La sécurité informatique dans la petite entreprise []

Lascuritinformatiquedans la petite entreprise

JeanFranoisCARPENTIER

RsumCe livre sur la scurit informatique dans la petite entreprise (PME) sadresse aux administrateurs systmes et rseaux et plus gnralement toute personne appele participer la gestion de loutil informatique dans ce contexte (chef dentreprise, formateur...). Lauteur identifie les menaces qui rendent lentreprise vulnrable : menaces externes (Internet) ou internes, logiciels malveillants et attaques affectant le systme dinformation. Il prsente les contraintes en terme de comptitivit et vis--vis de la loi qui imposent aux responsables de protger les donnes stockes ou en transfert. Et bien sr, il dtaille les solutions efficaces mettre en uvre en rapport avec la criticit des informations, le contexte de lentreprise et sa taille. En effet, diffrentes technologies existent tant sur la partie systme que rseau et demandent tre gres laide de pratiques simples et dun minimum de bon sens pour garantir lintgrit, la confidentialit, la disponibilit des donnes et des applications. Sensibiliser le lecteur tous ces aspects de la scurit laidera mieux matriser les outils dont il dispose notamment pour la gestion des comptes daccs aux serveurs et aux postes de travail. Les recommandations dcrites dans ce livre couvrent les domaines du rseau, du systme, de la sauvegarde et aussi les solutions de reprise de lactivit mtier. La survie de lentreprise est la mesure des prcautions mises en uvre.

L'auteurJean-Franois Carpentier est ingnieur en systme dinformation depuis prs de 30 ans. Titulaire dun diplme dingnieur DPE, il exerce son activit au sein de grands comptes de lindustrie et des services. Il uvre aussi dans les domaines techniques et fonctionnels des systmes dans des environnements complexes. Il utilise aussi ses qualits pdagogiques dans la formation pour un public dadultes.

Ce livre numrique a t conu et est diffus dans le respect des droits dauteur. Toutes les marques cites ont t dposes par leur diteur respectif. La loi du 11 Mars 1957 nautorisant aux termes des alinas 2 et 3 de larticle 41, dune part, que les copies ou reproductions strictement rserves lusage priv du copiste et non destines une utilisation collective, et, dautre part, que les analyses et les courtes citations dans un but dexemple et dillustration, toute reprsentation ou reproduction intgrale, ou partielle, faite sans le consentement de lauteur ou de ses ayants droit ou ayant cause, est illicite (alina 1er de larticle 40). Cette reprsentation ou reproduction, par quelque procd que ce soit, constituerait donc une contrefaon sanctionne par les articles 425 et suivants du Code Pnal. Copyright Editions ENI

ENI Editions - All rigths reserved - Jonifar lina

- 1-

1

AvantproposCelivresurlascuritinformatiquedanslespetitesentreprisessadressetoutadministrateursystmesetrseaux, toutepersonneayantgrerloutilinformatique,chefsdentreprisedetypeTPEouPME/PMIquisouhaitentprotger leur systme dinformation des principales menaces. Il peut aussi aider des formateurs sensibiliser les futurs professionnelsauxbonnespratiquesacqurir. En effet, loutil informatique fait partie intgrante du mtier de lentreprise, car incontournable. Il est cependant vulnrableauxmenacesexternes(Internet)ouinternes,auxlogicielsmalveillantsetattaquesaffectantsonsystme dinformation. Dautrepartdesraisonsdecomptitivitetlgalesimposentauxresponsablesdeprotgerlesdonnesstockesou entransfert.Laprotectiondessystmesrequiertdemettreen uvredessolutionsefficacesenrapportaveclacriticit desinformationsutilises,ducontextedelentrepriseetdesataille. Diffrentes technologies existent tant sur la partie systme que rseau et demandent tre gres efficacement laidedepratiquessimplesetdebonsensdefaongarantirlintgrit,laconfidentialit,ladisponibilitdesdonnes etdesapplications. Lagestiondescomptesdaccsauxserveursetpostesdetravail,associeunesensibilisationlascuritpourra aiderlesadministrateurssystmemieuxmatriserleuroutil. Lesrecommandationsdcritesdanscetouvragecouvrentlesdomainesdurseau,dessystmes,delasauvegardeet lessolutionsdereprisedelactivitmtier.Lasurviedelentrepriseestlamesuredesprcautionsmisesen uvre. Lapproche de ce livre est de prsenter des informations glanes partir dexpriences professionnelles dans diffrentsenvironnementsdanslecadredeladministrationdesystmesetderseaux. La lecture de cet ouvrage rclame une connaissance de base dans la connaissance des rseaux et des systmes dexploitation,principalementdeWindows.


- 1-

2

PrfaceCet ouvrage a pour vocation de prsenter ltat de lart et les bonnes pratiques de la mise en place de la scurit informatique dans une socit du type PME (Petites et Moyennes Entreprises) disposant de moyens limits. Il est destintreencohrenceaveclanormeISO27001sousuneformepratiquelusagedespersonnelsresponsables dusystmedinformation. Les informations prsentes dans loptique dune meilleure gestion des serveurs et des postes de travail ne se substituentpasauxdocumentstechniquesdesconstructeursetditeursdelogicielsoudesystmedexploitation,il sagitduncomplmentplusfonctionnel. Enconsquence,lelecteurdecetouvrageestinvitconsulterlesdocumentstechniquesmissadispositionlorsde larceptiondesmatrielsetlogiciels.


- 1-

3

IntroductionLunivers des systmes dinformation compos de rseaux et de systmes informatiques prend un rle et une place chaquejourplusimportantdanslesentreprises. Cependant, lactualit prsente par les mdias nous dmontre que le systme dinformation est vulnrable et quil peut subir des piratages, des attaques (virus, hackers), des pertes de donnes, des sinistres. Il est donc indispensablepourlesentreprisesdesavoirdfiniretdegarantirlascuritdesesressourcesinformatiques. Lascuritdessystmesdfiniedanscetouvragedoitconstituerlemoyendeprotgerdansunsenslargelesystme dinformationoudeminimiserlesrisquesencourusparlentreprisedanslusagedeloutilinformatique. Lesncessitsdescurisersonsystmedinformation Certainsfacteurspeuventapparatredelordredelvidencecommelancessitdeprotgerunepartieoprationnelle delentreprise.Toutefois,lensembledesmenacesnestpourtantpastoujoursbienidentifi. Par contre, dautres sont souvent mconnues comme les obligations et responsabilits lgales des dirigeants dentreprisedanslexploitationetlamatrisedeleursystmedinformation. Ces exigences impliquent la mise en place dune protection des systmes sous la forme dune politique de scurit avec :q

llaborationderglesetprocdures, ladfinitiondesactionsentreprendreetdespersonnesresponsables, ladterminationduprimtreconcern.

q

q

Ceprimtrecomprendlafoislesdonnesaussibiensousformelectroniquequepapier(fichiers,messages),les transactionsdanslesrseaux,lesapplicationslogiciellesetbasesdedonnes.Ilnefautpasoublierlaspectcontinuit desservicesdutraitementdelinformationetlesplansdereprisedactivitaprssinistre. Lesprincipesdebaseetobjectifsprincipaux,lamiseenuvre Lascuritdesdonnescouvrequatreobjectifsprincipaux,etestreprsentesousformedacronymes(C.I.D.P) :q

La disponibilit est lassurance que les personnes autorises ont accs linformation quand elles le demandentoudanslestempsrequispoursontraitement. Lintgritestlacertitudedelaprsencenonmodifieounonaltreduneinformationetdelacompltude des processus de traitement. Pour les messages changs, il concerne la protection contre laltration accidentelleouvolontairedunmessagetransmis. La confidentialit est lassurance que linformation nest accessible quaux personnes autorises, quelle ne serapasdivulgueendehorsdunenvironnementspcifi.Elletraitedelaprotectioncontrelaconsultationde donnesstockesouchanges.Celaestralisableparunmcanismedechiffrementpourletransfertoule stockagedesdonnes. La preuve consiste garantir que lmetteur dune information soit bien identifi et quil a les droits et les accslogiques,quelercepteuridentifiestbienautorisaccderlinformation.

q

q

q

Dautresprincipesdescuritpeuventtretablis,ilsagitde :q

Lanonrpudiation,considrecommelecinquimeprincipe,atintroduitedanslanormeISO74982comme un service de scurit pouvant tre rendu par un mcanisme comme la signature numrique, lintgrit des donnes ou la notarisation. Llment de la preuve de nonrpudiationdoitpermettrelidentification de celui quil reprsente, il doit tre positionn dans le temps (horodatage), il doit prsenter ltat du contexte dans lequelilatlabor(certificats). Lauthentificationestlemoyenquipermetdtablirlavaliditdelarequtemisepouraccderunsystme. Lauthenticitestlacombinaisonduneauthentificationetdelintgrit. Lesmcanismesdechiffrementprocdentduprincipequelmetteuretlercepteurconviennentdunmotde passe connu deux seuls. Lmetteur utilise ce mot de passe comme cl de chiffrement pour le message transmettre,seullercepteurquiconnatcemotdepassepeutlutilisercommeclpourdchiffrerlemessage

q

q


- 1-

4

etyaccder. Les objectifs de base peuvent tre traits sous la forme de solutions de scurit sous la forme de matriels, de logiciels,deprocdures,desupportoprationnelpour :q

lintgritdesdonnesetlaconfidentialit:gestiondesaccsphysiquesetlogiques,scuritdesrseaux, la disponibilit : redondance des systmes et du stockage des donnes, sauvegarde et archivage des donnes.

q

Lespropositionsdamliorationdelascurit,associesauxbonnespratiquesmettreenplacedanslenvironnement duneentreprisesonttraitesdanscetouvrage.

- 2-


5

LesdomainesetnormesassocisLa mise en uvre de solutions de protection et de scurit requiert de prendre des rfrences par rapport des normesoudesprconisations.

1.LesbonnespratiquesITIL(InformationTechnologyInfrastructureLibrary)ITIL se compose dun ensemble de livres qui liste, condense et prsente les meilleures pratiques utiliser dans le cadredelensembledesservicesinformatiquesddisuneentreprise.Ellesedclineenplusieursversionsdepuis sesorigines.LaplusrcenteestlaversionN3. Lamthodologiedcriteenversion2estcomposedesprocessussuivants : Service Support Support des Services, il sagit de la gestion oprationnelle des services. Il comprend les thmes suivants :q

CentredeServices(ServiceDesk) GestiondesIncidents(IncidentManagement) GestiondesProblmes(ProblemManagement) GestiondesConfigurations(ConfigurationManagement) GestiondesChangements(ChangeManagement) GestiondesMisesenProduction(ReleaseManagement)

q

q

q

q

q

Service Delivery Fourniture des Services, cet ensemble de processus concerne les aspects contractuels et lamliorationdesserviceslongterme:q

GestiondesNiveauxdeService(ServiceLevelManagement) GestiondesCapacits(CapacityManagement) GestionFinanciredesServicesdelInformation(FinancialManagementforITServices) GestiondelaDisponibilit(AvailabilityManagement) GestiondelaContinuitdesServicesdelInformation(ITServiceContinuityManagement)

q

q

q

q

Laversion3sinscritdansundomainepluslargeetcomprendlesprocessussuivants : StratgiedesServices(ServiceStrategy)q

