La sécurité informatique dans la petite entreprise

Transcription

1 La sécurité informatique Etat de l art et Bonnes Pratiques Jean-François CARPENTIER 3 ième édition Nouvelle édition

2 Table des matières 1 Avant-propos Chapitre 1 Généralités sur la sécurité informatique 1. Introduction Les domaines et normes associés Les bonnes pratiques ITIL V La stratégie des services (Service Strategy) La conception des services (Service Design) La transition des services (Service Transition) L exploitation des services (Service Operation) L amélioration continue des services (Continual Service Improvement - CSI) La gestion des configurations (Configuration Management) La gestion de la disponibilité (Availability Management) La gestion de la sécurité (Security Management) La méthode PDCA ou roue de Deming La norme ISO Les normes ISO 270xx Les risques informatiques Définitions Les vulnérabilités Les menaces et leurs impacts La gestion du risque informatique La politique de sécurité Les principes L'élaboration du document Les outils associés

3 2 La sécurité informatique 5. Les principaux axes de la stratégie de sécurisation Le diagnostic et l'évaluation des besoins Les plans opérationnels de sécurité L'accès aux systèmes et aux données La protection physique La protection logique Identification et traçabilité La garantie de la disponibilité du système d'information La sensibilisation des utilisateurs à la sécurité La sécurité et l'aspect légal Conclusion Chapitre 2 La sécurité dans l entreprise - Le réseau 1. Prérequis Généralités sur la sécurité dans les réseaux Introduction à la technologie des pare-feu Les fonctionnalités de pare-feu Les différents types de pare-feu Choix d un dispositif de pare-feu pour l entreprise La politique de configuration de pare-feu Stratégie d implémentation de pare-feu Les règles dans un pare-feu Guide de bonnes pratiques de mise en place d environnements de pare-feu Les pare-feu spécifiques La haute disponibilité dans l implémentation des pare-feu Les réseaux DMZ (DeMilitarized Zone)

4 Table des matières 3 3. Les réseaux privés virtuels d entreprise Présentation Le serveur VPN Les catégories de VPN Les VPN utilisateur-site Les VPN site-site Précautions d utilisation de la fonctionnalité du VPN et bonnes pratiques Les protocoles liés à la sécurité Les composants utilisés dans les réseaux et la sécurité Les systèmes de détection et de prévention d intrusion Les serveurs DNS (Domain Name Service) Les autres technologies utilisées dans les réseaux d entreprise et la sécurité Le Wi-Fi et le réseau sans fil La technologie CPL (courant porteur en ligne) Chapitre 3 La sécurité dans l entreprise - Les systèmes 1. Objectifs La disponibilité des données et des systèmes Concepts et principes La disponibilité des données La technologie RAID (Redundant Array of Inexpensive Disks) Le réseau de stockage SAN (Storage Area Network) La technologie NAS (Network Attached Storage) La disponibilité des systèmes Les clusters de serveurs Windows La virtualisation de systèmes La virtualisation et la réplication de serveurs

5 4 La sécurité informatique La virtualisation du stockage La disponibilité de l infrastructure Énergie électrique Réseau de communications Identification et authentification Définitions Implémentation de systèmes d identification et d authentification Mécanismes de contrôle d accès Contrôles d accès logiques Contrôles d accès internes Contrôles d accès externes Administration des contrôles d accès Les outils ou solutions de contrôle d accès La signature numérique ou signature électronique Infrastructure de chiffrement à clés publiques La mise en place d une infrastructure de chiffrement à clés publiques Sécurité physique et environnementale Les protections contre les virus et programmes malveillants Les virus Les autres programmes malveillants Les bonnes pratiques de sécurité dans le cadre d un système d information Les bonnes pratiques générales La gestion des comptes Conseils à destination des administrateurs Les bonnes pratiques de gestion des comptes et des mots de passe pour les utilisateurs

