SlideShare une entreprise Scribd logo
1  sur  34
Télécharger pour lire hors ligne
Audit et sécurité des
systèmes d’information
Réalisé par Ing EBODE MBALLA
02/02/18
Audit et sécurité des SI _EBODE
MBALLA 2/34
Objectif du cours
Maîtriser les notions de base relatives à la sécurité
Connaitre les objectifs de la sécurité et les mécanismes à mettre en
place pour assurer la sécurité des systèmes d’information
Connaitre les notions de base relatives à l’audit informatique
Volume horaire : 30 min
Objectifs
Références
02/02/18
Audit et sécurité des SI _EBODE
MBALLA 3/34
Cours Type d'attaques de Stéphane Gill
Algorithmes de Chiffrement et Communications sécurisées Abderrazak JEMAI
Livre « Systèmes d’informations organisationnelles (Tome 2) »:chapitre XI de M Louadi
Cours Introduction à la Sécurité Informatique de Abderrazak JEMAI
 Le programme national « Sécurité des systèmes d’information » www.e-picardie.net
OFFICE QUEBECOIS DE LA LANGUE FRANCAISE. Sécurité informatique : définition. In :
BVc
Cours sécurité informatique de Mr Nouaari Hichem (2009/2010)
Livre « AUDIT DES SYSTEMES D’INFORMATION AUTOMATISES ET OUTILS
INFORMATIQUES DE L’AUDITEUR »
02/02/18 Audit et sécurité des SI _EBODE MBALLA 4/34
Partie I:Securité des
systèmes informations
Definitions
Objectifs de la sécurité informatique
Sources de vulnérabilité des systèmes informatiques
Types des menaces
Plan
Origines et types des attaques
Les effets d’une attaque
Principaux outils de défense
02/02/18 5/34
Audit et sécurité des SI _EBODE MBALLA
Politique de sécurité
Définitions (1/3)
6/34
système d’information :
 L’ensemble des moyens nécessaires à l’élaboration, au
traitement, au stockage, à l’acheminement et à l’exploitation des
informations
la confidentialité et la disponibilité de l’information constitue un enjeu
très important pour la compétitivité de l’entreprise
02/02/18 Audit et sécurité des SI _EBODE MBALLA
SI représente un patrimoine essentiel de l’entreprise
7/34
 Ensemble de mesures de sécurité physique, logique,
administrative et de mesures d'urgence, mises en place dans une
organisation, en vue d'assurer:
La sécurité du système d’information :
 La protection de ses biens informatiques
La confidentialité des données de son système d'information
la continuité de service
OFFICE QUEBECOIS DE LA LANGUE FRANCAISE. Sécurité informatique : définition. In :
BVc
02/02/18 Audit et sécurité des SI _EBODE MBALLA
Définitions (2/3)
8/34
La science qui permet de s’assurer que celui qui consulte ou modifie des
données du système en a l’autorisation
La sécurité informatique
Les systèmes informatiques sont au cœur des systèmes d´information
Ils sont devenus la cible de ceux qui convoitent l’information
 Assurer la sécurité de l’information implique l’assurance la sécurité
des systèmes informatiques.
02/02/18
Audit et sécurité des SI _EBODE MBALLA
Cours A. Jemai - Introduction à la Sécurité Informatique-2008
Définitions (3/3)
Objectifs de la sécurité
informatique
9/34
Les principaux objectifs à garantir:
02/02/18 Audit et sécurité des SI _EBODE MBALLA
Confidentialité :
Disponibilité :
Authentification :
Intégrité :
.
Non répudiation :
vérifier l’identité des personnes qui veulent manipuler
l’information
L’information ne peut être connue que par les personnes
autorisées
L’information doit être utilisable à la demande
L’information ne doit pas être altérée ou détruite par accident
ou malveillance
L’absence de possibilité de contestation d’une action une
fois celle-ci est effectuée
02/02/18 Audit et sécurité des SI _EBODE MBALLA 10/34
Pourquoi les systèmes sont-ils
vulnérables ?(1/2)
Faille ou bug pouvant être utilisé pour obtenir un niveau d’accès illicite à
une ressource d’informations ou des privilèges supérieurs à ceux considérés
comme normaux pour cette ressource
La vulnérabilité caractérise les composants du système(matériel, logiciel, les
règles, les procédures, personnel) susceptibles d’être attaquées avec succès
Une vulnérabilité est exploitée par une menace pour causer une perte
Exemples de vulnérabilités :
 Utilisation des mots de passe non robustes
Présence de comptes non protégés par mot de passe
Vulnérabilité
02/02/18 Audit et sécurité des SI _EBODE MBALLA 11/34
La sécurité est cher et difficile: Les organisations n’ont pas de budget pour ça
La sécurité ne peut être sûr à 100%, elle est même souvent inefficace
La politique de sécurité est complexe et basée sur des jugements humains
Les organisations acceptent de courir le risque, la sécurité n’est pas une priorité
De nouvelles technologies (et donc vulnérabilités) émergent en permanence
Les systèmes de sécurité sont faits, gérés et configurés par des hommes
 …
Pourquoi les systèmes sont-ils
vulnérables ?(2/2)
12z02/02/18 Audit et sécurité des SI _EBODE MBALLA
Les types des menaces(1/2)
02/02/18 13/34
Les types des menaces(2/2)
02/02/18
accidentelle
 Panne disque
 Chute de tension
 Echange des
disquettes infectée
…
intentionnels
 Le vol
 L’écoute
 La fouille
…
Livre de « Systèmes d’informations organisationnelles (Tome 2) »:chapitre XI de M louadi
Audit et sécurité des SI _EBODE MBALLA
Les Types d’attaques(1/5)
14/34
Les attaques d’accès
Les attaques de modification
Les attaques par saturation (déni de
service)
Les attaques de répudiation
Attaque = cible + méthode + VulnérabilitésAttaque = cible + méthode + Vulnérabilités
02/02/18 Audit et sécurité des SI _EBODE MBALLA
Type d'attaques Stéphane Gill
15/34
Les attaques d’accès
Les Types d’attaques(2/5)
…
 Sniffing : L’attaquant se met à l’écoute sur le réseau pour obtenir des
informations
 Portes dérobées (backdoors) : injecter un code dans la cible pour l’exploiter
plus tard
 Ingénierie sociale : L’attaquant établit des relations avec le personnel pour
obtenir des informations sur les mots de passe, La topologie du réseau,…
02/02/18 Audit et sécurité des SI _EBODE MBALLA
Type d'attues Stéphane Gill
16/34
Les Types d’attaques(3/5)
Les attaques de modification
cheval de Troie: est un programme qui lui est un ver ou autre type de
programme aux effets pervers
Virus: un programme caché dans un autre qui peut s’exécuter et se
reproduire en infectant d’autres programmes ou d’autres ordinateurs
Ver: un programme qui se copie lui-même mais qui n’affecte pas d’autres
fichiers  relâcher un ver dans internet permet de ralentir le trafic
02/02/18 Audit et sécurité des SI _EBODE MBALLA
Macro virus: Ils sont insérés dans certains fichiers d’extensions doc, xls, ppt…
et ils donnent la possibilité d’exécuter de petits programmes spécifiques sur le
document qui les contient
Bombe logique: un programme qui se déclenche à une date ou à un instant
donnée
Livre de « Systèmes d’informations organisationnelles (Tome 2) »:chapitre XI de M louadi
17/34
Les attaques par saturation (déni de
service)
Les Types d’attaques(4/5)
Le flooding: Envoyer à une machine de nombreux paquets IP de
grosse taille. La machine cible ne pourra pas traiter tous les paquets
et finira par se déconnecter du réseau.