DfinitionStratgique(StrategyGeneration) Gestionfinanciredesservices(FinancialManagement) Gestiondelademande(DemandManagement) Gestionduportefeuilledesservices(ServicePortfolioManagement)

q

q

q

ConceptiondeService(ServiceDesign)q

Gestionducataloguedesservices(ServiceCatalogueManagement) Gestiondesniveauxdeservice(ServiceLevelManagement)

q


- 1-

6

q

Gestiondesfournisseurs(SupplierManagement) Gestiondecapacit(CapacityManagement) Gestiondeladisponibilit(AvailabilityManagement) Gestiondelacontinuitdeservice(ITServiceContinuityManagement) Gestiondelascurit(InformationSecurityManagement)

q

q

q

q

TransitiondesServices(ServiceTransition)q

TransitionPlanningandSupport GestiondesChangements(ChangeManagement) GestiondesActifsetdesConfigurations(ServiceAssetandConfigurationManagement) GestiondesMisesenProductionetDploiements(ReleaseandDeploymentManagement) Gestiondestestsetvalidation(ValidationandTestingManagement) valuation GestiondeConnaissance(KnowledgeManagement)

q

q

q

q

q

q

ExploitationdesServices(ServiceOperation)q

Gestiondesvnements(EventManagement) Gestiondesincidents(IncidentManagement) Gestiondesproblmes(ProblemManagement) Excutiondesrequtes(RequestFulfilment) Gestiondesaccs(AccessManagement)

q

q

q

q

AmliorationcontinuedeService(ContinualServiceImprovement) Ilsappuiesurlesprocessussuivants:q

valuationdelaqualitdeservice valuationdesprocessusmisenplace Dveloppementdesinitiativesdamliorationdesservicesetdesprocessus Surveillancedesinitiativesdamlioration,mesuresdecorrection

q

q

q

Dansloptiquedecetouvrage,lesprocessussuivantsenlienaveclascuritinformatiquepeuventtreutilissdans lecadredelagestiondesystmesdansunePME :q

Lagestiondesconfigurations. Lagestiondeladisponibilit.

q

- 2-


7

q

LagestiondesapplicationsElletraiteducyclededveloppementdecesapplications. La gestion de la scurit Elle comporte les aspects de scurit, de manire transversale, avec les autres processus.

q

Lagestiondesconfigurations La CMDB (Configuration Management DataBase) est une base de donnes, pierre angulaire de la gestion des configurations.Elleprsenteunevuecompltedescomposantsdelinfrastructureinformatiqueetdesservicesrendus danslenvironnementduneentreprise. Elledoitcomporter,aminima,lesinformationssur :q

lematrieletleslogicielsdescomposantsdesserveurs,desunitsdestockageetdesauvegarde,durseau, lessystmesdexploitationavecleursversionsetlesoutilsassocis, les applications du march avec leurs versions (SGBD : Systme de Gestion de Base de Donnes, ERP : EnterpriseResourcePlanning,Applicatifsclientserveur), lesoutilsdesauvegarde,deprotectionantivirale,degestiondesunitsdestockage,dadministration et de supervisiondessystmes, lesapplicationsmtiersdveloppeseninterne, leslicencespourleslogicielsdumarchetleursdatesdevalidit, lesinformationssurlesutilisateurs(accslogiqueetphysique), lesrfrencessurlesfournisseurs(matrielsetlogiciels) :contactsetcontratsdemaintenance, lesdescriptifsdinstallationetdeconfigurationdesserveursetdesapplications,ladocumentationassocie, lesdocumentsrelatifsauxincidents,problmessurvenus,leschangementsdinfrastructureeffectus.

q

q

q

q

q

q

q

q

q

Lagestiondeladisponibilit Elle prcise comment optimiser lutilisation du systme dinformation, de lorganisation de support pour dlivrer un niveausuffisantdeservicespermettantauxactivitsmtiersdelentreprisedesatisfairesesobjectifs. Pratiquement, elle comprend la mise en place dinfrastructures matrielles et organisationnelles pour prvenir des risquesdinterruptiongrcedessolutionstechniquesoulogicielles. Cellesci peuvent comprendre des dispositifs techniques permettant un environnement de Haute Disponibilit (systmes tolrance de pannes, clusters ou virtualisation de serveurs, dispositifs quilibrage de charges, redondancedalimentationlectriqueoudquipementsderseau,onduleurs,ensemblesredondantsdedisques) ou desprocduresorganisationnellestelslesplansdecontinuitdactivit. Lagestiondelascurit Elle fait partie intgrante des bonnes pratiques essentielles mettre en place dans le systme dinformation de lentreprise. En effet, cellesci peuvent avoir besoin dtre conformes des rglementations particulires. Les impratifs professionnels se prsentent sous forme de normes de type FDA (Food and Drug Administration) pour lindustriepharmaceutique,SarbanesOxleypourlestablissementsfinanciers. Cettegestionfournitlentrepriselesconceptsetlaterminologiespcifiquedefaoncequelespersonnelspuissent comprendre les objectifs de scurit et les risques potentiels, suivre les procdures lies aux impratifs requis. Les processus de contrle, daudit de validation mis en place sont obligatoirement en correspondance avec les bonnes pratiquesdeITIL. Leprocessusdegestiondelascuritcomprendaumoinsplusieursdecescomposants :q

contrles(politique,organisation,rdactionderapports),


- 3-

8

q

contratsetaccordsdeservices, implmentation(politiquesdescurit,contrlesdaccs,classificationdesrisques), valuation(auditsinternesetexternes,analysedesincidentsdescurit), changements(gestiondesdemandesdechangement).

q

q

q

2.LamthodePDCAappeleaussiRouedeDemingLamthodePDCA(Plan,Do,Check,Act)issuedelISO9000estgalementappelerouedelamliorationdelaqualit ou rouedeDeming ,dunomdeW.EdwardsDEMING,statisticienetphilosopheamricain,inventeurdesprincipes delaqualitetdeWalterAndrewShewhartStatisticienamricain,inventeurdelarouedeDeming. Leprincipeproposedematriseretdamliorerunprocessusparlutilisationduncyclecontinuenquatretapesvisant rduire le besoin de corrections. Cette mthode dmontre aussi que les bonnes pratiques doivent tre mises en uvre,documentes,appliquesetamlioresdansletemps. Ellecomportelestapessuivantes :q

PLAN (planifier) Cette phase dfinit lobjectif principal qui consiste identifier et prciser les besoins du matredouvrage.Elleeffectuelinventairedesmoyensncessairessaralisation,soncotetsonplanning. DO(raliser,dployer)Cestlapartieoprationnelledelamthode.Ellecomporte :q

q

lallocationderessourcesenpersonnes,tempsetbudget, lardactiondeladocumentation, laformationdupersonnelconcern, lagestiondurisque, lexcutiondestches.

q

q

q

q

q

CHECK (mesurer et contrler) Cest ici que les oprations ralises prcdemment sont vrifies pour quelles correspondent aux besoins exprims, dans les dlais et les cots prciss la premire tape. Elle comprend :q

Unevaluationpartirdecequiadjtimplmentdansdautresenvironnements. Uncontrleglobaldesrsultatsproduits. Unauditdelenvironnement du systme de gestion de la scurit du systme dinformation, soit un audit annuel, sur la base de documents et de traces dvnements produits par les outils de supervision.

q

q

q

ACT (amliorer, agir) Cette tape recherche les amliorations apporter au projet global de changement. Desmesuressontvaluespartirdesbilansoudesconstatationsreleveslorsdelaphasedevrification. Desactionspossiblessontlaboresselonlescas :q

Passagelaphasedeplanification :sidenouveauxrisquesoumodificationsonttidentifis. Passagelaphasedexcution :silaphasedevrificationenmontrelebesoin. Aprslaconstatationdenonconformit,desactionscorrectivesouprventivessontdployes.

q

q

- 4-


9

PDCA Cettemthode,utilisedanslanouvelleversiondeITIL(V3)etdanslamiseenplacedunsystmedegestiondela scurit informatique, permet de raliser des changements progressifs et continus partir dun point ou objectif de dpart.Celuicipeuttrellmentdusystmedinformationquiatdfini,aprsuntatdeslieux,commeleplus critiqueouleplusurgenttraiterouencoreleplusfacilemettreen uvre. Elleest,lopposdeschangementsbrutauxouprisdanslurgence,toujoursdlicatemettreen uvreetparfois sourcededysfonctionnements.

3.LanormeISO20000Cettenorme,dcomposeenISO20001,ISO20002,sappuiesurlesbonnespratiquesITIL(InformationTechnology Infrastructure Library) et comprend un ensemble de bonnes pratiques en matire de gestion des services informatiques.ElleprendcommeprincipelarouedeDemingouPDCA(PlanDoCheckAct)etsinscritdansunprocessus deformalisationdenormesdequalit(ISO9000)oudescuritdessystmesdinformation(ISO27001).Ilsagitdun systme de gestion complmentaire avec une architecture identique compos dun guide de bonnes pratiques (ISO 200002).CesystmecompltelanormeISO200001.

4.LanormeISO27001etlesystmedegestiondelascuritinformatiqueLasriedesnormesISO27000estcomposedeslmentssuivants : ISO27000 Vocabulaireetdfinitions. ISO27001 Lanormeprincipaledesbesoinsensystmedegestiondelascuritdelinformation,plusconnuesouslaformeBS 77992.Ellecorrespondauprincipedecertificationdesorganisations. ISO27002(connuesouslaformeISO17799) Il sagit de la description des bonnes pratiques dcrivant les principaux objectifs de contrle de lensemble de la scuritdelinformation. ISO27003


- 5-

10

ComprendleguidedimplmentationdtaillrelatifladoptiondelasriecompltedelanormeISO27000. ISO27004 Contientlanormequidfinitlesprincipesdvaluationdecequiatimplmentdanslecadredelagestiondela scuritdelinformationpourmesurerlefficacitdusystmedegestiondelascuritmisenplace. ISO27005 Contientlanormedegestiondurisquedanslecadredelascuritdelinformation.IlremplacelanormeBS77993. Lobjectifdecettenormeconsistetablirunsystmedegestiondelascuritdelinformation,cestdiredfiniret identifiertouslesactifs,mettreenplacetouteslesmesuresadquatespourprotgerlesdonnesdelentreprise.Elle donneuneidesurlesbonnespratiquesutiliserparuneapprochebasesurdesprocduresetdesprocessus. Elle constitue un bon moyen dorganiser et de structurer la politique de scurit informatique dans lentreprise.Elle formalise :q

lamliorationcontinue, lesauditsinternes, lapprciationdesrisques, letraitementdesincidents, lesindicateurs.

q

q

q

q

- 6-


11

LesrisquesinformatiquesAvantdetraitercequestunrisqueinformatique,ilconvientdeprsenterquelquesdfinitions.

1.DfinitionsLactif Cestlapartiedunbienquicomposelepatrimoineetprsentantdelavaleurpourlentreprise.Ilpeutreprsenter: lesquipements,lesmatriels,leslogiciels,lesbrevets,lesprocessusetactivitsmtier Lesvulnrabilits Lavulnrabilitestunefailledanslesactifs,lescontrlesdescurittechniqueoulesprocduresdexploitationou dadministrationutilisesdanslentreprise.Elleconsiste,engnral,enunefaiblessedanslaprotectiondusystme, sous la forme dune menace qui peut tre exploite pour intervenir sur lensemble du systme ou dun intrus qui sattaqueauxactifs. Lesmenaces Unemenaceestquelquunouquelquechosequipeutexploiterunevulnrabilitpourobtenir,modifierouempcher laccsunactifouencorelecompromettre.Elleexisteencorrlationavecdesvulnrabilits.Ilpeutyavoiraussi plusieurs menaces pour chaque vulnrabilit. La connaissance des diffrents types de menaces peut aider dans la dterminationdeleurdangerositetdescontrlesadaptspermettantderduireleurimpactpotentiel. Lamenaceestunesourceeffectivedincidentspouvantentranerdeseffetsindsirablesetgravessurunactifouun ensembledactifs,lentrepriseparellemme. Lesmenacespeuventtreclassespar :q

origineousource, type, motivation,action.

q

q

Ellespeuventtre :q

dlibres(vol,fraude,virus,hacking,incendie,attentat,sabotage,interception,divulgationoualtrationde donnes), naturellesouenvironnementales(tremblementdeterre,ruptionvolcanique,inondation,coupuredecourant, incendie...), accidentelles(erreursdutilisation,omissions), duesdespannestechniques :mauvaisfonctionnementdunquipement,dunlogiciel.

q

q

q

Lerisque Lerisqueestlapossibilitquunechosecritiqueapparaisse.Sonvaluationpermetdtablirdesactionspourrduire etmaintenirlamenaceunniveauraisonnableetacceptable. Lesrisquespeuventtrequalifisselonleursorigines(externesouinternes).q

Lesrisquesexternes :q

Les attaques non cibles. Toute entreprise est concerne par lagression de virus ou dattaques globalessurlerseau(dnideservice). Les attaques cibles. Les risques physiques (vol ou destruction de matriel) ou logiques (accs

q


- 1-

12

dintrus).q

Lesrisquesinternes :q

Ilssontplusdifficilesapprhendercarilsconcernentdesressourcesinterneslentreprise.

