Full-Securite-System-Découvrir les notions de base de la sécurité .pdf

Sécurité Système et Services
A.BELMEKKI (belmekki@inpt.ac.ma)

Sécurité Système et Services
Introduction
A.BELMEKKI (belmekki@inpt.ac.ma)

● Sécurité informatique
● Politiques de sécurités
● Sécurité : réseaux, systèmes, services, code, physique,
système d'information ...
● Méthodologie d'analyse de risques
● Système de management de la sécurité SMSI
Introduction
3

● Services de base de sécurité
Confidentialité: Protection des données contre une divulgation non autorisée
Intégrité: Certifier que les données, les traitements ou les services n'ont pas
été modifiés, altérés ou détruits intentionnellement ou accidentellement
Disponibilité: Assurer qu'une ressource soit accessible et utilisable avec des
temps de réponse acceptables
Authentification: Vérifier l'identité d'une entités
Autorisation: Permissions accordées pour l'utilisation d'une ressources
Non répudiation: Ne pas pouvoir nier ou rejeter qu'un événement a eu lieu.
Introduction
4

● Attaque de sécurité:
Toute action qui a comme conséquence la compromission de
la sécurité informatique. Les attaques exploitent des
vulnérabilités.
● Mécanismes de sécurité:
Mécanismes conçus pour permettre de prévenir,
détecter et récupérer d’une attaque de sécurité.
● Service de sécurité
Services conçus pour augmenter le niveau de sécurité des
données et des communications.
L’objectif est de contourner les attaques.
Un service fait appel à un ou plusieurs mécanismes de
sécurité.
Introduction
5

Introduction
6
a) Flux normal
b) Interruption
d) Modification e) Fabrication
c) Interception
● Attaque de sécurité:

● Sécurité système :
Protection d'un système (Une machine)
Protection des données contenues dans un système
Protection des accès vers d'autres ressources depuis ce système
● Importance de la sécurité système.
Toutes les données de l'organisation sont sur des systèmes
Tout les processus métiers sont basés sur l'IT
Les systèmes contiennent des données privées et personnelles
Introduction
7

● Pourquoi la sécurité système ?
L’objectif est de sécuriser le système d’exploitation de chaque machine
connectée en réseau.
Un système est généralement la cible finale d'une attaque
La sécurité d’un système est la dernière ligne de défense devant un
attaquant, s'il arrive à traverser les autres barrières (FireWall, routeur …)
Des mesures simples à mettre en œuvre permettent souvent de limiter
de potentielles vulnérabilités.
Introduction
8

● Qui est concerné par la Sécurité système ?
Tout le monde dans l'organisation est concerné par la sécurité
système
La sécurité système est la responsabilité de tous. Tout le monde doit
collaborer pour garantir une défense efficace
La sécurité système implique des mesures techniques mais implique
aussi les bonnes pratiques d'utilisation
Un système compromis peut être le vecteur d'attaque d'autres
systèmes
Introduction
9

● Exemples de problème de sécurité que peut causer un
système compromis.
Envoies de spams et d'email de phishing
Génère un volume important de trafic réseaux
Ralentir et consommer les ressources systèmes RAM, CPU, Disque
Collecter des adresses email et mots de passe
Accès aux données protégés sur le système ou autres systèmes en
bénéficiant des accès autorisés à ce système compromis
Infecter d'autre système
Intégrer des programmes qui peuvent attaquer d'autres systèmes
Devient vecteur de distribution de contenu illicite
....
Introduction
10

● Exemples de bonnes pratiques qui contribuent à une
meilleure protection.
Utilisation d'un mot de passe robuste
Ne pas partager son mot de passe avec d'autres
Mise à jours des applications et système
Anti-Virus à jour
Anti-malware à jour
Ne pas ouvrir des emails d'une source inconnue en particulier les
fichiers attachés
Attention au accès WiFi non sécurisé.
Introduction
11

● Exemples de conséquences de violation de sécurité
Atteinte à la vie privé (privacy)
Perte de données importantes pour l'organisation
Fuite de données vers des concurrents
Impact sur l'image de marque
Impact juridiques
Impact sur le coût et compromission des projets
etc ..
Introduction
12

