sécurité informatique et réseau au cnrs : quelles actions · ßdeux réseaux humain de...

24
S S é é curit curit é é informatique et r informatique et r é é seau seau au CNRS : Quelles actions ? au CNRS : Quelles actions ? Jean-Luc Archimbaud & Nicole Dausque Jean-Luc Archimbaud & Nicole Dausque CNRS/UREC CNRS/UREC JRES2001 JRES2001 – Lyon Lyon 10-14 D 10-14 Décembre 2001 cembre 2001

Upload: others

Post on 29-Jun-2020

1 views

Category:

Documents


0 download

TRANSCRIPT

Page 1: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

SSéécuritcuritéé informatique et r informatique et rééseauseauau CNRS : Quelles actions ?au CNRS : Quelles actions ?

Jean-Luc Archimbaud & Nicole DausqueJean-Luc Archimbaud & Nicole Dausque

CNRS/URECCNRS/UREC

JRES2001 JRES2001 –– Lyon Lyon

10-14 D10-14 Déécembre 2001cembre 2001

Page 2: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

22JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

SommaireSommaire

ßß Pourquoi ? Besoins et ObligationPourquoi ? Besoins et Obligation

ßß Contexte : Handicaps et Avantages du CNRSContexte : Handicaps et Avantages du CNRS

ßß Les systLes systèèmes dmes d’’informationinformation

ßß Des moyens humains en sDes moyens humains en séécuritcuritéé au niveau national au niveau national

ßß Une premiUne premièère approche : Les opre approche : Les opéérations srations séécuritcuritéé

ßß Deux rDeux rééseaux humain de compseaux humain de compéétencetence

ßß Une formation nationale : SIARSUne formation nationale : SIARS

ßß La diffusion et la circulation dLa diffusion et la circulation d’’informationsinformations

ßß Le traitement des incidentsLe traitement des incidents

ßß Des recommandations, une architecture rDes recommandations, une architecture rééseauseau

ßß Des outils recommandDes outils recommandééss

ßß Une autoritUne autoritéé de certification de certification

ßß Et Et àà l l’’avenir ?avenir ?

Page 3: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

33JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Pourquoi ? Besoins et ObligationPourquoi ? Besoins et Obligation

ßß Protection dProtection d’’un outil de travailun outil de travailss Postes informatiquesPostes informatiques

ss RRééseauxseaux

ss Applications et donnApplications et donnééeses!! Le syst Le systèème dme d’’informationinformation

ßß Protection du patrimoineProtection du patrimoiness ArticlesArticles

ss RRéésultats de recherchesultats de recherche

ss DDééveloppementsveloppements

ss Contrats industrielsContrats industriels!! Les informations Les informations

ßß ObligationObligationss Respect de la lRespect de la léégislation frangislation franççaiseaise!! N Néécessitcessitéé de sensibilisation, recommandation et r de sensibilisation, recommandation et rééglementationglementation

Page 4: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

44JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Contexte : Handicaps et Avantages duContexte : Handicaps et Avantages duCNRSCNRSßß Centre National de la Recherche ScientifiqueCentre National de la Recherche Scientifiquess Organisme public de recherche fondamentaleOrganisme public de recherche fondamentale

ss Tous les domaines scientifiquesTous les domaines scientifiques

ss 26 000 agents26 000 agents

ss Structure Structure ééclatclatéée : 1300 unite : 1300 unitéés (recherche et services)s (recherche et services)†† Taille trTaille trèès variables variable

†† La plupart associLa plupart associéées (universites (universitéés, INSERM, INRIA, CEA, s, INSERM, INRIA, CEA, ……))

