SlideShare une entreprise Scribd logo

Enjeux et évolutions de la sécurite informatique

Enjeux et évolutions de la sécurité informatique - Evolution des attaques informatiques - Etude des attaques récentes - Métiers de la sécurité informatique - Prospective

1  sur  93
Télécharger pour lire hors ligne
Enjeux et évolutions de
la sécurité informatique
Maxime ALAY-EDDINE

Cyberwatch SAS - http://www.cyberwatch.fr

v1.1 - 19/03/2015
1
Faisons connaissance !
• Maxime ALAY-EDDINE

• 24 ans, Consultant SSI

• Président de Cyberwatch SAS

• 3 ans chez SAGEM (SAFRAN)

• 1 an chez SportinTown

• Commencé piratage à 12 ans
CYBERWATCH
2
- Gene Spafford (aka Spaf)
Expert SSI, membre du Cybersecurity Hall of Fame
The only truly secure system is one that is
powered off, cast in a block of concrete and
sealed in a lead-lined room with armed guards.
3
La sécurité absolue n’existe pas.
Source lolsnaps.com
Il faut viser un « niveau de risque acceptable ».
Plan
• Présentation générale

• Evolution des attaques

• Etude des attaques récentes

• Démonstration

• Les métiers de la cybersécurité

• Evolutions futures
technologiques et politiques

• Questions / Réponses
Présentation générale
Notions de base et définitions
Sécurité des systèmes d’information ?
Sécurité des systèmes d’information ?
Le système d'information représente un patrimoine
essentiel de l'organisation, qu'il convient de protéger.
La sécurité informatique consiste à garantir que les
ressources matérielles ou logicielles d'une organisation
sont uniquement utilisées dans le cadre prévu.
Source : JF Pillou, Tout sur les systèmes d’information, Dunod 2006
Définition plus « concrète »
Disponibilité
Intégrité Confidentialité
Définition plus « concrète »… avec les mains
Disponibilité
Intégrité Confidentialité
Est-ce que mon
système fonctionne ?
Est-ce que mes
données sont bonnes ? Est-ce que mon
système est privé ?
Objectif
Disponibilité
Intégrité Confidentialité
Situation optimale
Dans l’industrie, 4 grands critères
En pratique ?
Besoin'
d’exper-se'
Manque'
de'temps'
Coût'
très'élevé'
Quelles solutions ?
Clé$en$mains$
Des menaces multiples
S
T
R
I
D
E
poofing
ampering
epudiation
nformation Disclosure
enial of Service
levation of Privilege
Usurpation
Falsification
Répudiation
Divulgation d’informations
Déni de service
Elévation de privilèges
Usurpation d’identité
Le pirate se fait passer pour une entité.
Usurpation d’identité
Login
Password
Usurpation d’identité
Login
Password
Login
Password
Usurpation d’identité
Falsification de données
Le pirate modifie des données.
Falsification de données
Falsification de données
Falsification de données
Falsification de données
Répudiation
Le pirate fait croire qu’un évènement ne s’est jamais produit.
Répudiation
Répudiation
Répudiation
Répudiation
Divulgation d’informations
Le pirate publie des informations confidentielles.
Divulgation d’informations
Login
Password
Divulgation d’informations
Login
Password
Déni de service
Le pirate rend un service inaccessible.
Déni de service
Déni de service
Déni de service distribué
Déni de service distribué
Source FakePlus.com
Elévation de privilège
Le pirate obtient des droits privilégiés sur un système.
Elévation de privilège
Elévation de privilège
Des menaces multiples… suite
Sécurité physique
Sécurité réseau
Sécurité des applications
Ingénierie sociale
…
Pour chaque menace, il y a une solution
Virus
Malware
IP Spoofing
Man-in-the-Middle
Injection SQL/XSS
Vulnérabilité
…
Anti-virus
Anti-malware
Anti Spoofing
Chiffrement
Filtrage
Scanner de vulnérabilités
…
Source : yannarthusbertrand2.org
Les menaces évoluent et deviennent de plus
en plus complexes.
Source : aashils.files.wordpress.com
You can't defend. You can't prevent. The
only thing you can do is detect and respond.
- Bruce Schneier
Expert SSI, Chuck Norris de la Cybersécurité
Evolution des attaques
Etude de la complexité et des
nouvelles cibles des pirates
La bombe logique - 1982
• Opération créée par la CIA contre un pipeline russe
• Code malveillant permettant de faire exploser le pipeline,
sans explosif externe
• Les dégâts causés étaient visibles depuis l’espace
Kevin Mitnick - 1983
• Kevin Mitnick s’introduit sur le réseau du Pentagone
• S’introduit par « défi » technique
• Ne vole pas de données, conserve un sens éthique
• Travaille désormais comme consultant SSI
Morris - 1988
• Créé par Robert Tappan Morris (Cornell) en 1988
• Programme conçu pour se répliquer et se propager de
proche en proche (Ver / Worm)
• Problème : le ver a rencontré une erreur et a causé des
dommages sur les ordinateurs infectés.
• Plus de 6000 ordinateurs infectés, pour $100M
d’amende.
Jonathan James - 1999
• Pirate la Defense Threat Reduction Agency à 15 ans
• Récupère le code source d’un logiciel de la NASA utilisé
sur la Station Spatiale Internationale pour contrôler
l’environnement de vie des astronautes
MafiaBoy - 2000
• Michael Calce (aka MafiaBoy) réalise des attaques par
Déni de service distribué sur des majors
• Amazon, CNN, eBay, Yahoo! sont touchés
• Les dégâts sont évalués à plus de $1,2Mrds
Estonie - 2007
• L’Estonie subit une attaque majeure de Déni de service
suite au retrait d’un mémorial de guerre lié à la Russie.
• Les services gouvernementaux sont stoppés
• Les services techniques parviennent à remettre en ligne
progressivement les systèmes touchés
Google China - 2009
• Google China est victime d’une attaque majeure de la
part du gouvernement chinois
• Objectif : récupérer des données sur des activistes de la
lutte pour les droits de l’Homme
Israël - 2009
• 5.000.000 d’ordinateurs réalisent une attaque de Déni de
service distribué sur les sites gouvernementaux
israéliens.
• Ces attaques sont réalisées pendant l’offensive de
Janvier 2009 sur la bande de Gaza.
• L’origine des attaques semble être liée à un ancien état
soviétique et aux organisations type Hamas/Hezbollah.