Le smurf: S’appuie sur le ping et les serveurs de broadcast . On falsifie
d’abord son adresse IP pour se faire passer pour la machine cible
Le débordement de tampon: On envoie à la machine cible des données
d’une taille supérieure à la capacité d’un paquet. Celui-ci sera alors
fractionné pour l’envoi et rassemblé par la machine cible il y aura
débordement des variables internes.
02/02/18 Audit et sécurité des SI _EBODE MBALLA
Type d'attaques Stéphane Gill
18/34
Les Types d’attaques(5/5)
Les attaques de répudiation
Le IP spoofing: se faire passer pour une autre machine en falsifiant son
adresse IP (Elle est en fait assez complexe)
02/02/18 Audit et sécurité des SI _EBODE MBALLA
Type d'attaques Stéphane Gill
Travail à faire :différence entre IP spoofing et smurf
Les effets d’une attaque
19/34
Attaque passive : c’est la moins dangereuse
- Ne modifie pas l’information
- Consultation de l’information
Attaque active : ce type d’attaque est dangereux
- Modifie l’état d’une information, d’un serveur ou d’une communication
- Connexion frauduleuse à un host ou un réseau
- Altération des messages en transit sur un réseau (Denis de service)
02/02/18 Audit et sécurité des SI _EBODE MBALLA
Qui représente un danger ?
20/34
Des utilisateurs
 Pirate : celui qui distribue et vend des logiciels protégés sous copyright
 Hacker : Celui qui visite des ordinateurs qui ne lui appartiennent pas sans
leurs causer des dommages mais pour personnaliser son système
 Cracker :celui qui veut casser un système et causer des dommages
Les espions: Pirate payé par une entreprise ou un organisme concurrent
pour récolter (de façon frauduleuse) des informations sur un domaine précis
02/02/18 Audit et sécurité des SI _EBODE MBALLA
Principaux outils de défense
(1/5)
21/34
02/02/18
Technique utilisée pour assurer la confidentialité des informations
Fondée sur des algorithmes mathématiques pour rendre les données
illisibles pour les personnes non autorisées
Audit et sécurité des SI _EBODE MBALLA
Cryptographie :
Utilisée lors des échanges des informations ou pour minimiser les dégâts des
vols(des ordinateurs portables, des disques,…)
Algorithmes de Chiffrement et Communications sécurisées Abderrazak
JEMAI
02/02/18 Audit et sécurité des SI _EBODE MBALLA 22/34
 Un moyen qui permet de garantir l’intégrité du message lors des
échanges des données
La signature numérique
 Le principe de la signature numérique consiste à appliquer une fonction
mathématique sur une portion du message qui est utilisé comme emprunte digitale
pour ce message
Principaux outils de défense
(2/5)
02/02/18 Audit et sécurité des SI _EBODE MBALLA 23/34
 Protéger l’entreprise des intrus et des accès non identifiés
Firewalls :
Agit comme une barrière entre le réseau interne de l’entreprise et
l’extérieur
STO
P
STO
P
Firewal
l
Résea
u
interne
Extérieur
Un firewall est un système ou un groupe de système qui gère les
contrôles d’accès entre deux réseaux
La sécurité des réseaux http://www.guill.net/
Principaux outils de défense
(3/5)
02/02/18 Audit et sécurité des SI _EBODE MBALLA 24/34
IDS (outil de Détection d’intrusion):
Essaie de détecter toute violation de privilège interne ou externe
Types des IDS:
-Les scanners des vulnérabilités testent la cible afin d’identifier quelles sont
les failles connues du système
-Les IDS host based détectent des intrusions sur les hosts sur lesquels sont
installés
-Les IDS network based observent le trafic réseau directement
Ce logiciel émet une alarme lorsqu'il détecte que quelqu'un de
non-autorisé est entré sur le réseau
Principaux outils de défense
(4/5)
02/02/18 Audit et sécurité des SI _EBODE MBALLA 25/34
Antivirus
Programme de test de vulnérabilité
Serveur Proxy
Principaux outils de défense
(5/5)
…
Politique de sécurité (1/2)
02/02/18 Audit et sécurité des SI _EBODE MBALLA 26/34
Ensemble de règles spécifiant:
-Comment les ressources sont gérées afin de satisfaire les exigences
de la sécurité
- Quels sont les actions permises et les actions interdites
 Objectif: Empêcher les violations de sécurité telles que: accès non
autorisé, perte de données, interruption de services, etc
Implémentation: Partiellement automatisée, mais toutes les personnes
sont impliquées.
02/02/18 Audit et sécurité des SI _EBODE MBALLA 27/34
Domaine d’application: Elle doit fixer l’ensemble du personnel qui
doit la respecter et l’appliquer
Domaine de responsabilité: administrateur système, …
Définit les règles pour :
La gestion des mots de passe
 L’authentification des utilisateurs
 Le contrôle d’accès (réseau et système)
L’architecture du réseau
 La sécurité du personnel (formation, …)
 La sécurité physique, etc.
…
Politique de sécurité (2/2)
02/02/18 Audit et sécurité des SI _EBODE MBALLA 28/34
Partie II: Audit des
systèmes
informatiques
Definitions
Objectifs de l’audit informatique
Travaux de l’audit informatique
Les outils de l’auditeur informatique
Plan
02/02/18 29/34
Audit et sécurité des SI _EBODE MBALLA
Définitions
02/02/18 Audit et sécurité des SI _EBODE MBALLA 30/34
L’audit est l’examen d’une situation, d’un système d’informations, d’une
organisation pour porter un jugement
C’est la comparaison entre ce qui est observé et ce que cela devrait être, selon un
système de références.
Audit
Audit informatique
l’audit informatique apporte :
-Un conseil en organisation fourni par des spécialistes extérieurs
-Le moyen d’accompagner et de justifier la mise en place de nouvelles
structures ou de nouvelles méthodes
02/02/18 Audit et sécurité des SI _EBODE MBALLA 31/34
l’audit informatique concerne :
 Les aspects stratégiques : conception et planification de la mise en
œuvre du système d’informations
 L’environnement et l’organisation générale de la gestion de
l’informatique
 Les activités courantes de gestion de l’informatique
 Les ressources informatiques mises en service
Les applications informatiques en service
La sécurité
Les objectifs de l’audit
informatique
Travaux D’audit
informatique
02/02/18 Audit et sécurité des SI _EBODE MBALLA 32/34
L'infrastructure informatique
Un système ou une application informatique en cours de réalisation
Une application informatique
Evaluer:
Mission
Livrable
Rapports contenant les faiblesses relevées
Mesures proposées pour réduire et contrôles des risques des
nouveaux systèmes
…
…
02/02/18 Audit et sécurité des SI _EBODE MBALLA 33/34
L’auditeur informatique peut disposer de deux types d’outils
importants dans le cadre de son activité :
 Les méthodes d’analyse des risques informatiques
 Les progiciels d’audit
Les outils de l’auditeur
informatique
Synthèse
02/02/18 Audit et sécurité des SI _EBODE MBALLA 34/34
Aucune sécurité n'est parfaite
Des outils sont nécessaires, mais le travail quotidien est indispensable
 La sécurité n'apporte qu'un gain indirect. Par conséquent, il n'est pas facile de
convaincre les décideurs de l'entreprise
Le seul système informatique qui est vraiment sûr est un système éteint et
débranché, enfermé dans un blockhaus sous terre, entouré par des gaz mortels
et des gardiens hautement payés et armés.