● Sécurité des Services :
Protection d'un service fourni sur un (ensemble) de système
(par exemple : Mail, DNS, Serveur de fichiers, Application Web, etc)
Protection des données manipulées par le service donné
Protection des fichiers de configuration et paramétrage du service
Protection des accès au service
● Importance de la sécurité des services.
Les services sont fait pour être utilisés et supportent le métier de
l'organisation.
L'arrêt de service implique des perturbations/arrêts de l'activité
Image de marque de l'organisation
Introduction
13

● Qui est concerné par la Sécurité des services ?
Tout le monde dans l'organisation est concerné par la sécurité d'un
service
(Selon le service et l'organisation)
Le responsable du service
Le responsable de la sécurité
Les utilisateurs du service
Introduction
14

● Vue d'ensemble de moyens de sécurités
Introduction
15

● Besoin d'une politique de sécurité
Il est nécessaire de définir une politique de sécurité.
La politique de sécurité s’étend à de nombreux domaines
(1/2) :
– Audit des éléments physiques, techniques et logiques
constituant le SI de l'organisation
– Sensibilisation des responsables et du personnel aux
incidents de sécurité
– Formation du personnel et utilisateur du SI
Introduction
16

La politique de sécurité s’étend à de nombreux domaines
(2/2) :
– Structuration et protection des locaux abritant les systèmes
informatiques et les équipements de télécommunication
– Ingénierie et maîtrise d’œuvre des projets incluant les
contraintes de sécurité dès la phase de conception
– Définition du cadre juridique et réglementaire de l’entreprise
face à la politique de sécurité et aux actes de malveillance
– Classification des informations de l’entreprise selon différents
niveaux de confidentialité et de criticité
– Audit de la politique de sécurité
Introduction
17

Exemple de décomposition d'une politique de sécurité
Introduction
18
Politique de sécurité
Politique de
contrôle d'accès
Politique de
protection
Politique de
réaction
Politique de
suivi
Politique
d'assurance
Gestion des identités,
des profils, permissions,
Droits, etc
Prévention des intrusions
Gestion des vulnérabilités
etc
Gestion des crises,
des sinistres, des plans de
continuité, de reprise,
de modification etc,
Audit, évaluation,
Optimisation, contrôle,
surveillance, etc
Politique de
sensibilisation
Mesures
et
procédures
Performance
Convivialité
coût
Respect
des
contraintes
légales
et
réglementaires

● Besoin d'une démarche méthodologique
Introduction
19

● Exemple : Cas d'une entreprise de vente en ligne
Vous avez développé une application web qui permet à votre entreprise de vendre des
produits à grande échelle sur Internet. L'application est très stratégique pour votre entreprise
puisque c'est son moyen de vente principale. L'application est composée de :
Une base de données hébergée dans le serveur SRV1Backup
Une application web sur le serveur SRV1
Une application web hébergée dans le serveur SRV2
Une base de données hébergée dans le serveur SRV2Backup
Les serveurs SRV2 et SRV2BACKUP doivent être accessible de l'Internet
Les serveurs SRV1 et SRV1BACKUP doivent être accessible juste depuis LAN. Un
mécanisme de synchronisation entre les deux serveurs est mis en place pour synchroniser
les deux bases de données.
La figure suivante présente l'architecture de ce réseau.
Introduction
20

Introduction
21

Travail à faire
● Identifier les objets sensibles à protéger.
● Identifier les menaces et évènements redoutés
● Identifier les risques et impacts potentiels
● Identifier les mesures de sécurité.
Introduction
22

● Exemple : Cas 2 : Application IoT : Smart Grid
Une entreprise de distribution d'électricité utilise des
technologies IoT pour le contrôle du réseau de
distribution et les compteurs intelligents pour la collecte
de la consommation électrique.
Les données collectées sont envoyées vers une
application sur le SI de l'entreprise via Internet.
Les consommateurs peuvent voir leurs factures en ligne
L'entreprise peut utiliser les données collectées pour le
profilage pour besoin d'optimisation et ciblage.
Introduction
23

Introduction
24
Source: https://www.cnet.com/news/report-finds-smart-grid-security-lacking/