La Cyber-armée iranienne - 2010
• Des militants iraniens attaquent Twitter et Baidu (Google
chinois).
• Les internautes sont redirigés vers une page pirate avec
un message politique.
StuxNet - 2010
• Virus de très haute expertise technique visant les
machines industrielles Siemens.
• Découvert en Iran et en Indonésie.
• Semble viser le programme nucléaire iranien.
Red October - 2012
• Kaspersky découvre un virus en activité depuis 2007
• Le virus a dérobé des informations confidentielles dans
des entités gouvernementales et des entreprises sur des
systèmes critiques.
• Utilise des vulnérabilités dans Word et Excel
Sony Pictures Entertainment - 2014
• Vol massif de données (films notamment)
• Les données ont été diffusées sur Internet
• Perte d’exploitation majeure pour l’entreprise, chiffrée à
plus de $100M
Constat
• Ces attaques évoluent et deviennent de plus en plus
élaborées (Morris -> StuxNet).
• Les plus connues concernent avant tout les grandes
entreprises et les gouvernements.
• Petit à petit, création d’un milieu « cybercriminel ».
Les pirates ne cherchent plus le défi
technique, mais la rentabilité économique ou
la diffusion d’idées politiques.
Quid des PME ? Des particuliers ?
Etude des solutions installées en entreprise
Source : La cybersécurité, Que sais-je ?
Sondage sur les solutions de sécurité des entreprises françaises en 2009
Etude des solutions installées en entreprise
• Certaines menaces sont traitées de facto
• Les menaces les plus « techniques » sont encore
oubliées.
• Cas des vulnérabilités informatiques dites « connues ».
Rôle des autorités de SSI
• Autorités gouvernementales de la SSI
• 2 rôles majeurs : surveillance, information
Les vulnérabilités connues ou « historiques »
• Vulnérabilités publiées par les autorités (8000 en 2014)
• CERT : Computer Emergency Response Team
• Objectif : avertir les usagers des nouvelles failles pour se
protéger en temps réel
Heartbleed Shellshock
Problème : qui suit ces alertes en continu ?
Enjeux et évolutions de la sécurite informatique
Résultat
• Cette liste constitue l’armurerie parfaite pour les pirates
• Les entreprises (en particulier les PME) sont encore trop
peu protégées contre ces vulnérabilités
• Il est maintenant plus intéressant pour les pirates
d’attaquer les PME que les grands groupes.
Source : Gartner
80% des attaques réussies utiliseront au moins
une vulnérabilité connue en 2015.
Les pirates évoluent, nous devons adapter nos
mentalités et nos moyens de défense.
Etude des attaques
récentes
Les leçons à tirer de StuxNet, Sony
et Daesh
StuxNet - Cyberguerre entre Etats
• Virus créé par des organisations gouvernementales
• Très difficile à détecter, a grandement retardé le
programme nucléaire iranien, alors qu’il était cloisonné par
rapport à Internet.
• Réalisé via des intrusions réelles (vol de clés en entreprise).
• Leçon à tirer : si les moyens sont mis, n’importe quel
système peut être piraté.
Sony Pictures Entertainment - Cybercriminalité
• Attaque réalisée par des pirates pour voler des
informations
• L’attaque était basée sur des vulnérabilités connues
• Leçon à tirer : même les grandes entreprises sont
concernées par des failles « basiques » comme les
vulnérabilités historiques.
Daesh - Cyberterrorisme
• Attaque réalisée par des activistes liés à l’Etat Islamique,
contre des organisations gouvernementales.
• Très peu de dégâts causés, mais message politique passé et
relayé grâce aux médias.
• Anonymous a contre-attaqué en Mars 2015, en diffusant des
comptes Twitter liés à Daesh pour arrêter leurs propriétaires.
• Leçon à tirer : les guerres politiques se jouent désormais aussi
sur le cyberespace.
The true computer hackers follow a certain
set of ethics that forbids them to profit or
cause harm from their activities.
- Kevin Mitnick
Expert SSI, a figuré sur la Most-Wanted list du FBI
Vers un statut officiel hacker / pirate ?
Démonstration
Attaque par injection XSS sur un
site connu
Métiers de la SSI
Ce que cherche l’industrie
Consultant SSI
• Profil polyvalent
• Ingénieur, Bac +5 avec spécialité informatique
• Effectue des audits organisationnels
• Qualités : esprit de synthèse, bon contact
• Entreprises type : Solucom, HSC, Fidens
Pentester / Consultant technique
• Profil technique
• Ingénieur, Bac +5 avec spécialité informatique
• Effectue des audits techniques
• Qualités : expertise technique, esprit de synthèse
• Entreprises type : HSC, Cyberwatch, Abbana
Responsable de la Sécurité SI
• Profil polyvalent
• Ingénieur, Bac +5 avec spécialité informatique
• Gère la Sécurité SI d’une entreprise
• Qualités : gestion d’équipe, bon relationnel
• Entreprises type : N/A (internalisé)
Evolutions techniques
et politiques
Avis de Cyberwatch sur le sujet
Evolution globale de la sécurité
DétectionGuérison
Bruce Schneier au FIC 2015
Présent
Evolution globale de la sécurité
CorrectionDétectionGuérison
Bruce Schneier au FIC 2015
Présent
De la guérison à la prévention
• Guérison : suite à une attaque, opérations de remise en
service du système d’information.
• Détection : pendant une attaque, opérations de blocage
des tentatives d’intrusion.
• Correction : mise en place des barrières techniques lors
de chaque nouvelle menace, avant même que les pirates
ne puissent les exploiter.
Les technologies de protection deviennent de
plus en plus matures.
Nous passons d’une stratégie d’action en aval
à une stratégie d’action en amont.
Notre avis sur l’avenir ?
Des solutions de protection automatisées.
Pas de compétences techniques requises.
Protection clé en main économique.
Merci pour votre attention !
Questions / Réponses
CYBERWATCHCybersecurity as a Service
Protéger - Détecter - Corriger
contact@cyberwatch.fr
http://www.cyberwatch.fr

Recommandé

Introduction cyber securite 2016
Introduction cyber securite 2016Introduction cyber securite 2016
Introduction cyber securite 2016PRONETIS
 