Ilexistedesfacteursaggravantsderisquelisaumtierdelentreprise :q

Lespostesnomades :ordinateursportables,assistantsnumriquesdepoche,tlphonesvolusportables (Smartphones). Desinfrastructures,servicesetapplicationsmalprotgs. Unplandesauvegardeoudesecoursinformatiqueinexistantounonoprationnel.

q

q

Limpactdunrisque Il peut tre exprim par les consquences ou les prjudices affectant un actif : atteinte lintgrit, perte de disponibilit,atteintelimagedemarque,pertedechiffredaffaires. Lesimpactspeuventtrevalusselonlescritressuivants :q

financier(fraisderemiseentatouderestauration,pertesdexploitation), juridiqueetlgal, rputationetimagedelentreprise(parrapportlextrieuretaupersonnel), expertiseetsavoirfairereconnusdelentreprise.

q

q

q

2.LesvulnrabilitsPourledomainedelascuritinformatique,Ilexistetroisfamillesdevulnrabilits : Vulnrabilitsliesauxdomainesphysiquesq

manquederedondanceetderessourceauniveauquipement, accsauxsallesinformatiquesnonscuris, absenceoumauvaisestratgiedesauvegardedesdonnes.

q

q

Vulnrabilitsliesauxdomainesorganisationnelsq

Manquede : ressourceshumainesetdepersonnelsqualifis, communications.

q

Absencede : contrlespriodiques, documentsdeprocduresadaptslentreprise, moyensadaptsauxrisquesencourus.

- 2-


13

q

Tropgrandecomplexitfonctionnelle.

Vulnrabilitsliesauxdomainestechnologiquesq

faillesnombreusesdanslesservicesetapplicatifsWebetlesbasesdedonnes, pasdemisesjourdessystmesdexploitationetdescorrectifs, pasdecontrlesuffisantsurleslogicielsmalveillants, rcurrencedesfaillesetabsencedesupervisiondesvnements, rseauxcomplexes,nonprotgs, mauvaiseutilisationdelamessagerie.

q

q

q

q

q

3.LesmenacesLessystmesdinformationsontvulnrablesparrapportplusieursmenacessusceptiblesdeleurinfligerdiffrents typesdedommagesetdespertessignificatives. Limportancedesdgtspeutschelonnerdelasimplealtrationdedonnesladestructioncompltedecentres dedonnesinformatiques. La valeur relle des pertes relatives au manque de scurit nest pas toujours possible estimer car beaucoup dentreellesnesontjamaisdcouvertes,dautres peuvent tre dlibrment ignores pour viter de montrer une mauvaiseimagedelentreprise. Les effets des diffrentes menaces varient considrablement suivant les consquences affectant lentreprise, certainesaffectentlaconfidentialitoulintgritdesdonnes,dautresagissentsurladisponibilitdessystmes. Lesmenaceslespluscommunessontreprsentescidessous : Erreursetomissions Cesontdesmenacesimportantespourlintgritdesdonnesetdessystmes.Ceserreursontsouventuneorigine humaine. En effet, mme les programmes les plus sophistiqus ne peuvent pas tout dtecter. Nimporte quelle personne intervenant sur le systme dinformation (utilisateur, administrateur systme, dveloppeur...) contribue directementouindirectementcesdangersmettantenprillascuritdessystmes.Souventlerreurconcerneune menace(erreurdentrededonnes,erreurdeprogrammation)ouencorecreellemmelavulnrabilit. Fraudeetvol Les fraudes ou vols peuvent tre commis par lintrieur ou lextrieur de lentreprise. Par exprience, il savre, la plupartdutemps,quelamenacevientdelintrieur(desutilisateursayantdesaccsprivilgisauxsystmes).En effet,pardfaut,cesontlesutilisateursfamiliersdelentreprisequisontdanslameilleurepositionpourcommettre desforfaits. Sabotagecauspardesemploys Ce sont les personnels les plus familiariss avec les systmes et les applications. Ils peuvent donc perptrer des dommages,sabotagesCequiimpliquelancessitdegreretdecontrlerdefaonrigoureuselescomptesdes utilisateurs,surtoutdeceuxquiontdesaccsprivilgisauxsystmes. LesHackers Letermehackerouencorecrackerfaitrfrencelapersonnequisintroduitdanslessystmesdinformationsans autorisation pour, dans le pire des cas, provoquer des dgradations dans les donnes ou les applications. Ses actions peuvent seffectuer partir de lintrieur (dans le cas o il a pu obtenir un accs sur le rseau) ou de lextrieur de lentreprise. Toutefois, il nest pas toujours facile de dtecter sa prsence sur les systmes ni de connatrecequilaprovoqucommedgts. Lespionnageindustrieloucommercial Cest le fait de rcuprer des donnes confidentielles de lentreprise dans le cas de concurrence conomique ou ENI Editions - All rigths reserved - Jonifar lina - 3-

14

industrielle.Cettemenacenimpliquepas,engnral,daltrationdesdonnesinternes.Parcontre,ellepeutavoir un impact important sur les actifs sensibles de lentreprise (donnes clients, brevets industriels). La menace vise spcifiquementlesordinateursouappareilsportablesparticulirementsensiblesauvolcarilspeuventcontenirdes informationsconfidentielles.Desprcautionsdutilisationetdeprotectiondevronttreprises. Lesprogrammesmalveillants Ils font rfrence aux virus, chevaux de Troie, bombes logiques et autres logiciels indsirables. Souvent, leur point dentresesitueauniveaudesordinateurspersonnelsmalprotgslorsdeleurconnexionsurInternet.Leurseffets peuventstendretoutlerseaudelentrepriseencontaminantdautresmatriels. Ilestpossibledeseprotgerdelaplupartdesrisquesliscesmenaces.Aussi,danslespremiresphasesdemise enplacedelascuritdusystmedinformation,untatdeslieux,sousformedediagnostic,vatrencessairepour prparerunemeilleureprotectionendtectantlesvulnrabilits.

4.LagestiondurisqueinformatiqueUnrisqueestgnralementcaractrispar :q

sasourceousonorigine :employmalveillant,intrus,programmesillgaux... unemenace :divulgationdinformationconfidentielle,coupuredlectricit... laprobabilitdoccurrenceoupotentialit :dureetlieu,probabilitdoccurrence, la vulnrabilit ayant permis ce risque : erreur de conception, erreur humaine, manque de suivi des vnementssuspects... limpact,consquenceouprjudice :indisponibilitduservice,pertedemarchoudimagepourlentreprise... lesmesuresdescuritouprotectionsoucontremesurespoursenprotger, lescontrlesdaccs,lapolitiquedescurit,lasensibilisationdupersonnel...

q

q

q

q

q

q

Ladmarcheidaleconsisteen :q

choisirlamthodedvaluationadapteaucontextedelentreprise, dfinirlescritresdidentificationdesrisques.

q

Pour avoir une ide plus prcise sur la mthode utiliser, il est utile de se rfrer aux mthodologies les plus connuesdanalyseetdvaluationderisques :q

MEHARI(MEthodologieHarmonisedAnalysedeRIsques) EBIOS(ExpressiondesBesoinsetIdentificationdesObjectifsdeScurit) OCTAVE(OperationallyCriticalThreat,Asset,andVulnerabilityvaluation)

q

q

Pour MEHARI, une version franaise existe en tlchargement gratuit sur le site du CLUSIF (Club de la Scurit de lInformationFranais)https://www.clusif.asso.fr/fr/production/mehari/

a.MthodedanalysedesrisquesElleestdfinieparlesactionssuivantes :q

Identification des actifs (une premire bonne pratique est de connatre la liste des matriels et logiciels) utilissparlesservicesinformatiques.

- 4-


15

q

Identification des menaces et leurs impacts possibles sur la confidentialit, la disponibilit et lintgritde cesactifs. Pourchacunedesmenacespossibles,identificationdesvulnrabilits. Dtermination de la probabilit doccurrence des menaces et des niveaux de vulnrabilit qui pourraient impacterlesservices.

q

q

b.LvaluationdurisqueDes informations mthodologiques sur le principe dvaluation peuvent tre trouves dans la norme ISO 13335, chapitreLascuritdanslentrepriseLessystmesetLeplandesecoursinformatique. Leprocessusdvaluationconsisteeffectuerlanalyse et linterprtationdurisqueetcomprendtroisactivitsde base :q

Dterminationdelamthodologieetleprimtredvaluation. Collecteetanalysedesdonnes. Interprtationdesrsultatsdanalysederisques.

q

q

partir de ces lments, les personnels responsables de linfrastructure informs du contexte tablissent les protectionsmettreenplace. tablissementdelavaleurdesactifs Cette dmarche comprend linventaire des actifs concerns susceptibles dtre affects par les menaces (les matriels,leslogicielsetsupportassocis,leslicences).q

Les matriels : serveurs, stations de travail, ordinateurs personnels, imprimantes, units de stockage, lignesdecommunication,routeurs,parefeu,passerellesderseau Leslogiciels :systmesdexploitation,programmesapplicatifsetdediagnostic,leslogicielsdeparefeu,les outilslogiciels Les donnes : stockes en ligne ou archives, les sauvegardes, les bases de donnes, les journaux derreursetlesrapportsdesupervision,entransitsurlessupportsdecommunication,toutescellesquisont encoursdetraitementtoutinstantdanslentreprise. Lesprogrammesetprocdures. Lessupportsdinstallationdelogiciels,lessupportsmagntiques

q

q

q

q

Bassurcetteliste,cetinventairevaenregistrerunminimumdlmentspourchaqueactif.Celapeuttre :q

lepropritairedelinformation, sonemplacementphysiqueoulogique, unnumrodidentification.

q

q

Lestimationducotdunactifconsisteensavaleurintrinsque,lesimpactscourttermeetlesconsquences longtermedesavulnrabilit. Identificationdesmenaces Une menace est une entit ou un vnement qui perturbe le systme dinformation. Elle inclut les erreurs volontaires ou involontaires, les fraudes, les actions possibles des employs mcontents, les incendies et autres causesnaturelles,leshackers,lesprogrammesnfastesouvirus. Une fois linventairedesactifsrequrantuneprotectioneffectu,ilestncessairedidentifierlesmenacesenlien avecchacundeuxetlesrisquesdeperte(dinformation,financire).Cequipermettrallaborationdeprotections adaptes. ENI Editions - All rigths reserved - Jonifar lina - 5-

16

Identificationetvaluationdesimpacts Aprs avoir identifi les actifs et les menaces, limpact de lattaque est valu et des mesures appropries de protectiondescuritdoiventtremisesenplace,souslesformessuivantes :q

identificationdesvulnrabilitsdusystme,desprotectionsmisesenplace, analysedesprobabilitsdoccurrencedemenacesquipourraientexploitercesvulnrabilits, valuationdesconsquencespossiblespourchaquemenace, slectiondesoutilsoumcanismesdescuritadquats.

q

q

q

Cettevaluationestimeledegrdepertepourlesactifs.Pluslesconsquencesdunemenacesontgraves,plusle risquepourlesystmedinformationoulentrepriseestimportant. Les impacts peuvent tre estims selon le contexte et les pertes possibles. Les consquences peuvent tre directes(financires)ouindirectes(pertedeconfiance). Analysedesvulnrabilits Unevulnrabilitestunefaiblessedeprocduresdescurit,decontrlestechniquesouphysiques.Ilpeutsagir demmeuneabsencedeprotectionquipeuventtreexploitsparunemenace. Lesinterrelationsentrevulnrabilits,menacesetactifssontdterminantespourlanalysederisques. Analysedesprotections Uneprotectionconsisteentouteaction,procdure,outilquilimitelavulnrabilitdunsystmeparrapportune menace. valuationdeprobabilitdesurvenance Cetteprobabilit,appeleaussiprobabilitdoccurrence,estuneestimationdelapossibilitdelapparitiondune menace ou dun vnement grave pouvant mettre en pril un systme dinformation. Dans lestimation, outre les possibilitsdincendiesoudinondation,lhistoriquedusystmeetlexpriencedespersonnelspeuventdonnerune indicationvalable. Engnral,pluslaprobabilitdunemenaceestgrande,plussonrisqueestimportant. Lesrsultatsdesanalysesderisqueetmiseenplacedesprotections Linterprtation des rsultats des analyses de risques peut amener scuriser en priorit certains lments du systme dinformation jugs critiques. Naturellement, la suppression des vulnrabilits de lensemble du systme dinformationesttoujourslobjectifessentiel.