6 Table des matières Les mécanismes de contrôle et de vérification Les mécanismes de contrôle d accès Les contrôles d accès logique Revues et audits Les anomalies La surveillance des systèmes La protection des serveurs La protection des postes de travail La protection des périphériques d impression de documents Bonnes pratiques de sécurité à destination de l administrateur système et réseau Cas des mots de passe d administration des serveurs Centralisation des mots de passe Exemples d outils de contrôle de mise à jour des protections sur Windows Sécurité physique des accès à la console des systèmes Documentation de configuration de l infrastructure La veille technologique Bonnes pratiques d administration spécifiques à Windows Politique de verrouillage de compte La politique de sécurité d accès aux comptes via Kerberos sur les plateformes Windows Protocole d authentification par défaut dans Windows Server 2008/ Le chiffrement ou cryptage des systèmes de fichiers de Windows Politique d audit des accès aux comptes et aux fichiers

7 6 La sécurité informatique Chapitre 4 Mobilité et sécurité 1. Qu appelle-t-on terminal mobile ou nomade? Les terminaux nomades : problèmes spécifiques L'origine de ces problèmes Les principales menaces et vulnérabilités Les menaces Les vulnérabilités Le BYOD (Bring Your Own Device) Les impacts Principes de réponse aux menaces Les bonnes pratiques Conseils pour l'utilisateur La protection physique La protection logique ou applicative Installation d applications La sécurisation des fonctionnalités et des interfaces radio (Wi-Fi, Bluetooth) La sécurité des connexions sans fil (systèmes cellulaires, Wi-Fi) Exigences et conseils pour l entreprise Mise en place d'une solution de sécurité Quelques dispositifs de protection Conclusion Chapitre 5 La sécurité des données 1. Les risques de perte des données La sauvegarde et la restauration Concepts généraux Définitions

8 Table des matières La politique de sauvegarde La sauvegarde L archivage La restauration Les méthodes générales de sauvegarde La sauvegarde directe La sauvegarde en environnement réseau Les types de sauvegarde les plus courants La sauvegarde complète (Full Backup) La sauvegarde normale La sauvegarde partielle La sauvegarde définie par l'utilisateur La sauvegarde à distance (electronic vaulting) ou en ligne La sauvegarde synthétique Comparaison des types de sauvegarde Avantages et inconvénients des différents types de sauvegarde Les périphériques de sauvegarde Les supports de sauvegarde La gestion des supports et périphériques dans l application de sauvegarde Critères de choix Gestion des supports et des pools Cycle de vie des supports Formatage des supports Prise en charge des bandes nettoyantes Protection des données écrites sur les supports Recommandations pour la gestion des cartouches magnétiques Les copies de supports (clonage)

9 8 La sécurité informatique 2.8 Les sauvegardes sur disque, la bibliothèque virtuelle Sauvegarde disque vers disque vers bande La bibliothèque virtuelle de sauvegarde ou VTL (Virtual Tape Library) L'utilisation de l'architecture SAN pour le stockage virtuel Les clés d une bonne sauvegarde La base de données de sauvegarde Le concept La sauvegarde de la base de données Les notifications Les machines virtuelles et leur stratégie de sauvegarde La gestion de la sécurité au niveau des sauvegardes La sécurité des données stockées Dispositifs supplémentaires de gestion de la sécurité Concept de snapshot ou clichés instantanés La restauration des données Observations relatives à la restauration Les différentes options de restauration de fichiers Restauration à la demande Restauration d un système d exploitation complet d un serveur La stratégie de sauvegarde Éléments de réflexion pour la mise en place d une stratégie de sauvegarde La fenêtre de sauvegarde La périodicité des sauvegardes La durée de rétention des données copiées Le type de support de copie de données Les spécifications de sauvegarde Création d'une spécification de sauvegarde Les calculs de besoins en stockage Collecte des besoins pour concevoir un système de sauvegarde opérationnel