Sensibilisation sur la cybersécurité
Sensibilisation sur la cybersécuritéSensibilisation sur la cybersécurité
Sensibilisation sur la cybersécuritéOUSMANESoumailaYaye
 
Attaques Informatiques
Attaques InformatiquesAttaques Informatiques
Attaques InformatiquesSylvain Maret
 
la sécurité de l'information (extrait de presentation)
la sécurité de l'information (extrait de presentation)la sécurité de l'information (extrait de presentation)
la sécurité de l'information (extrait de presentation)Diane de Haan
 
Introduction à la sécurité informatique
Introduction à la sécurité informatiqueIntroduction à la sécurité informatique
Introduction à la sécurité informatiqueYves Van Gheem
 
La sécurité informatique
La sécurité informatiqueLa sécurité informatique
La sécurité informatiqueSaber Ferjani
 
Sécurité informatique - Etat des menaces
Sécurité informatique - Etat des menacesSécurité informatique - Etat des menaces
Sécurité informatique - Etat des menacesMaxime ALAY-EDDINE
 

Contenu connexe

Tendances

Sécurité des systèmes d'informations
Sécurité des systèmes d'informations Sécurité des systèmes d'informations
Sécurité des systèmes d'informations Emna Tfifha
 
Cours CyberSécurité - Concepts Clés
Cours CyberSécurité - Concepts ClésCours CyberSécurité - Concepts Clés
Cours CyberSécurité - Concepts ClésFranck Franchin
 
Sécurité informatique
Sécurité informatiqueSécurité informatique
Sécurité informatiqueoussama Hafid
 
sécurité informatique
sécurité informatiquesécurité informatique
sécurité informatiqueMohammed Zaoui
 
Sécurité des systèmes d'information
Sécurité des systèmes d'informationSécurité des systèmes d'information
Sécurité des systèmes d'informationFranck Franchin
 
Securite informatique
Securite informatiqueSecurite informatique
Securite informatiqueSouhaib El
 
Audit
AuditAudit
Auditzan
 
INITIATION A LA SÉCURITÉ INFORMATIQUE.pptx
INITIATION A LA SÉCURITÉ INFORMATIQUE.pptxINITIATION A LA SÉCURITÉ INFORMATIQUE.pptx
INITIATION A LA SÉCURITÉ INFORMATIQUE.pptxLeandre Cof's Yeboue
 
Cours sécurité 2_asr
Cours sécurité 2_asrCours sécurité 2_asr
Cours sécurité 2_asrTECOS
 
ETUDE ET MISE EN PLACE D’UNE SOLUTION DE GESTION DE LA SECURITE DU RESEAU : C...
ETUDE ET MISE EN PLACE D’UNE SOLUTION DE GESTION DE LA SECURITE DU RESEAU : C...ETUDE ET MISE EN PLACE D’UNE SOLUTION DE GESTION DE LA SECURITE DU RESEAU : C...
ETUDE ET MISE EN PLACE D’UNE SOLUTION DE GESTION DE LA SECURITE DU RESEAU : C...Tidiane Sylla
 
Présentation sécurité informatique naceur chafroud de cynapsys
Présentation sécurité informatique naceur chafroud de cynapsysPrésentation sécurité informatique naceur chafroud de cynapsys
Présentation sécurité informatique naceur chafroud de cynapsysJihen KOCHBATI
 
Sécurité des Systèmes d'Information et de l'Information
Sécurité des Systèmes d'Information et de l'InformationSécurité des Systèmes d'Information et de l'Information
Sécurité des Systèmes d'Information et de l'InformationShema Labidi
 
La protection de données, La classification un premier pas
La protection de données, La classification un premier pasLa protection de données, La classification un premier pas
La protection de données, La classification un premier pasAlghajati
 
Mise en place d’une solution de tests de sécurité pour les passerelles réside...
Mise en place d’une solution de tests de sécurité pour les passerelles réside...Mise en place d’une solution de tests de sécurité pour les passerelles réside...
Mise en place d’une solution de tests de sécurité pour les passerelles réside...Salmen HITANA
 

Tendances (20)

Sécurité des systèmes d'informations
Sécurité des systèmes d'informations Sécurité des systèmes d'informations
Sécurité des systèmes d'informations
 
Cours CyberSécurité - Concepts Clés
Cours CyberSécurité - Concepts ClésCours CyberSécurité - Concepts Clés
Cours CyberSécurité - Concepts Clés
 
Sécurité informatique
Sécurité informatiqueSécurité informatique
Sécurité informatique
 
sécurité informatique
sécurité informatiquesécurité informatique
sécurité informatique
 
Sécurité des systèmes d'information
Sécurité des systèmes d'informationSécurité des systèmes d'information
Sécurité des systèmes d'information
 
Securite informatique
Securite informatiqueSecurite informatique
Securite informatique
 
Comprendre la securite web
Comprendre la securite webComprendre la securite web
Comprendre la securite web
 
La Sécurité informatiques
La Sécurité informatiquesLa Sécurité informatiques
La Sécurité informatiques
 
Sécuriter informatiques
Sécuriter informatiquesSécuriter informatiques
Sécuriter informatiques
 
Audit
AuditAudit
Audit
 
Sécurité des réseaux
Sécurité des réseauxSécurité des réseaux
Sécurité des réseaux
 
Wazuh Pre.pptx
Wazuh Pre.pptxWazuh Pre.pptx
Wazuh Pre.pptx
 
INITIATION A LA SÉCURITÉ INFORMATIQUE.pptx
INITIATION A LA SÉCURITÉ INFORMATIQUE.pptxINITIATION A LA SÉCURITÉ INFORMATIQUE.pptx
INITIATION A LA SÉCURITÉ INFORMATIQUE.pptx
 
Cours sécurité 2_asr
Cours sécurité 2_asrCours sécurité 2_asr
Cours sécurité 2_asr
 
ETUDE ET MISE EN PLACE D’UNE SOLUTION DE GESTION DE LA SECURITE DU RESEAU : C...
ETUDE ET MISE EN PLACE D’UNE SOLUTION DE GESTION DE LA SECURITE DU RESEAU : C...ETUDE ET MISE EN PLACE D’UNE SOLUTION DE GESTION DE LA SECURITE DU RESEAU : C...
ETUDE ET MISE EN PLACE D’UNE SOLUTION DE GESTION DE LA SECURITE DU RESEAU : C...
 
