Préjudices, failles, vulnérabilités et menaces

Dimension: px
Commencer à balayer dès la page:

Download "Préjudices, failles, vulnérabilités et menaces"

Transcription

1 INF4470 : Fiabilité et sécurité informatique Par Eric Gingras Hiver 2010 Préjudices, failles, vulnérabilités et menaces

2 Préjudice En général, on dit que le préjudice est : "une atteinte subie par une personne dans ses biens, son corps, ses sentiments ou son honneur" Les préjudices sont donc matériel, corporel ou moral Il est fréquent de cumuler plusieurs de ces préjudices à l'occasion d'un même accident Le préjudice est le dommage qui est causé à autrui d'une manière volontaire ou involontaire. Un préjudice est une perte, ou un dommage possible dans un système informatique

3 Vulnérabilité Une faiblesse dans un système qui pourrait être exploitée pour causer préjudice Ces vulnérabilités sont la conséquence de faiblesses dans la conception, la mise en oeuvre ou l'utilisation d'un composant matériel ou logiciel du système informatique. Il s'agit généralement de l'exploitation de «bugs» logiciel On parle aussi de faille de sécurité informatique

4 «Exploit» Il arrive que la procédure d'exploitation d'une faille soit documentée et utilisable sous la forme d'un logiciel : un exploit Un exploit est un programme qui permet d'exploiter une faille dans un système d'exploitation ou un logiciel L'exploit peut-être local ou distant L'exploit peut permettre de : prendre le contrôle d'un ordinateur d'augmenter les privilèges d'un logiciel ou d'un utilisateur d'effectuer une attaque par déni de service etc.

5 Types d'exploit Les exploits peuvent être classifiés par le type de faille qu'ils utilisent. Voici quelques-unes des failles les plus couramment exploitées. Dépassement de tampon (Buffer overflow, Integer overflow, etc.) Injection de code (Code injection) Injection SQL (SQL injection) Cross site scripting (XSS) etc.

6 Contrôle Une mesure protectrice ou préventive, action, mécanisme, procédure ou technique qui réduit l incidence d une ou de vulnérabilités

7 Attaque L exploitation d une vulnérabilité dans un système informatique est appelé attaque. L'utilisation d'un exploit est une forme d'attaque informatique. Mais l'exploitation d'une vulnérabilité n'est pas nécessairement accomplie par un logiciel, par exemple par ingénierie sociale.

8 Menace Ensemble de circonstances pouvant potentiellement causer des préjudices Menace = Existence de vulnérabilités + présence potentielle d attaquants

9 Types d'attaques Interruption Rendre un service ou un élément nondisponible, inutilisable. Par exemple : effacer un programme détruire ou neutraliser une composante du système

10 Types d'attaques Interception Un accès non-autorisé à un service, à une ressource. Par exemple : copie illicite écoute interception de données

11 Types d'attaques Modification Changement de données Trafiquage de ressources ou de logiciel Fabrication : Création de faux usurpation d'adresse ou d'identité

12 Attaques contre le logiciel Logiciel Interception : -vol -utilisation illicite -déplacement Interruption : -effacement -destruction Modification : -sabotage -trafiquage -introduction de : -bogues -virus -chevaux de Troie -portes dérobées

13 Attaques contre les données Données Interception : -vol -copie -détection Interruption : -privation -d accès -destruction Modification : -création de faux -trafiquage

14 Attaques contre le matériel Interruption : -déni de service -destruction Matériel Interception : -vol -utilisation illicite Modification : -sabotage -partiel -trafiquage

15 Acteurs Amateurs Exploitation de «recettes» «Script kiddies» Craqueurs Expertise surprenante Criminels accomplis Moyens très importants Expertise considérable

16 Principe de pénétration la plus facile On doit s attendre à ce qu un attaquant utilise tous les points d accès au système, pas forcément les plus évidents, ni ceux contre lesquels les défenses les plus fortes ont été montées

17 Notion de confiance À qui et quoi peut-on se fier? Clavier ordinateur BIOS Système d exploitation Applications Données etc. Pas de sécurité possible sans confiance

18 Analyse des menaces Inspection de chaque élément du système Considérer les préjudices possibles contre: Confidentialité Authentification Authentification d origine de données Intégrité Disponibilité Envisager tous les types d attaques hypothétiquement possibles

19 Éléments à considérer Localement Nœuds locaux Liens locaux de communication Stockage local Processus locaux Dispositifs locaux

20 Éléments à considérer À distance: Passerelle réseau Liens de communication réseau Ressources réseau Routeurs Services réseau (par ex., bases de données)

21 Attaques spécifiques Écoute Interception de données en transit Analyse de trafic Fonction du médium sniffage de paquets rayonnement électromagnétique protection par volume, multiplexage satellites: faisceaux fibres optiques: pas de rayonnement, insertion détectable

22 Attaques spécifiques Usurpation accès à des données, programmes, machines création de faux détournement Au niveau liaison (par ex., ARP spoofing) Au niveau réseau (par ex., IP spoofing Au niveau applicatif (faux courriel, Web spoofing) rôle de l authentification différent selon l étendue du réseau

23 Attaques spécifiques Violation d intégrité Modification de données en transit Répétition de paquets Intégrité du code téléchargé

24 Attaques spécifiques Déni de service Blocage partiel ou total Inondation Ouverture de connexions Attaques distribuées Attaques indirectes Modification des tables de routage

25 Menaces et vulnérabilités Différentes façon de tomber en panne : Fautes matériel (dégradation) Fautes de design matériel Fautes de logiciel Fautes des procédures d utilisation Fautes par action des utilisateurs Changement de conditions environnementales Attaques malicieuses

26 Fautes comme sources d'attaques En pratique, la plupart (sinon la majorité) des failles de sécurité sont dues à des fautes dans l ingénierie du logiciel qui souffre de défaillance L exemple par excellence: le débordement de tampon

