Recommandations de sécurisation

Transcription

1 P R E M I E R M I N I S T R E Secrétariat général de la défense nationale Issy les Moulineaux, le n /SGDN/DCSSI/SD/BAS Direction centrale de la sécurité des systèmes d information Recommandations de sécurisation Messagerie

2 Informations Nombre de pages du document : 46 Evolution du document : Version Rédaction Validation DCSSI Date 0.1 Céline Estieux Philippe Brandt N /SGDN/DCSSI/SD/BAS Page 2 sur 46

3 Table des matières 1 Introduction bjectifs des recommandations À qui sont destinées ces recommandations Structure de ce document Présentation des recommandations Avertissements 8 3 Pré-requis Matériels Connaissances nécessaires Standards utilisés pour la messagerie électronique Structure d un message électronique Principaux risques de la messagerie Réception/Envoi de virii Réception/Envoi messages falsifiés Lecture de messages par de tierces personnes Relais pour des messages extérieurs Perte de messages Indisponibilité du serveur de messagerie Rebond possible pour une attaque en interne Politique générale de la sécurité des systèmes d information 12 6 Principes fondamentaux de la SSI Développer et implémenter une défense en profondeur La sécurité des locaux et la sûreté de fonctionnement Ce qu il faut prendre en compte prioritairement sur les lots techniques La défense au niveau du réseau Utilisation de commutateurs Mise en place d outils de détection d intrusion La défense au niveau des hôtes La défense au niveau des applications La défense au niveau des données Principe du moindre privilège Sécuriser : mesures générales Relevé de configuration Préalables de l installation Vérification du système sous-jacent Version du serveur de la messagerie à installer Vérification des sources d installation Média physique Installation d un applicatif téléchargé Installation directe depuis un réseau externe Installation N /SGDN/DCSSI/SD/BAS Page 3 sur 46

4 7.4 Emploi de mots de passe complexes Administration du système Administration locale Administration distante Terminal Services SNMP Télémaintenance Sécuriser : mesures spécifiques Sécuriser l environnement réseau Mise en place d une architecture sécurisée Antivirus Positionnement et fonctionnement de l antivirus Adapter et contrôler la configuration du pare-feu Installation de tunnels chiffrants Sécuriser le système d exploitation Installation du système d exploitation Choix des serveurs de messagerie Disques et partitionnement du serveur de messagerie Suppression de la documentation sur le serveur Configuration des journaux Configuration du système d exploitation Sécuriser les postes des utilisateurs Sensibilisation des utilisateurs Non-divulgation de message contenant des informations sensibles sur Internet Préserver la réputation d une entité Ne pas perturber la disponibilité du serveur de messagerie Utiliser un programme de sécurisation des messages électroniques Antivirus des clients de messagerie Configuration des programmes de messagerie Verrouillage de la configuration des postes Utilisation de mots de passe complexes Utilisation de programmes client de sécurisation des messages électroniques Standards utilisés pour le chiffrement des messages électroniques Choix d un programme de sécurisation Système d accès aux messages électroniques via un navigateur Internet Sécuriser les serveurs de la messagerie Configuration des serveurs de messagerie Exécution du programme sous un utilisateur possédant des droits réduits Suppression des commandes inutiles sur le serveur de messagerie Suppression des traces permettant d identifier le serveur de messagerie Mise en place de protocoles de sécurisation adaptés Maintenir le niveau de sécurité : mesures générales Règles d exploitation Gestion des correctifs de sécurité (serveurs et clients) Réalisation de fiches réflexes pour gérer les alertes Formation Gestion des comptes et des mots de passe Serveur de secours et de test Gestion des sauvegardes N /SGDN/DCSSI/SD/BAS Page 4 sur 46

5 9.1.7 Gestion des éléments temporaires Mise à jour de la PSSI Audits de sécurité Maintenir le niveau de sécurité : mesures spécifiques Exploitation des journaux Réaliser une veille technologique sur les éléments du réseau Veille technologique Annexes Points à vérifier généraux Mesures générales Environnement réseau Système d exploitation Installation du système d exploitation Configuration du système d exploitation Antivirus Postes des utilisateurs Installation des clients de messagerie Configuration des clients de messagerie Programmes de sécurisation des clients de messagerie Serveurs de messagerie Configuration du serveur Extensions de sécurité Points à vérifier pour Microsoft Exchange Avertissement Installation Pré-installation Installation Post-installation Administration des composants Exchange Annuaire Banque d informations Agent de transfert des messages Configurer le service messagerie Internet (SMTP) PP/IMAP LDAP N /SGDN/DCSSI/SD/BAS Page 5 sur 46

6 Table des figures 1 Exemple d architecture sécurisée Table des flux de pare-feu pour la messagerie Liste d extensions supportées par le serveur ESMTP domaine.exemple Informations révélées lors d une connexion à un serveur de messagerie Informations révélées lors d une connexion à un autre serveur de messagerie Informations révélées dans l entête d un message électronique Informations sur l architecture et les machines révélées dans l entête d un message électronique N /SGDN/DCSSI/SD/BAS Page 6 sur 46