Contenu connexe

Tendances

Audit de sécurité informatique
Audit de sécurité informatiqueAudit de sécurité informatique
Audit de sécurité informatiqueMohamed Ali Hadhri
 
Attaques Informatiques
Attaques InformatiquesAttaques Informatiques
Attaques InformatiquesSylvain Maret
 
Securite informatique
Securite informatiqueSecurite informatique
Securite informatiqueSouhaib El
 
la sécurité de l'information (extrait de presentation)
la sécurité de l'information (extrait de presentation)la sécurité de l'information (extrait de presentation)
la sécurité de l'information (extrait de presentation)Diane de Haan
 
Référentiels et Normes pour l'Audit de la Sécurité des SI
Référentiels et Normes pour l'Audit de la Sécurité des SIRéférentiels et Normes pour l'Audit de la Sécurité des SI
Référentiels et Normes pour l'Audit de la Sécurité des SIAlghajati
 
Mission d'audit des Systéme d'information
Mission d'audit des Systéme d'informationMission d'audit des Systéme d'information
Mission d'audit des Systéme d'informationAymen Foudhaili
 
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...PECB
 
Conix - EBIOS Risk Manager
Conix - EBIOS Risk ManagerConix - EBIOS Risk Manager
Conix - EBIOS Risk ManagerThierry Pertus
 
Cybersecurité dossier
Cybersecurité dossier Cybersecurité dossier
Cybersecurité dossier MandyDentzer
 
Introduction à La Sécurité Informatique 1/2
Introduction à La Sécurité Informatique 1/2Introduction à La Sécurité Informatique 1/2
Introduction à La Sécurité Informatique 1/2Sylvain Maret
 
Sécurité informatique - Etat des menaces
Sécurité informatique - Etat des menacesSécurité informatique - Etat des menaces
Sécurité informatique - Etat des menacesMaxime ALAY-EDDINE
 
Audit
AuditAudit
Auditzan
 
Sécurité informatique
Sécurité informatiqueSécurité informatique
Sécurité informatiqueoussama Hafid
 
Audit Informatique
Audit InformatiqueAudit Informatique
Audit Informatiqueetienne
 
Effets du système de management de la sécurité de l'information sur la perfor...
Effets du système de management de la sécurité de l'information sur la perfor...Effets du système de management de la sécurité de l'information sur la perfor...
Effets du système de management de la sécurité de l'information sur la perfor...Harold NGUEGANG
 
Le Management de la sécurité des SI
Le Management de la sécurité des SILe Management de la sécurité des SI
Le Management de la sécurité des SIDIALLO Boubacar
 

Tendances (20)

Audit de sécurité informatique
Audit de sécurité informatiqueAudit de sécurité informatique
Audit de sécurité informatique
 
Attaques Informatiques
Attaques InformatiquesAttaques Informatiques
Attaques Informatiques
 
Securite informatique
Securite informatiqueSecurite informatique
Securite informatique
 
la sécurité de l'information (extrait de presentation)
la sécurité de l'information (extrait de presentation)la sécurité de l'information (extrait de presentation)
la sécurité de l'information (extrait de presentation)
 
Référentiels et Normes pour l'Audit de la Sécurité des SI
Référentiels et Normes pour l'Audit de la Sécurité des SIRéférentiels et Normes pour l'Audit de la Sécurité des SI
Référentiels et Normes pour l'Audit de la Sécurité des SI
 
Mission d'audit des Systéme d'information
Mission d'audit des Systéme d'informationMission d'audit des Systéme d'information
Mission d'audit des Systéme d'information
 
SMSI.pdf
SMSI.pdfSMSI.pdf
SMSI.pdf
 
ISO 27001
ISO 27001ISO 27001
ISO 27001
 
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...
Le pilotage des risques avec Méhari-Standard (2017) : Indicateurs et tableau ...
 