27 Débordement de tampons Moyen de pénétration parmi les plus employés Possible parce qu une supposition (souvent implicite) n est pas valide : on suppose qu aucune écriture ne peut être effectuée à l extérieur de la zone de mémoire allouée pour un tampon Avec plusieurs langages populaires (par ex., C ou C++), cette supposition est fausse : il n y a pas de vérification de taille avant d écrire dans un tampon

28 Débordement de tampons Dans la mesure où une fonction obtient des valeurs provenant d une entrée externe et stocke ces valeurs dans un tampon, il est possible à un usager malveillant de contrôler ce qui sera écrit en mémoire, à l extérieur de la zone allouée pour les paramètres

29 Débordement de tampons

30 Débordement de tampons

31 Débordement de tampons void function (int a, int b, int c) { char buffer1[5]; char buffer2[10]; } int main() { function(1,2,3); }

32 Débordement de tampons

33 Débordement de tampons void function (char *str) { char buffer[16]; strcpy (buffer, str); } int main () { char *str = "Je compte plus que 16 octets "; // longueur de chaîne = 29 octets function (str); }

34 Débordement de tampons Ce programme aura un comportement imprévisible car le tampon prévu pour 16 octets, reçoit en fait 29 octets Le débordement écrase le contenu de la pile, particulièrement l adresse de retour En choisissant avec soin les octets de débordement, il est possible de faire exécuter un bout de code qui, par exemple, démarre une coquille de commande avec les droits du programme original

35 Défaillances de sécurités Une attaque de débordement qui fonctionne n est pas une défaillance d un mécanisme de sécurité, mais c est clairement une défaillance de sécurité Le fait que des défaillance de sécurité découlent de fautes dans le système n est pas une surprise Dans un système d envergure, pour éviter ces fautes non-intentionnelles qui peuvent être exploitées pour induire des défaillances de sécurité, il faut éliminer ces fautes du système

36 Défaillances de sécurités Le problème consiste alors à identifier les éléments du système qui sont susceptibles d être exploitées On a le choix de viser soit : un système qui est certifié sans fautes d un bout à l autre, ou un système dont certaines parties sont certifiées sans fautes + une argumentation rigoureuse (ou une preuve) que ces parties sont les seules qui peuvent être vulnérables aux attaques

37 Défaillances de sécurités Ce problème est loin d être facile, même pour un système considéré comme «simple» Les systèmes modernes sont de moins en moins simples: La taille augmente Les systèmes sont distribués On veut assurer la rétrocompatibilité

38 Outils Plusieurs outils existent pour : trouver les vulnérabilités vérifier la sécurité de codes sources détecter la présence d'exploits etc.

39 CVE Common Vulnerabilities and Exposures (gèré par le MITRE : application d'ingénierie et de technologies avancées aux problèmes critiques [homeland security]) Un dictionnaire des vulnérabilités connues (brèves descriptions et références). Chaque vulnérabilité est étiqueté d'un identifiant unique permettant l'échange d'information entre les systèmes chargé de sécurité. Les identifiant ont la forme : CVE-AAAA-NNNN exemple : CVE

40 CVE Cette base de donnée peut être utilisé par les solutions de détection de vulnérabilités pour indexer et documenter leurs résultats. Elle peut également servir à mesurer la couverture de ces outils ou de ces services. Le MITRE a défini une procédure couvrant les informations à diffuser et les fonctions de recherche et de mise à jour pour l'utilisation conforme de la liste CVE.

41 NVD National Vulnerability Database (un produit du NIST commandité par le US-CERT [Computer Emergency Readiness Team] du «Homeland Security») Dépôt du gouvernement américain pour l'information standardisée sur les vulnérabilités (CVE + vulnerability notes). Ces données sont destinées à faciliter la gestion automatisée des vulnérabilités, l'évaluation de la sécurité et la conformité.

42 NVD La base de données NVD inclue des listes de contrôles («checklists») de sécurité, des descriptions des failles reliées à la sécurité dans les logiciels, des mauvaises configurations présentant un impact sur la sécurité, des listes de produits de sécurité existants et des métriques pour l'évaluation d'impact.

43 Autres listes de vulnérabilités Secunia : vulnérabilités + virus SecurityFocus Bugtraq : par Symantec FrSIRT (French Security Incident Response Team) : veille sous forme de bulletins. OSVDB : Open Source Vulnerability Data Base) : regroupement de divers sources Autres : Microsoft, Cisco, IBM, etc.

44 Arbres d'attaques Concept de Bruce Schneier Démarche méthodique et intuitive permettant d évaluer la sécurité des systèmes (informatique ou autres) En assignant des valeurs, on arrive à produire facilement une évaluation quantitative des risques

45 Arbres d'attaques : coffre fort

46 Arbres d'attaques : coffre fort

47 Arbres d'attaques : coffre fort

48 Arbres d'attaques : coffre fort

49 Arbres d'attaques : coffre fort

50 Arbres d'attaques : coffre fort

51 Arbres d'attaques : Widget

52 Arbres d'attaques : divulgation de propriétés intellectuels OR 1. Physically scavenge discarded items from Widget OR 1. Inspect dumpster content on site 2. Inspect refuse after removal from site 2. Monitor emanations from Widget machines AND 1. Survey physical perimeter to determine optimal monitoring position 2. Acquire necessary monitoring equipment 3. Set up monitoring site 4. Monitor emanations from site 3. Recruit help of trusted Widget insider OR 1. Plant spy as trusted insider 2. Use existing trusted insider 4. Physically access Widget networks or machines OR 1. Get physical, on-site access to Intranet 2. Get physical access to external machines 5. Attack Widget intranet using its connections with Internet OR 1. Monitor communications over Internet for leakage 2. Get trusted process to send sensitive information to attacker over Internet 3. Gain privileged access to Web server 6. Attack Widget intranet using its connections with public telephone network (PTN) OR 1. Monitor communications over PTN for leakage of sensitive information 2. Gain privileged access to machines on intranet connected via Internet