Présentation sécurité informatique naceur chafroud de cynapsys
Présentation sécurité informatique naceur chafroud de cynapsysPrésentation sécurité informatique naceur chafroud de cynapsys
Présentation sécurité informatique naceur chafroud de cynapsys
 
Sécurité des Systèmes d'Information et de l'Information
Sécurité des Systèmes d'Information et de l'InformationSécurité des Systèmes d'Information et de l'Information
Sécurité des Systèmes d'Information et de l'Information
 
ETUDE DE LA CYBERSECURITE
ETUDE DE LA CYBERSECURITEETUDE DE LA CYBERSECURITE
ETUDE DE LA CYBERSECURITE
 
La protection de données, La classification un premier pas
La protection de données, La classification un premier pasLa protection de données, La classification un premier pas
La protection de données, La classification un premier pas
 
Mise en place d’une solution de tests de sécurité pour les passerelles réside...
Mise en place d’une solution de tests de sécurité pour les passerelles réside...Mise en place d’une solution de tests de sécurité pour les passerelles réside...
Mise en place d’une solution de tests de sécurité pour les passerelles réside...
 

En vedette

Enjeux et évolutions de la sécurité informatique - Présentation Centrale Nantes
Enjeux et évolutions de la sécurité informatique - Présentation Centrale NantesEnjeux et évolutions de la sécurité informatique - Présentation Centrale Nantes
Enjeux et évolutions de la sécurité informatique - Présentation Centrale NantesMaxime ALAY-EDDINE
 
Introduction à La Sécurité Informatique 1/2
Introduction à La Sécurité Informatique 1/2Introduction à La Sécurité Informatique 1/2
Introduction à La Sécurité Informatique 1/2Sylvain Maret
 
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pas
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pasSécurité informatique : le Retour sur Investissement que vous n'attendiez pas
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pasMaxime ALAY-EDDINE
 
La securité informatique - Etat des Lieux - Nov. 2016
La securité informatique - Etat des Lieux - Nov. 2016La securité informatique - Etat des Lieux - Nov. 2016
La securité informatique - Etat des Lieux - Nov. 2016Olivier DUPONT
 
L\'authentification forte : Concept et Technologies
L\'authentification forte : Concept et TechnologiesL\'authentification forte : Concept et Technologies
L\'authentification forte : Concept et TechnologiesIbrahima FALL
 
Guide de mise en oeuvre de l'authentification forte
Guide de mise en oeuvre de l'authentification forteGuide de mise en oeuvre de l'authentification forte
Guide de mise en oeuvre de l'authentification forteNis
 
Presentation pfe ingenieur d etat securite reseau et systemes
Presentation pfe ingenieur d etat securite reseau et systemesPresentation pfe ingenieur d etat securite reseau et systemes
Presentation pfe ingenieur d etat securite reseau et systemesHicham Moujahid
 
Livre blanc sur l'authentification forte OTP - One Time Password
Livre blanc sur l'authentification forte OTP - One Time PasswordLivre blanc sur l'authentification forte OTP - One Time Password
Livre blanc sur l'authentification forte OTP - One Time PasswordPRONETIS
 
Sécurité des réseaux sans fil WIFI
Sécurité des réseaux sans fil WIFISécurité des réseaux sans fil WIFI
Sécurité des réseaux sans fil WIFISoukaina Boujadi
 
Blue Light Support Partnership Presentation
Blue Light Support Partnership PresentationBlue Light Support Partnership Presentation
Blue Light Support Partnership Presentationbluelightsupport
 
Présentation du logiciel PixInsight
Présentation du logiciel PixInsightPrésentation du logiciel PixInsight
Présentation du logiciel PixInsightDidier Walliang
 
Matinée d'échange et de réflexion - Sécurité Informatique en RDC
Matinée d'échange et de réflexion - Sécurité Informatique en RDCMatinée d'échange et de réflexion - Sécurité Informatique en RDC
Matinée d'échange et de réflexion - Sécurité Informatique en RDCALTITUDE CONCEPT SPRL
 
Carte identité Groupe Gfi Informatique
Carte identité Groupe Gfi InformatiqueCarte identité Groupe Gfi Informatique
Carte identité Groupe Gfi InformatiqueInetum
 
Soutenance séminaire bibliographique
Soutenance séminaire bibliographiqueSoutenance séminaire bibliographique
Soutenance séminaire bibliographiqueMaxime ALAY-EDDINE
 
Formation des dirigeants d’entreprises jan 2013 v3-2
Formation des dirigeants d’entreprises jan 2013   v3-2Formation des dirigeants d’entreprises jan 2013   v3-2
Formation des dirigeants d’entreprises jan 2013 v3-2Cédric Lefebvre
 

En vedette (17)

Enjeux et évolutions de la sécurité informatique - Présentation Centrale Nantes
Enjeux et évolutions de la sécurité informatique - Présentation Centrale NantesEnjeux et évolutions de la sécurité informatique - Présentation Centrale Nantes
Enjeux et évolutions de la sécurité informatique - Présentation Centrale Nantes
 
Introduction à La Sécurité Informatique 1/2
Introduction à La Sécurité Informatique 1/2Introduction à La Sécurité Informatique 1/2
Introduction à La Sécurité Informatique 1/2
 
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pas
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pasSécurité informatique : le Retour sur Investissement que vous n'attendiez pas
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pas
 
La securité informatique - Etat des Lieux - Nov. 2016
La securité informatique - Etat des Lieux - Nov. 2016La securité informatique - Etat des Lieux - Nov. 2016
La securité informatique - Etat des Lieux - Nov. 2016
 
L\'authentification forte : Concept et Technologies
L\'authentification forte : Concept et TechnologiesL\'authentification forte : Concept et Technologies
L\'authentification forte : Concept et Technologies
 
Guide de mise en oeuvre de l'authentification forte
Guide de mise en oeuvre de l'authentification forteGuide de mise en oeuvre de l'authentification forte
Guide de mise en oeuvre de l'authentification forte
 
Presentation pfe ingenieur d etat securite reseau et systemes
Presentation pfe ingenieur d etat securite reseau et systemesPresentation pfe ingenieur d etat securite reseau et systemes
Presentation pfe ingenieur d etat securite reseau et systemes
 
Piratage informatique
Piratage informatiquePiratage informatique
Piratage informatique
 