Introduction
25
Source: https://www.devolo.com/en/SmartGrid/

Travail à faire
● Identifier les objets sensibles à protéger.
● Identifier les menaces et évènements redoutés
● Identifier les risques et impacts potentiels
● Identifier les mesures de sécurité.
Introduction
26
Source: http://www.sagemcom.com/smart-city/smart-grid/?print=1%27A%3D0

Rappel sur la cryptographie
27
Chiffrement
• Ensemble de techniques qui assure la confidentialité des données et
l’authentification de correspondants.
• La base de la cryptologie est constitués d’algorithmes de chiffrement.
• Ces algorithmes rendent le message incompréhensible pour toute personne
autre que le destinataire.
• Deux types d’algorithmes de chiffrement:
– Symétriques, à clé secrète (RC2, RC4, DES, 3DES, Blowfich, IDEA…)
– Asymétriques, à clé publique (Diffie-Hellman, RSA, DSA)
• On utilise également des techniques pour générer des empreintes (MD5,
SHA) et le nombre aléatoire

28
Chiffrement Symétriques:
Le message d’origine clair est chiffré en utilisant un algorithme de chiffrement
et une clé secrète connue entre les correspondants.
Le message chiffré reçu est déchiffré par la même clé utilisée pour le
chiffrement.
L’algorithme n’est pas secret.
La sécurité repose sur le fait de garder secret la clé utilisée pour le
chiffrement.
Deux familles d’algorithmes:
les méthodes codant un flux de bit ( RC4 …)
les méthodes qui travaillent en blocs (DES, AES, Blowfish, IDEA …)

29
Fonctions de hachage:
Appelées aussi fonctions de génération empreinte.
Elles permettent de créer l’empreinte numérique d’un message.
L’empreinte dépend mathématiquement du message. La moindre petite
modification dans le message génère une empreinte complètement différente.
Les empreintes sont utilisées pour vérifier si un fichier (ou un message) n’a
pas été modifié.
Deux principales algorithmes sont utilisés: MD5 et SHA
Les fonctions de hachage sont à sens unique

30
Chiffrement asymétrique ou à clé publique:
Un couple de clé est utilisé. Composé d’un clé publique et d’une clé privée
Les deux clés sont générées ensemble et elles dépendent
mathématiquement l’une de l’autre.
La clé publique peut être échangé publiquement sans risque.
La clé privé doit rester secrète conservée par son propriétaire.
Le message chiffré par une des clé et déchiffré par l’autre.
Les algorithmes le plus utilisés sont RSA ( Rivest, Shamir et Adleman),
Diffie-Hellman et DSA (Digital Signature Algorithm)
Avantages:
● authentification mutuelle des correspondants
● permet la signature numérique
● diminue le nombre de clés nécessaires entre plusieurs correspondants

31
Signature numérique
Possible en utilisant les algorithmes de chiffrements asymétriques.
Elle consiste à créer une empreinte d’un message (ou fichier) en utilisant MD5 ou
SHA.
puis on utilise la clé privée pour chiffrer cette empreinte
Le résultat est ajouté au message ( ou fichier) d’origine
on peut vérifier la signature du message (ou fichier) en déchiffrant la signature
reçue par la clé publique et en comparant le résultat avec l’empreinte du message
recalculée depuis le message reçu

32
Les certificats X509
Un certificat est un document qui comporte essentiellement une clé publique et des
renseignements sur le propriétaire de cette clé, le tout signé par la clé privée de
l’autorité de certification CA.
Un certificat permet un dialogue sûr (chiffré) entre entité qui les possèdes.
Un certificat donne l’assurance sur l’identité du propriétaire de la clé publique.
Le format X509 est un format standard de certificats normalisé par ISO

33
Les champs d’un certificat X509
Version version du protocole
Serial number un numéro de série unique pour un CA
Algorithm Identifier l’algorithme utilisé pour la signature
Issuer le CA qui a émis le certificat
Period of Validity période de validité
Subject personne ou société identifiée par le certificat
Subject’s Pyblic Key la clé publique
Signature la signature