10 Table des matières 9 5. L archivage des données Stratégie d'archivage Archivage légal et à long terme L administration et la supervision des sauvegardes Administration quotidienne Vérification des sessions Gestion de la base de données du logiciel de sauvegarde Plan de reprise du serveur de sauvegarde La technologie Drive Backup 11 Server Les autres produits disponibles Chapitre 6 Le plan de secours informatique 1. Introduction La préparation aux situations de sinistre Approches possibles Rétablissement Sélection des objectifs prioritaires Détermination du budget disponible Détermination ou analyse des risques Les solutions de secours Considérations techniques pour l établissement de plans de secours Postes de travail fixes et portables Considérations de précautions et bonnes pratiques Les sauvegardes Les risques particuliers des postes nomades Les serveurs Considérations de précautions de sécurité et bonnes pratiques Solutions de précaution et de secours

11 10 La sécurité informatique Solutions spécifiques Les réseaux locaux (LAN) et étendus (WAN) Les bonnes pratiques Les solutions de précaution et de secours Les réseaux sans fil ou WLAN (Wireless Local Area Networks) Les systèmes distribués (architecture client-serveur) Guide pour l établissement d un plan de reprise d activité en préparation d un sinistre Objectifs généraux État des lieux de l'existant Éléments critiques de l infrastructure Inventaire et diagnostic de l état de la sécurité Architecture de sauvegarde Équipements redondants ou de haute disponibilité Matériel et logiciels de secours Analyse des besoins métier Analyse de l'impact sur l'activité Détermination des durées d'interruptions acceptables Les scénarios de risque Élaboration du plan de reprise d activité Optimisation de l'infrastructure existante Analyse des solutions et choix globaux Choix du site de reprise ou de secours Autres solutions techniques de reprise Mise en place des ressources Évaluation des moyens Solutions techniques système et réseau Moyens techniques externes Contraintes liées aux fournisseurs externes Aspect humain

12 Table des matières Élaboration des procédures Procédures d'exploitation Procédures de reprise Documentation Les tests de fonctionnalités La gestion du suivi du plan La virtualisation de serveurs dans la stratégie de plan de secours Exemple de projet d implémentation d un PRA La norme ISO/IEC 22301: La norme ISO/IEC Chapitre 7 Le Cloud Computing 1. Principes Les modèles ou solutions Les différents modes de déploiement Les avantages du Cloud Computing Le Cloud Computing interne à une entreprise ou Cloud privé Le Cloud Computing et ses risques Comprendre les risques du Cloud Computing Les problématiques actuellement identifiées Les risques cachés du Cloud Computing Les menaces et vulnérabilités spécifiques Les risques organisationnels liés à l'utilisation du Cloud Computing Les risques généraux Les risques techniques Les risques réglementaires Les risques externes au Cloud Computing

13 12 La sécurité informatique 3. Bonnes pratiques de sécurité Étape préliminaire État des lieux Analyse des risques Conformités requises Le prestataire Le choix Vérification chez le prestataire Le contrat et les niveaux de service La gestion des incidents L accès et le chiffrement des données La sauvegarde La gestion de la continuité d'activité Étape de suivi ou de maintenance La sortie du Cloud Computing Conclusion Chapitre 8 Internet des objets ou Internet of Things 1. Introduction Présentation de la technologie Définition Les challenges Les domaines de l Internet des objets Les domaines concernés par la sécurité Les réseaux Les technologies des objets communicants

14 Table des matières Prise en compte des nouvelles menaces et des nouveaux risques Menaces générales des appareils mobiles Les besoins en sécurité Menaces particulières pouvant affecter les réseaux WSN (Wireless Sensor Networks) Menaces particulières pouvant affecter les technologies Menaces concernant plus particulièrement la technologie RFID Menaces spécifiques à la technologie NFC Menaces impliquant les données Les vulnérabilités Les autres risques spécifiques Évaluation des risques Propositions de solutions de sécurité Bonnes pratiques Recommandations de mises en place de mesures de sécurité La technologie WSN La technologie RFID La technologie NFC Stratégies globales de la sécurité d une infrastructure Conclusion Chapitre 9 La sensibilisation à la sécurité dans l entreprise 1. Objectif Le comportement La sensibilisation La charte de bonne conduite

15 14 La sécurité informatique Annexe 1. Sites web Organismes relatifs à la sécurité Index