Sécurité-Wifi
Sécurité-WifiSécurité-Wifi
Sécurité-Wifi
 
Livre blanc sur l'authentification forte OTP - One Time Password
Livre blanc sur l'authentification forte OTP - One Time PasswordLivre blanc sur l'authentification forte OTP - One Time Password
Livre blanc sur l'authentification forte OTP - One Time Password
 
Sécurité des réseaux sans fil WIFI
Sécurité des réseaux sans fil WIFISécurité des réseaux sans fil WIFI
Sécurité des réseaux sans fil WIFI
 
Blue Light Support Partnership Presentation
Blue Light Support Partnership PresentationBlue Light Support Partnership Presentation
Blue Light Support Partnership Presentation
 
Présentation du logiciel PixInsight
Présentation du logiciel PixInsightPrésentation du logiciel PixInsight
Présentation du logiciel PixInsight
 
Matinée d'échange et de réflexion - Sécurité Informatique en RDC
Matinée d'échange et de réflexion - Sécurité Informatique en RDCMatinée d'échange et de réflexion - Sécurité Informatique en RDC
Matinée d'échange et de réflexion - Sécurité Informatique en RDC
 
Carte identité Groupe Gfi Informatique
Carte identité Groupe Gfi InformatiqueCarte identité Groupe Gfi Informatique
Carte identité Groupe Gfi Informatique
 
Soutenance séminaire bibliographique
Soutenance séminaire bibliographiqueSoutenance séminaire bibliographique
Soutenance séminaire bibliographique
 
Formation des dirigeants d’entreprises jan 2013 v3-2
Formation des dirigeants d’entreprises jan 2013   v3-2Formation des dirigeants d’entreprises jan 2013   v3-2
Formation des dirigeants d’entreprises jan 2013 v3-2
 

Similaire à Enjeux et évolutions de la sécurite informatique

IBM SW Les nouveaux enjeux de la sécurité
IBM SW Les nouveaux enjeux de la sécuritéIBM SW Les nouveaux enjeux de la sécurité
IBM SW Les nouveaux enjeux de la sécuritéPatrick Bouillaud
 
Nouveaux risques cyber - 4 décembre 2019
Nouveaux risques cyber - 4 décembre 2019Nouveaux risques cyber - 4 décembre 2019
Nouveaux risques cyber - 4 décembre 2019OPcyberland
 
Panorama des menaces informatiques - Philippe Humeau, Net4All
Panorama des menaces informatiques - Philippe Humeau, Net4AllPanorama des menaces informatiques - Philippe Humeau, Net4All
Panorama des menaces informatiques - Philippe Humeau, Net4AllNet4All
 
Rapport des menaces en 2015 par F-Secure
Rapport des menaces en 2015 par F-SecureRapport des menaces en 2015 par F-Secure
Rapport des menaces en 2015 par F-SecureNRC
 
Conference fep cybersecurite 24 janvier 2018
Conference fep cybersecurite   24 janvier 2018Conference fep cybersecurite   24 janvier 2018
Conference fep cybersecurite 24 janvier 2018OPcyberland
 
Conference fep cybersecurite 24 janvier 2018
Conference fep cybersecurite   24 janvier 2018Conference fep cybersecurite   24 janvier 2018
Conference fep cybersecurite 24 janvier 2018OPcyberland
 
Competitic securite données - numerique en entreprise
Competitic   securite données - numerique en entrepriseCompetitic   securite données - numerique en entreprise
Competitic securite données - numerique en entrepriseCOMPETITIC
 
Introduction à la sécurité des SI
Introduction à la sécurité des SIIntroduction à la sécurité des SI
Introduction à la sécurité des SIJean-Michel Tyszka
 
Rdv tic cybersécurité
Rdv tic cybersécuritéRdv tic cybersécurité
Rdv tic cybersécuritéCOMPETITIC
 
IBM Security Intelligence Juin-2016
IBM Security Intelligence Juin-2016IBM Security Intelligence Juin-2016
IBM Security Intelligence Juin-2016Serge Richard
 
Sécurite operationnelle des systèmes d'information Volet-1
Sécurite operationnelle des systèmes d'information Volet-1Sécurite operationnelle des systèmes d'information Volet-1
Sécurite operationnelle des systèmes d'information Volet-1PRONETIS
 
Cybersécurité : les règles à appliquer [Webinaire]
Cybersécurité : les règles à appliquer [Webinaire]Cybersécurité : les règles à appliquer [Webinaire]
Cybersécurité : les règles à appliquer [Webinaire]Technologia Formation
 
État des lieux de la sécurité en Suisse - Enrico Viganò, CLUSIS
État des lieux de la sécurité en Suisse - Enrico Viganò, CLUSISÉtat des lieux de la sécurité en Suisse - Enrico Viganò, CLUSIS
État des lieux de la sécurité en Suisse - Enrico Viganò, CLUSISNet4All
 
Conférence IIRCO - Projection des conflits sur l'espace numérique
Conférence IIRCO - Projection des conflits sur l'espace numériqueConférence IIRCO - Projection des conflits sur l'espace numérique
Conférence IIRCO - Projection des conflits sur l'espace numériqueOPcyberland
 
Matinée Cybercriminalité
Matinée CybercriminalitéMatinée Cybercriminalité
Matinée CybercriminalitéEvenements01
 
Competitic sécurite informatique - numerique en entreprise
Competitic   sécurite informatique - numerique en entrepriseCompetitic   sécurite informatique - numerique en entreprise
Competitic sécurite informatique - numerique en entrepriseCOMPETITIC
 
Cybersecurité dossier
Cybersecurité dossier Cybersecurité dossier
Cybersecurité dossier MandyDentzer
 

Similaire à Enjeux et évolutions de la sécurite informatique (20)

IBM SW Les nouveaux enjeux de la sécurité
IBM SW Les nouveaux enjeux de la sécuritéIBM SW Les nouveaux enjeux de la sécurité
IBM SW Les nouveaux enjeux de la sécurité
 
Nouveaux risques cyber - 4 décembre 2019
Nouveaux risques cyber - 4 décembre 2019Nouveaux risques cyber - 4 décembre 2019
Nouveaux risques cyber - 4 décembre 2019
 
siris1.pdf
siris1.pdfsiris1.pdf
siris1.pdf
 
Panorama des menaces informatiques - Philippe Humeau, Net4All
Panorama des menaces informatiques - Philippe Humeau, Net4AllPanorama des menaces informatiques - Philippe Humeau, Net4All
Panorama des menaces informatiques - Philippe Humeau, Net4All
 