Protection du système de fichiers
34
Les droits d'accès aux systèmes de fichiers
● Toute entité (utilisateur humain ou bien processus) qui accède
au système nécessite une « identité » déclarée.
● Les identités peuvent être gérées localement dans un
système, ou bien d'une manière centralisée dans un serveur
d'authentification (ou de gestion d'identité)
● Sur un système Linux par exemple, les identités sont gérées
via les fichiers « /etc/group », « /etc/passwd » et
« /etc/shadow »
● Les utilisateurs sont regroupés en un ensemble de groupe.
● Un utilisateur appartient à un groupe principal, mais peut
appartenir à d'autres groupes (groupes secondaires)

35
● Les droits d'accès aux systèmes de fichiers sont :
● Lecture (r)
● Modification (w)
● Exécution (x)
● Le SUID, Set User ID (s)
● Le SGID, Set Group ID (s)
● Le Stiky bit (t)
● Les classes d'accès :
● Propriétaire (u)
● Groupe propriétaire (g)
● Autre (o)
● Les commandes utilisées
● chown pour le changement du propriétaire d'un fichier
● chmod pour changer les permissions d'accès
● chgrp pour le changer le groupe propriétaire

36
● Les listes de contrôle d'accès aux fichiers (File ACL)
● Le contrôle d'accès aux fichiers en utilisant les ACL permet de
répondre aux limites de permission d'accès de base sur les classe
d'accès : propriétaire ; groupe propriétaire ou au autre
● Avec les ACLs on peut affecter des permissions sur un fichier ou
répertoire à un utilisateur (ou groupe) qui n'ai pas propriétaire ou
bien membre du groupe propriétaire.
● Deux types d'ACL :
● Access ACL : qui précise les permissions pour un fichier ou
dossier
● Default ACL : utilisé uniquement sur les dossiers. Si un fichier
dans ce dossier n'a pas d' « AccessACL » spécifique, la
« Default ACL » d'applique à ce fichier

37
● Les ACL peuvent être appliquées :
● Par Utilisateur
● Par Groupe
● En utilisant un mask des permissions effectives
● Pour utilisateur qui n'appartient pas au groupe propriétaire
● Une ACL est composée d'un ensemble de règles sous forme :
u:<uid>:<perms> Concerne un utilisateur identifié par UID
g:<gid>:<perms> Concerne un utilisateur identifié par GID
o:<perms> Concerne les autres utilisateurs
m:<perms> Spécifie le masque effectif (les droits
maximum à appliquer)
● Les paramètres <perms> sont exprimés en rwx

38
● Les commandes utilisées sont :
« setfacl » pour modifier les permissions d'accès aux fichiers
« getfacl » pour afficher les ACL appliquées
● La commande « getfacl » appliquer à un fichier affiche:
[user1@adr~]$ getfacl file1
# file: file1
# owner: userc
# group: sysadmin
user::rw-
group::r-- #effective:r--
mask:r--
other:r--
# file: file2
# owner: userc
# group: sysadmin
user::rw-
user:usera:rwx #effective:r--
mask:r--
other:r--

39
Configuration des ACLs par ligne de commandes
setfacl -m acl_entrée NomFichier Créer/modifier une entrée ACL d'un fichier
setfacl -s acl_entrée NomFichier Substituer une entrée ACL par une autre
setfacl -x acl_entrée NomFichier Supprimer une ou plusieurs entrée ACL
setfacl -r NomFichier Recalculer le mask de l'ACL après une modification de l'ACL
[user1@adr~]$ ls -l
total 0
-rw-r--r-- 1 userc staff 0 Jan 22 13:40 file1
-rw-r--r-- 1 userc staff 0 Jan 22 13:40 file2
[user1@adr~]$ setfacl -m u:userb:7 file2 (en mode octal)
[user1@adr~]$ setfacl -m u:userD:rwx file2 (en mode symbolique)
[user1@adr~]$ ls -l
total 0
-rw-r--r--+ 1 userc staff 0 Jan 22 13:40 file1
-rw-r--r--+ 1 userc staff 0 Jan 22 13:40 file2

40
● Les ACL des fichiers Exemple :
# file: file2
# owner: userc
# group: sysadmin
user::rw-
mask:r--
other:r--
[user1@adr~]$ setfacl -m u:userb:rwx file2
# file: file2
# owner: userc
# group: sysadmin
user::rw-
user:userb:rwx #effective:r--
mask:r--
other:r--
[user1@adr~]$ setfacl -m m:rwx file2
# file: file2
# owner: userc
# group: sysadmin
user::rw-
user:usera:rwx #effective:rwx
user:userb:rwx #effective:rwx
group::r-- #effective:rwx
mask:rwx
other:r--