†† 80 000 personnes environ80 000 personnes environ

ss AdministrationAdministration†† SiSièègege

†† 19 d19 déélléégations rgations réégionalesgionales

Page 5: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

55JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Contexte : Handicaps et Avantages duContexte : Handicaps et Avantages duCNRS (2)CNRS (2)ßß UnitUnitéé (laboratoire) (laboratoire)ss Directeur responsable de la sDirecteur responsable de la séécuritcuritéé (entre autres) (entre autres)

ss Autonomie financiAutonomie financièère, techniquere, technique

ss Souvent plusieurs tutellesSouvent plusieurs tutelles

ss Sur des sites divers : campus Sur des sites divers : campus ……

ss Manque dManque d’’administrateurs informatiquesadministrateurs informatiques

ss Recherche fondamentale dans des mondes parfois opposRecherche fondamentale dans des mondes parfois opposééss†† CoopCoopéération, innovation, libertration, innovation, libertéé

†† Ouverture, minimum de contraintesOuverture, minimum de contraintes

!! Points faibles pour la sPoints faibles pour la séécuritcuritéé

ßß Administrateurs informatiquesAdministrateurs informatiquesss CompCompéétences pointues dans certains domainestences pointues dans certains domaines

ss Habitude dHabitude d’’entraide et de coopentraide et de coopéération, pas de compration, pas de compéétitivittitivitéé!! AvantagesAvantages

Page 6: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

66JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Les systLes systèèmes dmes d’’informationinformation

ßß Trois Trois « « systsystèèmes dmes d’’informationinformation » »ss SystSystèème dme d’’information de gestion : DSI et dinformation de gestion : DSI et déélléégations rgations réégionalesgionales

ss Centres de services (calcul IDRIS, information INIST, Centres de services (calcul IDRIS, information INIST, ……))

ss UnitUnitéés s –– laboratoires : laboratoires :†† RRééseau local Ethernet seau local Ethernet àà dominance IP dominance IP

†† Stations (Unix, Windows, Macintosh, Stations (Unix, Windows, Macintosh, ……))

¸̧ Serveurs : Web, messagerie, calcul, Serveurs : Web, messagerie, calcul, ……

¸̧ ExpExpéériences, modriences, modéélisationlisation

¸̧ BureautiqueBureautique

†† Administration du SI : administrateur informatique de lAdministration du SI : administrateur informatique de l’’unitunitéé

!! 3 3 « « politiques de spolitiques de séécuritcurité »é »

ßß RRééseau national pour tous : RENATERseau national pour tous : RENATERss Toutes les unitToutes les unitéés sont connects sont connectéées, contres, contrôôle dle d’’accaccèès ?s ?

ss Pas dPas d’’Intranet ; Intranet ; RenaterRenater : r : rééseau seau « « ouvertouvert » » = Internet = Internet

Page 7: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

77JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Des moyens humains en sDes moyens humains en séécuritcuritéé au auniveau nationalniveau nationalßß Du personnelDu personnelss Fonctionnaire de dFonctionnaire de dééfense et 2 chargfense et 2 chargéés de missionss de missions

ss UREC (UnitUREC (Unitéé REseaux du CNRS) : 5 ing REseaux du CNRS) : 5 ingéénieurs (nieurs (ééquivalent quivalent àà 3 3temps plein)temps plein)

ss 1 ing1 ingéénieur IN2P3nieur IN2P3

ss 1 ing1 ingéénieur IDRISnieur IDRIS

ss 1 ing1 ingéénieur DSInieur DSI

ßß En relation avec le groupe des coordinateurs sEn relation avec le groupe des coordinateurs séécuritcuritéé

ßß ContactContactss Autres organismesAutres organismes

ss CertsCerts†† CERT-RenaterCERT-Renater

†† CERT-ACERT-A

Page 8: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

88JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Une premiUne premièère approche : Lesre approche : Lesopopéérations srations séécuritcuritééßß MMééthodologie crthodologie créééée sur mesure (4e sur mesure (4èème trimestre 1997)me trimestre 1997)ss Agir sur place sans ingAgir sur place sans ingéérencerence

