B. La protection
1. Palliation
Gestion du risque
Les risques, une fois identifiés, peuvent être sujet d’une évaluation multicritères en fonction de leurs conséquences sur le SI, leur impact sur le métier et la probabilité d’apparition. En fonction de cela, il faudra soit supprimer ces risques (si c’est possible) ou à défaut les gérer du mieux que l’on peut, en les diminuant, en les déplaçant ou en les acceptant.
Figure 18 : Gestion du risque.
©Nortel Networks
Mises à jour système
Ici, on touche à un épineux problème. En effet, la plupart des systèmes d’exploitation ont eu, ont, et auront des failles de sécurité. Ces failles, une fois découvertes, sont publiées sur des sites spécialisés tels que bugtrap. Une fois publiées, elles sont quelques fois corrigées par les éditeurs de systèmes ou de logiciels. Quand on sait que 85% des attaques système exploitent ces failles, on comprend l’importance de les corriger. Toutefois, il convient d’effectuer des tests de non régression, afin d’être sur de ne pas introduire de nouveaux problèmes. Quoi qu’il en soit, la mise à jour est conseillée.
Il faut se tenir au courant des mises à jour disponibles. Pour cela, il est préférable de s’inscrire sur un mailing liste d’alerte sûr les failles de sécurité et sur une d’alerte sur les virus.
Voici, deux adresses où vous pourrez trouver un ensemble de liens vers des mailing listes : Surveillance
Monitoring, surveillance réseau
Ce sont des outils, qui permettent de surveiller le fonctionnement du réseau. Ils détectent d’éventuelles surcharges, des pannes, voire même des fonctionnements suspects.
Vous en trouverez à cette adresse : Protection
Virtual Private Networks VPN ou Réseaux Privés virtuels RPV
C’est une solution pour créer des liaisons sécurisées sur Internet Protocol (IP). Les entreprises peuvent ainsi relier à leur intranet les utilisateurs nomades et les télétravailleurs. Deux technologies dominent le marché : Multi-Protocol Label Switching (MPLS) et IP Security Protocol (IPSec). Avec IPSec, toutes les données échangées entre l’entreprise et le télétravailleur sont encryptées. Avec MPLS, les paquets IP, sont marqués et ils contiennent une étiquette qui permet de définir le chemin qu’emprunteront les paquets sur le réseau de l’opérateur. On peut ainsi éviter que les données ne tombent dans de mauvaises mains. Un livre blanc est disponible sur le site de colt telecom :
http://www.colt-telecom.fr/presse/acc/evenement/indexipvpn.html.
La cryptographie
1. Généralités
La cryptographie est un terme générique, désignant l’ensemble des techniques permettant de crypter un document, c’est-à-dire de le rendre inintelligible. Le message crypté est appelé cryptogramme . L’action qui permet la transformation du message en clair à un cryptogramme s’appelle chiffrement . Pour être de nouveau lisible le cryptogramme devra être déchiffré . Cette opération se nomme déchiffrement .
Il est important de préciser que les actions de chiffrement et de déchiffrement s’effectuent à l’aide d’ une clé . En effet, lorsque que l’on transforme un message clair en message illisible sans clé, nous avons non pas affaire à une opération de cryptage, mais à un encodage . Cette opération ne fournit aucune protection du document.
Le passage d’un cryptogramme à un texte clair, sans utilisation de la clé, fait appel à des techniques de cryptanalyse (ou cassage).
On distingue deux types de clés :
Les clés symétriques : la clé utilisée pour le chiffrement est la même que celle utilisée pour le déchiffrement. On parle alors de chiffrement symétrique ou de chiffrement à clé secrète.
Figure 19 : Systèmes de cryptage à clé secrète
Les clés asymétriques : la clé utilisée pour le chiffrement est différente de celle utilisée pour le déchiffrement. On parle alors de chiffrement asymétrique ou de chiffrement à clé publique.
Figure 20 : Systèmes de cryptage à clé publique
Le problème rencontré avec les algorithmes à clé secrète, est que la clé doit être connue du destinataire. L’étape de fourniture de la clé est un moment critique.
La taille des clés diffère entre les solutions à clé secrète et à clé publique. Ainsi, pour avoir l’équivalent d’une clé secrète de 128 bits, il faudra utiliser une clé supérieure à 3072 bits.
La cryptographie remplie permet de répondre aux exigences de confidentialité , de non répudiation et d’ intégrité des documents, avec en prime l’authentification des correspondants.
Pour y parvenir on peut procéder ainsi :
Figure 21 : Protocole de cryptage avec non répudiation des données
Néanmoins ce système n’est pas infaillible car il est sensible à l’attaque « man in the middle ».