AMAN - APT 2016
AMAN - APT 2016AMAN - APT 2016
AMAN - APT 2016
 
Rapport des menaces en 2015 par F-Secure
Rapport des menaces en 2015 par F-SecureRapport des menaces en 2015 par F-Secure
Rapport des menaces en 2015 par F-Secure
 
Conference fep cybersecurite 24 janvier 2018
Conference fep cybersecurite   24 janvier 2018Conference fep cybersecurite   24 janvier 2018
Conference fep cybersecurite 24 janvier 2018
 
Conference fep cybersecurite 24 janvier 2018
Conference fep cybersecurite   24 janvier 2018Conference fep cybersecurite   24 janvier 2018
Conference fep cybersecurite 24 janvier 2018
 
Competitic securite données - numerique en entreprise
Competitic   securite données - numerique en entrepriseCompetitic   securite données - numerique en entreprise
Competitic securite données - numerique en entreprise
 
Introduction à la sécurité des SI
Introduction à la sécurité des SIIntroduction à la sécurité des SI
Introduction à la sécurité des SI
 
Rdv tic cybersécurité
Rdv tic cybersécuritéRdv tic cybersécurité
Rdv tic cybersécurité
 
IBM Security Intelligence Juin-2016
IBM Security Intelligence Juin-2016IBM Security Intelligence Juin-2016
IBM Security Intelligence Juin-2016
 
Sécurite operationnelle des systèmes d'information Volet-1
Sécurite operationnelle des systèmes d'information Volet-1Sécurite operationnelle des systèmes d'information Volet-1
Sécurite operationnelle des systèmes d'information Volet-1
 
Cybersécurité : les règles à appliquer [Webinaire]
Cybersécurité : les règles à appliquer [Webinaire]Cybersécurité : les règles à appliquer [Webinaire]
Cybersécurité : les règles à appliquer [Webinaire]
 
État des lieux de la sécurité en Suisse - Enrico Viganò, CLUSIS
État des lieux de la sécurité en Suisse - Enrico Viganò, CLUSISÉtat des lieux de la sécurité en Suisse - Enrico Viganò, CLUSIS
État des lieux de la sécurité en Suisse - Enrico Viganò, CLUSIS
 
Conférence IIRCO - Projection des conflits sur l'espace numérique
Conférence IIRCO - Projection des conflits sur l'espace numériqueConférence IIRCO - Projection des conflits sur l'espace numérique
Conférence IIRCO - Projection des conflits sur l'espace numérique
 
Matinée Cybercriminalité
Matinée CybercriminalitéMatinée Cybercriminalité
Matinée Cybercriminalité
 
Les Pirates 2005 2
Les Pirates 2005 2Les Pirates 2005 2
Les Pirates 2005 2
 
Competitic sécurite informatique - numerique en entreprise
Competitic   sécurite informatique - numerique en entrepriseCompetitic   sécurite informatique - numerique en entreprise
Competitic sécurite informatique - numerique en entreprise
 
Cybersecurité dossier
Cybersecurité dossier Cybersecurité dossier
Cybersecurité dossier
 

Plus de Maxime ALAY-EDDINE

Introduction to Software Security and Best Practices
Introduction to Software Security and Best PracticesIntroduction to Software Security and Best Practices
Introduction to Software Security and Best PracticesMaxime ALAY-EDDINE
 
Gestion des vulnérabilités dans l'IoT
Gestion des vulnérabilités dans l'IoTGestion des vulnérabilités dans l'IoT
Gestion des vulnérabilités dans l'IoTMaxime ALAY-EDDINE
 
Internet : Comprendre les opportunités et les dangers des réseaux cachés
Internet : Comprendre les opportunités et les dangers des réseaux cachésInternet : Comprendre les opportunités et les dangers des réseaux cachés
Internet : Comprendre les opportunités et les dangers des réseaux cachésMaxime ALAY-EDDINE
 
Powerpoint - Comment optimiser la stratégie d’un établissement au travers des...
Powerpoint - Comment optimiser la stratégie d’un établissement au travers des...Powerpoint - Comment optimiser la stratégie d’un établissement au travers des...
Powerpoint - Comment optimiser la stratégie d’un établissement au travers des...Maxime ALAY-EDDINE
 
Comment optimiser la stratégie d’un établissement au travers des MOOCs ?
Comment optimiser la stratégie d’un établissement au travers des MOOCs ?Comment optimiser la stratégie d’un établissement au travers des MOOCs ?
Comment optimiser la stratégie d’un établissement au travers des MOOCs ?Maxime ALAY-EDDINE
 
Identité numérique, identités numériques - Soutenance Master Affaires Publiqu...
Identité numérique, identités numériques - Soutenance Master Affaires Publiqu...Identité numérique, identités numériques - Soutenance Master Affaires Publiqu...
Identité numérique, identités numériques - Soutenance Master Affaires Publiqu...Maxime ALAY-EDDINE
 
La neutralité du net - Etat et révolution numérique - Sciences Po Master Affa...
La neutralité du net - Etat et révolution numérique - Sciences Po Master Affa...La neutralité du net - Etat et révolution numérique - Sciences Po Master Affa...
La neutralité du net - Etat et révolution numérique - Sciences Po Master Affa...Maxime ALAY-EDDINE
 

Plus de Maxime ALAY-EDDINE (8)

Introduction to Software Security and Best Practices
Introduction to Software Security and Best PracticesIntroduction to Software Security and Best Practices
Introduction to Software Security and Best Practices
 
Gestion des vulnérabilités dans l'IoT
Gestion des vulnérabilités dans l'IoTGestion des vulnérabilités dans l'IoT
Gestion des vulnérabilités dans l'IoT
 
Internet : Comprendre les opportunités et les dangers des réseaux cachés
Internet : Comprendre les opportunités et les dangers des réseaux cachésInternet : Comprendre les opportunités et les dangers des réseaux cachés
Internet : Comprendre les opportunités et les dangers des réseaux cachés
 
Powerpoint - Comment optimiser la stratégie d’un établissement au travers des...
Powerpoint - Comment optimiser la stratégie d’un établissement au travers des...Powerpoint - Comment optimiser la stratégie d’un établissement au travers des...
Powerpoint - Comment optimiser la stratégie d’un établissement au travers des...
 
