Sécurité des réseaux

informatiques

Mbarka Belhaj Mohamed

2020-2021
1

Introduction
Risques
Attaques, services et mécanismes
Les attaques
Services de sécurité
Mécanismes de défense
Politique de sécurité
Architectures de sécurité

2
Sécurité des réseaux informatiques

1
Gestion des risques
Vulnérabilité + menace = risque
Menace: cible + agent + conséquence
Fichier source + employé + "bug"
Risque majeur
Vulnérabilité: cible + agent + procédé
Menace

Fichier source + employé + altération (in)volontaire

Contre-mesures
Risque moyen

Exemple : Authentification + contrôle des droits

de modification
Risque mineur
Compromis efficacité/coût des contre- Vulnérabilités
mesures
coût de l'incident versus coût des contre-mesures

Sécurité des réseaux informatiques 4

Les objets de la sécurité
Les informations
Le système
Le réseau
Etc.

Sécurité des réseaux informatiques 5

Attaques, Services et
Mécanismes
Une Attaque : n’importe quelle action qui
compromet la sécurité des informations.
Mécanismes de Sécurité : un mécanisme
qui est conçu pour détecter, prévenir et lutter
contre une attaque de sécurité.
Service de Sécurité : un service qui
augmente la sécurité des traitements et des
échanges de données d’un système. Un service
de sécurité utilise un ou plusieurs mécanismes
de sécurité.

Sécurité des réseaux informatiques 6

 Attaques

Sécurité des réseaux informatiques 7

Buts des attaques

Interruption: vise la disponibilité des
informations
Interception: vise la confidentialité des
informations
Modification: vise l’intégrité des
informations
Fabrication: vise l’authenticité des
informations

Sécurité des réseaux informatiques 8

Attaques passives ou actives

Sécurité des réseaux informatiques 9

Description des attaques :

capture

Sécurité des réseaux informatiques 10

Description des attaques :
analyse de trafic

Sécurité des réseaux informatiques 11

Description des attaques :

masquarade

Sécurité des réseaux informatiques 12

Description des attaques : rejeu

Sécurité des réseaux informatiques 13

Description des attaques :

modification ("man in the middle")

Sécurité des réseaux informatiques 14

 Description des attaques : Déni
de service ("DoS")

Sécurité des réseaux informatiques 15

Services de Sécurité
Confidentialité : les données (et l'objet et les
acteurs) de la communication ne peuvent pas être
connues d’un tiers non-autorisé.
Authenticité : l’identité des acteurs de la
communication est vérifiée.
Intégrité : les données de la communication n’ont pas
été altérées.
Non-répudiation : les acteurs impliqués dans la
communication ne peuvent nier y avoir participer.
Disponibilité : les acteurs de la communication
accèdent aux données dans de bonnes conditions.

Sécurité des réseaux informatiques 16

 Sécurité des réseaux informatiques 17

Sécurité des réseaux informatiques18

 Mécanismes de défense
Chiffrement : algorithme généralement basé sur des
clefs et transformant les données. Sa sécurité est
dépendante du niveau de sécurité des clefs.
Signature numérique: données ajoutées pour vérifier
l'intégrité ou l'origine des données.
Bourrage de trafic : données ajoutées pour assurer
la confidentialité, notamment au niveau du volume du
trafic.
Notarisation : utilisation d’un tiers de confiance pour
assurer certains services de sécurité.
Contrôle d’accès : vérifie les droits d’accès d'un
acteur aux données. N'empêche pas l'exploitation
d'une vulnérabilité.

Sécurité des réseaux informatiques 19

Mécanismes de défense
• Antivirus : logiciel censé protéger ordinateur contre les logiciels (ou fichiers
potentiellement exécutables) néfastes. Ne protège pas contre un intrus qui
emploie un logiciel légitime, ou contre un utilisateur légitime qui accède à une
ressource alors qu'il n'est pas autorisé à le faire.
Le pare-feu : un élément (logiciel ou matériel) du réseau informatique contrôlant
les communications qui le traversent. Il a pour fonction de faire respecter la
politique de sécurité du réseau, celle-ci définissant quels sont les communications
autorisés ou interdits. N'empêche pas un attaquant d'utiliser une connexion
autorisée pour attaquer le système. Ne protège pas contre une attaque venant du
réseau intérieur (qui ne le traverse pas).
• Détection d'intrusion : repère les activités anormales ou suspectes sur le réseau
surveillé. Ne détecte pas les accès incorrects mais autorisés par un utilisateur
légitime. Mauvaise détection : taux de faux positifs, faux négatifs.
• Journalisation ("logs") : Enregistrement des activités de chaque acteurs. Permet
de constater que des attaques ont eu lieu, de les analyser et potentiellement de
faire en sorte qu'elles ne se reproduisent pas.
• Analyse des vulnérabilité ("security audit") : identification des points de
vulnérabilité du système. Ne détecte pas les attaques ayant déjà eu lieu, ou
lorsqu'elles auront lieu.

Sécurité des réseaux informatiques20

Mécanismes de défense
Contrôle du routage : sécurisation des chemins (liens
et équipements d'interconnexion).
Contrôle d'accès aux communications : le moyen de
communication n'est utilisé que par des acteurs
autorisés. Par VPN ou tunnels.
Horodatage : marquage sécurisé des instants
significatifs .
Certification : preuve d'un fait, d'un droit accordé.
Distribution de clefs : distribution sécurisée des clefs
entre les entités concernées.