Conix - EBIOS Risk Manager
Conix - EBIOS Risk ManagerConix - EBIOS Risk Manager
Conix - EBIOS Risk Manager
 
Cybersecurité dossier
Cybersecurité dossier Cybersecurité dossier
Cybersecurité dossier
 
Introduction à La Sécurité Informatique 1/2
Introduction à La Sécurité Informatique 1/2Introduction à La Sécurité Informatique 1/2
Introduction à La Sécurité Informatique 1/2
 
Mehari
MehariMehari
Mehari
 
Sécurité informatique - Etat des menaces
Sécurité informatique - Etat des menacesSécurité informatique - Etat des menaces
Sécurité informatique - Etat des menaces
 
Audit
AuditAudit
Audit
 
Sécurité informatique
Sécurité informatiqueSécurité informatique
Sécurité informatique
 
Audit des systemes d'information
Audit des systemes d'informationAudit des systemes d'information
Audit des systemes d'information
 
Audit Informatique
Audit InformatiqueAudit Informatique
Audit Informatique
 
Effets du système de management de la sécurité de l'information sur la perfor...
Effets du système de management de la sécurité de l'information sur la perfor...Effets du système de management de la sécurité de l'information sur la perfor...
Effets du système de management de la sécurité de l'information sur la perfor...
 
Le Management de la sécurité des SI
Le Management de la sécurité des SILe Management de la sécurité des SI
Le Management de la sécurité des SI
 

Similaire à Audit et sécurité des systèmes d'information

resume-theorique-m108-3005-6298a1255e18a.pdf
resume-theorique-m108-3005-6298a1255e18a.pdfresume-theorique-m108-3005-6298a1255e18a.pdf
resume-theorique-m108-3005-6298a1255e18a.pdfFootballLovers9
 
Resume-theorique-M209-V1-version-provisoire-0909_2.pdf
Resume-theorique-M209-V1-version-provisoire-0909_2.pdfResume-theorique-M209-V1-version-provisoire-0909_2.pdf
Resume-theorique-M209-V1-version-provisoire-0909_2.pdfFootballLovers9
 
Présentation1.pptx
Présentation1.pptxPrésentation1.pptx
Présentation1.pptxZokomElie
 
Gestion des vulnérabilités dans l'IoT
Gestion des vulnérabilités dans l'IoTGestion des vulnérabilités dans l'IoT
Gestion des vulnérabilités dans l'IoTMaxime ALAY-EDDINE
 
IBM Security Intelligence Juin-2016
IBM Security Intelligence Juin-2016IBM Security Intelligence Juin-2016
IBM Security Intelligence Juin-2016Serge Richard
 
Sécurité Informatique_Licence 2 Rx UKV.potx
Sécurité Informatique_Licence 2 Rx UKV.potxSécurité Informatique_Licence 2 Rx UKV.potx
Sécurité Informatique_Licence 2 Rx UKV.potxBernardKabuatila
 
resume-theorique-m107-3003-version-provisoire-6246c8ad85380 (1).pdf
resume-theorique-m107-3003-version-provisoire-6246c8ad85380 (1).pdfresume-theorique-m107-3003-version-provisoire-6246c8ad85380 (1).pdf
resume-theorique-m107-3003-version-provisoire-6246c8ad85380 (1).pdfFootballLovers9
 
1- Les bases de la sécurité informatique.pdf
1- Les bases de la sécurité informatique.pdf1- Les bases de la sécurité informatique.pdf
1- Les bases de la sécurité informatique.pdfbadrboutouja1
 
MANAGEMENT DES SYSTMES DE MANAGEMENT: L'APPORT DE ISO 27001
MANAGEMENT DES SYSTMES DE MANAGEMENT: L'APPORT DE ISO 27001MANAGEMENT DES SYSTMES DE MANAGEMENT: L'APPORT DE ISO 27001
MANAGEMENT DES SYSTMES DE MANAGEMENT: L'APPORT DE ISO 27001lancedafric.org
 
Sécurité informatique
Sécurité informatiqueSécurité informatique
Sécurité informatiquehediajegham
 
cours-2 - ETUDES DES RISQUES LIES A LA SECURITE DES SI_.pdf
cours-2 - ETUDES DES RISQUES LIES A LA SECURITE DES SI_.pdfcours-2 - ETUDES DES RISQUES LIES A LA SECURITE DES SI_.pdf
cours-2 - ETUDES DES RISQUES LIES A LA SECURITE DES SI_.pdfUbaldKouokam
 
Cours 1.pdf
Cours 1.pdfCours 1.pdf
Cours 1.pdfbkeit11
 
MasterClass Intelligence Artificielle et Sécurité FIC 2019
MasterClass Intelligence Artificielle et Sécurité FIC 2019MasterClass Intelligence Artificielle et Sécurité FIC 2019
MasterClass Intelligence Artificielle et Sécurité FIC 2019OPcyberland
 
Projet de Securité Informatique.ppt
Projet de Securité Informatique.pptProjet de Securité Informatique.ppt
Projet de Securité Informatique.pptNatijTDI
 
8-securite_reseaux.pdf
8-securite_reseaux.pdf8-securite_reseaux.pdf
8-securite_reseaux.pdfssuserbd922f
 
Sensibilisation sur la cybersécurité
Sensibilisation sur la cybersécuritéSensibilisation sur la cybersécurité
Sensibilisation sur la cybersécuritéOUSMANESoumailaYaye
 

