gestion de sécurité d'entreprise -...

BTS SIO

D. ROUMANET

Gestion de Sécurité d'entreprise

David ROUMANET2014

07/03/2017 Gestion de la sécurité des SI 2

BTS SIO

D. ROUMANET

OBJECTIFS

● Comprendre le vocabulaire de sécurité

● Comprendre les éléments de sécurité

● Diagnostiquer les problèmes de sécurité

● Configurer des éléments de sécurité


BTS SIO

D. ROUMANET

PLAN

● Vocabulaire Sécurité

● Termes infrastructures● Termes applications● Certification 'neutre' : CISSP

● Equipements de sécurité

● Diagnostic

● Configuration


BTS SIO

D. ROUMANET

Sécurité

Définitions

Définition Equipements Diagnostics Configuration


BTS SIO

D. ROUMANET

Sécurité

Définition

Exprimez-vous...

Définition Équipements Diagnostics Configuration


BTS SIO

D. ROUMANET

Sécurité

Définition

Normalement, vous avez dû parler de :

● Hacker, failles (Vulnérabilités), firewall (parefeu)

● Attaques, Virus (vers, trojans, ...)

● Sécurisation, chiffrement, ("cryptage")

● VPN, ACL (access-list),

Eventuellement...● Déni de Services, XSS (Cross-Scripting), SQL Injection,

Absolument pas de...

● Cadenas, airbags, ceinture, ...



BTS SIO

D. ROUMANET

Sécurité

Définition

Les hackers sont les personnes qui tentent de découvrir les vulnérabilités d'un système (informatique ou non) pour pouvoir en prendre le contrôle ou bien le rendre inopérant (déni de service).

La sécurité consiste à vérifier régulièrement que les vulnérabilités connues sont protégées des actes malveillants mais aussi à permettre la récupération de données et a ne donner de droits qu'aux ressources autorisées.



BTS SIO

D. ROUMANET

Sécurité

Définition

Domaine d'application



BTS SIO

D. ROUMANET

Sécurité

Définition

l'ISC compte 10 domaines de sécurité pour sa certification :

1) Access control (contrôle d'accès)

2) Telecommunications and network security (réseaux et télécoms)

3) Information security governance and risk management (gouvernance)

4) Software development security (développement logiciel)

5) Cryptography (Cryptologie)

6) Security architecture and design (Architecture matériel)

7) Operations security (Sécurité des opérations)

8) Business continuity and disaster recovery planning (Plan de Continuité)

9) Legal, regulations, investigations and compliance (Lois et conformité)

10)Physical (environmental) security (environnement physique)



BTS SIO

D. ROUMANET

Sécurité

Définition

Les 10 domaines et des explications sommaires...

– Access control (contrôle d'accès)

Badges, droits NTFS, authentification, biométrie, groupes...

– Telecommunications and network security (réseaux et télécoms)

équipements informatiques (commutateurs, routeurs, proxy, parefeux, appliances, serveurs, PC portables ou fixes, Smartphones, ...)

– Information security governance and risk management (gouvernance)

Responsabilité, circuit de décision, administration et règles de gestion, conseils et analyse des risques, financement...



BTS SIO

D. ROUMANET

Sécurité

Définition


– Software development security (développement logiciel)

Sécurisation des procédures, limitation des tailles de saisies, possibilités d'annuler/revenir en arrière, fiabilité, limitation des fuites mémoires...

– Cryptography (Cryptologie)

Sécurisation des flux et des données par des techniques de chiffrement : VPN, TLS (HTTPS/SSL), IPSec, certificats, chiffrement symétrique/assymétrique

– Security architecture and design (Architecture matériel)

Protection thermique processeur, câblage, ventilation, capteurs de température, protection poussière, eau, vibration, ...



BTS SIO

D. ROUMANET

Sécurité

Définition


– Operations security (Sécurité des opérations)

Gestion transverse des sécurités matérielles, logicielles et de l'infrastructure pour obtenir un fonctionnement permanent. Audits, sauvegardes, ...

– Business continuity and disaster recovery planning (Plan de Continuité)

Anticipation des dommages naturels ou malveillants sur un site (séismes, tsunamis, inondations, chutes d'avions...) et reprise d'activité

– Legal, regulations, investigations and compliance (Lois et conformité)

Respect des standards, respect des lois du pays, ...

