Your SlideShare is downloading. ×
1 securite-des-reseaux.2 p
Upcoming SlideShare
Loading in...5
×

Thanks for flagging this SlideShare!

Oops! An error has occurred.

×

Saving this for later?

Get the SlideShare app to save on your phone or tablet. Read anywhere, anytime - even offline.

Text the download link to your phone

Standard text messaging rates apply

1 securite-des-reseaux.2 p

814
views

Published on

la sècuritè des reseaux

la sècuritè des reseaux


0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total Views
814
On Slideshare
0
From Embeds
0
Number of Embeds
1
Actions
Shares
0
Downloads
82
Comments
0
Likes
0
Embeds 0
No embeds

Report content
Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
No notes for slide

Transcript

  • 1. Sécurité des réseaux informatiques Bernard Cousin Université de Rennes 1 Sécurité des réseaux informatiques 1 Introduction• Risques• Attaques, services et mécanismes• Les attaques• Services de sécurité• Mécanismes de défense• Politique de sécurité• Architectures de sécurité Sécurité des réseaux informatiques 2 1
  • 2. Bibliographie• Stallings, W. Network Security Essentials, 2nd edition. Prentice Hall, 2003 – Un grand nombre de figures ont été extraites de ce livre – Support de cours inspiré de Henric Johnson (Blekinge Institute of Technology, Sweden)• Maiwald, E. Network Security, Mc Graw Hill, 2001 (traduction Campus Press) Sécurité des réseaux informatiques 3 Gestion des risques• Vulnérabilité + menace = risque – Menace : cible + agent + conséquence • Fichier source + employé + "bug" Risque majeur – Vulnérabilité : cible + agent + procédé Menace • Fichier source + employé + altération (in)volontaire Risque moyen• Contre-mesures • Exemple : Authentification + contrôle Risque mineur des droits de modification Vulnérabilités – Compromis efficacité/coût des contre- mesures • coût de lincident versus coût des contre-mesures Sécurité des réseaux informatiques 4 2
  • 3. Les objets de la sécurité• Les informations• Le système• Le réseau• Etc. Sécurité des réseaux informatiques 5 Attaques, Services and Mécanismes• Une Attaque : n’importe quelle action qui compromet la sécurité des informations.• Mécanismes de Sécurité : un mécanisme qui est conçu pour détecter, prévenir et lutter contre une attaque de sécurité.• Service de Sécurité : un service qui augmente la sécurité des traitements et des échanges de données d’un système. Un service de sécurité utilise un ou plusieurs mécanismes de sécurité. Sécurité des réseaux informatiques 6 3
  • 4. Attaques Sécurité des réseaux informatiques 7 Buts des attaques• Interruption: vise la disponibilité des informations• Interception: vise la confidentialité des informations• Modification: vise l’intégrité des informations• Fabrication: vise l’authenticité des informations Sécurité des réseaux informatiques 8 4
  • 5. Attaques passives ou actives Sécurité des réseaux informatiques 9 Description des attaques : capture Sécurité des réseaux informatiques 10 5
  • 6. Description des attaques : analyse de trafic Sécurité des réseaux informatiques 11Description des attaques : masquarade Sécurité des réseaux informatiques 12 6
  • 7. Description des attaques : rejeu Sécurité des réseaux informatiques 13 Description des attaques : modification ("man in the middle") Sécurité des réseaux informatiques 14 7
  • 8. Description des attaques : Déni de service ("DoS") Sécurité des réseaux informatiques 15 Services de Sécurité S curit• Confidentialité : les données (et lobjet et les acteurs) de la communication ne peuvent pas être connues d’un tiers non-autorisé.• Authenticité : l’identité des acteurs de la communication est vérifiée.• Intégrité : les données de la communication n’ont pas été altérées.• Non-répudiation : les acteurs impliqués dans la communication ne peuvent nier y avoir participer.• Disponibilité : les acteurs de la communication accèdent aux données dans de bonnes conditions. Sécurité des réseaux informatiques 16 8
  • 9. Sécurité des réseaux informatiques 17Sécurité des réseaux informatiques 18 9
  • 10. Mécanismes de défense• Chiffrement : algorithme généralement basé sur des clefs et transformant les données. Sa sécurité est dépendante du niveau de sécurité des clefs.• Signature numérique: données ajoutées pour vérifier lintégrité ou lorigine des données.• Bourrage de trafic : données ajoutées pour assurer la confidentialité, notamment au niveau du volume du trafic.• Notarisation : utilisation d’un tiers de confiance pour assurer certains services de sécurité.• Contrôle d’accès : vérifie les droits d’accès dun acteur aux données. Nempêche pas lexploitation dune vulnérabilité. Sécurité des réseaux informatiques 19 Mécanismes de défense• Antivirus : logiciel censé protéger ordinateur contre les logiciels (ou fichiers potentiellement exécutables) néfastes. Ne protège pas contre un intrus qui emploie un logiciel légitime, ou contre un utilisateur légitime qui accède à une ressource alors quil nest pas autorisé à le faire.• Le pare-feu : un élément (logiciel ou matériel) du réseau informatique contrôlant les communications qui le traversent. Il a pour fonction de faire respecter la politique de sécurité du réseau, celle-ci définissant quels sont les communications autorisés ou interdits. Nempêche pas un attaquant dutiliser une connexion autorisée pour attaquer le système. Ne protège pas contre une attaque venant du réseau intérieur (qui ne le traverse pas).• Détection dintrusion : repère les activités anormales ou suspectes sur le réseau surveillé. Ne détecte pas les accès incorrects mais autorisés par un utilisateur légitime. Mauvaise détection : taux de faux positifs, faux négatifs.• Journalisation ("logs") : Enregistrement des activités de chaque acteurs. Permet de constater que des attaques ont eu lieu, de les analyser et potentiellement de faire en sorte quelles ne se reproduisent pas.• Analyse des vulnérabilité ("security audit") : identification des points de vulnérabilité du système. Ne détecte pas les attaques ayant déjà eu lieu, ou lorsquelles auront lieu. Sécurité des réseaux informatiques 20 10