53 Arbres d'attaques : divulgation via le gain de privilèges sur le serveur Web AND 1.Identify Widget domain name 2. Identify Widget firewall IP address OR 1. Interrogate domain name server 2. Scan for firewall identification 3. Trace route through firewall to Web server 3. Determine Widget firewall access control OR 1. Search for specific default listening ports 2. Scan ports broadly for any listening port 4. Identify Widget Web server operating system and type OR 1. Scan OS services' banners for OS identification 2. Probe TCP/IP stack for OS characteristic information 5. Exploit Widget Web server vulnerabilities OR 1. Access sensitive shared intranet resources directly 2. Access sensitive data from privileged account on Web server

Chapitre 2. Vulnérabilités protocolaires et attaques réseaux M&K HDHILI

Chapitre 2. Vulnérabilités protocolaires et attaques réseaux M&K HDHILI Chapitre 2 Vulnérabilités protocolaires et attaques réseaux 1 Définitions Vulnérabilité: Défaut ou faiblesse d un système dans sa conception, sa mise en œuvre ou son contrôle interne pouvant mener à une

Plus en détail

Sécurité des systèmes informatiques Introduction

Sécurité des systèmes informatiques Introduction Année 2008-2009 Sécurité des systèmes informatiques Introduction Nicolas Baudru mél : nicolas.baudru@esil.univmed.fr page web : nicolas.baudru.esil.perso.univmed.fr 1 Système d'information et système informatique

Plus en détail

Formations. «Hacking Edition» Certilience formation N 82 69 10164 69 - SIRET 502 380 397 00021 - APE 6202A - N TVA Intracommunautaire FR17502380397

Formations. «Hacking Edition» Certilience formation N 82 69 10164 69 - SIRET 502 380 397 00021 - APE 6202A - N TVA Intracommunautaire FR17502380397 Formations «Hacking Edition» Nos formations Réf. HAC01 35 Heures Les techniques d attaques Réf. HAC02 21 Heures Vulnérabilités réseaux et applicatives Réf. HAC03 21 Heures Sécurité des applications Web

Plus en détail

OWASP Open Web Application Security Project. Jean-Marc Robert Génie logiciel et des TI

OWASP Open Web Application Security Project. Jean-Marc Robert Génie logiciel et des TI OWASP Open Web Application Security Project Jean-Marc Robert Génie logiciel et des TI A1: Injection Une faille d'injection, telle l'injection SQL, OS et LDAP, se produit quand une donnée non fiable est

Plus en détail

Audit et Sécurité Informatique

Audit et Sécurité Informatique 1 / 54 Audit et Sécurité Informatique Chap 1: Services, Mécanismes et attaques de sécurité Rhouma Rhouma https://sites.google.com/site/rhoouma Ecole superieure d Economie Numerique 3ème année Licence 2

Plus en détail

INTRANET - SECURITE. 2. La Sécurité

INTRANET - SECURITE. 2. La Sécurité INTRANET - SECURITE 1. Intranet et Extranet 2. La Sécurité INTRANET Un intranet est un ensemble de services internet (par exemple un serveur e web) internes nes à un réseau local, c'est-à-dire accessibles

Plus en détail

Objectifs et gestion de la sécurité

Objectifs et gestion de la sécurité INF4470 : Fiabilité et sécurité informatique Par Eric Gingras Hiver 2010 Objectifs et gestion de la sécurité Qu'est ce que la sécurité? «Situation où l'on a aucun danger à craindre.» (dictionnaire Larousse)

Plus en détail

Plan. Les pare-feux (Firewalls) Chapitre II. Introduction. Notions de base - Modèle de référence OSI : 7 couches. Introduction

Plan. Les pare-feux (Firewalls) Chapitre II. Introduction. Notions de base - Modèle de référence OSI : 7 couches. Introduction Plan Introduction Chapitre II Les pare-feux (Firewalls) Licence Appliquée en STIC L2 - option Sécurité des Réseaux Yacine DJEMAIEL ISET Com Notions de base relatives au réseau Définition d un pare-feu

Plus en détail

Evaluer les risques liés aux défauts de sécurité

Evaluer les risques liés aux défauts de sécurité C2I Métiers de la Santé SECURITE INFORMATIQUE Evaluer les risques liés aux défauts de sécurité Eric Boissinot Université François Rabelais Tours 13/02/2007 Pourquoi la sécurité? Le bon fonctionnement d

Plus en détail

Principales failles de sécurité des applications Web Principes, parades et bonnes pratiques de développement

Principales failles de sécurité des applications Web Principes, parades et bonnes pratiques de développement Guillaume HARRY l Contenu sous licence Creative Commons CC-BY-NC-ND Principales failles de sécurité des applications Web Principes, parades et bonnes pratiques de développement P. 2 1. Introduction 2.

Plus en détail

Introduction à la sécurité des systèmes embarqués

Introduction à la sécurité des systèmes embarqués RMLL 2007 Introduction à la sécurité des systèmes embarqués email web : kadionik@enseirb.fr : http://www.enseirb.fr/~kadionik http://www.enseirb.fr/cosynux/ Patrice KADIONIK ENSEIRB - IMS pk/enseirb/2007-1-

Plus en détail

Option 2 and Option 5 are correct. 1 point for each correct option. 0 points if more options are selected than required.