ßß BasBaséée sur une liste de contre sur une liste de contrôôleslesss 3838 pages : organisation, Unix, Windows, r pages : organisation, Unix, Windows, rééseaux, outilsseaux, outils

ss Question Question ‡‡ Action correctrice Action correctrice

ss RRéédigdigéée par un groupe de par un groupe d’’experts - maintenue experts - maintenue àà jour jour

ss Accessible par certificat et contrAccessible par certificat et contrôôles dles d’’accaccèèss

ßß But : aider les unitBut : aider les unitéés s àà am amééliorer leur sliorer leur séécuritcuritééss Sensibilisation, bilan des vulnSensibilisation, bilan des vulnéérabilitrabilitééss

ss Actions correctrices et outils de sActions correctrices et outils de séécurisationcurisation

ss AmAméélioration de llioration de l’’organisation technique et humaineorganisation technique et humaine

ss VVéérification de lrification de l’’application des recommandations CNRSapplication des recommandations CNRS

!! CrCrééation dation d’’un run rééseau humainseau humain

Page 9: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

99JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Une premiUne premièère approche : Lesre approche : Lesopopéérations srations séécuritcuritéé (2) (2)ßß Sur une rSur une réégiongionss Choix de 2 coordinateurs rChoix de 2 coordinateurs réégionauxgionaux

ss PrPrééparation avec le Dparation avec le Dééllééguguéé et 2 coordinateurs et 2 coordinateurs†† Liste des unitListe des unitéés et des administrateurs (15 environ)s et des administrateurs (15 environ)

†† Planning - Organisation - ...Planning - Organisation - ...

ss 2 jours : sensibilisation Directeurs, pr2 jours : sensibilisation Directeurs, préésentation de lsentation de l’’opopéération,ration,tour de table, cours ...tour de table, cours ...

ss 20 jours de travail des administrateurs dans leur laboratoire20 jours de travail des administrateurs dans leur laboratoire

ss 1 jour de bilan1 jour de bilan

ss InvitInvitéés : coordinateurs de ls : coordinateurs de l’’opopéération suivanteration suivante

ss RapportRapport

ss Suite : diffusion de logiciel de dSuite : diffusion de logiciel de déétection de vulntection de vulnéérabilitrabilitééss

ßß 1515 op opéérations menrations menéées ( 4 / an )es ( 4 / an )

ßß 44 op opéérations projetrations projetééeses

Page 10: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

1010JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Une premiUne premièère approche : Lesre approche : Lesopopéérations srations séécuritcuritéé (3) (3)

novembre 1997 novembre 1997 àà novembre 2001 novembre 2001

202 unit202 unitééss

£

Marseille

£

Nancy

£

Gif

£

Orléans

£

SHS Paris

£

Strasbourg

£

Besançon

£

Orsay

£

Lyon

£Montpellier

£

Meudon

£

Thiais

£

Toulouse

£

Grenoble

£

Sophia

Page 11: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

1111JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Deux rDeux rééseaux humains deseaux humains decompcompéétencestencesßß Coordinateurs sCoordinateurs séécuritcuritéé : : 4949ss Coordinateurs rCoordinateurs réégionaux, responsables sgionaux, responsables séécuritcuritéé (DSI, IDRIS, (DSI, IDRIS,

IN2P3, IN2P3, ……), quelques experts), quelques experts

ss Liste de diffusion, rListe de diffusion, rééunion semestrielle, site runion semestrielle, site rééservservéé avec acc avec accèèsspar certificatspar certificats

ßß Correspondants sCorrespondants séécuritcuritéé : : 334334ss Correspondants de laboratoire (administrateurs informatiquesCorrespondants de laboratoire (administrateurs informatiques

qui ont en majoritqui ont en majoritéé suivi les op suivi les opéérations srations séécuritcuritéé))

ss Liste de diffusion, site rListe de diffusion, site rééservservéé avec acc avec accèès par certificatss par certificats