Similaire à Audit et sécurité des systèmes d'information (20)

resume-theorique-m108-3005-6298a1255e18a.pdf
resume-theorique-m108-3005-6298a1255e18a.pdfresume-theorique-m108-3005-6298a1255e18a.pdf
resume-theorique-m108-3005-6298a1255e18a.pdf
 
Resume-theorique-M209-V1-version-provisoire-0909_2.pdf
Resume-theorique-M209-V1-version-provisoire-0909_2.pdfResume-theorique-M209-V1-version-provisoire-0909_2.pdf
Resume-theorique-M209-V1-version-provisoire-0909_2.pdf
 
Présentation1.pptx
Présentation1.pptxPrésentation1.pptx
Présentation1.pptx
 
Gestion des vulnérabilités dans l'IoT
Gestion des vulnérabilités dans l'IoTGestion des vulnérabilités dans l'IoT
Gestion des vulnérabilités dans l'IoT
 
IBM Security Intelligence Juin-2016
IBM Security Intelligence Juin-2016IBM Security Intelligence Juin-2016
IBM Security Intelligence Juin-2016
 
Sécurité Informatique_Licence 2 Rx UKV.potx
Sécurité Informatique_Licence 2 Rx UKV.potxSécurité Informatique_Licence 2 Rx UKV.potx
Sécurité Informatique_Licence 2 Rx UKV.potx
 
Baudoin karle-ids-ips
Baudoin karle-ids-ipsBaudoin karle-ids-ips
Baudoin karle-ids-ips
 
RESUMT_1.PDF
RESUMT_1.PDFRESUMT_1.PDF
RESUMT_1.PDF
 
resume-theorique-m107-3003-version-provisoire-6246c8ad85380 (1).pdf
resume-theorique-m107-3003-version-provisoire-6246c8ad85380 (1).pdfresume-theorique-m107-3003-version-provisoire-6246c8ad85380 (1).pdf
resume-theorique-m107-3003-version-provisoire-6246c8ad85380 (1).pdf
 
Sécurité des réseaux
Sécurité des réseauxSécurité des réseaux
Sécurité des réseaux
 
1- Les bases de la sécurité informatique.pdf
1- Les bases de la sécurité informatique.pdf1- Les bases de la sécurité informatique.pdf
1- Les bases de la sécurité informatique.pdf
 
MANAGEMENT DES SYSTMES DE MANAGEMENT: L'APPORT DE ISO 27001
MANAGEMENT DES SYSTMES DE MANAGEMENT: L'APPORT DE ISO 27001MANAGEMENT DES SYSTMES DE MANAGEMENT: L'APPORT DE ISO 27001
MANAGEMENT DES SYSTMES DE MANAGEMENT: L'APPORT DE ISO 27001
 
Sécurité informatique
Sécurité informatiqueSécurité informatique
Sécurité informatique
 
cours-2 - ETUDES DES RISQUES LIES A LA SECURITE DES SI_.pdf
cours-2 - ETUDES DES RISQUES LIES A LA SECURITE DES SI_.pdfcours-2 - ETUDES DES RISQUES LIES A LA SECURITE DES SI_.pdf
cours-2 - ETUDES DES RISQUES LIES A LA SECURITE DES SI_.pdf
 
Cours 1.pdf
Cours 1.pdfCours 1.pdf
Cours 1.pdf
 
MasterClass Intelligence Artificielle et Sécurité FIC 2019
MasterClass Intelligence Artificielle et Sécurité FIC 2019MasterClass Intelligence Artificielle et Sécurité FIC 2019
MasterClass Intelligence Artificielle et Sécurité FIC 2019
 
Projet de Securité Informatique.ppt
Projet de Securité Informatique.pptProjet de Securité Informatique.ppt
Projet de Securité Informatique.ppt
 
8-securite_reseaux.pdf
8-securite_reseaux.pdf8-securite_reseaux.pdf
8-securite_reseaux.pdf
 
Sensibilisation sur la cybersécurité
Sensibilisation sur la cybersécuritéSensibilisation sur la cybersécurité
Sensibilisation sur la cybersécurité
 
CyberséCurité Et Vie PrivéE
CyberséCurité Et Vie PrivéECyberséCurité Et Vie PrivéE
CyberséCurité Et Vie PrivéE
 

Plus de Manuel Cédric EBODE MBALLA (13)

Pres requis pour instalation des clients pour symantion endpoint
Pres requis pour instalation des clients pour symantion endpoint Pres requis pour instalation des clients pour symantion endpoint
Pres requis pour instalation des clients pour symantion endpoint
 
Tutoriel word
Tutoriel wordTutoriel word
Tutoriel word
 
Général réseau typologie et architecture
Général réseau typologie et architecture Général réseau typologie et architecture
Général réseau typologie et architecture
 
petit cours sur la sécurité des réseaux informatiques
petit cours sur la sécurité des réseaux informatiques petit cours sur la sécurité des réseaux informatiques
petit cours sur la sécurité des réseaux informatiques
 
mis en place d'une solution multi-tenant pour la supervision
mis en place d'une solution multi-tenant pour la supervisionmis en place d'une solution multi-tenant pour la supervision
mis en place d'une solution multi-tenant pour la supervision
 
Nessus outil d audit
Nessus outil d auditNessus outil d audit
Nessus outil d audit
 
Introduction informatique
Introduction informatiqueIntroduction informatique
Introduction informatique
 
tutoriel sur la mise en place d'une politique de sécurité informatique
tutoriel sur la mise en place d'une politique de sécurité informatiquetutoriel sur la mise en place d'une politique de sécurité informatique
tutoriel sur la mise en place d'une politique de sécurité informatique
 
présentation sur le vpn
présentation sur le vpn présentation sur le vpn
présentation sur le vpn
 
mis en place dun vpn site à site
mis en place dun vpn site à site mis en place dun vpn site à site
mis en place dun vpn site à site
 
projet sur le vpn presentation
projet sur le vpn presentationprojet sur le vpn presentation
projet sur le vpn presentation
 