Option 2 and Option 5 are correct. 1 point for each correct option. 0 points if more options are selected than required. Quelles sont les deux affirmations vraies relatives à la sécurité du réseau? (Choisissez deux réponses.) Protéger un réseau contre les attaques internes constitue une priorité moins élevée car les employés

Plus en détail

INF4420: Éléments de Sécurité Informatique

INF4420: Éléments de Sécurité Informatique : Éléments de Module II : Sécurité OS et des logiciels José M. Fernandez M-3109 340-4711 poste 5433 Module II Aperçu Semaine 5 Sécurité dans les systèmes d'exploitation (SE) Contrôle d'accès dans les SE

Plus en détail

GESTION DES INCIDENTS DE SÉCURITÉ DE L INFORMATION

GESTION DES INCIDENTS DE SÉCURITÉ DE L INFORMATION GESTION DES INCIDENTS DE SÉCURITÉ DE L INFORMATION Savadogo Yassia ARCEP/CIRT-BF savadogo.yassia[at]arcep.bf AGENDA Introduction Définition d un incident de sécurité de l information Schéma de classification

Plus en détail

Cours. Plan. Définitions. Objectifs. Chapitre 4: Analyse de risques. Définitions et objectifs. Méthodes d analyse de risques. Méthode du NIST 8000-30

Cours. Plan. Définitions. Objectifs. Chapitre 4: Analyse de risques. Définitions et objectifs. Méthodes d analyse de risques. Méthode du NIST 8000-30 Plan Définitions et objectifs Cours Sécurité et cryptographie Chapitre 4: Analyse de risques Méthodes d analyse de risques Méthode Méhari Méthode du NIST 8000-30 Méthode Conclusion Hdhili M.H Cours sécurité

Plus en détail

L'écoute des conversations VoIP

L'écoute des conversations VoIP L'écoute des conversations VoIP Marc-André Meloche (OSCP, C EH, Security+) et Eric Gingras 5 à 7 Technique 21 Septembre 2010 Gardien Virtuel Entreprise de services-conseils spécialisée dans la sécurité

Plus en détail

Protection contre les menaces Prévention

Protection contre les menaces Prévention Protection contre les menaces Prévention Jean-Marc Robert Génie logiciel et des TI Plan de la présentation Introduction Prévention Routeurs Pare-feu Systèmes de prévention d intrusion Conclusions Jean-Marc

Plus en détail

Indicateur et tableau de bord

Indicateur et tableau de bord Agenda Indicateur et tableau de bord «La sécurité n est pas une destination mais un voyage» 1. Jean-François DECHANT & Philippe CONCHONNET jfdechant@exaprobe.com & pconchonnet@exaprobe.com +33 (0) 4 72

Plus en détail

Internal Hacking et contre-mesures en environnement Windows Piratage interne, mesures de protection, développement d'outils

Internal Hacking et contre-mesures en environnement Windows Piratage interne, mesures de protection, développement d'outils Introduction 1. Préambule 15 2. Décryptage d une attaque réussie 17 3. Décryptage de contre-mesures efficaces 18 3.1 Analyse de risques réels 18 3.2 Considérations techniques 19 3.3 Considérations de la

Plus en détail

Sécurisation en local

Sécurisation en local Attaques locales (internes) Sécurisation en local Indépendamment de la présence d un réseau Espionnage quand même possible Émission électromagnétiques Norme tempest Dispositifs sans fil Clavier/souris

Plus en détail

Enterprise Risk Management 01/12/09. Patrick CHAMBET http://www.chambet.com

Enterprise Risk Management 01/12/09. Patrick CHAMBET http://www.chambet.com Enterprise Risk Management 01/12/09 La gestion des risques de sécurité informatique De la protection du SI à la protection de l'information Patrick CHAMBET http://www.chambet.com Bouygues Telecom DSI/DGOA/SSI

Plus en détail

Exigences de contrôle pour les fournisseurs externes

Exigences de contrôle pour les fournisseurs externes Exigences de contrôle pour les fournisseurs externes Cybersécurité Pour les fournisseurs à cyber-risque faible Exigences de cybersécurité 1. Protection des actifs et configuration des systèmes Les données

Plus en détail

Tutoriel sur Retina Network Security Scanner

Tutoriel sur Retina Network Security Scanner Département de Mathématiques Informatique Master 2 RIP filière «Réseaux» Cours «Sécurité des réseaux et des contenus multimédia» Responsable du module : Mr Osman SALEM Tutoriel sur Retina Network Security

Plus en détail

Charte pour l usage de ressources informatiques et de services Internet

Charte pour l usage de ressources informatiques et de services Internet Prénom Nom : Signature : Date : Service : Charte pour l usage de ressources informatiques et de services Internet Ce texte, associé au règlement intérieur des entités, a pour objet de préciser la responsabilité

Plus en détail

Directive de sécurité sur la sauvegarde des données en ligne

Directive de sécurité sur la sauvegarde des données en ligne Directive de sécurité sur la sauvegarde des données en ligne Entrée en vigueur le 18 juin 2010 Préparé et sous la responsabilité de la Direction des services juridiques Section affaires juridiques Approuvé

Plus en détail

Netdays 2004. Comprendre et prévenir les risques liés aux codes malicieux

Netdays 2004. Comprendre et prévenir les risques liés aux codes malicieux 1 Netdays 2004 Comprendre et prévenir les risques liés aux codes malicieux 2 Comprendre et prévenir les risques liés aux codes malicieux - Motivations - Les principaux types de codes malicieux - Les principales

Plus en détail

I V R I. dentification ulnérabilités isques nterprétation. 2003 Marc-André Léger

I V R I. dentification ulnérabilités isques nterprétation. 2003 Marc-André Léger I V R I dentification ulnérabilités isques nterprétation 2003 Marc-André Léger les vulnérabilitées 7000 6000 5000 4000 3000 2000 1000 0 2000 2001 2002 2003 2004 Vision de l organisation comme système organique

Plus en détail

Sécurité des systèmes informatiques

Sécurité des systèmes informatiques Sécurité des systèmes informatiques Sécurité et procédures Olivier Markowitch Sécurisation matérielle Sécurisation matérielle des stations de travail permission de l accès au clavier ou à l écran tactile

Plus en détail

Les risques HERVE SCHAUER HSC

Les risques HERVE SCHAUER HSC HERVE SCHAUER HSC Les risques Les risques ne cessent d'augmenter: Informatisation systématique de l'ensemble de la société Ouverture des systèmes d'information sur Internet Démultiplication de ce qui est