41
Recalculer le mask: setfacl -r -m acl_entrer NomFichier
# file: file1
# owner: userc
# group: sysadmin
user::rwx
user:usera:rwx #effective:rw-
group::rw- #effective:rw-
mask:rw-
other:r--
[user1@adr~]$ setfacl -r -m u:usera:7 file1
# file: file1
# owner: userc
# group: sysadmin
user::rwx
user:usera:rwx #effective:rwx
mask:rwx
other:r--
[user1@adr~]$ getfacl testfile
# file: testfile
# owner: user1
# group: staff
user::rw-
user:user2:rw-
#effective:r--
mask:r--
other:r--
[user1@adr~]$ chmod 664 testfile
[user1@adr~]$ getfacl testfile
# file: testfile
# owner: user1
# group: staff
user::rw-
user:user2:rw- #effective:rw-
mask:rw-
other:r--

42
Supprimer une entrée d'ACL: setfacl -d acl_ENtree NomFichier
# file: file2
# owner: userc
# group: sysadmin
user::rw-
mask:r--
other:r--
[user1@adr~]$ setfacl -d u:usera file2
$ getfacl file2
# file: file2
# owner: userc
# group: sysadmin
user::rw-
mask:r--
other:r--

43
La protection contre les pertes de données
● RAID = Redundant Array of Independent Disks
● RAID est une matrice de disques utilisée comme une seule unité de stockage.
● Deux approches de RAID existent: matérielle ou logicielle
● Les données sont enregistrées sur plusieurs disques qui composent la
matrice de disques.
● Objectifs d'utilisation des RAID:
● Augmenter la capacité de stockage
● Augmenter la vitesse d'accès aux données
● Se protéger contre les pannes de disques qui peuvent engendrer des pertes
de données.

44
● Les niveaux du RAID :
● RAID 0 : (Striping) Concaténation
● RAID 1 : (Mirroring) Les disques en miroir
● RAID 5 : (Striping with parity) Concaténation avec parité
● RAID 6, RAID 01, RAID 10
...

45
● RAID 0
● Permet l'augmentation de la capacité de stockage sur disque en
utilisant plusieurs disques dur.
● Deux techniques sont utilisées:
● Concaténation de volume: écriture des données dans un
volume (partition), une fois pleine, on passe au volume suivant.
● Les bandes: écriture des données dans les bandes sur tous les
disques qui composent le RAID.
● Pas de protection de données contre les pertes, si un seul volume
est inaccessible, toutes les données seront aussi inaccessibles.

46
● RAID 1
● RAID 1 est le miroir de volume (physique ou de volume RAID-0)
● Il permet la redondance des données.
● RAID 1 permet d'avoir une copie des données écrites dans un volume
sur un autre volume.
● Nécessite au moins deux volumes identiques. (plus que deux permet de
faire des sauvegardes de données sans arrêt)
● Possibilité de configurer les accès en lecture écriture sur les différents
volume pour améliorer les performances
● Les volumes qui composent le miroir sont appelés les sous-miroirs
(submirror)
● On peut attacher ou détacher un submirror à tout moment. Après ré
attachement, une synchronisation est lancée

47
● RAID 5
● Les données sont distribuées sur plusieurs disques
● RAID 5 utilise des données de parité pour garder l'intégrité des
données.
● Quand un disque est perdu, on récupère les données en utilisant les
données de parité et les données existantes dans les autres disques.
● Le RAID 5 ne peut pas être utiliser pour / /usr et swap.
● RAID 5 nécessite au minimum 3 disques.
● Ne pas utiliser des disques ou partitions contenant déjà des données
(elles seront écrasées au moment de la création)

Full-Securite-System-Découvrir les notions de base de la sécurité .pdf

Contenu connexe

Similaire à Full-Securite-System-Découvrir les notions de base de la sécurité .pdf

Full-Securite-System-Découvrir les notions de base de la sécurité .pdf