– Physical (environmental) security (environnement physique)

Mise en place de vidéosurveillance, de SAS, de zones protégées, ...



BTS SIO

D. ROUMANET

Sécurité

Définition

Exemple d'attaques de bas niveau (couche OSI)...



BTS SIO

D. ROUMANET

Sécurité

Définition

Exemple d'attaques de haut niveau (OWASP Top 10)...



BTS SIO

D. ROUMANET

Sécurité

Définition

Nous limiterons l'étude à ce cas de figure :

● Site principal (DMZ, LAN, DataCenter)

● Sites secondaires (VPN permanent)

● Employés nomades (VPN nomades)

● Partenaires, filiales...

● Public et clients

Ce cas de figure correspond à une majorité de cas dans la réalité !

● Non-étudié : WiFi, accès visiteurs, BYOD, développement...

● Non-étudié : gouvernance, sécu. physique...



BTS SIO

D. ROUMANET

Sécurité

Définition



BTS SIO

D. ROUMANET

Sécurité

Définition

CAID : les 4 piliers de la sécurité

● Confidentialité

L'information n'est visible que par les personnes concernées

● AuthentificationLa personne concernée est bien celle qu'elle prétend être

● IntégritéLes informations n'ont pas été altérées durant le transport

● DisponibilitéLes informations sont disponibles lorsque les personnes concernées veulent y accéder


C

I

A

D

A SAVOIR

PAR COEUR


BTS SIO

D. ROUMANET

Sécurité

Définition



Je veux accéder à un site web mais j'ai une erreur 404

J'accède à un site sécurisé mais j'ai une boite de dialogue me demandant d'accepter le certificat.

Mon serveur est en panne à cause de la foudre, je n'avais pas d'onduleur / parafoudre

J'ai pu imprimer sur le traceur A0 du labo de recherche, celui qui imprime les circuits top secret

Le code de l'ordi dans la salle de réunion est noté sur un post-it derrière le vidéoprojecteur

Comme le serveur mail du destroyer est en panne, j'ai envoyé le fichier des plans de l'étoile noire à l'empereur par mon compte Gmail, Mr Dark !

Comme le tech est en congés, j'ai passé mes identifiants au remplaçant en attendant que la DSI lui ouvre un compte

C'est bizarre, Jean-Paul n'écrit jamais « Tchao » à la fin de ses emails...

L'alarme bâtiment a sonné et la pochette bleue a été ouverte... mais tout semble là !


BTS SIO

D. ROUMANET

Sécurité

Définition



Je veux accéder à un site web mais j'ai une erreur 404 D

J'accède à un site sécurisé mais j'ai une boite de dialogue me demandant d'accepter le certificat. AI

Mon serveur est en panne à cause de la foudre, je n'avais pas d'onduleur / parafoudre D

J'ai pu imprimer sur le traceur A0 du labo de recherche, celui qui imprime les circuits top secret C

Le code de l'ordi dans la salle de réunion est noté sur un post-it derrière le vidéoprojecteur CA

Comme le serveur mail du destroyer est en panne, j'ai envoyé le fichier des plans de l'étoile noire à l'empereur par mon compte Gmail, Mr Dark !

CAI

Comme le tech est en congés, j'ai passé mes identifiants au remplaçant en attendant que la DSI lui ouvre un compte

CA

C'est bizarre, Jean-Paul n'écrit jamais « Tchao » à la fin de ses emails... AI

L'alarme bâtiment a sonné et la pochette bleue a été ouverte... mais tout semble là ! CI


BTS SIO

D. ROUMANET

Sécurité

Définition

HAUTE DISPONIBILITÉ



BTS SIO

D. ROUMANET

Sécurité

Définition

Redondance : équipements + liens

Pour améliorer la disponibilité, il est recommandé d'utiliser plusieurs fournisseurs d'accès, connecté sur un cluster d'équipements.



BTS SIO

D. ROUMANET

Sécurité

Définition

Mode : Actif-Passif ou Actif-Actif

En fonctionnement normal, le mode actif-actif multiplie les performances du cluster. En mode actif-passif, un seul équipement gère les communications.



BTS SIO

D. ROUMANET

Sécurité

Définition

Architecture : attention aux commutateurs

● Ne pas utiliser le mêmecommutateur pour le WANet le LAN.