Plus en détail

La sécurité informatique

La sécurité informatique 1 La sécurité informatique 2 Sécurité des systèmes d information Yves Denneulin (ISI) et Sébastien Viardot(SIF) Cadre du cours Informatique civile (avec différences si publiques) Technologies répandues

Plus en détail

Directive de la remontée d'incident de sécurité. Release Status Date Written by Edited by Approved by FR_1.0 Final 01/06/2014 Alain Houbaille

Directive de la remontée d'incident de sécurité. Release Status Date Written by Edited by Approved by FR_1.0 Final 01/06/2014 Alain Houbaille ISMS (Information Security Management System) Directive de la remontée d'incident de sécurité Version control please always check if you are using the latest version. Doc. Ref. :isms.051.security incident

Plus en détail

Techniques actuelles d'attaque IP

Techniques actuelles d'attaque IP Mélée Numérique 18 mars 2003 Techniques actuelles d'attaque IP 8 années d'expérience en test d'intrusion Stéphane Aubert Stephane.Aubert@hsc.fr Hervé Schauer Consultants 1 Hervé Schauer Consultants Cabinet

Plus en détail

Tests d intrusions dans un cadre formel

Tests d intrusions dans un cadre formel Tests d intrusions dans un cadre formel Introduction Qu est-ce qu un test d intrusion? Tests de vulnérabilité vs Tests d intrusion Règles d engagement Cadre d un test d intrusion Tests d'intrusion - Laurent

Plus en détail

LA PROTECTION DES DONNÉES

LA PROTECTION DES DONNÉES LA PROTECTION DES DONNÉES PROTECTION DES BASES DE DONNÉES 22/11/2012, Swissôtel Métropole INTRODUCTION UNE CIBLE DE CHOIX Contient énormément de données confidentielles Rarement protégée autrement que

Plus en détail

INF4420: Éléments de Sécurité Informatique

INF4420: Éléments de Sécurité Informatique : Éléments de Module III : Sécurité des réseaux informatiques José M. Fernandez D-6428 340-4711 poste 5433 Où sommes-nous? Semaine 1 Intro Semaines 2, 3 et 4 Cryptographie Semaine 6, 7 Sécurité dans les

Plus en détail

Les Attaques en Réseau sous Linux

Les Attaques en Réseau sous Linux Les Attaques en Réseau sous Linux Plan Introduction Partie 1: ARP Spoofing Partie 2: Outils de simulation. Partie 3: Démonstration de l attaque.. Partie 4: Prévention et détection de l attaque. Partie

Plus en détail

SHELLSHOCK. Membre : BAGHDADI Radhouane RT3 GAMMOUDI Ibtissem RT4 RAHMOUNI Mohamed RT3 BERGAOUI Halima RT4 JAAFAR Ali RT3 CHEBBI Sana RT4

SHELLSHOCK. Membre : BAGHDADI Radhouane RT3 GAMMOUDI Ibtissem RT4 RAHMOUNI Mohamed RT3 BERGAOUI Halima RT4 JAAFAR Ali RT3 CHEBBI Sana RT4 SHELLSHOCK Membre : BAGHDADI Radhouane RT3 GAMMOUDI Ibtissem RT4 RAHMOUNI Mohamed RT3 BERGAOUI Halima RT4 JAAFAR Ali RT3 CHEBBI Sana RT4 Table de matière 1. Présentation de l atelier... 2 1.1. Le SHELL...

Plus en détail

Gestion des mises à jour logicielles

Gestion des mises à jour logicielles Gestion des mises à jour logicielles Jean-Marc Robert Génie logiciel et des TI Menaces et vulnérabilités Menaces Incidents non intentionnels Activités inappropriées Contenu inapproprié Utilisation inappropriée

Plus en détail

L'infonuagique, les opportunités et les risques v.1

L'infonuagique, les opportunités et les risques v.1 L'infonuagique, les opportunités et les risques v.1 Avril 2014 Présenté au PMI 2014 Tactika inc. www.tactika.com @tactika http://ca.linkedin.com/in/tactika 1 Contenu de la conférence 1. Les concepts 2.

Plus en détail

La sécurité, à l'heure actuelle

La sécurité, à l'heure actuelle Plan de l'exposé I) La sécurité, à l'heure actuelle II) Les différentes attaques II) La solution «passive», l'ids IV) La solution «active», l'ips V) Limites des IDS/IPS VI) Bilan et conclusion La sécurité,

Plus en détail

Symantec Protection Suite Enterprise Edition for Gateway Sécurité maximale de la messagerie, du Web et du réseau avec un minimum de complexité

Symantec Protection Suite Enterprise Edition for Gateway Sécurité maximale de la messagerie, du Web et du réseau avec un minimum de complexité Fiche technique: Sécurité de la messagerie Sécurité maximale de la messagerie, du Web et du réseau avec un minimum de complexité Présentation protège les données confidentielles et garantit la productivité

Plus en détail

Kaspersky Fraud Prevention for Endpoints

Kaspersky Fraud Prevention for Endpoints Kaspersky Fraud Prevention for Endpoints www.kaspersky.fr KASPERSKY FRAUD PREVENTION 1. Techniques d attaque du système bancaire en ligne L'appât du gain constitue la principale motivation de la cyber-criminalité.