VPN WINDOWS LINUX OPENVPN
VPN WINDOWS LINUX OPENVPNVPN WINDOWS LINUX OPENVPN
VPN WINDOWS LINUX OPENVPN
 
politique de sécurité a mettre en place
politique de sécurité a mettre en place politique de sécurité a mettre en place
politique de sécurité a mettre en place
 

Audit et sécurité des systèmes d'information

  • 1. Audit et sécurité des systèmes d’information Réalisé par Ing EBODE MBALLA
  • 2. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 2/34 Objectif du cours Maîtriser les notions de base relatives à la sécurité Connaitre les objectifs de la sécurité et les mécanismes à mettre en place pour assurer la sécurité des systèmes d’information Connaitre les notions de base relatives à l’audit informatique Volume horaire : 30 min Objectifs
  • 3. Références 02/02/18 Audit et sécurité des SI _EBODE MBALLA 3/34 Cours Type d'attaques de Stéphane Gill Algorithmes de Chiffrement et Communications sécurisées Abderrazak JEMAI Livre « Systèmes d’informations organisationnelles (Tome 2) »:chapitre XI de M Louadi Cours Introduction à la Sécurité Informatique de Abderrazak JEMAI  Le programme national « Sécurité des systèmes d’information » www.e-picardie.net OFFICE QUEBECOIS DE LA LANGUE FRANCAISE. Sécurité informatique : définition. In : BVc Cours sécurité informatique de Mr Nouaari Hichem (2009/2010) Livre « AUDIT DES SYSTEMES D’INFORMATION AUTOMATISES ET OUTILS INFORMATIQUES DE L’AUDITEUR »
  • 4. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 4/34 Partie I:Securité des systèmes informations
  • 5. Definitions Objectifs de la sécurité informatique Sources de vulnérabilité des systèmes informatiques Types des menaces Plan Origines et types des attaques Les effets d’une attaque Principaux outils de défense 02/02/18 5/34 Audit et sécurité des SI _EBODE MBALLA Politique de sécurité
  • 6. Définitions (1/3) 6/34 système d’information :  L’ensemble des moyens nécessaires à l’élaboration, au traitement, au stockage, à l’acheminement et à l’exploitation des informations la confidentialité et la disponibilité de l’information constitue un enjeu très important pour la compétitivité de l’entreprise 02/02/18 Audit et sécurité des SI _EBODE MBALLA SI représente un patrimoine essentiel de l’entreprise
  • 7. 7/34  Ensemble de mesures de sécurité physique, logique, administrative et de mesures d'urgence, mises en place dans une organisation, en vue d'assurer: La sécurité du système d’information :  La protection de ses biens informatiques La confidentialité des données de son système d'information la continuité de service OFFICE QUEBECOIS DE LA LANGUE FRANCAISE. Sécurité informatique : définition. In : BVc 02/02/18 Audit et sécurité des SI _EBODE MBALLA Définitions (2/3)
  • 8. 8/34 La science qui permet de s’assurer que celui qui consulte ou modifie des données du système en a l’autorisation La sécurité informatique Les systèmes informatiques sont au cœur des systèmes d´information Ils sont devenus la cible de ceux qui convoitent l’information  Assurer la sécurité de l’information implique l’assurance la sécurité des systèmes informatiques. 02/02/18 Audit et sécurité des SI _EBODE MBALLA Cours A. Jemai - Introduction à la Sécurité Informatique-2008 Définitions (3/3)
  • 9. Objectifs de la sécurité informatique 9/34 Les principaux objectifs à garantir: 02/02/18 Audit et sécurité des SI _EBODE MBALLA Confidentialité : Disponibilité : Authentification : Intégrité : . Non répudiation : vérifier l’identité des personnes qui veulent manipuler l’information L’information ne peut être connue que par les personnes autorisées L’information doit être utilisable à la demande L’information ne doit pas être altérée ou détruite par accident ou malveillance L’absence de possibilité de contestation d’une action une fois celle-ci est effectuée
  • 10. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 10/34 Pourquoi les systèmes sont-ils vulnérables ?(1/2) Faille ou bug pouvant être utilisé pour obtenir un niveau d’accès illicite à une ressource d’informations ou des privilèges supérieurs à ceux considérés comme normaux pour cette ressource La vulnérabilité caractérise les composants du système(matériel, logiciel, les règles, les procédures, personnel) susceptibles d’être attaquées avec succès Une vulnérabilité est exploitée par une menace pour causer une perte Exemples de vulnérabilités :  Utilisation des mots de passe non robustes Présence de comptes non protégés par mot de passe Vulnérabilité
  • 11. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 11/34 La sécurité est cher et difficile: Les organisations n’ont pas de budget pour ça La sécurité ne peut être sûr à 100%, elle est même souvent inefficace La politique de sécurité est complexe et basée sur des jugements humains Les organisations acceptent de courir le risque, la sécurité n’est pas une priorité De nouvelles technologies (et donc vulnérabilités) émergent en permanence Les systèmes de sécurité sont faits, gérés et configurés par des hommes  … Pourquoi les systèmes sont-ils vulnérables ?(2/2)
  • 12. 12z02/02/18 Audit et sécurité des SI _EBODE MBALLA Les types des menaces(1/2)
  • 13. 02/02/18 13/34 Les types des menaces(2/2) 02/02/18 accidentelle  Panne disque  Chute de tension  Echange des disquettes infectée … intentionnels  Le vol  L’écoute  La fouille … Livre de « Systèmes d’informations organisationnelles (Tome 2) »:chapitre XI de M louadi Audit et sécurité des SI _EBODE MBALLA
  • 14. Les Types d’attaques(1/5) 14/34 Les attaques d’accès Les attaques de modification Les attaques par saturation (déni de service) Les attaques de répudiation Attaque = cible + méthode + VulnérabilitésAttaque = cible + méthode + Vulnérabilités 02/02/18 Audit et sécurité des SI _EBODE MBALLA Type d'attaques Stéphane Gill
  • 15. 15/34 Les attaques d’accès Les Types d’attaques(2/5) …  Sniffing : L’attaquant se met à l’écoute sur le réseau pour obtenir des informations  Portes dérobées (backdoors) : injecter un code dans la cible pour l’exploiter plus tard  Ingénierie sociale : L’attaquant établit des relations avec le personnel pour obtenir des informations sur les mots de passe, La topologie du réseau,… 02/02/18 Audit et sécurité des SI _EBODE MBALLA Type d'attues Stéphane Gill
  • 16. 16/34 Les Types d’attaques(3/5) Les attaques de modification cheval de Troie: est un programme qui lui est un ver ou autre type de programme aux effets pervers Virus: un programme caché dans un autre qui peut s’exécuter et se reproduire en infectant d’autres programmes ou d’autres ordinateurs Ver: un programme qui se copie lui-même mais qui n’affecte pas d’autres fichiers  relâcher un ver dans internet permet de ralentir le trafic 02/02/18 Audit et sécurité des SI _EBODE MBALLA Macro virus: Ils sont insérés dans certains fichiers d’extensions doc, xls, ppt… et ils donnent la possibilité d’exécuter de petits programmes spécifiques sur le document qui les contient Bombe logique: un programme qui se déclenche à une date ou à un instant donnée Livre de « Systèmes d’informations organisationnelles (Tome 2) »:chapitre XI de M louadi