● Redonder les commutateurs

● Utiliser les VLAN reste trèsfiable (attention auto-configde port).



BTS SIO

D. ROUMANET

Sécurité

Définition

Architecture : utilisez une DMZ

● Si la DMZ est compromise, il sera plus difficile d'atteindre le LAN.



BTS SIO

D. ROUMANET

Sécurité

Définition

CONFIDENTIALITÉ

PAR VPN



BTS SIO

D. ROUMANET

Sécurité

Définition

80-90% des réseaux fonctionnent avec le protocole TCP/IP. Voici les couches du modèle OSI avec les protocoles de sécurité associés :


Notez la place exacte du protocole

TLS / SSL

A Savoir : SSL nePeut encapsuler deProtocole niveau 2 A Savoir : par défaut

IPSec Non-plus !

PPTP, GREPeuvent encapsuler

Des VLAN


BTS SIO

D. ROUMANET

Sécurité

Définition

VPN : Virtual Private Network

Ensemble des moyens pour établir une connexion sécurisée de bout en bout, entre deux équipements ou un équipement et un logiciel.

● Tunnel permanent : IPSec, GRE, L2TP, PPTP, MPLS (VPLS)...

● Tunnel nomade : IPSec, SSL, L2TP, PPTP...



BTS SIO

D. ROUMANET

Sécurité

Définition


MPLS (Multi Protocol Label Switching) est un protocole similaire aux VLAN mais sur les réseaux WAN.



BTS SIO

D. ROUMANET

Sécurité

Définition


GRE (General Routing Encapsulation) est un protocole capable d'encapsuler une trame IP dans... une trame IP.



BTS SIO

D. ROUMANET

Sécurité

Définition


IPSec utilise deux modes :

● Transport (AH)

Seules les données sont chiffrées

● Tunnel (ESP)

L'ensemble de la trame est chiffré



BTS SIO

D. ROUMANET

Sécurité

Définition


PPTP (Point to Point Tunneling Protocol) s'appuie sur les tunnels GRE pour fournir un tunnel sécurisé Point-à-Point.

●



BTS SIO

D. ROUMANET

Sécurité

Définition


SSL (Secure Socket Layer) s'insère entre l'application et la couche présentation : c'est l'application qui demande le chiffrement à SSL.

● Cela ressemble à IPSecen mode transport.

● SSL utilise des certificatsbasés sur des autorités deconfiance racines.

● Cela signifie que les adressesIP présentées sont celles desdeux hôtes qui communiquent !



BTS SIO

D. ROUMANET

Sécurité

Définition

Chiffrement



BTS SIO

D. ROUMANET

Sécurité

Définition

Techniques de chiffrements

Il existe 3 techniques de chiffrements :

● Chiffrement symétriqueDES, AES, 3DES, IDEA, Blowfish, Twofish, RC4

● Chiffrement assymétriqueRSA, Diffie-Hellman, Digital Signature Algorithm, ElGamal

● Chiffrement non-réversible (hachage)MD5, SHA-1, SHA-256, SHA-384, SHA-512, RipeMD-xxx, HAVAL



BTS SIO

D. ROUMANET

Sécurité

Définition



● Chiffrement symmétriqueDES, AES, 3DES, IDEA, Blowfish, Twofish, RC4

Exemple : Code de César (décalage de lettres), gestion de la confidentialité


RapideSimpleEfficace

Transport clé initialeVecteur parfois faible


BTS SIO

D. ROUMANET

Sécurité

Définition



● Chiffrement assymétriqueRSA, Diffie-Hellman, Digital Signature Algorithm, ElGamal

Exemple : Certificats (clés publiques, clé privée) pour la gestion de l'authentification


RobusteNécessite 2 clésRelativement inviolable

LentComplexe


BTS SIO

D. ROUMANET

Sécurité

Définition



● Chiffrement non-réversible (hachage)MD5, SHA-1, SHA-256, SHA-384, SHA-512, RipeMD-xxx, HAVAL

Exemple : Signature de fichiers (vérification intégrité)


EfficaceSimpleIdéal pour empreinte

Dépendant de la tailleComplexeInutilisable message


BTS SIO

D. ROUMANET

Sécurité

Définition

Association de ces techniques

● Authentification forte + transmission vecteur initial --> assymétrique

● Echanges de flux en temps réels --> symétrique

● Validation d'intégrité --> hachage

Le certificat



BTS SIO

D. ROUMANET

Sécurité

Définition

Gestion de message par certificat : un pour tous, tous pour un !