16 211 Chapitre 5 La sécurité des données 1. Les risques de perte des données La sécurité des données La sauvegarde des données est essentielle pour une entreprise, quelle que soit sa taille, à partir du moment où toute information importante est stockée sur l infrastructure de son réseau. Il n'est pas indispensable systématiquement d imaginer le pire, mais il est néanmoins rationnel de prendre en compte toutes les éventualités pouvant conduire à la perte partielle ou totale, temporaire ou définitive, des informations de l entreprise. Voici quelques exemples de risques susceptibles d'affecter les données d un système d information : Dysfonctionnement du réseau électrique général pouvant amener des coupures avec pour conséquence des corruptions de données. Défaut du système d exploitation. Virus informatiques et logiciels malveillants. Dommages ou pannes du matériel (disques durs...). Suppression de fichiers (accidentelle ou non). Altération, modification ou suppression d'informations à mauvais escient. Vol de matériels, de logiciels ; sabotages. Erreurs de traitement de données. Catastrophes naturelles.

17 212 La sécurité informatique L éventualité de pertes de données importantes pour l entreprise implique la nécessité d effectuer des copies des données à l aide de sauvegardes et d archives pour toute l infrastructure informatique (serveurs de production, de développement...). Les principes généraux Des copies de sauvegarde de toutes les données opérationnelles doivent être effectuées pour permettre la reconstruction dans le cas où elles seraient détruites ou perdues. L application de sauvegarde doit être prévue pour être installée sur des serveurs de telle façon que les transferts de données soient le plus efficace possible et que la bande passante du réseau ne soit pas affectée surtout pendant les moments les plus utilisés par les applications métier de l entreprise. Il est fortement recommandé de stocker les copies de sauvegarde dans un emplacement sécurisé éloigné du site où se trouvent la plupart des systèmes critiques. Dans le cas d un incident grave ou d un sinistre affectant totalement ces systèmes, cette précaution permettra de remettre en service des machines équivalentes sur un site différent. Les supports de sauvegarde utilisés pour les opérations de sauvegarde doivent être testés périodiquement pour s assurer que les données peuvent être restaurées dans un état correct à chaque fois que cela est nécessaire. Les principes généraux présentés sont valables pour la plupart des logiciels et applications de sauvegarde. Des différences peuvent exister. Chacune de ces applications possède des spécifications relatives à l éditeur qui les a conçus et à l environnement pour lequel il a été prévu. Chaque entreprise choisit son application de sauvegarde en fonction de son environnement et de ses décisions stratégiques. Dans ce chapitre, les informations présentées peuvent être différentes selon les applications et leur éditeur. Toutefois, les principes décrits sont toujours valables. Editions ENI - All rights reserved

18 La sécurité des données Chapitre La sauvegarde et la restauration 2.1 Concepts généraux Il est utile, pour commencer, de définir les concepts principaux qui seront utilisés dans les prochains chapitres Définitions Le serveur de sauvegarde Il s agit d un serveur équipé d un ou de plusieurs périphériques de stockage, en général dédiés à cette fonction. Son rôle principal consiste à réaliser les phases de sauvegarde, d archivage, de restauration de données (système d exploitation, fichiers, bases de données...). Le client de sauvegarde Le serveur est également sauvegardé par l'application de sauvegarde, il est donc aussi client de l'application. Les machines clientes sont aussi des serveurs, elles représentent les environnements à sauvegarder. Le client comprend un ensemble de données à sauvegarder sur une machine spécifiée (serveur de fichiers, d application...). Plusieurs clients peuvent coexister sur une même machine physique, chaque client ayant ses propres attributs. Ce sont : Un nom : toujours le nom du serveur connu sur le réseau de l entreprise. Des ensembles à sauvegarder ou save-sets : des noms de fichiers, de répertoires ou de systèmes de fichiers. L appartenance à un groupe, un planning de sauvegarde, une directive, des politiques... Un alias : autre nom de la machine dans le réseau.