Comment optimiser la stratégie d’un établissement au travers des MOOCs ?
Comment optimiser la stratégie d’un établissement au travers des MOOCs ?Comment optimiser la stratégie d’un établissement au travers des MOOCs ?
Comment optimiser la stratégie d’un établissement au travers des MOOCs ?
 
Identité numérique, identités numériques - Soutenance Master Affaires Publiqu...
Identité numérique, identités numériques - Soutenance Master Affaires Publiqu...Identité numérique, identités numériques - Soutenance Master Affaires Publiqu...
Identité numérique, identités numériques - Soutenance Master Affaires Publiqu...
 
La neutralité du net - Etat et révolution numérique - Sciences Po Master Affa...
La neutralité du net - Etat et révolution numérique - Sciences Po Master Affa...La neutralité du net - Etat et révolution numérique - Sciences Po Master Affa...
La neutralité du net - Etat et révolution numérique - Sciences Po Master Affa...
 
Fonctionnement du web
Fonctionnement du webFonctionnement du web
Fonctionnement du web
 

Enjeux et évolutions de la sécurite informatique

  • 1. Enjeux et évolutions de la sécurité informatique Maxime ALAY-EDDINE Cyberwatch SAS - http://www.cyberwatch.fr v1.1 - 19/03/2015 1
  • 2. Faisons connaissance ! • Maxime ALAY-EDDINE • 24 ans, Consultant SSI • Président de Cyberwatch SAS • 3 ans chez SAGEM (SAFRAN) • 1 an chez SportinTown • Commencé piratage à 12 ans CYBERWATCH 2
  • 3. - Gene Spafford (aka Spaf) Expert SSI, membre du Cybersecurity Hall of Fame The only truly secure system is one that is powered off, cast in a block of concrete and sealed in a lead-lined room with armed guards. 3
  • 4. La sécurité absolue n’existe pas.
  • 6. Il faut viser un « niveau de risque acceptable ».
  • 7. Plan • Présentation générale • Evolution des attaques • Etude des attaques récentes • Démonstration • Les métiers de la cybersécurité • Evolutions futures technologiques et politiques • Questions / Réponses
  • 8. Présentation générale Notions de base et définitions
  • 9. Sécurité des systèmes d’information ?
  • 10. Sécurité des systèmes d’information ? Le système d'information représente un patrimoine essentiel de l'organisation, qu'il convient de protéger. La sécurité informatique consiste à garantir que les ressources matérielles ou logicielles d'une organisation sont uniquement utilisées dans le cadre prévu. Source : JF Pillou, Tout sur les systèmes d’information, Dunod 2006
  • 12. Définition plus « concrète »… avec les mains Disponibilité Intégrité Confidentialité Est-ce que mon système fonctionne ? Est-ce que mes données sont bonnes ? Est-ce que mon système est privé ?
  • 14. Dans l’industrie, 4 grands critères
  • 17. Des menaces multiples S T R I D E poofing ampering epudiation nformation Disclosure enial of Service levation of Privilege Usurpation Falsification Répudiation Divulgation d’informations Déni de service Elévation de privilèges
  • 18. Usurpation d’identité Le pirate se fait passer pour une entité.
  • 22. Falsification de données Le pirate modifie des données.
  • 27. Répudiation Le pirate fait croire qu’un évènement ne s’est jamais produit.
  • 32. Divulgation d’informations Le pirate publie des informations confidentielles.
  • 35. Déni de service Le pirate rend un service inaccessible.
  • 38. Déni de service distribué
  • 39. Déni de service distribué
  • 41. Elévation de privilège Le pirate obtient des droits privilégiés sur un système.
  • 44. Des menaces multiples… suite Sécurité physique Sécurité réseau Sécurité des applications Ingénierie sociale …
  • 45. Pour chaque menace, il y a une solution Virus Malware IP Spoofing Man-in-the-Middle Injection SQL/XSS Vulnérabilité … Anti-virus Anti-malware Anti Spoofing Chiffrement Filtrage Scanner de vulnérabilités …
  • 47. Les menaces évoluent et deviennent de plus en plus complexes.
  • 49. You can't defend. You can't prevent. The only thing you can do is detect and respond. - Bruce Schneier Expert SSI, Chuck Norris de la Cybersécurité
  • 50. Evolution des attaques Etude de la complexité et des nouvelles cibles des pirates
  • 51. La bombe logique - 1982 • Opération créée par la CIA contre un pipeline russe • Code malveillant permettant de faire exploser le pipeline, sans explosif externe • Les dégâts causés étaient visibles depuis l’espace
  • 52. Kevin Mitnick - 1983 • Kevin Mitnick s’introduit sur le réseau du Pentagone • S’introduit par « défi » technique • Ne vole pas de données, conserve un sens éthique • Travaille désormais comme consultant SSI
  • 53. Morris - 1988 • Créé par Robert Tappan Morris (Cornell) en 1988 • Programme conçu pour se répliquer et se propager de proche en proche (Ver / Worm) • Problème : le ver a rencontré une erreur et a causé des dommages sur les ordinateurs infectés. • Plus de 6000 ordinateurs infectés, pour $100M d’amende.
  • 54. Jonathan James - 1999 • Pirate la Defense Threat Reduction Agency à 15 ans • Récupère le code source d’un logiciel de la NASA utilisé sur la Station Spatiale Internationale pour contrôler l’environnement de vie des astronautes
  • 55. MafiaBoy - 2000 • Michael Calce (aka MafiaBoy) réalise des attaques par Déni de service distribué sur des majors • Amazon, CNN, eBay, Yahoo! sont touchés • Les dégâts sont évalués à plus de $1,2Mrds
  • 56. Estonie - 2007 • L’Estonie subit une attaque majeure de Déni de service suite au retrait d’un mémorial de guerre lié à la Russie. • Les services gouvernementaux sont stoppés • Les services techniques parviennent à remettre en ligne progressivement les systèmes touchés
  • 57. Google China - 2009 • Google China est victime d’une attaque majeure de la part du gouvernement chinois • Objectif : récupérer des données sur des activistes de la lutte pour les droits de l’Homme
  • 58. Israël - 2009 • 5.000.000 d’ordinateurs réalisent une attaque de Déni de service distribué sur les sites gouvernementaux israéliens. • Ces attaques sont réalisées pendant l’offensive de Janvier 2009 sur la bande de Gaza. • L’origine des attaques semble être liée à un ancien état soviétique et aux organisations type Hamas/Hezbollah.