BTS SIO

D. ROUMANET

Sécurité

Définition

Gestion de message par certificat : un pour tous, tous pour un !Un message codé par une clé privée est lisible par tous ceux qui possèdent la clé publique

→ Cela garantit aux lecteurs que l'émetteur est bien la bonne personne !



BTS SIOSécurité

Définition

Gestion de message par certificat : un pour tous, tous pour un !



BTS SIO

D. ROUMANET

Sécurité

Définition

Gestion de message par certificat : un pour tous, tous pour un ! les message codé par les clés publiques ne sont lisibles que par la clé privée

→ Cela garantit au pocesseur que l'émetteur lui envoit un message secret !



BTS SIO

D. ROUMANET

Sécurité

Equipements



BTS SIO

D. ROUMANET

Sécurité

Equipements

Marques



BTS SIO

D. ROUMANET

Sécurité

Equipements

Parefeux d'entreprises : cadran Gartner

● VPN, ACL, NAT

● Cluster

● Virtualisation

● Intégration


MarqueFrançaise

MarqueIsraélienne

MarqueChinoise

MarqueAméricaine


BTS SIO

D. ROUMANET

Sécurité

Equipements

Parefeux UTM : cadran Gartner

● VPN, ACL, NAT

● Cluster

● Administration centralisé(plusieurs parefeux)

● IPS, Antivirus

● Filtrage web (catégories)

● Filtrage applicatif (flux)

● Authentification

● Antispam, portail Wifi, ...



BTS SIO

D. ROUMANET

Sécurité

Equipements

Les différentes marques de parefeux

● CheckPoint

– Parefeux UTM● 4X00



BTS SIO

D. ROUMANET

Sécurité

Equipements


● Cisco

– Parefeux "UTM"● ASA-5505● ...● ASA-5585X



BTS SIO

D. ROUMANET

Sécurité

Equipements


● Fortinet

– Parefeux UTM● Fortigate 30C● ...● Fortigate 5000



BTS SIO

D. ROUMANET

Sécurité

Equipements


● Sonicwall

– Parefeux UTM● TZ-XXX● NSA-XXXX● NSA-eXXXX



BTS SIO

D. ROUMANET

Sécurité



BTS SIO

D. ROUMANET

Sécurité

Equipements

Performances

● Bande-passante : la capacité de transfert maximal et total du parefeu, en Mbps.Généralement, c'est un transfert sur des trames de 1518 octets avec une seule règle.

● Nombre de connexions simultanées : la capacité du parefeu à maintenir les communications le traversant.On compte environ 100 – 150 sessions simultanées par utilisateurs et parfois plus, selon le timeout de clôture TCP.

● Nombre de connexions par seconde : la capacité du parefeu à résister à une attaque par déni de service ou bien à pouvoir protéger un serveur web. Exprimé en cps (connexion par seconde).

● Autre : nombre de ports, nombre de VLAN, nombre de virtualisation, nombre de bornes Wifi (contrôleur), IPv6, compatibilité RADIUS, LDAP, consommation, etc.

● Certifications, principalement américaines : FIPS, EAL



BTS SIO

D. ROUMANET

Sécurité

Equipements

Performances



BTS SIO

D. ROUMANET

Sécurité

Equipements

Fonctionnalités



BTS SIO

D. ROUMANET

Sécurité

Equipements

Fonctionnalités

● Firewall (ACL)

● VPN

● Antivirus

● IPS

● Antispam

● Filtrage web

● Filtrage applicatif



BTS SIO

D. ROUMANET

Sécurité

Equipements

Fonctionnalités



BTS SIO

D. ROUMANET

Sécurité

Equipements

Fonctionnalités

● Firewall (ACL)Ensemble des règles de filtrages portant sur les adresses IP (host, range, network, FQDN, group) ou les adresses MAC

● Le parefeu peut-être intégré en tant que

– routeur (niveau 3)

– bridge filtrant (niveau 2)



BTS SIO

D. ROUMANET

Sécurité

Equipements

Fonctionnalités

● Cluster (Haute disponibilité)Utilisation de protocoles de niveau 2 et 3 pour intercepter les messages à destination d'une adresse IP virtuelle

– VRRP

– Hello protocol

Techniquement, les deux équipementsse surveillent mutuellement.