ßß ÉÉchanges techniques : national et dans chaque rchanges techniques : national et dans chaque réégiongionss Diffusion des avis de sDiffusion des avis de séécuritcuritéé

ss Diffusion dDiffusion d’’informations spinformations spéécifiquescifiques

ss RRééunions, unions, ……

Page 12: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

1212JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Deux rDeux rééseaux humains deseaux humains decompcompéétences (2)tences (2)ßß Quelques Quelques ééllééments sur la coordination rments sur la coordination réégionalegionaless CritCritèèresres†† Dynamiques, volontaires, compDynamiques, volontaires, compéétences techniques et relationnellestences techniques et relationnelles

†† Connaissance des laboratoires de la rConnaissance des laboratoires de la réégiongion

ss RRôôle constructif, relationnel (avec le Dle constructif, relationnel (avec le Dééllééguguéé R Réégional, lesgional, lesdirecteurs de laboratoire, directeurs de laboratoire, ……) : animer, informer, transmettre) : animer, informer, transmettre!! Point de contact en rPoint de contact en réégiongion

ss OOùù ? ?†† OpOpéérations srations séécuritcuritéé : coordination : coordination

†† SIARS : rSIARS : réédaction, organisation, formationdaction, organisation, formation

†† Groupes de travail : Groupes de travail : « « AccAccèès Distants Ss Distants Séécuriscurisééss » » par exemple par exemple

†† LocalementLocalement

¸̧Organisation de journOrganisation de journéées techniques avec les administrateurses techniques avec les administrateurs

¸̧ Incidents locaux : Incidents locaux : êêtre au courant, tre au courant, ……

!! Talon dTalon d’’Achille : ce sont des bAchille : ce sont des béénnéévolesvoles

Page 13: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

1313JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Une formation nationale : SIARSUne formation nationale : SIARSSSéécuritcuritéé IInformatique pour les nformatique pour les AAdministrateurs dministrateurs RRééseaux et seaux et SSystystèèmesmes

ßß Pourquoi ?Pourquoi ?ss Demande de formation formulDemande de formation formuléée au cours et/ou e au cours et/ou àà la suite des la suite des

opopéérations srations séécuritcuritéé

ss Maintenir la dynamique de groupeMaintenir la dynamique de groupe

ss HomogHomogéénnééiser, entretenir les connaissances des administrateursiser, entretenir les connaissances des administrateurset en acquet en acquéérir de nouvellesrir de nouvelles

ßß Comment ?Comment ?ss En coopEn coopéération avec Formation Permanente nationaleration avec Formation Permanente nationale

ss PrioritPrioritéé : former les coordinateurs et les correspondants : former les coordinateurs et les correspondants

ss Formation thFormation thééorique mais aussi pratique adaptorique mais aussi pratique adaptéée e ààll’’environnement denvironnement d’’un laboratoireun laboratoire

!! ÀÀ la suite de cette formation, les administrateurs pourront la suite de cette formation, les administrateurs pourrontproposer, mettre en proposer, mettre en œœuvre des uvre des ééllééments de sments de séécuritcuritéé pour pouraccroaccroîître celle-ci dtre celle-ci d’’une faune faççon adapton adaptéée au laboratoire.e au laboratoire.

Page 14: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

1414JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Une formation nationale : SIARS (2)Une formation nationale : SIARS (2)

ßß Programme : Programme : 30 heures30 heuresss Introduction et plan (1h)Introduction et plan (1h)

ss Organisation, mOrganisation, mééthodologie et lthodologie et léégislation (2h)gislation (2h)

ss ÉÉllééments de base (6h)ments de base (6h)

ss SystSystèème Unix (2h)me Unix (2h)

ss SystSystèème NT (4h)me NT (4h)

ss Services rServices rééseaux locaux (3h)seaux locaux (3h)

ss Services Internet (3h)Services Internet (3h)

ss Postes individuels (1h30)Postes individuels (1h30)

ss Applications (1h30)Applications (1h30)

ss Architectures rArchitectures rééseaux (3h)seaux (3h)

ss Outils de sOutils de séécuritcuritéé et applications s et applications séécuriscuriséée (1h30)e (1h30)

ss Recommandations, MRecommandations, Mééthodes de mise en thodes de mise en œœuvre (1h30)uvre (1h30)

