1. LOGO
Projet Tuteuré
Réalisé Par :
- ELGAMANI Youness
- RHATTAS Mohamed Adam
- GHALLAB Yassine
Systèmes de detection et de prevention des intrusions
IDS/IPS
Encadré Par :
M. ACHAHOD Samir
M. DE LOPEZ Cyril
M. AIT IBOURK Lahcen
1IGA Marrakech – 4ISRI ©2012-2013

2. Plan du jour
Attaques réseau3
2
Introduction1
Anatomie d’une attaque2
Attaques applicative4
IGA Marrakech – 4ISRI ©2012-2013
Conclusion5

3. Introduction
3
Détection d‟intrusion (IDS)
IGA Marrakech – 4ISRI ©2012-2013

4. Suite ….
 Inconvénients
– Peut paralyser le réseau
4IGA Marrakech – 4ISRI ©2012-2013
 Avantages
– Attaque bloquée immédiatement
prévention d'intrusion (IPS )

5. Attaques réseau3
5
Introduction1
Anatomie d’une attaque2
Attaques applicative4
IGA Marrakech – 4ISRI ©2012-2013
Conclusion5

6. Anatomie d’une attaque
6
 Probe
Dans un premier temps, une personne mal intentionnée va chercher les failles
pour pénétrer le réseau .
 Penetrate
Une fois une ou plusieurs failles identifiées, le pirate va chercher à les exploiter
afin de pénétrer au sien du SI
 Persist
Le réseau infiltré, le pirate cherchera à y revenir facilement. Pour cela, il
installera par exemple des back doors. Cependant, en général, il corrigera la
faille par laquelle il s'est introduit afin de s'assurer qu'aucun autre pirate
n'exploitera sa cible.
IGA Marrakech – 4ISRI ©2012-2013

7. 7
 Propagate
Le réseau est infiltré, l'accès est pérein. Le pirate pourra alors explorer le réseau et
trouver de nouvelles cibles qui l'interresseraient.
 Paralyze
Les cibles identifiées, le pirate va agir et nuire au sein du SI.
IGA Marrakech – 4ISRI ©2012-2013

8. Attaques réseau3
8
Introduction1
Anatomie d’une attaque2
Attaques applicative4
IGA Marrakech – 4ISRI ©2012-2013
Conclusion5

9. Dans cette section
9
Spoofing
Scans
Denie de
services
Les
Attaques
Reseau

10. Dans cette section
10
Scans
Les
Attaques
Reseau

11. Scan
11IGA Marrakech – 4ISRI ©2012-2013
Phase: Probe
Principe:
 Manipuler des failles liées leur implémentation.
Buts:
 Identifiers les hôtes active,
 Les ports ouverts, les services executes.

12. Scan Simple / Connect
12
 Consiste à établir une connexion TCP complète sur une suite de ports.
 S‟il arrive à se connecter, le port est ouvert ; sinon, il est fermé.
 Cette méthode de scan est efficace cependant est très facilement détectable.

13. Scan Furtif / SYN
13
 N‟établit pas complètement la connexion,
 Apparait comme du trafic légitime,
 Bien plus furtive que le scan normal.

14. Scan Xmas, FIN, NULL
14

15. Dans cette section
15
Spoofing
Scans
Les
Attaques
Reseau

16. Spoofing
16
Phase: Pénetration
Objectifs:
 Cacher l‟identité du générateur du trafic ciculant,
 Usurper l'identité d'une entité de confiance,
 Empêche l‟attaquant d‟être facilement tracer.

17. IP Spoofing
17
But : usurper l‟adresse IP d‟une autre machine.
Finalité :
 Se faire passer pour une autre machine en truquant les paquets IP.
 Utile dans le cas où l‟authentification est basée sur l‟adressage IP (services
tels que rlogin ou ssh par exemple).
Déroulement :
 Modifier les paquets IP ou créer ses propres paquets en spécifiant une adresse
IP différente de celle que l‟on possède, et ainsi se faire passer pour une autre «
machine ».
 Variété d‟outils et de méthode d‟utilisation.

18. ARP Spoofing
18
But :
 Rediriger le trafic d‟une machine vers une autre.
Finalité :
 La même que l‟IP spoofing mais on travaille ici au niveau de la couche liaison de
données.
Déroulement :
 Corrompre le cache ARP de la victime, à travers l‟envoie de multiples trames ARP
en lui indiquant l‟adresse IP d‟une autre machine de confiance.
 Les caches ARP étant régulièrement vidés, il faudra veiller à maintenir
l‟usurpation.
 Re-router les paquets qu‟il reçoit vers le véritable destinataire, ainsi l‟utilisateur
usurpé ne se rendra compte de rien.