  • 11. Mécanismes de défense• Contrôle du routage : sécurisation des chemins (liens et équipements dinterconnexion).• Contrôle daccès aux communications : le moyen de communication nest utilisé que par des acteurs autorisés. Par VPN ou tunnels.• Horodatage : marquage sécurisé des instants significatifs .• Certification : preuve dun fait, dun droit accordé.• Distribution de clefs : distribution sécurisée des clefs entre les entités concernées. Sécurité des réseaux informatiques 21 Mécanismes de défense• Authentification : Authentifier un acteur peut se faire en utilisant une ou plusieurs de ses éléments. • Ce quil sait. Par ex. : votre mot de passe, la date anniversaire de votre grand-mère • Ce quil a. Par ex. : une carte à puce • Ce quil est. Par ex. : la biométrie (empreinte digitale, oculaire ou vocale) – Dans le domaine des communications, on authentifie lémetteur du message. Si lon considère les (deux) extrémités dune communication il faut effectuer un double authentification • Par ex. pour lutter contre le "phishing" – Lauthentification est nécessaire au bon fonctionnement des autres mécanismes.• La protection physique : peut fournir une protection totale, mais qui peut être excessive. Par ex. isoler complètement son système est une solution qui peut être trop radicale. Sécurité des réseaux informatiques 22 11
  • 12. Remarques sur la confiance• Confiance dans la sécurité dun système: – Système réparti = {système de communication, les sous-systèmes locaux} – Niveau de confiance dun système = min (niveau de confiance de ses sous-systèmes)• Dans un système sûre de confiance – Les mécanismes de sécurité peuvent formellement établir la confiance – Création dun chaîne de confiance • Les amis surs de mes amis sont des amis surs – Problème du point de départ de la chaîne de confiance • Lauthentification des centres de certification – Renforcement de la confiance, au cours des échanges • Graphe de confiance – Révocation de la confiance accordée Sécurité des réseaux informatiques 23Remarques sur les mécanismes de sécurité• Aucun des mécanismes de sécurité ne suffit par lui-même. Il les faut tous ! Sécurité des réseaux informatiques 24 12
  • 13. Politique de sécurité• Une politique de sécurité ce nest pas seulement : – Les paramètres de sécurité • longueur des clefs, • choix des algorithmes, • fréquence de changement des "passwords", • etc.• Une fois une politique de sécurité définie, sa mise en oeuvre (utilisation doutils appropriés) et sa bonne gestion (maintien de la cohérence) sont des points critiques Sécurité des réseaux informatiques 25 Le processus de sécurité• Evaluation/audit• Politique• Implémentation/(In)Formation• Evaluation … Evaluation/audit Implémentation/(In)Formation Politique Sécurité des réseaux informatiques 26 13
  • 14. Quelques procédures de sécurité• Définition du domaine à protéger• Définition de larchitecture et de la politique de sécurité – Equipements/Points de sécurité – Paramètres de sécurité – C-à-d mécanismes de prévention, détection et enregistrement des incidents• Plan de réponse après incident – Procédure de reprise – Procédure pour empêcher que cela se renouvelle • Suppression de la vulnérabilité, ou suppression de lattaquant• Charte du bon comportement de lemployé• Procédures dintégration et de départ des employés• Politique de mise à jour des logiciels• Méthodologie de développement des logiciels• Définition des responsabilités (organigramme)• Etc. Sécurité des réseaux informatiques 27 Le facteur humain• Le facteur humain est souvent prépondérant: – Respect des règles de sécurité – Compréhension de lutilité des règles, – Surcharge induit par les moyens de sécurité• Lingénierie sociale Sécurité des réseaux informatiques 28 14
  • 15. Eléments darchitecture• Pare-feu• DMZ• IDS• Log• VPN Sécurité des réseaux informatiques 29 Eléments darchitecture DMZ IDS Serveur externe Serveur interne Hub/switch Firewall Routeur Internet log Sécurité des réseaux informatiques 30 15
  • 16. Virtual Private Network• Seuls les agents autorisés peuvent avoir accès aux réseaux virtuels – Authentification des agents – Chiffrement des communications• Remarques: – Le réseau virtuel est un moyen daccéder à des services (extension au réseau de la notion de contrôle daccès aux fichiers) – On limite délibérément la capacité dinterconnexion totale proposée par lInternet – Le nombre des réseaux virtuels dépend du nombre des types dagents (et donc des services accessibles à chaque type dagent) Sécurité des réseaux informatiques 31 Réseau virtuel• Il existe de nombreuses implémentations du concept de réseau virtuel : – Au niveau 2 : VLAN • Les trames Ethernet sont complétées par un VID – Au niveau 3 : IPsec+ • Accompagné dune phase dauthentification (serveur dauthentification) • Les paquets sont chiffrés (serveurs de sécurité) Sécurité des réseaux informatiques 32 16
  • 17. Réseaux virtuels Réseau dentreprise Station distante log Serveur 1 Serveur 2 Routeur 1 Routeur 2 Internet Station locale Sécurité des réseaux informatiques 33 Réseaux virtuels Serveur 1 Réseau dinterconnexion totalServeur 2 Réseau virtuel bleu Réseau virtuel rouge Sécurité des réseaux informatiques 34 17
  • 18. Conclusion• Présentation des risques (attaques), services et mécanismes de sécurité• Introduction à la politique et architecture de sécurité Sécurité des réseaux informatiques 35 18