Page 15: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

1515JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Une formation nationale : SIARS (3)Une formation nationale : SIARS (3)

ßß OrganisationOrganisationss RRéédaction du support de coursdaction du support de cours†† Certains coordinateurs et experts (11), UREC (4)Certains coordinateurs et experts (11), UREC (4)

†† Si compSi compéétences non couvertes : appel externetences non couvertes : appel externe

†† ÉÉvolutif : pourra volutif : pourra êêtre mis tre mis àà jour par les auteurs jour par les auteurs

ss Coordinateurs formCoordinateurs forméés par les auteurs du courss par les auteurs du cours

ss Coordinateurs forment les correspondants en rCoordinateurs forment les correspondants en réégiongion†† 6 jours dont 1 jour r6 jours dont 1 jour rééservservéé aux sp aux spéécificitcificitéés localess locales

†† DDéébuter par la quinzaine de rbuter par la quinzaine de réégions qui ont suivi une opgions qui ont suivi une opéérationrationsséécuritcuritéé

ss Chaque coordination rChaque coordination réégionale et Formation Permanente localegionale et Formation Permanente localeggèèrent lrent l’’intendance et les spintendance et les spéécificitcificitéés localess locales†† Choix des stagiaires, dates, lieux, nombre de sessions, ouvertureChoix des stagiaires, dates, lieux, nombre de sessions, ouverture

vers les universitvers les universitéés, s, ……

ss Coordination administrative et technique : URECCoordination administrative et technique : UREC

Page 16: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

1616JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Une formation nationale : SIARS (4)Une formation nationale : SIARS (4)

ßß ChronologieChronologiess 10/04/2000 : mise en place du projet10/04/2000 : mise en place du projet

ss 26/10/2000 : r26/10/2000 : rééunion du Comitunion du Comitéé de Pilotage de Pilotage

ss Septembre Septembre –– D Déécembre 2000 : rcembre 2000 : réédaction et relecturedaction et relecture†† Support (plus de 400 pages)Support (plus de 400 pages)

†† PrPréésentations (sentations (format libre, contrainte : durformat libre, contrainte : duréée de la pre de la préésentation)sentation)

ss Janvier/fJanvier/féévrier 2001 : formation des formateurs (lesvrier 2001 : formation des formateurs (lescoordinateurs) coordinateurs) àà Gif Gif sur Yvette sur 2 semaines sur Yvette sur 2 semaines

ss Mai 2001 : dMai 2001 : déébut de la 1but de la 1èère session en rre session en réégion Toulouse DR14gion Toulouse DR14

ßß Moyens techniques utilisMoyens techniques utilisééssss Site Site WebWeb s séécuriscuriséé àà acc accèès contrs contrôôlléés, messagerie s, messagerie éélectroniquelectronique†† serveurserveur https https (Apache + (Apache + OpenSSL OpenSSL + + ModSSL ModSSL))

†† certificats X509 (CNRS-SSI ) pour authentifier le serveur et lescertificats X509 (CNRS-SSI ) pour authentifier le serveur et lesutilisateursutilisateurs

†† liste de diffusion CSEC, contrliste de diffusion CSEC, contrôôlléée par ces me par ces mêêmes certificatsmes certificats

Page 17: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

1717JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Orsay

££

£

GifMontpellier

££ £

NancySHS Paris

£

£

Sophia

MeudonThiais

Une formation nationale : SIARS (5)Une formation nationale : SIARS (5)

janvier 2001 janvier 2001 àà d déécembre 2001cembre 2001

40+92 stagiaires40+92 stagiaires

£

Strasbourg

£

£

£

££

£

Toulouse (15)Grenoble (12+9)

Marseille (11)

Orléans (14)Besançon (17)

Lyon (14)

Page 18: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

1818JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

La diffusion et la circulationLa diffusion et la circulationdd’’informationsinformationsßß 2 serveurs 2 serveurs WebWebss http://http://wwwwww..urecurec.cnrs..cnrs.frfr//

ss http://http://wwwwww.cnrs..cnrs.frfr//InfosecuInfosecu/accueil./accueil.htmlhtml