  • 59. La Cyber-armée iranienne - 2010 • Des militants iraniens attaquent Twitter et Baidu (Google chinois). • Les internautes sont redirigés vers une page pirate avec un message politique.
  • 60. StuxNet - 2010 • Virus de très haute expertise technique visant les machines industrielles Siemens. • Découvert en Iran et en Indonésie. • Semble viser le programme nucléaire iranien.
  • 61. Red October - 2012 • Kaspersky découvre un virus en activité depuis 2007 • Le virus a dérobé des informations confidentielles dans des entités gouvernementales et des entreprises sur des systèmes critiques. • Utilise des vulnérabilités dans Word et Excel
  • 62. Sony Pictures Entertainment - 2014 • Vol massif de données (films notamment) • Les données ont été diffusées sur Internet • Perte d’exploitation majeure pour l’entreprise, chiffrée à plus de $100M
  • 63. Constat • Ces attaques évoluent et deviennent de plus en plus élaborées (Morris -> StuxNet). • Les plus connues concernent avant tout les grandes entreprises et les gouvernements. • Petit à petit, création d’un milieu « cybercriminel ».
  • 64. Les pirates ne cherchent plus le défi technique, mais la rentabilité économique ou la diffusion d’idées politiques.
  • 65. Quid des PME ? Des particuliers ?
  • 66. Etude des solutions installées en entreprise Source : La cybersécurité, Que sais-je ? Sondage sur les solutions de sécurité des entreprises françaises en 2009
  • 67. Etude des solutions installées en entreprise • Certaines menaces sont traitées de facto • Les menaces les plus « techniques » sont encore oubliées. • Cas des vulnérabilités informatiques dites « connues ».
  • 68. Rôle des autorités de SSI • Autorités gouvernementales de la SSI • 2 rôles majeurs : surveillance, information
  • 69. Les vulnérabilités connues ou « historiques » • Vulnérabilités publiées par les autorités (8000 en 2014) • CERT : Computer Emergency Response Team • Objectif : avertir les usagers des nouvelles failles pour se protéger en temps réel Heartbleed Shellshock
  • 70. Problème : qui suit ces alertes en continu ?
  • 72. Résultat • Cette liste constitue l’armurerie parfaite pour les pirates • Les entreprises (en particulier les PME) sont encore trop peu protégées contre ces vulnérabilités • Il est maintenant plus intéressant pour les pirates d’attaquer les PME que les grands groupes.
  • 73. Source : Gartner 80% des attaques réussies utiliseront au moins une vulnérabilité connue en 2015.
  • 74. Les pirates évoluent, nous devons adapter nos mentalités et nos moyens de défense.
  • 75. Etude des attaques récentes Les leçons à tirer de StuxNet, Sony et Daesh
  • 76. StuxNet - Cyberguerre entre Etats • Virus créé par des organisations gouvernementales • Très difficile à détecter, a grandement retardé le programme nucléaire iranien, alors qu’il était cloisonné par rapport à Internet. • Réalisé via des intrusions réelles (vol de clés en entreprise). • Leçon à tirer : si les moyens sont mis, n’importe quel système peut être piraté.
  • 77. Sony Pictures Entertainment - Cybercriminalité • Attaque réalisée par des pirates pour voler des informations • L’attaque était basée sur des vulnérabilités connues • Leçon à tirer : même les grandes entreprises sont concernées par des failles « basiques » comme les vulnérabilités historiques.
  • 78. Daesh - Cyberterrorisme • Attaque réalisée par des activistes liés à l’Etat Islamique, contre des organisations gouvernementales. • Très peu de dégâts causés, mais message politique passé et relayé grâce aux médias. • Anonymous a contre-attaqué en Mars 2015, en diffusant des comptes Twitter liés à Daesh pour arrêter leurs propriétaires. • Leçon à tirer : les guerres politiques se jouent désormais aussi sur le cyberespace.
  • 79. The true computer hackers follow a certain set of ethics that forbids them to profit or cause harm from their activities. - Kevin Mitnick Expert SSI, a figuré sur la Most-Wanted list du FBI
  • 80. Vers un statut officiel hacker / pirate ?
  • 81. Démonstration Attaque par injection XSS sur un site connu
  • 82. Métiers de la SSI Ce que cherche l’industrie
  • 83. Consultant SSI • Profil polyvalent • Ingénieur, Bac +5 avec spécialité informatique • Effectue des audits organisationnels • Qualités : esprit de synthèse, bon contact • Entreprises type : Solucom, HSC, Fidens
  • 84. Pentester / Consultant technique • Profil technique • Ingénieur, Bac +5 avec spécialité informatique • Effectue des audits techniques • Qualités : expertise technique, esprit de synthèse • Entreprises type : HSC, Cyberwatch, Abbana
  • 85. Responsable de la Sécurité SI • Profil polyvalent • Ingénieur, Bac +5 avec spécialité informatique • Gère la Sécurité SI d’une entreprise • Qualités : gestion d’équipe, bon relationnel • Entreprises type : N/A (internalisé)
  • 86. Evolutions techniques et politiques Avis de Cyberwatch sur le sujet
  • 87. Evolution globale de la sécurité DétectionGuérison Bruce Schneier au FIC 2015 Présent
  • 88. Evolution globale de la sécurité CorrectionDétectionGuérison Bruce Schneier au FIC 2015 Présent
  • 89. De la guérison à la prévention • Guérison : suite à une attaque, opérations de remise en service du système d’information. • Détection : pendant une attaque, opérations de blocage des tentatives d’intrusion. • Correction : mise en place des barrières techniques lors de chaque nouvelle menace, avant même que les pirates ne puissent les exploiter.
  • 90. Les technologies de protection deviennent de plus en plus matures. Nous passons d’une stratégie d’action en aval à une stratégie d’action en amont.
  • 91. Notre avis sur l’avenir ? Des solutions de protection automatisées. Pas de compétences techniques requises. Protection clé en main économique.
  • 92. Merci pour votre attention ! Questions / Réponses
  • 93. CYBERWATCHCybersecurity as a Service Protéger - Détecter - Corriger contact@cyberwatch.fr http://www.cyberwatch.fr