Plus en détail

INTRODUCTION A LA SECURITE DES RESEAUX

INTRODUCTION A LA SECURITE DES RESEAUX INTRODUCTION A LA SECURITE DES RESEAUX OBJECTIFS de la SECURITE des DONNEES (relativement à des personnes non autorisées) Confidentielles-ne doivent pas être lues Permanentes-ne doivent pas être altérées

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE KS (KIMSUFI)

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE KS (KIMSUFI) CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE KS (KIMSUFI) Dernière version du 02 Septembre 2014 ARTICLE 1 : OBJET Les présentes conditions particulières, complétant les conditions générales

Plus en détail

Guides des bonnes pratiques de sécurité informatique pour une STA ( Solution Technique d'accès )

Guides des bonnes pratiques de sécurité informatique pour une STA ( Solution Technique d'accès ) Guides des bonnes pratiques de sécurité informatique pour une STA ( Solution Technique d'accès ) Sommaire 1. Protection de son matériel et de ses données Création d'un utilisateur avec mot de passe compliqué

Plus en détail

S26B. Démarche de de sécurité dans les projets

S26B. Démarche de de sécurité dans les projets S26B Démarche de de sécurité dans les projets Théorie et et réalité Patrick CHAMBET Bouygues Telecom http://www.chambet.com Eric LARCHER Banque Fédérale des Banques Populaires http://www.internet-securise.com

Plus en détail

Charte pour l usage de ressources informatiques et de services Internet

Charte pour l usage de ressources informatiques et de services Internet Charte pour l usage de ressources informatiques et de services Internet Ce texte, associé au règlement intérieur de l Observatoire de Paris (désigné dans la suite comme l Établissement) et ceux de ses

Plus en détail

Mécanismes de sécurité des systèmes. 10 e cours Louis Salvail

Mécanismes de sécurité des systèmes. 10 e cours Louis Salvail Mécanismes de sécurité des systèmes 10 e cours Louis Salvail Objectifs Objectifs La sécurité des réseaux permet que les communications d un système à un autre soient sûres. Objectifs La sécurité des réseaux

Plus en détail

Fiches micro-informatique SECURITE LOGIQUE LOGIxx

Fiches micro-informatique SECURITE LOGIQUE LOGIxx Objectif Fiches micro-informatique SECURITE LOGIQUE LOGIxx Présenter des préconisations pour sécuriser le poste de travail informatique et son environnement sous forme de fiches pratiques. Public concerné

Plus en détail

Corrigé CCNA 2 Chap1

Corrigé CCNA 2 Chap1 Corrigé CCNA 2 Chap1 Question 1 Parmi les affirmations suivantes concernant l'utilisation du Fast Ethernet bidirectionnel simultané, lesquelles sont vraies? (Choisissez trois réponses.) Le Fast Ethernet

Plus en détail

CHARTE INFORMATIQUE LGL

CHARTE INFORMATIQUE LGL CHARTE INFORMATIQUE LGL Selon la réglementation indiquée dans la charte informatique du CNRS, tout accès aux ressources informatiques du LGLTPE nécessite une authentification des personnels. Cette authentification

Plus en détail

Projet Sécurité des SI

Projet Sécurité des SI Projet Sécurité des SI «Groupe Défense» Auteurs Candide SA Diffusion: limitée Type de document Compte rendu Projet Sécurité Destinataires P. LATU Date 14/12/09 M2 STRI Version 1.2 Introduction Sous-traitance

Plus en détail

ModSecurity. Cible de sécurité CSPN Version 0.96

ModSecurity. Cible de sécurité CSPN Version 0.96 Cible de sécurité CSPN Version 0.96 TABLE DES MATIERES 1 IDENTIFICATION... 3 1.1 IDENTIFICATION DE LA CIBLE DE SECURITE... 3 1.2 IDENTIFICATION DU PRODUIT... 3 2 ARGUMENTAIRE (DESCRIPTION) DU PRODUIT...

Plus en détail

Fiche technique: Sécurité des terminaux Symantec Endpoint Protection La nouvelle technologie antivirus de Symantec

Fiche technique: Sécurité des terminaux Symantec Endpoint Protection La nouvelle technologie antivirus de Symantec La nouvelle technologie antivirus de Symantec Présentation Protection avancée contre les menaces. Symantec Endpoint Protection associe Symantec AntiVirus à la prévention avancée des menaces pour fournir

Plus en détail

Atelier Pivoting KHOULOUD GATTOUSSI (RT3) ASMA LAHBIB (RT3) KHAOULA BLEL (RT3) KARIMA MAALAOUI (RT3)

Atelier Pivoting KHOULOUD GATTOUSSI (RT3) ASMA LAHBIB (RT3) KHAOULA BLEL (RT3) KARIMA MAALAOUI (RT3) Atelier Pivoting KHOULOUD GATTOUSSI (RT3) ASMA LAHBIB (RT3) KHAOULA BLEL (RT3) KARIMA MAALAOUI (RT3) Table des matières 1. Présentation de l atelier... 2 2. Présentation des outils utilisés... 2 a. GNS3

Plus en détail

Présenté par : Mlle A.DIB

Présenté par : Mlle A.DIB Présenté par : Mlle A.DIB 2 3 Demeure populaire Prend plus d ampleur Combinée avec le phishing 4 Extirper des informations à des personnes sans qu'elles ne s'en rendent compte Technique rencontrée dans

Plus en détail

ActiveSentry : le monitoring permanent de la sécurits. curité des architectures Internet

ActiveSentry : le monitoring permanent de la sécurits. curité des architectures Internet ActiveSentry : le monitoring permanent de la sécurits curité des architectures Internet OSSIR 11/09/2001 Fabrice Frade Directeur Technique Intranode 2001 Qui est Intranode? Intranode est un éditeur d une

Plus en détail

Fiche d identité produit

Fiche d identité produit Fiche d identité produit Référence DGS-3200-10 Désignation Switch Gigabit Security L2 à 8 ports, avec 2 ports combo SFP Cas de figure d'utilisation Garantie 5 ans Pour les succursales nécessitant un switch

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE SO YOU START

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE SO YOU START CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE SO YOU START ARTICLE 1 : OBJET Dernière version en date du 06/12/2013 Les présentes conditions particulières, complétant les conditions générales

Plus en détail

Vulnérabilités des protocoles

Vulnérabilités des protocoles MGR850 Hiver 2014 Vulnérabilités des protocoles Hakima Ould-Slimane Chargée de cours École de technologie supérieure (ÉTS) Département de génie électrique 1 Plan Motivations & contexte Typologie des attaques

Plus en détail

Réseaux virtuels Applications possibles :