ßß 2 listes de diffusion2 listes de diffusionss cseccsec : : 4949 abonn abonnééss

ss correscorres--secu secu : : 334334 abonn abonnéés qui ont res qui ont reççu entre-autre en 2001u entre-autre en 2001†† > 400 messages : rediffusion des informations venant des > 400 messages : rediffusion des informations venant des CertsCerts

†† Informations internesInformations internes

ßß 1 liste ouverte1 liste ouvertess sossos-virus : -virus : 642 642 abonnabonnééss

ßß 1 bulletin 1 bulletin « « sséécuritcuritéé informatique informatique » » ( (5 parutions/an5 parutions/an))

ßß 1 guide 1 guide ééditditéé en 1999 en 1999 àà l l’’usage des directeursusage des directeurs

ßß Sensibilisation des nouveaux directeurs (stage)Sensibilisation des nouveaux directeurs (stage)

Page 19: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

1919JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Le traitement des incidentsLe traitement des incidents

ßß ProcProcéédureduress http://http://wwwwww..urecurec.cnrs..cnrs.frfr//securitesecurite/CNRS//CNRS/quefairequefaire..htmlhtml

ßß Adresses pour informer et obtenir de lAdresses pour informer et obtenir de l’’assistanceassistancess maydaymayday@@urecurec.cnrs..cnrs.frfr

ss certsvpcertsvp@@renaterrenater..frfr

ßß Incidents traitIncidents traitéés par le CERT-s par le CERT-RenaterRenaterss Par semaine, Par semaine, scan scan inclus : inclus : 516516

ßß Machines compromises annoncMachines compromises annoncéées es àà certsvpcertsvpss Par semaine : Par semaine : 1818

ßß Incidents annoncIncidents annoncéés s àà maydaymaydayss Par semaine : Par semaine : 1 seul1 seul

Nota : statistiques sur les 47 premiNota : statistiques sur les 47 premièères semaines de 2001res semaines de 2001

Page 20: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

2020JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Des recommandationsDes recommandationsUne architecture rUne architecture rééseauseaußß RecommandationsRecommandationsss http://www.urec.cnrs.fr/securite/recommandations_cnrs.htmlhttp://www.urec.cnrs.fr/securite/recommandations_cnrs.html†† CharteCharte

†† Installation et gestion dInstallation et gestion d’’un serveur WWWun serveur WWW

†† CrCrééation, administration et gestion des FTP anonymesation, administration et gestion des FTP anonymes

†† CrCrééation, administration et gestion des listes de diffusionation, administration et gestion des listes de diffusion

ßß Architecture rArchitecture rééseauseauss Depuis janvier 2000Depuis janvier 2000

ss http://http://wwwwww..urecurec.cnrs..cnrs.frfr//securitesecurite/articles/archi./articles/archi.reseaureseau..pdfpdf

ss Mars 2001 : prise en compte de lMars 2001 : prise en compte de l’é’évolution des technologies etvolution des technologies etdes habitudes de travaildes habitudes de travail†† Groupe de travail : Groupe de travail : « « AccAccèès distants ss distants séécuriscurisééss » »

†† PrPréésentation aux JRES2001sentation aux JRES2001 : : « « AccAccèès distants ss distants séécuriscuriséés : uns : unessai de bilan des solutions possiblesessai de bilan des solutions possibles » »

Page 21: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

2121JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Des outils recommandDes outils recommandééss

ßß TypesTypesss VVéérification de la soliditrification de la soliditéé des mots de passe des mots de passe

ss ContrContrôôles dles d’’accaccèès rs rééseauseau

ss VVéérification de lrification de l’é’état des systtat des systèèmesmes

ss ……

ßß TestTestééssss Unix : Unix : http://http://wwwwww..urecurec.cnrs..cnrs.frfr//securitesecurite/outils//outils/

ss Windows NT : Windows NT : http://http://wwwwww..urecurec.cnrs..cnrs.frfr//securitesecurite/outils//outils/ntnt//