- 6-


17

LapolitiquedescuritLapolitiquedescuritapourobjectifdedfinirlaprotectiondessystmesdinformationdelentreprise. Ellecomprendunensembledebasesdfinissantunestratgie,desdirectives,desprocdures,descodesdeconduite, des rgles organisationnelles et techniques. Elle implique une mise en uvre dune scurit adapte aux usages, conomiquementviableetconformelalgislation. Cettepolitiqueestformalisedanslentreprisesousformedundocument.Ildoitcomporterunrecueildepratiquesqui rgissent la manire de grer, de protger et de transmettre les informations critiques ou sensibles appartenant lorganisation.LadocumentationsurlanormeISO27001etsasuiteestlouvragederfrencedaidelaralisation decerfrentiel. Parmilesdomainesabords,ilestpossibledetrouverlesthmessur:q

lorganisationetlesstructuresdelentrepriseimpliquesdanslagestiondelascurit, leslmentsfondateursduneculturedescurit, lemaintiendelacohrencedanslessolutionstechniquesmisesen uvre, lesmoyensmisen uvreetlesmthodesdepilotage.

q

q

q

Lobjectifcentraldelascurit informatiqueestdegarderoudesauvegarderlaprennitdelentreprise.Cestpour cela que la politique de scurit mise en uvre doit sinspirer des besoins rels qui ont t dfinis partir des valuationsdesactifs,desmenacesetdesvulnrabilits.Elleimposeunecomplmentaritentrelesprocdures,les outilsmisen uvreetlespersonnesimpliques.


- 1-

18

Stratgieetpolitiquedescurit

1.LesprincipesLerleprincipaldescuritinformatiqueconsisteentroisdmarchesprincipales :q

Dfinirleprimtredelavulnrabilitlilusagedestechnologiesdelinformationetdelacommunication. Offrirunniveaudeprotectionadaptauxrisquesencourusparlentreprise. Mettreen uvreetvaliderlorganisation,lesmesures,lesoutilsetlesprocduresdescurit.

q

q

Lapremiretapeconsisteconnatreleprimtrelilascurit,cestdirelazonequicorrespondauxservices (authentification, contrles daccs physiques et logiques, disponibilit, intgrit et confidentialit) utiliss sur le rseau dentreprise (postes clients, rseaux LAN et WAN), sur les serveurs, avec les points daccs externes (serveursdistants,accsVPN). chaquesousensembleduprimtrecorrespondunniveaudescuritdiffrentselonlesmenacespossiblesouen fonctiondelavaleurdesinformationsprotger. Lesprincipesdebasedecettescuritimposentde :q

Dfiniretdimplmenterunestratgiedescuritadapteaucontexteouaumtierdelentreprise.

- 2-


19

q

Appliquer les dernires mises jour et corrections pour les systmes dexploitation,leslogicielsapplicatifs, principalementpourceuxquisonttablisenprotection(antivirus). Utiliser les recommandations des diteurs en ce qui concerne la gestion des mots de passe des comptes privilgis.

q

Pour btir une politique de scurit adapte au mtier de lentreprise, il est ncessaire de prparer les tapes suivantes :q

Identifierlesactifsprotger:q

Matriels. Lesdonnessensiblesdelentreprise. Lesservicesetapplications :applicationsmtierinternesetexternespouvantcommuniqueravecle mondeextrieur(fournisseurs,clients,sitedecommercelectronique)oueninterne.

q

q

q

Dcouvrir les rseaux de communication. Cela consiste dcouvrir les interactions entre les diffrents matrielsetlogiciels,didentifierlesapplicationscommuniquantaveclextrieur.

2.LlaborationdudocumentAprsavoirvalulesbesoinsglobauxenscurit,ledocumentprsentantlapolitiquepeuttreconuselonlebon senspratique.Unefaonsimpleestdutiliseruneapprochehirarchiquepourdfinirleprimtreglobal,ensuitele dcomposerendiffrentscomposants. La politique de scurit doit tre rigoureuse, mais doit rester flexible. Elle peut tenter de rpondre aux premires questionssuivantes :q

Quelestleniveaudesensibilitoudimportancedesdonnes delentreprise? Quelssontlesobjectifsprincipauxetleprimtre ? Quelssystmesdinformationsontprotger ? Quellessontlesmesuresminimalesdfinirpourleurprotection? Quelles sont les personnes responsables de la scurit des donnes (accs logiques, privilges dadministration)etlesressourcesmatriellesetlogiciellesmisesdisposition ? Quelssontlesdroitsetdevoirsdesutilisateursoudesadministrateurs ?

q

q

q

q

q

Lobjectif de ce document est de considrer spcifiquement les vulnrabilits dordre technique et les solutions simplesetefficacesmettreenplace.Laspecthumaininterviendraobligatoirementcarlesrlesdeladministrateur etdespersonnelsdexploitationysonttraits.

3.LesoutilsToutprojetdemiseenplacedelapolitiquedescuritdanslentrepriserequiertunedocumentationadaptesous formedeguidesdebonnespratiques,deprocdures. Lesdocumentsdesnormespeuventtreacquis,lesguidesetprocduresdoiventtrerdigesparlespersonnesen chargedelascuritdessystmes. Les procdures consistent dcrire les tapes dtailles qui doivent tre suivies par les utilisateurs, les responsablessystmesettouteslespersonnesquidoiventaccomplirunetcheparticulire. Chaquedocumentdoittrerdigetadaptselonlepersonnelconcernetsafonctiondanslentreprise. Lobjectif final des documents est dassister les utilisateurs, les responsables systmes et toutes les personnes


- 3-

20

impliquesdanslagestiondessystmesdinformationdansloptiquedelapolitiquedescuritdfinie.

- 4-


21

Lesprincipauxaxesdelastratgiedescurisation1.LediagnosticetlvaluationdesbesoinsCettetapepralableconsistedterminer :q

Lesressourcesetlesapplicationsprotgeretlepourquoi. Le niveau de protection requis ou celui que lentreprise est prte mettre en uvre pour chaque groupe dlments. Letypederisqueetdemenacedontpourraitfairelobjetchaquesousensemble. Lemodedeprotectionleplusefficaceselonlecontextedelentrepriseetdesonmtier.

q

q

q

Lamultiplicitdespointsdevulnrabilitdanslaspectscuritdusystmedinformationdcritunechanedepoints critiquesdontlarsistanceseragalecelledumaillonleplusfaible. Pourcela,concevoirunepolitiquedescurisationefficaceetcohrentedemandedeconsidrerlespointsprincipaux suivants :q

Lespointsdentredelentrepriseauniveausystmedinformation :q

Laccsphysique(btiment,locaux) Lesaccslogiques(serveurs,postesdetravail) Lesconnexionsaurseau :accsInternet,accsdistant

q

q

q

Lespersonnels Les failles de scurit : systmes dexploitation non mis jour, applications obsoltes, virus et autres programmesindsirables.

q

2.LesplansoprationnelsdescuritIls se composent de plans de continuit dactivit, de plans de reprise dactivit, plans de continuit mtier ncessairespourlasurviedelentreprisepouvanttreconfronteundsastrepotentiel. Lesobjectifs principauxconsistenten :q

Uneanalyseprcisedesrisquessusceptiblesdesurvenir Unespcificationdessolutionsetdesmesuresdescuritmettreenplace Uneplanificationdelensembledesoprationsncessaires(sinspirerduPDCA)

q

q

Ilspeuventtreralisspartirdesprincipessuivants:q

Classificationdesinformationsetdesressourcesdusystmedinformation Diagnosticdeltatdeslieuxentermedescurit Identificationetvaluationdesrisquesencourus Dterminationdesbesoinsdamlioration

q

q

q


- 1-

22

q

tablissementdeplansdactionetdesolutionsmettreen uvre

3.LaccsauxsystmesetauxdonnesLaprotectiondelaccsausystmeetauxdonnesestltape,laplusfacileapprhenderdanslastratgieglobale descurisation.Celleciestmultidimensionnelleettraitedeslmentsphysiquesetlogiques.

a.LaprotectionphysiqueElleconsisteanticiperleseffetsdemenacesfortuitesoudlibres.Ilestlogiquedenvisageruneprotectionlie aux sinistres physiques divers pouvant tre provoqus par un incendie, un dgt des eaux ou encore un tremblementdeterrequivontprovoquer,parexemple :q

descoupuresdlectricit, lescoupuresdesliaisonsdetlcommunications, ladestructiondematriels,desupportsdelogiciels,dedocuments,

q

q

Elle signifie que les quipements sur lesquels sont hberges les applications du systme dinformation de lentreprisesontphysiquementprotgspar :q

desonduleurspourlaprotectionlectrique, dessystmesdedtectionpourlaprotectionantiincendie,antiinondation.

q

Laccs physique aux quipements devra galement faire lobjet dune politique de contrle des accs clairement dfinieselonlesbesoinsetlesniveauxdeconfidentialitautorisschaqueutilisateurdelentrepriseafindviter toutealtrationdelinformation,devoldematrieloudesupportdedonnes. Cequisignifiequelasauvegardedesdonnesdoitfairelobjetduneattentionetdunestratgieparticulire.

b.LaprotectionlogiqueElle a pour objectif dviter toute intrusion sur le systme dinformation de lentreprise : celleci passe essentiellement par la mise en place de dispositifs de protection de type parefeu, de logiciels pour contrer les logicielsmalveillants,decontrlesdidentificationetdauthentification. Undispositifsupplmentaireconsisteraitmettreenplaceunesolutiondechiffrementdesdonnescirculantsurle rseaudelentreprise.

c.IdentificationettraabilitLidentificationetlatraabilitdesconnexionsetdesincidentsdoiventtremisesenplaceautraversdelacration dun journal rpertoriant les vnements suspects. Les donnes enregistres pourront aider au traage des anomaliesdanslobjectifdinterveniraprsladcouvertedintrusionsdanslexploitationdusystme(tentativesnon permisesdeconnexion).

4.LagarantiedeladisponibilitdusystmedinformationCellecipasseparladisponibilitdaccsaurseaudelentreprise,sesapplicationsetauxdonnes. Cequiimpliquequechacundesactifsdusystmedinformation doit tre individuellement protg pour respecter la disponibilitdessystmes,durseaudentreprise,desapplicationsetdesdonnes. Deplus,unplandesauvegardedesdonnesdoittreconuetmisen uvredemanirerigoureuse. Ladisponibilitdesdonnes:stockage,sauvegardeetrcupration,archivage Plusieurstechnologiesdestockagededonnespermettentaujourdhuidesadapterauxbesoinsderseaurpartien architectureclientserveur,reliantdesserveurshtrognes.LestockageenrseauouarchitectureSAN(StorageArea- 2 ENI Editions - All rigths reserved - Jonifar lina

23

Network) est fond sur un rseau entirement ddi : les priphriques peuvent tre physiquement loigns, mais relisauxserveursetadministrspartirdunpointcentralis. Ladisponibilitdessystmes :redondanceethautedisponibilit Lesserveursenclusteretlavirtualisationdesserveurssontlessolutionsprsentessurlemarchdesconstructeurs dematrielinformatiqueetditeursdelogiciels. Ladisponibilitdesrseaux :redondancedesquipementsderseau Cette disponibilit est globalement assure par la mise en uvre dquipements redondants (c urs de rseau, commutateurs,liaisonsphysiquesdoubles).