Réseaux virtuels Applications possibles : Réseaux virtuels La mise en place d'un réseau privé virtuel permet de connecter de façon sécurisée des ordinateurs distants au travers d'une liaison non fiable (Internet), comme s'ils étaient sur le même

Plus en détail

INF4420: Sécurité Informatique

INF4420: Sécurité Informatique : Introduction : Concepts de base et motivation José M. Fernandez M-3109 340-4711 poste 5433 Contenu du cours Introduction et motivation 1 sem. Cryptographie 3 sem. Sécurité des systèmes d'exploitation

Plus en détail

Préambule. 1. Notre protection à l'entrée est insuffisante 2. Nos utilisateurs sont peut-être insuffisamment informés de ce qui

Préambule. 1. Notre protection à l'entrée est insuffisante 2. Nos utilisateurs sont peut-être insuffisamment informés de ce qui Préambule Les sources d'attaques sont multiples tout comme la nature de celles-ci. Une fois une application «espion» ou «malfaisante» installée sur votre système, on peux conclure les choses suivantes

Plus en détail

Bibliographie. Gestion des risques

Bibliographie. Gestion des risques Sécurité des réseaux informatiques Bernard Cousin Université de Rennes 1 Sécurité des réseaux informatiques 1 Introduction Risques Attaques, services et mécanismes Les attaques Services de sécurité Mécanismes

Plus en détail

Next Generation Application Security. Catalogue des formations

Next Generation Application Security. Catalogue des formations Next Generation Application Security Catalogue des formations Nbr de jours Janvier Février Mars Avril Mai Juin Juillet Août Septembre Octobre Novembre Décembre PLANNING DES FORMATIONS 2015 Denyall Web

Plus en détail

Protection des protocoles www.ofppt.info

Protection des protocoles www.ofppt.info ROYAUME DU MAROC Office de la Formation Professionnelle et de la Promotion du Travail Protection des protocoles DIRECTION RECHERCHE ET INGENIERIE DE FORMATION SECTEUR NTIC Sommaire 1. Introduction... 2

Plus en détail

Symantec Protection Suite Enterprise Edition Protection éprouvée pour les terminaux, la messagerie et les environnements Web

Symantec Protection Suite Enterprise Edition Protection éprouvée pour les terminaux, la messagerie et les environnements Web Fiche technique: Sécurité des terminaux Protection éprouvée pour les terminaux, la messagerie et les environnements Web Présentation permet de créer un environnement (terminaux, messagerie et Web) protégé

Plus en détail

Sécurité des réseaux Les attaques

Sécurité des réseaux Les attaques Sécurité des réseaux Les attaques A. Guermouche A. Guermouche Cours 2 : Les attaques 1 Plan 1. Les attaques? 2. Quelques cas concrets DNS : Failles & dangers 3. honeypot A. Guermouche Cours 2 : Les attaques

Plus en détail

Toshiba EasyGuard en action :

Toshiba EasyGuard en action : Toshiba EasyGuard en action Toshiba EasyGuard en action : tecra s3 Une plate-forme professionnelle complètement évolutive offrant une sécurité et une fiabilité de haut niveau. Toshiba EasyGuard comprend

Plus en détail

par BALLAN Emilie et SURANGKANJANAJAI Gaëtan disponible en ligne : http://www.e eck.org/

par BALLAN Emilie et SURANGKANJANAJAI Gaëtan disponible en ligne : http://www.e eck.org/ Dénis de Service et usurpation d'identité par BALLAN Emilie et SURANGKANJANAJAI Gaëtan disponible en ligne : http://www.e eck.org/ PLAN Introduction Dénis de service: Tcp Syn Land Teardrop Smurf Ping de

Plus en détail

Vulnérabilités logicielles Injection SQL. Chamseddine Talhi École de technologie supérieure (ÉTS) Dép. Génie logiciel et des TI

Vulnérabilités logicielles Injection SQL. Chamseddine Talhi École de technologie supérieure (ÉTS) Dép. Génie logiciel et des TI Vulnérabilités logicielles Injection SQL Chamseddine Talhi École de technologie supérieure (ÉTS) Dép. Génie logiciel et des TI 1 Plan SQL Injection SQL Injections SQL standards Injections SQL de requêtes

Plus en détail

CP - NBS System. La sécurité informatique : focus sur les menaces les plus communes et leurs solutions

CP - NBS System. La sécurité informatique : focus sur les menaces les plus communes et leurs solutions La sécurité informatique : focus sur les menaces les plus communes et leurs solutions Nous avons publié en février un article résumant les principaux risques liés au manque de sécurité des sites internet.

Plus en détail

SECURIDAY 2013 Cyber War

SECURIDAY 2013 Cyber War Club de la Sécurité Informatique à l INSAT Dans le cadre de la 3ème édition de la journée nationale de la sécurité informatique SECURIDAY 2013 Cyber War SECURINETS Présente Formateurs: 1. Trabelsi NAJET

Plus en détail

Travaux pratiques 8.4.2 Configuration des stratégies d accès et des paramètres de la zone démilitarisée (DMZ)

Travaux pratiques 8.4.2 Configuration des stratégies d accès et des paramètres de la zone démilitarisée (DMZ) Travaux pratiques 8.4.2 Configuration des stratégies d accès et des paramètres de la zone démilitarisée (DMZ) Objectifs Se connecter au périphérique multi-fonction et afficher les paramètres de sécurité

Plus en détail

La sécurité des systèmes d information

La sécurité des systèmes d information Ntic consultant contact@ntic-consultant.fr 02 98 89 04 89 www.ntic-consultant.fr La sécurité des systèmes d information Ce document intitulé «La sécurité des systèmes d information» est soumis à la licence

Plus en détail

Dépassement de tampon

Dépassement de tampon Dépassement de tampon En informatique, un dépassement de tampon ou débordement de tampon (en anglais, buffer overflow) est un bug par lequel un processus, lors de l'écriture dans un tampon, écrit à l'extérieur

