Protection des systèmes d'informations. Recherche de vulnérabilités AG CSSI 21/03/2017

Transcription

1 Protection des systèmes d'informations Recherche de vulnérabilités AG CSSI 21/03/2017

2 Scanner de vulnérabilités Déceler les failles ou vulnérabilités de sécurité des systèmes d'information Une faille est une faiblesse dans un système informatique, permettant à un attaquant de porter atteinte à son fonctionnement normal, à la confidentialité, la disponibilité ou l'intégrité des données qu'il contient. Recherche faîte par rapport aux vulnérabilités décrites dans une base de connaissances Gérée par le MITRE : cve.mitre.org CVE : Common Vulnerabilities and Exposures Identifié comme CVE-AAAA-NNNN (A : Année, N : numéro d'ordre) CVSS : Common Vulnerability Scoring System Score basée sur l'exploitabilité, l'impact, l'environnement nécessaire,... Voir

3 L'offre Scan'ER Proposée par RENATER comme un service Mise à disposition des RSSIs pour tester leur réseau Découverte du réseau par plage IP Sélection des machines où la recherche de vulnérabilités doit être faîte au sein des plages définies Utilise le logiciel IKare de la société ITrust vulnérabilités recherchées Affectation d'une note de 0 à 10 à chaque machine analysée Fonction du nombre et du type de vulnérabilités découvertes (critical, high, medium, low) La recherche de vulnérabilités est faite «régulièrement» afin de fournir une vision de l'évolution des risques : Amélioration apportée pour corriger les failles Prise en compte des nouvelles vulnérabilités Application installée sur des serveurs chez RENATER

4 Scan'ER : point de vue externe

5 Scan'ER : Tableau de bord

6 Scan'ER : vulnérabilités sur une plage

7 Scan'ER : un exemple

8 Interpréter le résultat dans le contexte Il s'agit d'un serveur FTP anonyme ouvert sur quelques IP externes seulement : Une vulnérabilité qui n'en est pas vraiment une ATTENTION : pour voir cette pseudo-vulnérabilité, il faut autoriser au préalable l'accès à Scan'ER Possibilité d'ignorer une vulnérabilité

9 Scan'ER : Un exemple plus fourni

10 «Check for SSL Weak Ciphers» Summary: This routine search for weak SSL ciphers offered by a service. Insight: These rules are applied for the evaluation of the cryptographic strength: - Any SSL/TLS using no cipher is considered weak. - All SSLv2 ciphers are considered weak due to a design flaw within the SSLv2 protocol bit RSA authentication is considered to be insecure and therefore as weak Output: Weak ciphers offered by this service: - TLS1_2_ECDHE_RSA_WITH_RC4_128_SHA - TLS1_2_RSA_WITH_RC4_128_SHA -... OpenVAS plugin :

11 «Denial of Service in OpenSSH» Summary: Denial of Service Vulnerability in OpenSSH Insight: The sshd_config configuration file indicates connection limits: - MaxStartups: maximal number of unauthenticated connections (default : 10) - LoginGraceTime: expiration duration of unauthenticated connections (default : 2 minutes) However, in this default configuration, an attacker can open 10 TCP sessions on port 22/tcp, and then reopen them every 2 minutes, in order to limit the probability of a legitimate client to access to the service. Note: MaxStartups supports the 'random early drop' feature, which protects against this type of attack, but it is not enabled by default. An unauthenticated attacker can therefore open ten connections to OpenSSH, in order to forbid the access to legitimate users. This plugin only check OpenSSH version and not test to exploit this vulnerability. Impact: Attackers to cause a denial of service (connection-slot exhaustion). References: - URL: - URL: - URL: - URL: CVE:CVE Solution: Upgrade your OpenSSH to 6.2. or modify LoginGraceTime and MaxStartups Output: Your actual version of OpenSSH is : 5.9p1. OpenVAS plugin :

12 Un serveur web, à fermer?

13 Pour conclure... Scan'ER : un outil de recherche de vulnérabilités perçus depuis l'extérieur de votre réseau. donc derrières vos pare-feux et protections. Pour aller plus loin : retirer les protections le temps de l'analyse utiliser un scanner local (ex : Openvas) ne traite que les vulnérabilités connues ATTENTION : une recherche de vulnérabilité génére un trafic réseau conséquent et stresse les machines choisir une plage horaire adéquate avoir l'autorisation du DU et prévenir les utilisateurs Analyser les résultats dans le contexte

14 Une offre de service... Renater met à disposition le service Scan'ER aux RSSIs des établissements Pour pouvoir en bénéficier Avoir l'autorisation préalable du directeur d'unité Prendre contact avec les RSSIs concernés Définir la plage d'adresses à scanner

15 Un groupe de travail... Création d'un groupe de travail Utilisation de Scan'ER (point de vue externe) Détection de vulnérabilités sur les réseaux internes (OpenVAS,...) Échanger sur les failles découvertes et sur les correctifs applicables