5.LasensibilisationdesutilisateurslascuritLa cl de vote dune politique de scurisation efficace reste nanmoins la dimension humaine de lentreprise. La mconnaissanceounonapplicationdesprocdures,leserreursoulamalveillancepeuventtreellesseulescause dedysfonctionnementoudevulnrabilits. Limplicationdechaqueutilisateurdansladmarchedesensibilisationestprimordialedouneformationadaptela fonctiondechaqueutilisateur(ex :lutilisateurdtenteurdinformationsstratgiques). Demme,lesutilisateursnomadesseservantdordinateursportablessontqualifisdesensibles. La responsabilit dechacundeuxdoittreclairementdcrite. La dmarche de sensibilisation peut tre concrtise par (runion/prsentations//supportcrit)etsurtoutdoittrerptitive. des voies plus ou moins formelles

Unecharteinformatiquedebonusagedeloutilinformatiquedoittreprvueetdisponiblepourchaqueutilisateurqui doit connatre les politiques de scurit lies linformatique, les recommandations et surtout les sanctions qui peuventtreappliques.


- 3-

24

LascuritetlaspectlgalRisquesetresponsabilitsdelentreprise Laresponsabilitdelentreprisepeuttreengagedufaitdunprjudicecausuntiersparlactiondunepersonne (intrusousalari)suiteunemauvaiseutilisationdessystmesetdesaccsInternet. Lescontrainteslgales Lesentreprisessontassujettiesdescontraintesadministrativesetlgales. Undirigeantnepeutignorerlesrisquesquilpeutfairecourirsonentreprisesilnemetpasen uvrelesmesures ncessairespourprotgersonsystmedinformation. Commeilseratenupourresponsabledespertesoudesaltrationsdedonnes,iladoncpourfonction,danslecadre delascuritinformatiqueetdelaloisurlconomienumriquedinformersonpersonneldesmenacesrellesetde prendrelesprcautionsncessaires enpremierlieu,lesadministrateurssystmes.Ildlguealorssaresponsabilit auniveaudecesadministrateursquipourraient,leurtour,treconcerns. Voicilesarticlesdeloimontrantlesresponsabilitsduchefdentreprise(civilesetpnales) :q

Larticle1384alina5ducodecivil :surlaresponsabilitciviledelemployeurencequiconcernelactivitde sespersonnels. LarticleL.1212ducodepnal :surlaresponsabilitciviledelemployeurdufaitdesespersonnelsdslors quilscommettentdesinfractionsimpliquantlentreprise. Larticle 34 de la loi du 6 janvier 1978 : sur sa responsabilit de protger lintgrit et la confidentialit des donnescaractrepersonnel. La loi de scurit financire du 1e r aot 2003 (LSF) en matire de scurit des systmes dinformation des entreprises.

q

q

q

Prsentationdeschapitressuivants Aprs avoir pos les bases qui permettent de mieux comprendre les principes de la scurit informatique dans une entreprise,leschapitressuivantsvontdvelopperlessolutionsmettreenplacepourtreconformeaveclintgrit,la confidentialit,ladisponibilitdesdonneseninsistantsurlesbonnespratiquesmettreenplace. LessujetstraitsserontplusenadquationaveclesystmedexploitationWindows,soitaumomentdelardaction dudocument,surlesversionsconnuesjusquWindows2003.Demme,leslogicielsetoutilsdontilseraquestion, vontfonctionnerprioritairementaveccesystmedexploitation. Toutefois,actuellementlaplupartdesenvironnementsdesystmesdinformationetdesenvironnementsinformatiques sontmultiplatesformes.IlexisteraforcmentdesliensavecdessystmesdutypeOpenSource.Lesoutilsutilisables neserontpasforcmentissusdelenvironnementWindows.


- 1-

25

PrrequisPourcechapitre,lelecteurestsupposconnatreleprincipedegestiondesrseauxetdelamodleOSI(OpenSystem Interconnect),lesprotocolesrseauxlespluscourammentutiliss.


- 1-

26

GnralitssurlascuritdanslesrseauxLeszonesderisquesetdeconfiance Ceszonessontdfiniesgrcedesmcanismesrseaubasssurlematriel(parefeu)etdespolitiquesetcontrles permettentdeconstruirelesbriquesdebasedeprotectioncontrelesmenaces. Une valuation permet de dterminer quels mcanismes (authentification, cryptage, autorisation) est ncessaire pour permettredautresentitslintrieurdelazoneconcernedesinterconnecterdefaonscurise. LemodleOSIprsentantlesprotocolesutilissdanslesrseaux Cemodleen7couchessertdebaselacomprhensiondelarchitecturedesrseaux.

OSICommunications

1.IntroductionlatechnologiedesparefeuRleprincipal Ilconsisteprotgerlerseaudelentreprisedesintrusionsextrieures.Cesdispositifsfiltrentlestrames(contenant desdonnes)desdiffrentescouchesdumodleOSI(OpenSystemInterconnect)afindecontrlerleurfluxetdeles bloquerencasdattaques,cellescipouvantprendreplusieursformes. Lefiltrageralisparleparefeuconstituelepremierrempartdelaprotectiondusystmedinformation. Ilspeuventtrecompossdepriphriquescomportantdesfiltresintgrsdontlafonctionprincipaleestdelimiteret de contrler le flux de trafic entre les parties de rseaux. Ils permettent laccs de lentreprise aux ressources


- 1-

27

externesencontrlantlascuritdestransferts. Un parefeu est install le plus souvent en priphrie du rseau local de lentreprise ce qui lui permet de contrler laccs aux ressources externes depuis lintrieur mais galement entre des entits loigns de lentreprise mais reliesparunrseaudetypeextranet. Leurutilisationpermetdecontrlerlaconnectivitdescommunications,uneentreprisepeutempcherdesaccsnon autorissauxressourcesetsystmespoursesenvironnementslesplussensibles. Ilexistediffrentstypesdeparefeuselonleurtypologieouleurfonction.Ilspeuventoprersurchacundesniveaux3 (IP),niveau4(TCP,UDP)ouniveau7(FTP,HTTP)dumodleOSI.Danslecasdesafonctionderouteur,ilanalyse chaquepaquetdedonnes(adressesIP,numrosdeportTCPouUDP). LesparefeudebaseoprentsurunfaiblenombredecouchesdelamodleOSItandisquelesplussophistiqusen couvrentunplusgrandnombreetsontainsiplusefficaces. Indpendammentouencomplmentdunearchitectureutilisantcesdispositifs,ilexistedesservicesadditionnelstels : la traduction dadresse rseau (Network Address Translation ou NAT), le protocole DHCP (Dynamic Host Configuration Protocol)etlesrseauxprivsvirtuels(VirtualPrivateNetworksouVPN). Lesparefeupeuventaussiagirentantquepasserellesderseauxprivsvirtuels. Cesdispositifspermettentlefiltragedelaccsaurseauinterne,afindempcherlaccsnonautorislensemble desserveursdurseaudelentreprise. Ilsagitdecontrlerlesfluxentrantsurlerseau.Plusieurstypesdefiltragesontproposs :q

Lefiltrageapplicatifpourlecontrledesapplicationsenfonctionduportutilis. Lefiltrageutilisateur :pourlecontrledaccsenfonctiondesutilisateursidentifis. Lefiltrageadaptatif :permettantlmissiondunjournaldestransmissionsdepaquetsIP.

q

q

Les modes de filtrage les plus courants consistent interdire par dfaut toute connexion entrante lexception de celle destine au serveur Web, ou toute connexion provenant dune adresse IP partir de laquelle des actions de scanningsurlerseaudelentrepriseauronttmisesenvidence. Lesparefeusontimportantsdanslesensoilspeuventfournirunpointdeblocageuniquedanslequellascuritou la journalisation de transferts peuvent tre imposes. Ces dispositifs fournissent des informations pertinentes aux administrateurssurletypedetraficquitraversecetquipement. La plupart des parefeu rcents sont capables de fonctionner avec des outils de faon superviser les dtections dintrusion, scanner le contenu de la messagerie ou des pages HTML. Seuls, ils ne peuvent raliser la protection complte de la connexion Internet. Par contre, ils sont considrs comme la premire ligne de dfense et la principaledanslecadredelaprotectiondurseauduneentreprise.Nanmoins,lesserveursdurseauinterne,les postesdetravailetlesautressystmesdoiventtreimprativementmisjouraveclesdernierscorrectifsdescurit etutiliserunlogicieldantivirus.

- 2-


28

Parefeudepasserelledapplicationdeproxy

Latranslationdadresses(NetworkAddressTranslationouNAT) Son principe consiste modifier ladresse IP source ou destination, dans lentte dun datagramme IP lorsque le paquettransitedansleparefeuenfonctiondeladressesourceoudestinationetduportsourceoudestination. Lors de cette opration, le parefeu garde en mmoire linformation lui permettant dappliquer la transformation inversesurlepaquetderetour.Latraductiondadressepermetdemasquerleplandadressageinternelentreprise par une ou plusieurs adresses routables sur le rseau externe ou sur Internet. Cette technologie permet donc de cacherleschmadadressagerseauprsentdansuneentreprisederrireunenvironnementdeparefeu. Cettetraductionestraliseselon3modes : Traduction NATStatique Mappage Permanent1pour1 Utilisation Correspondancepermanenteduneadressepubliqueversune adresseIPpriveinterneroutableassocie Ensembledadressespubliquesassignesdynamiquementdes clientsinternespendantletempsduneconnexion Uneadressepubliqueestpartageentreplusieursclients internes

NAT Dynamique PAT

Temporaire1pour1

TemporaireNpour1

2.LesfonctionnalitsdeparefeuLesfonctionnalitsdebase Analysedutraficauniveaupaquet,circuitet/ouapplication :q

vrificationdutraficdanssoncontexte, limitationdesrisquesdaccsnonautoriss, analyseetmodificationducontenupartirdefiltresapplicatifs.

q

q

Dtectiondintrusion Protectiondesserveursaccessiblesdepuislerseauexterne(Internet) Lesfonctionnalitsdeparefeumulticouches Cetypedeparefeupermetdaccrotrelascuritdesfluxpardiversprocdsdefiltrages : Auniveaupaquetq

filtresstatiquesetdynamiques, dtectiondintrusion, filtragepartirdelanalysedesdonnes, possibilitdesuppressiondespaquets, protocolePPTPautoris.

q

q

q

q

Auniveaucircuit(protocole)q

filtragebassurlessessions,


- 3-

29

q

contrleetanalysedelaconnexionduclientversleserveur, associationdeconnexion.

q

Auniveauapplicationq

inspectiondesdonnes, analyseducontenu(actiondeblocage/modification/redirection), filtragepourlesprotocolesHTTP(HyperTextTransferProtocol),SMTP(SimpleMailTransferProtocol)

q

q

3.LesdiffrentstypesdeparefeuLesparefeupersonnelsoulesappliancesdeparefeupersonnel Le module ou appliance de parefeu personnel est conu pour protger de petits rseaux informatiques. Ils permettent,enoutre,descuriserlespostesdetravailutilissdistanceviaInternetetunFAI(Fournisseurdaccs Internet).Lesparefeupersonnels,saufcasparticuliers,nepeuventprotgerquunseulsystmeoupostedetravail, uniquementlamachinesurlequelilestinstall. Cesappliancesfonctionnentavecunmatrielspcialisetpeuventincorporerdautrestypesdecomposantsrseau, comme :q

unconcentrateurouhub, uncommutateurouswitch, unserveurDHCP(DynamicHostConfigurationProtocol), unagentSNMP(SimpleNetworkManagementProtocol).

q

q

q

Leparefeuintgrdansunserveurouausystmedexploitation Des logiciels de parefeu sont disponibles dans certains systmes dexploitation, comme Linux ou comme lments additionnels.Ilspeuventtreutilisspourscuriserleserveursurlequelilestimplant.Sonprincipalinconvnientest quildoittreadministrsparment. Les platesformes de parefeu doivent tre implmentes sur des machines contenant un systme dexploitation prvuuniquementpourdesapplicationsdescurit.Leserveurutilisnedoithbergeraucuneautreapplicationou fonctionnalitnonutilesausystmedexploitation,ildoitdonctreddilafonctiondeparefeuuniquement. Lesprcautionsetbonnespratiquesdeconfigurationduserveurddi La configuration du parefeu doit tre ralise selon le systme dexploitation. Dautres prcautions doivent tre prises :q

Tous les protocoles de rseau non utiliss doivent tre retirs. En effet, ils peuvent tre utiliss pour contournerouendommagerlenvironnementdeparefeu. Tous les services rseaux et applicatifs doivent tre supprims ou dsactivs. En effet, les applications inutilises deviennent souvent des cibles potentielles dattaque. En ralit, beaucoup dadministrateurs oublientdimplmenterdescontrlesdaccspourrestreindrelaccsauparefeu.Desapplicationsouservices rseaunonutiliss,sontexcutsavecleursconfigurationspardfaut,moinsscuriss. Touslescomptesutilisateursousystmesnonutilissdoiventtresupprimsoudsactivs. Touslescorrectifs(patchesethotfixes)doiventtreinstallsavantlinstallationdescomposantsduparefeu et avoir t tests auparavant sur une machine de test pour tre sr de leur efficacit. Naturellement, les misesjourdecorrectifsdusystmedoiventtreimprativementeffectuespriodiquementpourgarantirle bontatdescurit. Touteslesconnexionsphysiquesconnectesauxinterfacesrseauetnonutilisesdoiventtredsactives

q

q

q

q

- 4-


30

oudbranches.q

La machine hbergeant le parefeu doit tre sauvegarde comme tout autre serveur important, en dehors toutefoisdelarchitecturedesauvegardeclassique,cestdireendehorsdurseauinternelentreprise.Le principe consiste utiliser lunit de sauvegarde locale. Les supports (cartouches ou bandes) sont naturellementstocksdansunlieuscuris.