19. DNS Spoofing
19
But :
 Fournir de fausses réponses aux requêtes DNS,
 Indiquer une fausse adresse IP pour un nom de domaine.
Finalité :
 Rediriger, des Internautes vers des sites pirates,
 Récupérer toutes sortes d‟informations.
Déroulement :
 DNS Cache Poisoning
 DNS ID Spoofing

20. Dans cette section
20
Spoofing
Scans
Denie de
services
Les
Attaques
Reseau

21. 21
Le déni de service (DoS)
Internet
Web
Mail
FTP
ssh
…
Objectifs:
Moyens utilisés :
 Faille du protocole TCP/IP,
 Saturation de la bande passante,
 Bugs dans les applications.
 Empêcher l’accès à un service,
 Isoler une machine du réseau

22.  Connexion TCP classique:
Primitive C: connect(socket, addr_dest, longueur_addr)
RAM victime
Adresse IP client Adresse IP serveur TCP
Datagramme IP

23. 23
 Connexion TCP pirate:
SYN séq=x1
Ram victime
Adresse IP
inexistante
Adresse IP victime TCP
Pirate Victime
y1
Connexion
semi ouverte
SYN séq=x2
SYN séq=x3
y2
y3
Saturation
buffer des
connexions
Linux: Time-out pour la file d’attente des connexions en cours d’établissement = 180 secondes

24. DNS ID Spoofing
24
Victim
DNS Local DNS Racine
Serv.hackeriga-marrakech.ma
Botsnets
IP
iga-marrakech
.ma?
IP
iga-marrakech
.ma?
??
Code secret ?
“Attaquez!!”
IP Serv.Hacker
IP Serv.Hacker
!!
DDoS Attack

25. DNS Cache Spoofing
25
Victim
DNS Local
Serv.hacker
172.16.16.7
iga-marrakech.ma
81.192.102.143
??
IP Serv.Hacker
!!
L‟adresse IP de
iga-marrakech.ma
172.16.16.7
Iga-marrakech.ma ?
Botnet

26. Plan du jour
Attaques réseau3
26
Introduction1
Anatomie d’une attaque2
Attaques applicatives4
IGA Marrakech – 4ISRI ©2012-2013
Conclusion5

27. Attaques applicatives
27
1) Les problèmes de configuration
 Il est très rare que les administrateurs réseaux configurent correctement
un programme. En général, ils se contentent d‟utiliser les configurations
par défaut.
ex : login/mdp par défaut d‟un serveur de base de données „
 Les erreurs peuvent apparaître lors de la configuration d‟un logiciel. Une
mauvaise configuration d‟un serveur peut entraîner l‟accès à des fichiers
important
IGA Marrakech – 4ISRI ©2012-2013

28. 28
2) Les bugs
 Liés à un problème dans le code source, ils peuvent amener à
l‟exploitation de failles . Il n‟est pas rare de voir l‟exploitation d‟une
machine suite à une simple erreur de programmation.
3 ) Les buffer overflows
 Les buffer overflows, ou dépassement de la pile, sont une catégorie de
bug particulière. Issus d‟une erreur de programmation, ils permettent
l‟exploitation d‟un shellcode3 à distance. Ce shellcode permettra à une
personne mal intentionnée d‟exécuter des commandes sur le système
distant, pouvant aller jusqu‟à sa destruction.
IGA Marrakech – 4ISRI ©2012-2013

29. 29
4 ) Les scripts
 Principalement web (ex : Perl, PHP, ASP), ils s‟exécutent sur un serveur et
renvoie un résultat au client. Cependant, lorsqu‟ils sont dynamiques (ils
utilisent des entrées saisies par un utilisateur).
 L‟exemple classique est l‟exploitation de fichier à distance, tel que
l‟affichage du fichier mot de passe du système en remontant l‟arborescence
depuis le répertoire web.
IGA Marrakech – 4ISRI ©2012-2013

30. 30
 Tout comme les attaques de scripts, les injections SQL profitent de
paramètres d‟entrée non vérifiés. Comme leur nom l‟indique, le but des
injections SQL est d‟injecter du code SQL dans une requête de base de
données. Ainsi, il est possible de récupérer des informations se trouvant
dans la base (exemple : des mots de passe) ou encore de détruire des
données.
5 ) Les injections SQL
6 ) Man in the middle
 Moins connue, mais tout aussi efficace, cette attaque permet de détourner
le trafic entre deux stations.
IGA Marrakech – 4ISRI ©2012-2013

31. 31
IGA Marrakech – 4ISRI ©2012-2013

32. LOGO
32
Conclusion
IGA Marrakech – 4ISRI ©2012-2013

33. 33IGA Marrakech – 4ISRI ©2012-2013
Prochaine soutenance

34. LOGO
34
Merci pour votre attention
IGA Marrakech – 4ISRI ©2012-2013