Afin d’éviter cette attaque, les clés publiques peuvent être stockées sur un serveur d’une société qui se chargera de garantir l’identité du propriétaire de la clé publique fournie. Ce service est appelé Tiers de confiance.
Cadre légal
C’est le Décret n° 99-200 du 17 mars 1999 qui pose les limites sur la cryptographie.
Figure 22 : Synthèse du cadre législatif des moyens et prestations de cryptologie
©source DCSSI
1 Libre dans tous les cas, si en provenance d’un Etat appartenant à la Communauté européenne ou étant partie à l’accord instituant l’Espace économique européen.
2 A condition, soit que lesdits matériels ou logiciels aient préalablement fait l’objet d’une déclaration par leur producteur, un fournisseur ou un importateur. Soit que lesdits matériels ou logiciels soient exclusivement destinés à l’usage privé d’une personne physique. Sinon, une déclaration d’utilisation personnelle doit être adressée à la DCSSI.
3 A condition que lesdits matériels ou logiciels aient fait l’objet d’une autorisation de fourniture en vue d’une utilisation générale, sinon, une demande d’autorisation d’utilisation personnelle doit être adressée à la DCSSI.
Produits existants
Advanced Encryption Standard (AES) : c’est l’algorithme à clé secrète qui a été choisi par les Etats-Unis, en remplacement du Data Encryption Standard (DES) et du triple DES. L’algorithme qu’il comprend est RJINDAEL. Des clés de 128 ou 256 bits suffisent.
Rivest-Shamir- Adleman (R.S.A) : c’est un algorithme à clé publique basé sur la factorisation des nombres premiers. Bien qu’ancien, il est toujours sûr, à utiliser avec des clés de 4096 bits.
Socket Secure Layer 3 ( SSL3) : utilisé en particulier lors de transactions commerciales, en mode sécurisé «https». Une clé de chiffrement symétrique est générée en local (sur votre PC). Cette clé est transmise au serveur et chiffrée avec la clé publique associée au certificat numérique du serveur. Une fois cette clé transmise, toute la communication, dans les deux sens, est chiffrée avec cette clé.
S/MIME : utilisé conjointement au logiciel client de messagerie; permet de signer des messages, ou de recevoir des messages chiffrés.
Pretty Good Privacy (PGP) : c’est une sorte de cocktail d’algorithme à clés secrètes et publiques.
C. La récupération
1. Sauvegarde
Mirroring ou duplication de données ou de services Il convient de ne pas mettre tous ses œufs dans le même panier. Des systèmes miroirs, comme les systèmes de disque en Raid permettent en cas de perte d’un disque dur, de ne pas perdre
ses données. Pour cela, les données sont dupliquées sur plusieurs disques.
Il en va de même pour les services, en cas de défaillance d’un serveur, il est bon d’avoir un autre serveur prêt à prendre le relais. D’ailleurs, il est préférable que les services réseaux soient sur des machines différentes ; en effet, si un attaquant prend le contrôle d’un des serveurs, il n’aura pas la main mise sur tous les services.
Back-up ou Sauvegarde/ Restauration de données La sauvegarde est indispensable quand on a des données à protéger. Cela va du simple système de sauvegarde du système d’exploitation, au système de sauvegarde multiposte
réseau. Quelque soit le système choisi, il est bon de prendre les mêmes précautions qu’en
matière de conservation logs.
2. Récupération
Système à haute disponibilité
Un système à haute disponibilité est un système qui comprend un ensemble de mesures permettant à ce dernier, de continuer à fonctionner en cas de problème. Cela comprend des système de duplication de données ou de services, des systèmes de redémarrage automatique, des systèmes à répartition de la charge réseau (Network Load Balancing) et bien d’autre… Ces systèmes existent bien souvent sous forme de cluster (ensemble de plusieurs ordinateurs chargé de se répartir le travail).
3. Compensation
Si malgré toutes les protections mises en place, des dégâts ont eut lieu sur votre SI, il ne vous reste plus que les procédures judiciaires et les assurances pour récupérer une part de vos pertes financières.
Procédures judiciaires
Etant donné l’ensemble des lois existantes, si vous avez des preuves portant sur les dégâts subis et l’identité des malfaiteurs, vous pouvez déposer une plainte. Toutefois les procédures sont longues et coûteuses, il convient donc de réfléchir aux conséquences de la plainte et à ses possibles apports.
Assurances
Selon la valeur de vos installations et de vos données, et du niveau de dépendance à l’informatique, il convient de souscrire un contrat d’assurance. Il est bon de rappeler que la sécurité informatique englobe aussi la prise en charge de problèmes tel que le vol, l’incendie et les catastrophes naturelles. Mais, si l’on souscrit plus facilement un contrat d’assurance pour ces derniers cas, on ne pense pas toujours à s’assurer contre les problèmes que peut subir le SI.