4.ChoixdundispositifdeparefeupourlentrepriseLarflexionpralableauchoixdunesolutiondeprotectiondurseauinternelaidedeparefeuseffectuepartir deladfinitiondelapolitiquedescuritdelentreprise. Laslectionpeutprendreencompteleslmentssuivants :q

nature,nombredesapplicationsutilisesparlentreprise, typesdefiltre,niveaudefiltrage, facilitsdenregistrementdesvnementsetactionspourauditsfuturs, outilsetcommoditsdadministration, simplicitdeconfigurationetdemiseen uvre, capacitsupporteruntunnelchiffr,ralisationdunVPN(VirtualPrivateNetwork), disponibilitdoutilsdesupervision,dalarmes,dauditsactifs, possibilitdquilibragedechargesetdegestiondelabandepassantederseau, prsenceounondanslentreprisedecomptencesenadministrationdesystmedexploitationduparefeu.

q

q

q

q

q

q

q

q

Recommandationsq

Unparefeudoittreprotgetscuriscontrelesaccsnonautoriss. Touslestraficsentrantetsortantdoiventpasserobligatoirementparleparefeu. Letraficestdfiniparlapolitiquedescurit,lesrglescohrentes. Il na pas la fonction dun antivirus, il vient en complment dans le mode de protection du systme dinformation.

q

q

q

5.LapolitiquedeconfigurationdeparefeuElle prcise comment le parefeu doit prendre en compte le trafic li aux applications (web, email, Telnet). Elle doit dcrire comment le parefeu doit tre configur, gr et mis jour. Elle doit tre bien documente, spcifique et srieusecarvitalepourlaprotectiondesconnexionsexterneslentreprise. Avantlamiseenplacedunepolitiquedeparefeu,desanalysesderisquesdoiventtreralisessurlesapplications quiutilisentunaccsaurseauexterne.Lesrsultatsdecetteanalysevontfournirunelistedesapplicationsetla faon dont elles seront scurises. Il est ncessaire de connatre prcdemment les vulnrabilits associes chacunedellespourvalueretdfinirlapolitiquedeprotectionvialesparefeu.Lestapesncessairessontdcrites cidessous :q

identificationdesapplicationsrseauetdesvulnrabilitsassocieschaqueapplication, crationdunematricedetraficdesapplicationsmontrantlesmthodesdeprotectionutilise,

q


- 5-

31

q

crationdunensemblederglesbassurunematricedesapplicationsutilisantlerseau.

Unepolitiquedeparefeufaitpartiedelensembledelamiseenplacedelascuritdelinformation,danslesensoil sagitdeladescriptiondelafaondontlascuritseraimplmenteauniveaudesparefeuetdispositifsassocis. Lesparefeupeuventtrecomplexesgreretlesincidentsimpliquantlascuritpeuventarriverquotidiennement. Sansunebonnepolitiquedimplmentationetdadministration,lesparefeupeuventdevenireuxmmesunpointde faiblesseoudevulnrabilitdanslascuritmiseenplace. Letestdelapolitiquedescuritdfiniedansunparefeu Ilestncessairedauditeretdevrifieraumoinsunefoisoupluspartrimestrelesrglesdeparefeu. Pourcela,ilexistedeuxmthodes.Lapremireetlaplussimpleconsisteimprimerlaconfigurationdechaquepare feuoprationneletlacompareraveclaversiondfinielorigine,entenantcomptedesajustementsventuels.Les modifications ralises au fur et mesure doivent tre traces, dans la documentation lie au parefeu, afin de connatrelesraisonsdeschangements. Laseconde,plusrigoureuse,impliquedetesterlaconfigurationenplace.Danscecas,ladministrateurutiliselesoutils (dudomainepublicdisponiblessurInternet)pourvaluerlaconfigurationdechaqueparefeuenralisantdestests deconnexionnonautorissoudintrusion.Lobjectifprincipalestdesassurerquelesparefeuetautresdispositifsde scuritlisaurseausontconfigursexactementselonlapolitiquedescuritdfinieaudpartetconformesaux prcautionsrequises. Revuepriodiquedescuritdesparefeu Debonnespratiquesconseillentquelespolitiquesdescuritdusystmedinformationsoientrevuesetmisesjour priodiquement,aumoinsdeuxfoisparan,lorsdenouvellesimplmentationoudeschangementsdinfrastructureou encorelorsdincidentssrieuxayantimpliqulesystmedinformation.Lesadministrateursderseauoudescurit grantlesparefeudoiventtreinformsdeschangementsaffectantlesapplicationsquiutilisentcesdispositifs(par exemple :leslogicielsdesauvegarde).

6.StratgiedimplmentationdeparefeuLors de la mise en place de parefeu et de la politique associe, les entreprises doivent dfinir les mthodes dimplmentation,entenantcomptedespointssuivants : Lesparefeubasssuruneappliancenesouffrentpastropdevulnrabilitsdescuritquandilssontassocisaux systmes dexploitation. Ces parefeu ont tendance tre plus rapides et efficaces que ceux qui sont intgrs aux systmesdexploitationcourants. Le plus gros inconvnient peru lors de la mise en uvre de parefeu associs au systme dexploitation serait la prsencepotentielledevulnrabilitsquipourraitaffaiblirlaprotectiongnreparleparefeu. tantdonnlerlecritiquejouparcesdispositifs,lamaniredelesgreretdelessuperviseresttrsimportante.

a.LesrglesdansunparefeuLes parefeu utilisent un ensemble de rgles pour implmenter les contrles de scurit. Cellesci comportent au minimumleslmentssuivants :q

Ladressesourcedupaquet(ladressedeniveau3dumodleOSIdelamachineoudupriphriquerseau dorigine),ex :192.168.1.1. Ladressededestinationdupaquet(ladressedeniveau3delamachineoudupriphriquerseaucible), ex :192.168.1.2. Le type de trafic, protocole de rseau spcifique utilis pour la communication entre les systmes ou priphriquessourceetdestination,ex :EthernetauNiveau2etIPauniveau3. Desparamtresauniveau4,ex :TCP:80portdedestinationdunserveurWeboudesinformationssurles interfacesderouteurparlesquellestransitentlespaquets. Uneactionquivaagirsurlespaquets :Deny(Empche),Permit(Autorise),Drop(Elimine).

q

q

q

q

La gestion des rgles de parefeu peut tre consolide aprs avoir ralis la matrice des applications utilisant le rseau. Les rgles doivent tre simples et aussi spcifiques que possible en correspondance avec le trafic rseau- 6 ENI Editions - All rigths reserved - Jonifar lina

32

quellescontrlent. chaque reconfiguration ou modification, il est ncessaire de rcuprer le paramtrage complet, sous forme lectroniqueoupapier. Pourdesraisonsdescurit,lameilleuremthodeconsistebloquerdabordtouslesfluxentrantspourensuiteles autoriser un un de faon slective selon les types de trafic prvus. Lautre qui consiste autoriser toutes les connexionsetletraficpardfautpourensuitebloquerselonlestypesdeprotocolenestpasrecommandeetest mmeproscrire. Lesrglesstrictes Lensemblederglesdunparefeudoitobligatoirementbloquerlestypessuivants :q

Traficentrantdontlorigineestunsystmesourcenonauthentifiaveccommeadressededestinationcelle duparefeuluimme.Cetypedepaquetreprsenteuneattaqueouuntestendirectionduparefeu.Ilya uneexceptioncettergle.Ilconcernelecasoleparefeuaccepteraitletransfertdunmailentrantsurle port25.Danscetteventualit,ildoitpermettrelesconnexionsentrantesversluimme,seulementsurce port. Traficentrantavecuneadressesourceindiquantquelepaquetapouroriginelerseauprotgderrirele parefeu. Ce type de paquet reprsente vraisemblablement un type de tentative dusurpation (spoofing attempt). TraficentrantcontenantdespaquetsICMP(InternetControlMessageProtocol),correspondantlacommande ping.partirdumomentoICMPpeuttreutilispouraccderdesrseauxderrirecertainstypesdepare feu,ceprotocolenedoitpastransiterpartirdInternetoudenimportequelrseauexternenonapprouv. Trafic entrant et sortant partir dune adresse source qui appartient une plage dadresses rserves desrseauxprivs(RFC1918).LaRFC1918rservelesplagesdadressessuivantespourrseauxprivs :q

q

q

q

10.0.0.010.255.255.255(ClasseA,ou./8.ennotationCIDR) 172.16.0.0172.31.255.255(ClasseB,ou./12.ennotationCIDR) 192.168.0.0192.168.255.255(ClasseC,ou./16ennotationCIDR)

q

q

q

Traficentrantpourquiloriginedeladressefaitpartiedecesplagesdadressesprives.Cetraficindiquele dbutdune attaque de type Dni de Service. Toutefois, ce type particulier de trafic rseau doit aussi tre bloquavecdesensemblesderglessaufsileparefeupossdeunefonctionnalitdeprotection. Trafic entrant venant dune source non identifie contenant du trafic SNMP (Simple Network Management Protocol).Laprsencedecespaquetspeutindiquerquunintrusestentraindetester(scanner)lerseau.Il yaengnralpeuderaisonsquuneentreprisepermettecetypedetrafic.Ildoittrealorsbloqu. Trafic entrant contenant une information sur IPSource Routing. Il sagitdun mcanisme qui permet un systme de spcifier les routes prises par ce paquet sur le rseau. Au point de vue scurit, le source routingpeutpermettreunpiratedaccderunrseauprivenutilisantunemachineconnectelafois Internetetaurseauinternecommepasserelle. Le trafic rseau entrant ou sortant contenant une adresse source ou destination quivalent 127.0.0.1 (localhost).Cetypedetraficcorrespondhabituellementuneattaquesurleparefeuluimme. Le trafic rseau entrant ou sortant contenant une adresse source ou destination quivalent 0.0.0.0. Certainssystmesdexploitationinterprtentcetteadressecommeuneadresselocale(localhost)oucomme uneadressedediffusion.Cespaquetspeuventtreutilissencasdattaquesurlerseau. Le trafic rseau entrant ou sortant contenant des adresses de diffusion. Ce cas peut tre une source dattaquedontlobjectifestdinonderlerseauoulesousrseauavecdestrames.

q

q

q

q

q

Certainslogicielsdesauvegardepermettentlaccsdeclientssitusderrireunparefeu.Ilestncessaire deserfrerladocumentation.


