standards du fonctionnement du web. 11 Sécurité Informatique Principaux défauts de sécurité Les défauts de sécurité d’un système d’information les plus souvent constatés sont: Installation des logiciels et matériels par défaut. Mises à jours non effectuées. Mots de passe inexistants ou par défaut. Services inutiles conservés (Netbios…). Traces inexploitées. Pas de séparation des flux opérationnels des flux d’administration des systèmes. Procédures de sécurité obsolètes. Eléments et outils de test laissés en place dans les configurations en production. Authentification faible. Télémaintenance sans contrôle fort. 12 Sécurité Informatique Les Objectifs de la sécurité La sécurité informatique vise généralement trois principaux objectifs : L'intégrité, La confidentialité et La disponibilité. L'intégrité : c'est-à-dire garantir que les données sont bien celles que l'on croit être, l’intégrité consiste à garantir trois buts principaux : Préserver le changement des informations par les utilisateurs non autorisés 1. Préserver le changement non autorisé ou involontaire d'information par les utilisateurs autorisés 2. Préserver la cohérence interne et la cohérence externe :  La cohérence interne : consiste à assurer la cohérence des données interne. Par exemple dans une organisation on assure que le nombre total des articles maintenus par cette organisation est égal à la somme des mêmes articles dans la base de données.  La cohérence externe : consiste à assurer que la cohérence entre les données dans la base de données et le monde réel est maintenue. Par exemple dans une entreprise on assure que le nombre des articles vendus est le même nombre dans la base de données. Techniques utilisées: cryptage, signature numérique, contrôle d’accès, contrôle d’intégrité 13 Sécurité Informatique Les Objectifs de la sécurité La confidentialité: La confidentialité repose sur la prévention des accès non autorisés à une information. La nécessité de confidentialité est apparue suite à l’intégration des systèmes d’informations critiques, telles que les organisations gouvernementales ou les industries, dans des zones sensibles. La confidentialité est ainsi définie par l’Organisation Internationale de Normalisation (ISO) comme “le fait de s’assurer que l’information est seulement accessible qu’aux entités dont l’accès est autorisé”. La disponibilité : La disponibilité se réfère à la possibilité d’utiliser l’information ou une ressource désirée. Cette propriété est à mettre en parallèle avec la fiabilité car le fait d’avoir un système qui n’est plus disponible est un système défaillant. Dans le cadre de la sécurité, la propriété de disponibilité se réfère au cas où un individu peut délibérément interdire l’accès à certaines informations ou ressources d’un système. Techniques utilisées: la Supervision 14 Sécurité Informatique Les Objectifs de la sécurité Non répudiation: Empêche l’émetteur ou le receveur de nier avoir transmis ou reçu un message. Non répudiation d’envoi: Le destinataire prouve que la source prétendue vient démettre le message en question. Non répudiation de réception: L’émetteur prouve que son message a été reçu effectivement par la destination prétendue. Techniques utilisées: signature électronique (asymétrique), notarisation. 15 Sécurité Informatique Les Objectifs de la sécurité Authentification: S’assurer que l’origine du message soit correctement identifiée: Assurer le receveur que le message émane de la source qui prétend avoir envoyé ce message. Assurer l’authenticité des entités participantes: chacune des entités est celle qui prétende l’être. Empêcher la perturbation de la connexion par une tierce partie qui se fait passer pour une entité légitime (émission ou réception non autorisée). Techniques utilisées: Cryptage, signature numérique, secret (mots de passes, PIN). 16 Sécurité Informatique Étude des risques Les coûts d'un problème informatique peuvent être élevés et ceux de la sécurité le sont aussi. Il est nécessaire de réaliser une analyse de risque en prenant soin d'identifier les problèmes potentiels avec les solutions avec les coûts associés. Il faut cependant prendre conscience que les principaux risques restent : « câble arraché », « coupure secteur », « crash disque », « mauvais profil utilisateur », Voici quelques éléments pouvant servir de base à une étude de risque: Quelle est la valeur des équipements, des logiciels et surtout des informations ? Quel est le coût et le délai de remplacement ? Faire une analyse de vulnérabilité des informations contenues sur les ordinateurs en réseau (programmes d'analyse des paquets, logs…). Quel serait l’impact sur la clientèle d'une information publique concernant des intrusions sur les ordinateurs de la société ? 17 Sécurité Informatique Motivations  Le gain financier: Récupération de num de cartes bancaires, ...  Vengeance  Curiosité: Attaques d'étudiants du MIT sur le premier ordinateur IBM 704 au MIT en 1959.  Recherche d'émotions fortes 18 Sécurité Informatique Le bonobjectif Protéger l’entreprise Y compris sa version non informatique Par des moyens informatiques Si vous n’êtes pas convaincus, essayez d’en convaincre vos interlocuteurs. 19 Sécurité Informatique Comment faire Evaluer Les difficultés Le contexte Quels sont les risques ? Quelles sont les menaces ? Définir les rôles : politique de sécurité Qui fait quoi, comment et quand ? Qui peut faire quoi, comment et quand ? Définir un plan d’action Quelle sont les priorités ? 20 Sécurité Informatique Evaluer Les difficultés Le contexte Quels sont les risques ? Quellessont les menaces ? 21 Sécurité Informatique Lesdifficultés Génère des désagréments Beaucoup de travail Nécessite de fortes compétences en réseau, en système, en droit, et une remise à niveau permanente Coûte de l’argent et ne rapporte rien Pas de reconnaissance Si ça marche : "A quoi ça sert ?" Sinon : "Vous êtes nuls !" 22 Sécurité Informatique Le contexte :Internet Historique Connexion de bout enbout Réseau ouvert 23 Sécurité Informatique Historique 1962 : Réseau militaire 1968 : Premiers tests réseau à paquets 1 Octobre 1969 Arpanet(RFC,UNIX) Septembre 1978 : IPv4 1991 : Création de WWW par Tim Lee Werners 1992 : Découverte d’Internet par le grand public 24 Sécurité Informatique Lesrisques Destruction de données Perte de marchés Perte de temps et donc d’argent Risques juridiques 25 Sécurité Informatique Destruction de données Comptabilité Données clients R uploads/Science et Technologie/ cours-securite-20180210-v06.pdf