19 214 La sécurité informatique Nœuds de stockage : liste prioritaire des périphériques locaux ou distants vers lesquels vont être envoyés les flux de données. Nœuds de stockage de clonage : liste prioritaire pour cette opération. Politiques de rétention des données et de recherche. Les clients peuvent regroupés et posséder des attributs propres : Nom. Heure de démarrage. Type de démarrage. Politique de rétention des données et de recherche. L application de sauvegarde C est le logiciel installé sur le serveur de sauvegarde. Sa fonction consiste à gérer les opérations sur les supports, les connexions sur les clients, à signaler les erreurs rencontrées. Les groupes d'utilisateurs et les droits d accès Dans l application de sauvegarde, des groupes d'utilisateurs peuvent être créés pour les opérations de sauvegarde, de restauration ou d'archivage. Un utilisateur doit appartenir à un groupe avant de pouvoir se voir attribuer des droits d'accès particuliers. En effet, sauvegarder et restaurer revient à copier des données, il convient donc de limiter l'accès aux utilisateurs autorisés. Ce qui implique un système de sécurité relatif aux utilisateurs du type : Toute personne souhaitant utiliser le logiciel de sauvegarde doit être définie comme utilisateur dans l application. Seul le propriétaire de la copie peut visualiser les données qu'il a sauvegardées. D autres autorisations peuvent être définies en fonction du contexte et des besoins des utilisateurs ou de l environnement. Editions ENI - All rights reserved

20 La sécurité des données Chapitre Le planning de sauvegarde La périodicité est définie en fonction des besoins et des niveaux de sauvegarde, elle peut être quotidienne, hebdomadaire ou mensuelle. Ces lignes de conduite se définissent comme étant une combinaison de périodes (jour, semaine, mois, année) ou une fréquence de sauvegarde La politique de sauvegarde Elle est définie en fonction du volume de données à copier, de la quantité d information à garder ou éventuellement à perdre, de l environnement technique, de la durée légale de conservation des données. Cette politique consiste à définir : L environnement du système d information à sauvegarder (services, matériels, sites, utilisateurs...) et la façon dont les opérations sont réalisées. Le type et la quantité de données à stocker (fichiers utilisateurs ou applicatifs, comptes de messagerie, bases de données...). Le nombre de fichiers ou la taille des sauvegardes peut évoluer dans le temps avec l ajout de nouvelles applications ou de données. La fréquence/périodicité des sauvegardes. Les lieux et moyens de stockage des sauvegardes. Politique de rétention des données sauvegardées Deux types existent : Politique de recherche : période de maintien des informations dans les index ou la base de données interne. Politique de rétention : période de conservation des informations dans la bandothèque ou l ensemble de stockage des supports.

21 216 La sécurité informatique La sauvegarde Il s agit de l opération consistant à créer une copie des données sur un média de stockage (bande magnétique, support optique, disque dur...). Cette réplication d information est stockée et conservée pour une utilisation ultérieure de restauration dans le cas où l original serait supprimé (involontairement ou volontairement), détruit ou endommagé. Le logiciel qui copie les données vers un média s appelle application de sauvegarde. Dans la plupart des cas, la source correspond à des données enregistrées sur une unité de disques, par exemple des fichiers, des répertoires, des bases de données et des applications. La destination est un support de stockage utilisant un matériel d enregistrement et de lecture tel une unité de bande magnétique, un robot de sauvegarde (bandothèque), une unité de stockage composée de disques ou de supports optiques (DVD-ROM...), ou encore un stockage basé sur le réseau L archivage C est une opération de copie identique à la sauvegarde, sauf que les données copiées sont stockées et conservées pour une durée plus longue. Cette opération peut s avérer nécessaire pour des raisons légales et/ou administratives. Elle permet aussi de conserver l état du système d exploitation d un serveur juste après une installation ou une mise à jour importante. La destination est un support utilisant un périphérique spécifique équivalent à ceux définis pour la sauvegarde, le support WORM (Write Once/Read Many) peut être utilisé plus spécifiquement dans ce cas La restauration Cette opération réalise la reconstruction des données originales à partir d une copie de sauvegarde ou d archivage. Ce concept regroupe la préparation et la recopie proprement dite des données, certaines actions supplémentaires pour rendre les données exploitables sont parfois nécessaires. Editions ENI - All rights reserved