- 7-

33

Exemplederglesdefiltragedepaquets Adresse Source 1 Any Port Source Any Adresse Destination 172.16.0.0 Portde destination >1023 Action Description

Allow

Rglequipermetleretour deconnexionsTCPversle sousrseauinterne Empcheleparefeului mmedtreaccdparune sourceinterneouexterne Empchelesutilisateurs externesaurseau daccderdirectementle systmedeparefeu Lesutilisateursinternes peuventaccderaux serveursexternes Permetauxutilisateurs externesdenvoyerdes messagesverslintrieur Permetauxutilisateurs externesdaccderau serveurWeb Toutcequinestpaspermis estexplicitementbloqu (protectiondebase)

2

192.168.1.1 Any

Any

Any

Deny

3

Any

Any

172.16.0.1

Any

Deny

4

172.16.0.0

Any

Any

Any

Allow

5

Any

Any

172.16.0.2

SMTP

Allow

6

Any

Any

172.16.0.3

HTTP

Allow

7

Any

Any

Any

Any

Deny

Letableaucidessusmontreunexemplederglesdefiltragepourunrseaudadresse172.16.0.0. Leparefeureoitchaquepaquetetexaminesesadressesetportssourceetdestination,dterminequelprotocole estutilis.partirdecepoint,leparefeucomparecequilareuparrapportauxrglesdfinieslesunesaprsles autresselonlaliste.chaquefoisquunerglequiautoriseouinterditlepaquetesttrouve,unedecesactionsest ralise :q

Acceptation(Accept ouAllow) : le parefeu transfre le paquet de lentreverslasortie,unejournalisation dvnementspeutavoirlieuounon. Refus (Deny) : le parefeu limine le paquet sans le transfrer. Une fois le paquet supprim, un message derreur est retourn vers le systme source. Une journalisation de lerreur peut avoir lieu ou non, dpendantdelaconfigurationmiseenplace. Rejet(Discard) :leparefeuliminelepaquetsansletransfrer,aucunmessagederreurnestretournvers lesystmesource.Cetteactionestutilisepourimplmenterleprincipedutrounoirauniveauduparefeu etconsistenepasrvlersaprsenceausystmesource.Demme,unejournalisationdelactionpeut avoirlieuounondpendantdelaconfigurationmiseenplace.

q

q

- 8-


34

Exemplederglesdeparefeuliuneapplicationdesauvegarde Groupedergleslieslasauvegarde :Sauvegardes Rgle6 :q

NcessairelinstallationdesagentsdisquessurlaDMZExtranet Portsouverts: 445(microsoftds) 8,15,17,13(icmprequests)

q

Rgle7 :q

CommunicationduserveurdesauvegardeverslesagentsdisquesdelaDMZExtranet Portsouverts: 5555(z_DataProtector_Server_To_DiskAgent)

q

Rgle8 :q

Communicationdesagentsdisques delaDMZExtranetavecleserveurdesauvegarde Portsouverts: 5555(z_DataProtector_Server_To_DiskAgent)

q

Rgle9 :q

CommunicationentrelesagentsdisquesdelaDMZExtranetaveclesagentsmdiadelazoneInterne Portsouverts: 1800018009(z_DataProtetor_DiskAgent_To_MediaAgent)

q

Rgle10 :q

NcessairelinstallationdesagentsdisquessurlaDMZInternet Portsouverts: 445(microsoftds) 8,15,17,13(icmprequests)

q


- 9-

35

Rgle11 :q

CommunicationduserveurdesauvegardeverslesagentsdisquesdelaDMZInternet Portsouverts:5555(z_DataProtector_Server_To_DiskAgent)

q

Rgle12 :q

CommunicationdesagentsdisquesdelaDMZInternetavecleserveurdesauvegarde Portsouverts:5555(z_DataProtector_Server_To_DiskAgent)

q

Rgle13 :q

CommunicationentrelesagentsdisquesdelaDMZInternetaveclesagentsmdiadelazoneInterne Portsouverts: 1800018009(z_DataProtetor_DiskAgent_To_MediaAgent)

q

b.GuidedebonnespratiquesdemiseenplacedenvironnementsdeparefeuIlya4principessuivre :q

Fairesimple,pluslasolutionmiseenplaceestsimple,mieuxleparefeuserascurisetseraadministrable facilement. Utiliserdesmatrielslesmieuxadaptslenvironnementetleurfonctionprincipale.Danslaplupartdes cas, les parefeu hybrides ou les appliances sont les meilleurs choix parce quils sont destins cette fonction. Crerunedfenseenprofondeur,surplusieurscouchesaulieuduneseule.Sincessaire,utiliserplusieurs parefeu,desrouteursquipeuventeffectuerdescontrlesdaccsoudefiltrage,plusieursserveursquips deparefeu,selonlesbesoinsdeprotection. Bienpenserauxmenacesinternesventuelles.Unintrusquiapuavoiraccsdunefaonouduneautresur lerseauinterneenprotectionderrireleparefeuatouteslesfacilitspoursintroduiresurtoutlerseau. LessystmescritiquesdoiventtreplacsetprotgsderriredesenvironnementsdeparefeuoudeDMZ internes.

q

q

q

Lafonctionnalitdenregistrementdesvnementsdansunjournal La plupart des systmes de parefeu prsentent une fonctionnalit denregistrement des vnements dans un journal. Un programme de rcupration de ces informations est, en gnral, disponible avec tous les types de systmesdexploitation.Cequipermetdelesvisualiseretparlasuitedelesanalyser. Lasauvegardedesdonnesdesparefeu Lagestionetlamaintenancedessauvegardesestunpointessentieldanslapolitiquedadministrationdesparefeu. Parprincipe,chaquesauvegarderalisedoittrecomplte.Ilnestpasncessaireetmmenonrecommandde raliserdessauvegardesincrmentales. Ilestaussirecommanddeffectuercettesauvegardejusteaprslinstallationetlaconfiguration,lorsdemisejour logicielle du parefeu.Lastratgiedesauvegardedoittenircomptedelafaondontsesaccslogiquesetrseau sontimplments. Par contre, il nest pas possible dutiliser les fonctionnalits de sauvegarde du systme dinformation global de lentreprisecausedescontrlesdaccsparticuliers.Eneffet,permettrelaccsauserveurcentraldesauvegarde quiest,selonlesbonnespratiques,implmentderrireleparefeuetprotgparlui,prsenteraitunrisquepour linfrastructuredesauvegardeetlerseauassoci. En ralit, le parefeu doit tre install avec un dispositif de sauvegarde intgr. Si ce nest pas le cas, il est indispensabledelemettreenplace.Deplus,lesupportmagntiquedesauvegarde,unecartoucheengnral,ne doit rester prsente dans la machine que pendant lopration de sauvegarde. Il doit tre extrait juste aprs lopration. Pourpermettreunrtablissementcompletetrapideduparefeu,ilestrecommanddepossder,enlieusr,une

- 10 -


36

imagebootabledusystmeduparefeusurunDVDRom.CelaestfacilementralisablesurWindowscarilexistedes logicielsadquats.Cettesolutionestaussiutilepourremettreentatoupourinstallerdesparefeudemmetype. Lascuritphysiquedelenvironnementdeparefeu Implmenterunenvironnementdescuritpourlerseaucompletestindispensable,leprotgerdetoutetentative frauduleusedaccsestencoremieux.Sileparefeuestsitudansunendroitaccessible,sansprotectionphysique,il est la merci dintrus. Il est susceptible dtre pirat. Il doit donc tre protg dans un environnement scuris seulementaccessibleauxadministrateursddisauxsystmesouaurseaudentreprise. Deplus,leparefeudoittreprotgdescoupuresdecourantlectriqueetalimentparunonduleur.Ilpeutaussi possderdesconnexionsredondantesoutreassociunquipementdesecours. Finalement, il doit faire partie du dispositif de plan de secours informatique, si celuici est mis en place et oprationnel. Accslogiquelaplateformedeparefeu Lamthodelapluscourantepourintervenirdansunparefeuestdeprofiterdespossibilitsdaccsdistancepour la gestion avec laccs la console du systme dexploitation ou par une interface graphique, en gnral partir dunepageWebouHTML. Pour cette raison, laccs linterface doit tre rigoureusement contrl. La mthode la plus classique utilise le chiffrageoulauthentificationforteouencoreunerestrictiondaccsparuneadresseIP.Dautressolutionsutilisent le chiffrage SSL (Secure Sockets Layer), souvent la norme pour les interfaces graphiques qui sappuient sur le protocole HTTP (HyperTextTransportProtocol).Laplupartdesinterfacesdegestiondeparefeu comprend plusieurs formesdauthentification(uneidentificationetunmotdepasse).Lesquelsvontservirobtenirlaccslinterface. Dans dautres cas, certains parefeu peuvent utiliser une authentification par jetons ou une autre forme dauthentificationrigoureuse. Lascuritdelamessagerieetlutilisationparticulireduparefeu DanslecadreduneentrepriseutilisantleprotocoleSMTP,laccslamessagerieinterneestsouventcritique. LeprotocoleSMTP(Simple Mail Transport Protocol)estlanormeentermedchangedemessageslectroniquessur Internet.Lameilleurearchitecturequipourraittremiseenplacedanslespetitesentreprisesconsisteutiliserle parefeucommerelaisdemessagerie. Les serveurs SMTP externes peuvent tablir des sessions avec le parefeu comme le ferait avec nimporte quel serveurSMTP.LeparefeuinitieunesessionSMTPavecunserveurdemessagerieinterne.

Exemplecompletdenvironnementdeparefeu

Lerouteurfiltrant Cest aussi une solution simple, mais pas sre. Elle consiste connecter et configurer le routeur qui assure la connexionaveclerseauexterne.IlcontientlesautorisationsdaccsbasesexclusivementsurlesadressesIPet lesnumrosdeportderseau. ENI Editions - All rigths reserved - Jonifar lina - 11 -

37

Avantagesdecesdeuxdispositifs :q

facilitdeconfiguration, bonmarch.

q

Inconvnients :q

Pourlerouteur,lorsquilestcontournouparalys,lerseauentierestouvert. Lestracessontpeuexploitables.

q

c.LesparefeuspcifiquesLes parefeu de passerelle dapplication de proxy (ApplicationProxy Gateway firewalls) sont plus labors car ils combinent un contrle daccs des couches basses du modle OSI avec la fonctionnalit de la couche suprieure (couche7 :coucheApplication).Lapartielogicielleduparefeuraliseleroutageauniveaudelacouche3entreles interfacesinternesetexternesduparefeu.Danslventualitdundfautdefonctionnementdulogicielinterneau parefeu,lespaquetsrseaunepeuventtretransmis.Touslespaquetsrseauquitraversentleparefeudoivent tresouslecontrledulogiciel(applicationproxy).

d.LahautedisponibilitdanslimplmentationdesparefeuCette architecture implique lutilisation dun parefeu supplmentaire et de Hubs (concentrateurs) partir dune configurationdebasecomposede2routeursetduparefeu. Danscecas,ltatdestablesdoittresynchronisentreles2parefeu. Le second surveille le premier et devient actifencasdedfaillance.Cecisepassedefaonpratiquementtransparentepartirdumomentolesadresses MACduparefeuprimairesontdupliquessurleparefeusecondaire. Laredondancedeparefeu Plusieursoptionsexistentpourpermettrelaredondancedenvironnements de parefeu.Cettefonctionnalitutilise destechniquesdecommutateursrseauxdefaoncequunautreparefeuprennelerelaisencasdedfaillance du parefeu principal ou primaire. Des commutateurs rseau peuvent fournir aussi, en plus de la redondance, la possibilitdquilibragedechargesdelabandepassantedurseau. Danslecadreduneredondanceavecdesparefeu,uneliaisondetypeheartbeatdoitexisterentreeux.Elleassure lasurveillancerciproquedeltatdefonctionnementdechacundeuxetpermetunbasculementautomatiquedes fonctions. Leprincipedelavrificationdeprsenceouheartbeatconsisteenlexistencedunlienentredesinterfacesrseau spcialiseentrelesdeuxmatrielspourinformerlesystmedesecoursdeladfaillancedusystmeprincipal. Ilexistepourceladiffrentesimplmentations.