Sécurité des réseaux informatiques 21

Mécanismes de défense
Authentification : Authentifier un acteur peut se faire en
utilisant une ou plusieurs de ses éléments.
Ce qu'il sait. Par ex. : votre mot de passe, la date anniversaire de votre
grand-mère
Ce qu'il a. Par ex. : une carte à puce
Ce qu'il est. Par ex. : la biométrie (empreinte digitale, oculaire ou vocale)
– Dans le domaine des communications, on authentifie l'émetteur du
message. Si l'on considère les (deux) extrémités d'une
communication il faut effectuer un double authentification
Par ex. pour lutter contre le "phishing"
– L'authentification est nécessaire au bon fonctionnement des autres
mécanismes.

La protection physique : peut fournir une protection totale, mais

qui peut être excessive. Par ex. isoler complètement son système
est une solution qui peut être trop radicale.

Sécurité des réseaux informatiques 22

Remarques sur la confiance
Confiance dans la sécurité d'un système:
– Système réparti = {système de communication, les sous-systèmes
locaux}
– Niveau de confiance d'un système = min (niveau de confiance de ses
sous-systèmes)
Dans un système sûre de confiance
– Les mécanismes de sécurité peuvent formellement établir la
confiance
Création d'un chaîne de confiance
Les amis surs de mes amis sont des amis surs
Problème du point de départ de la chaîne de confiance
L'authentification des centres de certification
Renforcement de la confiance, au cours des échanges
Graphe de confiance
Révocation de la confiance accordée
Sécurité des réseaux informatiques 23

Remarques sur les mécanismes de

sécurité

Aucun des mécanismes de sécurité ne

suffit par lui-même. Il les faut tous !

Sécurité des réseaux informatiques 24

Politique de sécurité
Une politique de sécurité ce n'est pas
seulement :
Les paramètres de sécurité
longueur des clefs,
choix des algorithmes,
fréquence de changement des "passwords",
etc.fois une politique de sécurité définie, sa
Une
mise en oeuvre (utilisation d'outils appropriés)
et sa bonne gestion (maintien de la cohérence)
sont des points critiques

Sécurité des réseaux informatiques 25

Le processus de sécurité
Evaluation/audit
Politique
Implémentation/(In)Formation
Evaluation …

Evaluation/audit

Implémentation/(In)Formation Politique

Sécurité des réseaux informatiques 26

Quelques procédures de sécurité
Définition du domaine à protéger
Définition de l'architecture et de la politique de sécurité
Equipements/Points de sécurité
Paramètres de sécurité
C-à-d mécanismes de prévention, détection et enregistrement des incidents
Plan de réponse après incident
Procédure de reprise
Procédure pour empêcher que cela se renouvelle
Suppression de la vulnérabilité, ou suppression de l'attaquant
Charte du bon comportement de l'employé
Procédures d'intégration et de départ des employés
Politique de mise à jour des logiciels
Méthodologie de développement des logiciels
Définition des responsabilités (organigramme)
Etc.

Sécurité des réseaux informatiques 27

Le facteur humain
Le facteur humain est souvent
prépondérant:
Respect des règles de sécurité
Compréhension de l'utilité des règles,
Surcharge induit par les moyens de sécurité
L'ingénierie sociale

Sécurité des réseaux informatiques 28

Eléments d'architecture
Pare-feu
DMZ
IDS
Log
VPN

Sécurité des réseaux informatiques 29

Eléments d'architecture

DMZ

IDS

Serveur externe

Serveur interne
Hub/switch
Firewall Routeur
Internet
log

Sécurité des réseaux informatiques 30

 Virtual Private Network
Seuls les agents autorisés peuvent avoir accès
aux réseaux virtuels
Authentification des agents
Chiffrement des communications
Remarques:
– Le réseau virtuel est un moyen d'accéder à des
services (extension au réseau de la notion de
contrôle d'accès aux fichiers)
– On limite délibérément la capacité
d'interconnexion totale proposée par l'Internet
– Le nombre des réseaux virtuels dépend du nombre
des types d'agents (et donc des services
accessibles à chaque type d'agent)
Sécurité des réseaux informatiques 31

Réseau virtuel
Il existe de nombreuses implémentations
du concept de réseau virtuel :
Au niveau 2 : VLAN
Les trames Ethernet sont complétées par un VID
Au niveau 3 : IPsec+
Accompagné d'une phase d'authentification (serveur
d'authentification)
Les paquets sont chiffrés (serveurs de sécurité)

Sécurité des réseaux informatiques 32

 Réseaux virtuels
Réseau d'entreprise

Serveur 1 Station distante

log
Serveur 2

Routeur 1Routeur 2

Station locale
Internet

Sécurité des réseaux informatiques 33

Réseaux
virtuels
Serveur

Réseau d'interconnexion total

Serveur 2
Réseau virtuel bleu rtuel rouge
Réseau vi

Sécurité des réseaux informatiques 34

Conclusion
Présentation des risques (attaques),
services et mécanismes de sécurité
Introduction à la politique et
architecture de sécurité

Sécurité des réseaux informatiques 35