Plus en détail

La sécurité IT - Une précaution vitale pour votre entreprise

La sécurité IT - Une précaution vitale pour votre entreprise Parole d expert La sécurité IT - Une précaution vitale pour votre entreprise Philippe MONFILS - ComputerLand SLM Bruno MAIRLOT - Maehdros Une organisation conjointe avec Café Numérique Avec le soutien

Plus en détail

Sécurité des Postes Clients

Sécurité des Postes Clients HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet Sécurité des Postes Clients Table ronde CFSSI Jeudi 29 mars 2007 Benjamin

Plus en détail

6 Conception de la gestion des correctifs

6 Conception de la gestion des correctifs Conception de la gestion des correctifs Par définition, la gestion des correctifs et mises à our est le processus qui permet de contrôler le déploiement et la maintenance des versions intermédiaires de

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI. Dernière version en date du 07/11/2013

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI. Dernière version en date du 07/11/2013 CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI ARTICLE 1 : OBJET Dernière version en date du 07/11/2013 Les présentes conditions particulières, complétant les conditions générales de services

Plus en détail

Conditions Générales de Services WebSure

Conditions Générales de Services WebSure Conditions Générales de Services WebSure ATHENA GLOBAL SERVICES, représentant exclusif de la marque Websure ; 20, allée Louis Calmanovic, 93320 Les Pavillons Sous Bois. 1 OBJET Websure, réalise certaines

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE Version en date du 22/04/2014 RCS Chartres 807 381 157 Code APE 6202B Page 1 sur 6 ARTICLE 1 : OBJET DU DOCUMENT Les présentes conditions particulières,

Plus en détail

HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet.

HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet. HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet IPv6 Impacts et menaces Nicolas Collignon

Plus en détail

Malveillances Téléphoniques

Malveillances Téléphoniques 28/11/03 1 Malveillances Téléphoniques Risques et parades Conférence CLUSIF réalisée par la société Membre ERCOM 28/11/03 2 Introduction Constat : Après la sécurité informatique, l'entreprise découvre

Plus en détail

Sensibilisation à la sécurité informatique

Sensibilisation à la sécurité informatique Sensibilisation à la sécurité informatique Michel Salomon IUT de Belfort-Montbéliard Département d informatique Michel Salomon Sécurité 1 / 25 Sensibilisation à la sécurité informatique Généralités et

Plus en détail

Malware Logiciels malveillants Retour sur les premiers cours

Malware Logiciels malveillants Retour sur les premiers cours Malware Logiciels malveillants Retour sur les premiers cours Jean-Marc Robert Génie logiciel et des TI Plan du cours Logiciels malveillants Analyse de risque Politique de sécurité Moyens de protection

Plus en détail

Le piratage: À la portée de tout le monde? 2010 Michel Cusin 1

Le piratage: À la portée de tout le monde? 2010 Michel Cusin 1 Le piratage: À la portée de tout le monde? 2010 Michel Cusin 1 Agenda de la présentation Les attaquants et leurs motivations Les différentes provenances et sortes d attaques Les étapes d une attaque Les

Plus en détail

PACK SKeeper. Descriptif du Pack SKeeper : Equipements

PACK SKeeper. Descriptif du Pack SKeeper : Equipements PACK SKeeper Destinée aux entreprises et aux organisations de taille moyenne ( 50 à 500 users ) fortement utilisatrices des technologies de l'information (messagerie, site web, Intranet, Extranet,...)

Plus en détail

E4R : ÉTUDE DE CAS CAS CMM

E4R : ÉTUDE DE CAS CAS CMM BTS INFORMATIQUE DE GESTION - ISE4R SESSION 2008 E4R : ÉTUDE DE CAS Durée : 5 heures Coefficient : 5 CAS CMM ÉLÉMENTS DE CORRECTION 1. Barème Dossier 1 : Gestion du siège 28 points Dossier 2 : Gestion

Plus en détail

Quelles sont les menaces contre le poste de travail informatisé et comment s en prémunir?

Quelles sont les menaces contre le poste de travail informatisé et comment s en prémunir? Quelles sont les menaces contre le poste de travail informatisé et comment s en prémunir? Michel Futtersack, Faculté de Droit, Université Paris Descartes, Sorbonne Paris Cité Tout système informatique

Plus en détail

Sécurisation en réseau

Sécurisation en réseau Déni de services Sécurisation en réseau Utilisant des bugs exemple Ping of death (Cf. RFC IP) l exploitation des protocoles TCP SYN flooding Envoi seulement le début du 3-way handshake Saturation de la

Plus en détail

UNCLASSIFIED//NON CLASSIFIÉ

UNCLASSIFIED//NON CLASSIFIÉ OpenSSL Heartbleed Vulnerability and Mitigating Measures (AV14-617, CVE-2014-1060, VU #720951) Purpose As per advice already provided via other means, this Alert outlines mitigation actions in response

Plus en détail

Annexe 5. Kaspersky Security For SharePoint Servers. Consulting Team

Annexe 5. Kaspersky Security For SharePoint Servers. Consulting Team Annexe 5 Kaspersky Security For SharePoint Servers Consulting Team 2015 K A S P E R S K Y L A B Immeuble l Européen 2, rue 1 Joseph Monier 92859 Rueil Malmaison Cedex Table des matières Table des matières...

Plus en détail

Gestion des incidents

Gestion des incidents Gestion des incidents Jean-Marc Robert Génie logiciel et des TI Incidents Un incident de sécurité est une violation, ou l imminence d une violation, d une politique de sécurité p.ex., une politique de

Plus en détail

PACK SKeeper Multi = 1 SKeeper et des SKubes

PACK SKeeper Multi = 1 SKeeper et des SKubes PACK SKeeper Multi = 1 SKeeper et des SKubes De plus en plus, les entreprises ont besoin de communiquer en toute sécurité avec leurs itinérants, leurs agences et leurs clients via Internet. Grâce au Pack

Plus en détail