  • 17. 17/34 Les attaques par saturation (déni de service) Les Types d’attaques(4/5) Le flooding: Envoyer à une machine de nombreux paquets IP de grosse taille. La machine cible ne pourra pas traiter tous les paquets et finira par se déconnecter du réseau. Le smurf: S’appuie sur le ping et les serveurs de broadcast . On falsifie d’abord son adresse IP pour se faire passer pour la machine cible Le débordement de tampon: On envoie à la machine cible des données d’une taille supérieure à la capacité d’un paquet. Celui-ci sera alors fractionné pour l’envoi et rassemblé par la machine cible il y aura débordement des variables internes. 02/02/18 Audit et sécurité des SI _EBODE MBALLA Type d'attaques Stéphane Gill
  • 18. 18/34 Les Types d’attaques(5/5) Les attaques de répudiation Le IP spoofing: se faire passer pour une autre machine en falsifiant son adresse IP (Elle est en fait assez complexe) 02/02/18 Audit et sécurité des SI _EBODE MBALLA Type d'attaques Stéphane Gill Travail à faire :différence entre IP spoofing et smurf
  • 19. Les effets d’une attaque 19/34 Attaque passive : c’est la moins dangereuse - Ne modifie pas l’information - Consultation de l’information Attaque active : ce type d’attaque est dangereux - Modifie l’état d’une information, d’un serveur ou d’une communication - Connexion frauduleuse à un host ou un réseau - Altération des messages en transit sur un réseau (Denis de service) 02/02/18 Audit et sécurité des SI _EBODE MBALLA
  • 20. Qui représente un danger ? 20/34 Des utilisateurs  Pirate : celui qui distribue et vend des logiciels protégés sous copyright  Hacker : Celui qui visite des ordinateurs qui ne lui appartiennent pas sans leurs causer des dommages mais pour personnaliser son système  Cracker :celui qui veut casser un système et causer des dommages Les espions: Pirate payé par une entreprise ou un organisme concurrent pour récolter (de façon frauduleuse) des informations sur un domaine précis 02/02/18 Audit et sécurité des SI _EBODE MBALLA
  • 21. Principaux outils de défense (1/5) 21/34 02/02/18 Technique utilisée pour assurer la confidentialité des informations Fondée sur des algorithmes mathématiques pour rendre les données illisibles pour les personnes non autorisées Audit et sécurité des SI _EBODE MBALLA Cryptographie : Utilisée lors des échanges des informations ou pour minimiser les dégâts des vols(des ordinateurs portables, des disques,…) Algorithmes de Chiffrement et Communications sécurisées Abderrazak JEMAI
  • 22. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 22/34  Un moyen qui permet de garantir l’intégrité du message lors des échanges des données La signature numérique  Le principe de la signature numérique consiste à appliquer une fonction mathématique sur une portion du message qui est utilisé comme emprunte digitale pour ce message Principaux outils de défense (2/5)
  • 23. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 23/34  Protéger l’entreprise des intrus et des accès non identifiés Firewalls : Agit comme une barrière entre le réseau interne de l’entreprise et l’extérieur STO P STO P Firewal l Résea u interne Extérieur Un firewall est un système ou un groupe de système qui gère les contrôles d’accès entre deux réseaux La sécurité des réseaux http://www.guill.net/ Principaux outils de défense (3/5)
  • 24. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 24/34 IDS (outil de Détection d’intrusion): Essaie de détecter toute violation de privilège interne ou externe Types des IDS: -Les scanners des vulnérabilités testent la cible afin d’identifier quelles sont les failles connues du système -Les IDS host based détectent des intrusions sur les hosts sur lesquels sont installés -Les IDS network based observent le trafic réseau directement Ce logiciel émet une alarme lorsqu'il détecte que quelqu'un de non-autorisé est entré sur le réseau Principaux outils de défense (4/5)
  • 25. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 25/34 Antivirus Programme de test de vulnérabilité Serveur Proxy Principaux outils de défense (5/5) …
  • 26. Politique de sécurité (1/2) 02/02/18 Audit et sécurité des SI _EBODE MBALLA 26/34 Ensemble de règles spécifiant: -Comment les ressources sont gérées afin de satisfaire les exigences de la sécurité - Quels sont les actions permises et les actions interdites  Objectif: Empêcher les violations de sécurité telles que: accès non autorisé, perte de données, interruption de services, etc Implémentation: Partiellement automatisée, mais toutes les personnes sont impliquées.
  • 27. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 27/34 Domaine d’application: Elle doit fixer l’ensemble du personnel qui doit la respecter et l’appliquer Domaine de responsabilité: administrateur système, … Définit les règles pour : La gestion des mots de passe  L’authentification des utilisateurs  Le contrôle d’accès (réseau et système) L’architecture du réseau  La sécurité du personnel (formation, …)  La sécurité physique, etc. … Politique de sécurité (2/2)
  • 28. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 28/34 Partie II: Audit des systèmes informatiques
  • 29. Definitions Objectifs de l’audit informatique Travaux de l’audit informatique Les outils de l’auditeur informatique Plan 02/02/18 29/34 Audit et sécurité des SI _EBODE MBALLA
  • 30. Définitions 02/02/18 Audit et sécurité des SI _EBODE MBALLA 30/34 L’audit est l’examen d’une situation, d’un système d’informations, d’une organisation pour porter un jugement C’est la comparaison entre ce qui est observé et ce que cela devrait être, selon un système de références. Audit Audit informatique l’audit informatique apporte : -Un conseil en organisation fourni par des spécialistes extérieurs -Le moyen d’accompagner et de justifier la mise en place de nouvelles structures ou de nouvelles méthodes
  • 31. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 31/34 l’audit informatique concerne :  Les aspects stratégiques : conception et planification de la mise en œuvre du système d’informations  L’environnement et l’organisation générale de la gestion de l’informatique  Les activités courantes de gestion de l’informatique  Les ressources informatiques mises en service Les applications informatiques en service La sécurité Les objectifs de l’audit informatique
  • 32. Travaux D’audit informatique 02/02/18 Audit et sécurité des SI _EBODE MBALLA 32/34 L'infrastructure informatique Un système ou une application informatique en cours de réalisation Une application informatique Evaluer: Mission Livrable Rapports contenant les faiblesses relevées Mesures proposées pour réduire et contrôles des risques des nouveaux systèmes … …
  • 33. 02/02/18 Audit et sécurité des SI _EBODE MBALLA 33/34 L’auditeur informatique peut disposer de deux types d’outils importants dans le cadre de son activité :  Les méthodes d’analyse des risques informatiques  Les progiciels d’audit Les outils de l’auditeur informatique
  • 34. Synthèse 02/02/18 Audit et sécurité des SI _EBODE MBALLA 34/34 Aucune sécurité n'est parfaite Des outils sont nécessaires, mais le travail quotidien est indispensable  La sécurité n'apporte qu'un gain indirect. Par conséquent, il n'est pas facile de convaincre les décideurs de l'entreprise Le seul système informatique qui est vraiment sûr est un système éteint et débranché, enfermé dans un blockhaus sous terre, entouré par des gaz mortels et des gardiens hautement payés et armés.