BTS SIO

D. ROUMANET

Sécurité

Equipements

Fonctionnalités

● VPNFonction de terminaison de tunnel sécurisé

– Terminaison permanente (VPN site-à-site)

– Terminaison nomade



BTS SIO

D. ROUMANET

Sécurité

Equipements

Fonctionnalités

● Antivirus (Antimalware)Capacité d'un équipement à reconnaître un ou plusieurs fichiers transportés dans un protocole réseau, contenant un virus ou un malware.

● Les protocoles "classiques" :

– SMTP

– HTTP

– FTP

– CIFS

Attention : HTTPS ou SCPou SFTP nécessite de casserla communication en deux(PC-FW et FW-Server)



BTS SIO

D. ROUMANET

Sécurité

Equipements

Fonctionnalités

● IPS (Intrusion Prevention System)Capacité d'un équipement à reconnaître une ou un ensemble de trames contenant une attaque sur une faille connue.

● Le parefeu UTM recherche une signature connue*



BTS SIO

D. ROUMANET

Sécurité

Equipements

Fonctionnalités

● Filtrage web (Catégories)Filtrage basé sur la catégorisation des noms de domaines et de leurs adresses IP.

● Le parefeu UTM recherche un domaine connu*

– Classification par mots-clés (porn, sex...)

– Classification par les utilisateurs

– Classification par moteurs antispam

– Présence dans moteurs de recherches

– Gestion croisée des données

– Plusieurs millions d'URL



BTS SIO

D. ROUMANET

Sécurité

Equipements

Fonctionnalités

● Antispam (Réputation)Analyse des signatures d'emails et comparaison avec une base en ligne.

● Le parefeu UTM compare la signature du courrier

– Serveur Émetteur/destinaire

– Nom Emetteur/Destinataire

– Bounce

– Pièces jointes

● Côté Base

– Statistiques de volumétrie



BTS SIOSécurité

Diagnostics



BTS SIO

D. ROUMANET

Sécurité

Diagnostics

Informations

● Mitrehttp://cve.mitre.org/

● CERT-FRhttp://www.cert.ssi.gouv.fr/

● CERT-UShttps://www.us-cert.gov/

● Informations ANSSIhttp://www.ssi.gouv.fr/fr/guides-et-bonnes-pratiques/


http://cve.mitre.org/

http://www.cert.ssi.gouv.fr/

https://www.us-cert.gov/

http://www.ssi.gouv.fr/fr/guides-et-bonnes-pratiques/


BTS SIO

D. ROUMANET

Sécurité

Diagnostics

Loisirs

● Challenges (liste)https://www.securiteinfo.com/attaques/hacking/challengeshacking.shtml

● Nuit du Hack 2015https://www.nuitduhack.com/2015/

● Root-Me (FR)http://www.root-me.org/fr/Challenges/

● HackBBS : classement, challenges,...http://hackbbs.org/

● Grenoble Hack (Grehack)http://grehack.org/en/


https://www.securiteinfo.com/attaques/hacking/challengeshacking.shtml

https://www.nuitduhack.com/2015/

http://www.root-me.org/fr/Challenges/

http://hackbbs.org/

http://grehack.org/en/


BTS SIOSécurité

Outils



BTS SIO

D. ROUMANET

Sécurité

Outils

Outils

● Wiresharkhttps://www.wireshark.org/download.html Le plus puissant des analyseurs réseaux, limité uniquement par la faculté des commutateurs.

● OpenVAShttp://www.openvas.org/ Scanner de vulnérabilités et d'inventaire (reporting). Équivalent de Nessus.

● MetaSploithttps://www.metasploit.com/ Outil de tests de pénétration. Scanner de ports,

● Cain&Abelhttp://www.oxid.it/cain.html Outil permettant quelques attaques ARP, MitM, BruteForce, analyse réseau, ...


https://www.wireshark.org/download.html

http://www.openvas.org/

https://www.metasploit.com/

http://www.oxid.it/cain.html

gestion de sécurité d'entreprise -...

Documents