Exempledeconfigurationredondedeparefeu

- 12 -


38

7.LesrseauxDMZ(DeMilitarizedZones)LenvironnementlepluscourantdimplmentationdeparefeuseprsentesouslaformedeDMZ(DeMilitarizedZone). Untelrseaucomporteaumoinsdeuxparefeu. La figure ciaprs montre lexemple dun environnement compos dune DMZ interne et externe avec plusieurs serveursetdespriphriquesdedtectiondintrusion.Danscetexemple,leserveurVPNestcombinavecleparefeu principal. Les autres serveurs accessibles de lextrieur sont positionns aussi sur la DMZ externe. Tous les autres serveursinternessontsitusdanslaDMZinterne,protgslafoisdesmenacesinternesetexternes.

ExempledenvironnementdeDMZ Les rseaux DMZ sont utiliss comme relais de protection pour les serveurs et ressources qui ncessitent dtre accessibles de lintrieur ou de lextrieur mais qui ne doivent pas tre positionns dans des rseaux protgs internes. LaDMZestunenvironnementdesousrseaupositionnentreunrseauinternedeconfianceetunrseauexterne nonscuris. LesserveursinstallsdanslapartieexternedelaDMZpermettentdefournirdesservicesaurseauexterne,touten protgeantlerseauinternecontredesintrusionspossibles,ilpeutsagirde :q

ServeursWeb,serveursdefichiers(FTP :FileTransferProtocol),serveursdemessagerie(SMTP)etserveursde noms(DNS :DomainNameSystem). ServeursrelaispermettantdassurerunecommunicationindirecteentrelerseaulocaletlerseauInternet (proxies,relaisSMTP,antivirus).

q

PositionnementdesserveursdanslesenvironnementsavecDMZ Lafaondepositionnerlesserveursdusystmedinformationparrapportunenvironnementdeparefeudpendde plusieursfacteurs,incluantlenombredeDMZ,lesaccsexternesetinternesrequispourlesserveurssitusdansla DMZ,lemontantoultatdutraficetlacriticitdesserveursdedonnes. Diffrentesprconisationspeuventtreutilisespourdfinirlimplmentation :q

ProtgerlesserveursexternesavecunfiltredeRouteur/PaquetdeFrontire, Nepasconfigurerdesserveursaccessiblesparunrseauexternesurlerseauprotg, Positionnerlesserveursinternesderriredesparefeuselonleurcriticitetleursaccs,

q

q


- 13 -

39

q

Isolerlesserveursdetellefaonquuneattaqueexternenepuissepassepropagersurlerseauinterne.

Les suggestions suivantes sont prconises pour implmenter des serveurs ou systmes spcifiques de faon dfinirlesprotectionsadaptes :q

Serveursaccessiblesdelextrieur(serveursWeb,DNS,dedonnes) IlspeuventtreplacssurlapartieexternedelaDMZentreunrouteurdefrontireetleparefeuprincipal. Ce routeur peut fournir des contrles daccs et de filtrage pour les serveurs. Le parefeu principal peut restreindre les connexions entre ces serveurs et les systmes internes dans le cas o des intrusions sont apparues.

q

ServeursdeVPN Il est prfrable de placer ces serveurs sur la partie externe de la DMZ pour que le trafic puisse passer travers le parefeu. Cela signifie que le serveur VPN est positionn sur la plateforme du parefeu de telle faoncequeletraficsortantpuissetrecryptaprsavoirtfiltr(ex :parunproxyHTTP)etqueletrafic entrantpuissetredcryptetfiltraussiparleparefeu.

q

Serveursinternesouaccessiblesparlintrieur Cesserveurs(Web,dedonnes)peuventtreplacssurlapartieinternedelaDMZsoitentredeuxpare feu ddis (principal et interne) avec le parefeu interne sparant la DMZ du rseau protger. Le fait de placercessystmessurlapartieinternedelaDMZprocureunedfenseenprofondeurcontredesmenaces externesetuneprotectioncontrelesmenacesinternes.

q

Serveursdemessagerie Certains parefeu peuvent tre utiliss pour accepter les messages lectroniques cestdire par une connexion SMTP. Une configuration classique comprend lutilisation dunparefeu principal pour accepter les connexionsSMTP,lesfairepasserensuiteversunserveurddiproxy/emaillocalisdanslapartieinternede laDMZ.Cettesolutionliminelebesoin,pourleparefeu,detraiterlecontenuactifetlesdossiersattachsde chaquemail.

- 14 -


40

RseauxprivsvirtuelsdentrepriseouVirtualPrivateNetworks(VPN)LaconnexiondistancesurunrseauinternedunePMEimposedutiliserunrseauprivvirtueldentrepriseouVPN. Cette fonctionnalit chiffre le trafic rseau sensible et requiert une authentification forte, fournissant un accs distancescuris. Eneffet,leprincipedescuritestlacaractristiqueprincipaledesVPN : Intgrit : les donnes reues par le site principal sont identiques celles envoyes par le site externe ou le poste nomade, Confidentialit :lapropritprivedesdonnesestcompltementassure, Authentification :lercepteurdesdonnessurlesitedelentreprisedoittresrquelesdonnesontbientmises parlebonutilisateur. Miseenuvredeliaisonsscurises Lchangededonnesconfidentiellesentrelespersonnelsnomadesetlentrepriseouentrediffrentesentitsimplique la mise en uvre de liaisons scurises, virtuelles (VPN) en liaison avec un parefeu ou physiques (lignes loues spcialises). TroistypesdesolutionsdeVPNexistentassociesavecunparefeu :q

intgrecommeserviceduparefeu, systmesautonomesplacsdevantleparefeu, systmesautonomesplacsderrireleparefeu(solutionslogicielles).

q

q

Lignesloues Lchange de donnes entre sites distants de la mme entreprise peut aussi tre effectu en utilisant une liaison spcialiseouddieutilisantlesservicesdunoprateurdetlcommunication.Cettesolutionpermetdesaffranchir detouteslesmenaceslieslutilisationdurseauInternet,maisellereprsenteuncotplusimportant. LeserveurVPN Cestlamachinequifaitofficedepointdecontrledanslentreprise.Elledoittresituesurlerseau,ellepeutservir aussideparefeuouderouteurdefrontire.Autonome,cedispositifdoittreplacdanslaDMZddie. LatechnologieVPNutilisedanslenvironnementdeDMZpermetdtreprotgparlesrglesdeparefeuetautoriser uniquementletraficduVPN. Lalgorithme de chiffrement employ dans le VPN doit tre un algorithme fort et reconnu. Le systme dauthentification doit tre un systme 2 facteurs : nom dutilisateur et mot de passe. Une autre solution serait de combinerlescartespuceavecunnumrodidentificationpersonnel(PIN :PersonalIdentificationNumber). Sonpositionnement Engnral,lemeilleurendroitpourlimplmenterestenprotectionderrireleparefeu.Cequivaimpliquerqueletrafic VPNpassesousformechiffrensortietraversleparefeu.Celuiciestalorsincapabledinspecterletraficenentreet ensortie,deffectuerdescontrlesdaccs,dejournalisationoudevrificationdevirus. LetraficVPNestchiffrpourgarantirlaconfidentialitdestransfertsdedonnespendantladuredelaconnexion.Le principeduVPNconsistetabliruncheminvirtueluniqueaveclidentificationdelmetteuretdurcepteur.Cechemin estaussiappeltunnel. Deplus,letraficestchiffrpourgarantirlaconfidentialitdestransfertsdedonnespendantladuredelaconnexion. LeprincipeduVPNestaussiconupourtraiterdesprotocolesdiffrents. Le VPN tablit une connexion scurise vers un rseau distance en utilisant la technique de tunnelling travers Internet. Cette technique consiste en lencapsulation, la transmission, la dsencapsulation dun paquet de donnes sousformedemessagelintrieurdunpaquetIP(InternetProtocol).Letransfertdecesdonnesestralistravers Internet. De plus, lauthentification de la connexion VPN est accomplie au niveau de lutilisateur externe et des donnes transmises(intgrit). Il existe trois protocoles pour le tunneling travers Internet : Internet Protocol Security (IPSec), Layer 2 Tunneling Protocol(L2TP)etPointtoPointTunnelingProtocol(PPTP. Lesrseauxvirtuelsdentreprisesontutilisspourfournirdesliensrseauxscurisstraversdesrseauxquinont pasderelationdapprobation,parexempleviaInternetoupourcrerdesrseauxscurissentreentreprises. IlexistedeuxcatgoriesdeVPN :


- 1-

41

LesVPNutilisateursite Il est utilis pour permettre des utilisateurs de postes de travail nomades daccder au rseau priv. Lutilisateur initialiseuneconnexionVPNverslesitedelentrepriseviaInternetpourtablirlaconnexionlaidedunlogicielclient pour le VPN qui permet dtablir directement et aprs authentification, la communication de manire crypte vers le rseauinternedelentreprise. LeserveurVPNpeuttreleparefeuouunserveurddidelentreprise. Avantages :lesutilisateursendplacementoudomicilepeuventavoiraccsleursfichiers,auxsystmesinternes, leurmessagerie. Inconvnients :limitationdunombredaccssimultans LesVPNsitesite LaconnexionVPNstablittraversunparefeuouunrouteurdefrontireavecunautreparefeu. Lesdeuxsitessauthentifientparuncertificatdeclpubliqueouparmotdepasseservantgnrerdescls. Ilexistedeuxcas : ConnexiondIntranetsviaunVPN Un Intranet est un rseau qui emploie les mmes types de service, dapplication, de protocoles prsents dans une implmentation dInternet, sans connexion externe. Dans cet environnement, plusieurs intranets plus petits peuvent treconfigursettresparspardesparefeu.partirdumomentolesintranetsutilisentlesmmestechnologies que Internet, des dispositifs identiques de scurit et de protection des rseaux peuvent tre appliqus. En consquence,lesintranetssonttypiquementimplmentssuivantlesenvironnementsdeparefeu. LesconnexionsVPNpermettentlentreprisedecommuniqueravecsesclientsetsespartenaires. PrcautionsdutilisationdelafonctionnalitduVPNetlesbonnespratiques Leprimtredescuritdelentrepriseesttenduavecdesenvironnements(sitesouentreprises)distantsquidevront avoir au moins le mme niveau ou les mmes rgles de scurit que le site principal. Le serveur VPN devra tre paramtr pour traiter le chiffrement du trafic. Il pourra exister aussi des problmes dadressage et des conflits dadressespossibles,silesdeuxsitesutilisentdespartiesdummeespacedadressage. Avant dimplmenter un rseau virtuel dentreprise de type VPN, les administrateurs du systme doivent valuer la compatibilitaveclerseauexistant.Lesdirectivesdescuritgnralesproposentlesconseilssuivants destination desentreprisesutilisantcettefonctionnalit :q

Le principe dauthentificationdoitutilisersoitunsystmedemotdepassecommeundispositifjetonouun coupledeclpublique/priveavecunsystmeidentification/motdepassecomplexe. Ladconnexionautomatiquedurseaudentreprisedoitseproduireaprsunepriodedinactivit(dfinir). Cetteprotectionimposelutilisateurdesereconnecterlchancedecettepriode. LimiterletempsdeconnexionauVPN,pourviterdtresurveiller. Nepaspermettreunedoubleconnexionpartirdummepostenomade. AvoiruninventairedetouslespostesexternesausitesusceptiblesdeseconnecterausitecentralvialeVPN. Touscesquipementsdoiventtreconfigurspourtreconformeslapolitiquedelascuritdelentreprise, contrlsfrquemment.Ilsdoiventtreprotgsimprativementcontredeslogicielsmalveillants(antivirus) aveclessignatureslesplusrcentes. LespersonnelsayantlespossibilitsetlesprivilgesdeconnexionVPNdoiventvrifierqueleurcomptenest pasutilispardesutilisateursnonautoriss. Linstallation et la maintenance de parefeu personnels (matriel ou logiciel) du ct utilisateur doivent tre requises.

q

q

q

q

q

q

- 2-


42

ExempledenvironnementdeVPN

Exempledeconnexion

Documents

La sécurité informatique dans la petite entreprise []