ßß DocumentDocumentéés pour certains (exemple : SSF)s pour certains (exemple : SSF)

ßß AccompagnAccompagnéés de recommandations pour leur utilisations de recommandations pour leur utilisationss exemple pour dexemple pour déétection de vulntection de vulnéérabilitrabilitéés (Nessus, IS, s (Nessus, IS, ……))

ss http://http://wwwwww..urecurec.cnrs..cnrs.frfr//securitesecurite/articles/si_recommandations./articles/si_recommandations.pdfpdf

Page 22: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

2222JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Une autoritUne autoritéé de certification de certification

ßß DDéémarrmarréé en f en féévrier 2000vrier 2000

ßß FFéévrier 2000 : plate-forme CNRS-Test (vrier 2000 : plate-forme CNRS-Test (222222 certificats) certificats)

ßß Juin 2000 : dJuin 2000 : déécision de crcision de crééer une autoriter une autoritéé de certification de certificationCNRS et dCNRS et d’’en confier la mise en place en confier la mise en place àà l l’’URECUREC

ßß Depuis septembre 2000 : dDepuis septembre 2000 : dééveloppement du logiciel IGCveloppement du logiciel IGC

ßß Mai 2001 : phase piloteMai 2001 : phase pilote

ßß Guide utilisateur en ligneGuide utilisateur en ligne

ßß ProcProcéédures de demande de certificatsdures de demande de certificatsss http://http://wwwwww..urecurec.cnrs..cnrs.frfr//igcigc//CertifsCertifs_CNRS._CNRS.htmlhtml

ßß PrPréésentations aux JRES2001sentations aux JRES2001ss « « Mise en place progressive dMise en place progressive d’’une IGC au CNRSune IGC au CNRS »»

ss TutorielTutoriel 2 2 : : « « Infrastructures de Gestion de Cl Infrastructures de Gestion de Cléés ets etCertificats X509Certificats X509 » »

Page 23: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

2323JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Une autoritUne autoritéé de certification (2) de certification (2)(chiffres au 06/12/2001)(chiffres au 06/12/2001)

StructureStructure CNRS

CNRS-Standard(248)

CNRS-Plus(67)

JRES(9)

SSI(94)

Datagrid-fr(119)

CNRS-Projets

Page 24: Sécurité informatique et réseau au CNRS : Quelles actions · ßDeux réseaux humain de compétence ßUne formation nationale : SIARS ... sPréparation avec le Délégué et 2 coordinateurs

2424JRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/URECJRES2001 ~ LYON 10-14/12/2001 - JLA & ND ~ CNRS/UREC

Et Et àà l l’’avenir ?avenir ?

ßß De nouvelles opDe nouvelles opéérations srations séécuritcuritéé pr préévuesvuesss Jussieu et pJussieu et péériphriphéérie (DR Paris B), le grand ouest, rie (DR Paris B), le grand ouest, ……

ss CouplCoupléées avec formation SIARSes avec formation SIARS

ßß Poursuivre le dPoursuivre le dééploiement de SIARSploiement de SIARSss En rEn réégiongion

ss Transversal : exemple Transversal : exemple « « mathricemathrice » »

ßß ÉÉcole thcole théématique pour fin septembre 2002 ? matique pour fin septembre 2002 ? « « Vers desVers descommunications et des applications rcommunications et des applications rééseaux plus sseaux plus séécuriscurisééeses » »

ßß ReprRepréésentation officiel au groupe logiciel du ministsentation officiel au groupe logiciel du ministèèrere

ßß Recommandations dans la pratique du mRecommandations dans la pratique du méétiertierdd’’administrateur systadministrateur systèèmes et rmes et rééseauxseaux

ßß Reconnaissance officielle du rReconnaissance officielle du rééseau coordinateur ?seau coordinateur ?

ßß Continuer la veille technologique, Continuer la veille technologique, ……