Notes de l'éditeur

  1.  Certaines destructions ou altérations de l’information peuvent Nuire à la crédibilité de l’entreprise Causer des pertes élevées à l’entreprise. Si votre partenaire n’est pas sécurisé, votre système d’information pourrait être affecté. Un SI comprend : - L’information elle-même - La manière d’organiser et de structurer l’information - Les moyens mis pour le traitement de l’information - Les moyens mis pour véhiculer l’information et la rendre disponible
  2. - la protection de la fiabilité de ces données = la conservation de leur contenu au fil du temps ou lors de leur Traitement -La sécurité [des systèmes d’information] ne résulte pas d'une accumulation de moyens, mais est plutôt associée à une démarche méthodique d'analyse et de réduction des risques. Ainsi, de nombreuses techniques sont mises en oeuvre pour réduire la vulnérabilité vis‐à‐vis des risques informatiques ; elles concernent notamment l'organisation de l'entreprise, le contrôle des accès aux systèmes d'information, la protection des télécommunications, le plan de secours, les consignes de sécurité, la qualité des logiciels, les sauvegardes, le chiffrement, … comporte trois aspects : - la protection physique des installations - la protection des données contre la consultation, la modification ou la dégradation, effectuées de façon volontaire ou accidentelle par des personnes non autorisées - la protection de la fiabilité de ces données
  3. l’essentiel du système d’information est porté par le système informatique et la notion de sécurité informatique recouvre pour l’essentiel la notion de sécurité des systèmes d’information (SSI).
  4. Authentification : vérifier l’identité des personnes qui veulent manipuler l’information Confidentialité : L’information ne peut être connue que par les personnes autorisées Disponibilité : L’information doit être utilisable à la demande Intégrité : L’information ne doit pas être altérée, détruite par accident ou malveillance.
  5. Une Attaque : n’importe quelle action qui compromet la sécurité des informations.
  6. -Il existe quatre catégories principales d’attaque -Les attaques peuvent être réalisées grâce à des moyens techniques ou par ingénierie sociale. L’ingénierie sociale consiste à employer des méthodes non techniques pour obtenir un accès non autorisé.
  7. Une attaque d’accès est une tentative d’accès à l’information par une personne non autorisée. Ce type d’attaque concerne la confidentialité de l’information.
  8. Une attaque de type « modification » consiste, pour un attaquant à tenter de modifier des informations. Ce type d’attaque est dirigé contre l’intégrité de l’information.
  9. Les attaques par saturation sont des attaques informatiques qui consiste à envoyer des milliers de messages depuis des dizaines d'ordinateurs, dans le but de submerger les serveurs d'une société, de paralyser pendant plusieurs heures son site Web et d'en bloquer ainsi l'accès aux internautes.
  10. La répudiation est une attaque contre la responsabilité. Autrement dit, la répudiation consiste à tenter de donner de fausses informations ou de nier qu’un événement ou une transaction se soient réellement passé.
  11. Un hacker construit et un cracker detruit
  12. Dans toute transaction professionnelle, les deux parties doivent offrir une garantie de leur identité. La signature numérique et le certificat sont des moyens d’identification de l’émetteur du message.
  13. Étendu: Organisationnel, ou individuel
  14. Il existe sur le marché des différentes méthodes dont l’objectif est de fournir une évaluation globale de sécurité et des risques informatiques au sein d’une entreprise. La plus célèbre d’entre elles est incontestablement la méthode MARION , élaborée par le CLUSIF ( Club de la sécurité informatique Française), l’APSAIRD ( Assemblée Plénière des Sociétés d’Assurance contre l’incendie et les Risques Divers). Ces méthodes ont toutes en commun de fournir : · un questionnaire d’évaluation du risque : chaque question donne lieu à une notation de l’environnement étudié ; · une présentation conviviale des résultats de l’évaluation, souvent après saisie des réponses au questionnaire sur un micro-ordinateur et traitement des résultats.