7 1 Introduction 1.1 bjectifs des recommandations Ce guide a pour vocation d aider à sécuriser la messagerie à l aide de recommandations basées sur l état de l art. 1.2 À qui sont destinées ces recommandations Ces recommandations sont destinées principalement aux administrateurs, responsables de la sécurité des systèmes d information et en général à toute personne ou organisation voulant sécuriser ou vérifier la sécurisation de la messagerie. En particulier ce guide n est pas un guide d administration de la messagerie. 1.3 Structure de ce document Ce document est scindé en plusieurs parties : Partie 1 : introduction générale aux recommandations ; Partie 2 : mise en garde sur l application de ces recommandations ; Partie 4 : relevé non exhaustif des principales vulnérabilités liées à la messagerie ; Partie 5 : rappel non technique sur l organisation de la sécurité d un système d information ; Partie 6 : rappel des principes fondamentaux de la sécurité d un système d information ; Partie 7 : recommandations générales sur la sécurisation d un système d information et de serveurs ; Partie 8 : recommandations spécifiques à la sécurisation de la messagerie à ne mettre en oeuvre qu une fois, à l installation du système ou lors de la première mise en application de ce document ; Partie 9 : recommandations générales sur les opérations à mener pour conserver un bon niveau de sécurisation dans le temps ; Partie 10 : recommandations sur les opérations spécifiques à la messagerie destinées à conserver un bon niveau de sécurisation dans le temps ; Partie 11 : éléments techniques complémentaires, comme des listes de contrôle. 1.4 Présentation des recommandations Les recommandations de sécurisation sont scindées en deux phases : Sécuriser (Partie 7 et Partie 8) : recommandations à mettre en œuvre une seule fois, à l installation du système ou lors de la première mise en application de ce document ; Maintenir la sécurité (Partie 9 et Partie 10) : recommandations à suivre tout au long de la vie de la messagerie pour s assurer que le niveau de sécurité reste constant dans le temps. De plus, chacune de ces phases contient deux parties, dédiées aux mesures générales et aux mesures spécifiques participant à l objectif final. N /SGDN/DCSSI/SD/BAS Page 7 sur 46

8 2 Avertissements La responsabilité du choix et de la mise en oeuvre des recommandations proposées dans ce document incombe au lecteur de ce guide. Il pourra s appuyer sur la politique de sécurité du système d information et sur les résultats d une analyse des risques de la sécurité des systèmes d information pour déterminer les recommandations les plus pertinentes. Le lecteur devra également réaliser des tests exhaustifs afin de vérifier l adéquation de ces recommandations avec son contexte particulier. Vu la nature évolutive des systèmes d information et des menaces portant sur ceux-ci, ce document présente un savoir-faire à un instant donné et a pour ambition d être régulièrement amélioré et complété. Vos commentaires sont les bienvenus. Vous pouvez les adresser à l adresse postale suivante : Bureau Audits en SSI SGDN/DCSSI/SD/BAS 51, boulevard de la Tour-Maubourg Paris 07 SP N /SGDN/DCSSI/SD/BAS Page 8 sur 46

9 3 Pré-requis 3.1 Matériels 3.2 Connaissances nécessaires Le lecteur devra être familier avec la notion de réseau, et connaître les protocoles suivants : SMTP et PP (ou IMAP). 3.3 Standards utilisés pour la messagerie électronique Structure d un message électronique Le message électronique se compose de deux parties distinctes séparées par au moins une ligne vide : l entête ; le corps du message. L entête comporte nombre d informations utiles à l environnement de l expéditeur ainsi que le chemin suivi par le message : expéditeur, destinataire, date, priorité, serveurs utilisés pour le transit, sujet du message,... Le corps du message contient quant à lui le contenu du message à proprement parler. N /SGDN/DCSSI/SD/BAS Page 9 sur 46

10 4 Principaux risques de la messagerie Dans cette partie seront décrits les principaux risques liés à la messagerie. 4.1 Réception/Envoi de virii La réception de virii est un problème très souvent évoqué par les administrateurs réseau. En effet, la messagerie électronique permet de véhiculer tous les types de fichiers, en particulier les scripts et les fichiers exécutables. Si ces programmes sont exécutés sur la machine qui a reçu le courrier, un virus est susceptible d infecter la machine. Cependant si les administrateurs pensent fréquemment à se protéger de la réception de virii pour ne pas contaminer le réseau interne, l émission de virii n est que peu souvent évoquée. Il est pourtant vital de se protéger également contre l émission de virii. En effet l émission de virii peut bien évidemment contaminer les autres, ce qui ne devrait pas arriver, mais peut aussi nuire gravement à l image de marque d une entité et engendrer un déni de service. C est pourquoi les deux aspects de la protection virale (émission et réception doivent être mis en œuvre. 4.2 Réception/Envoi messages falsifiés Le protocole standard le plus utilisé pour la messagerie électronique est SMTP. Cependant ce protocole ne présente, dans sa fonction de base, i. e. la plus répandue, aucune garantie contre la falsification des messages électroniques. Il n y a par exemple aucun contrôle effectué sur l expéditeur du message, et par conséquent n importe qui sur le même réseau peut se faire passer pour quelqu un d autre. Il n y a ainsi aucune garantie quant à l expéditeur du message avec un message envoyé via SMTP. De la même manière, le contenu même des messages peut être falsifié. Il convient donc de se prémunir contre la réception et l envoi de messages falsifiés en utilisant les méthodes décrites dans la suite de ce document. 4.3 Lecture de messages par de tierces personnes Une autre faiblesse du protocole SMTP réside dans le fait que les messages envoyés ou reçus par ce biais sont transmis en clair sur le réseau, c est à dire qu ils ne sont pas chiffrés. Ainsi, toute personne écoutant sur le réseau a la possibilité de voir le contenu du message 1, identifier le contenu du message et également l entête du message électronique 2. n peut se prémunir de ce problème en envoyant une pièce jointe chiffrée, mais il faut garder à l esprit qu avec cette méthode, l entête reste transmis en clair, avec toutes les informations citées précédemment. Le protocole PP3 est un protocole standard très utilisé pour aller retirer des messages électroniques sur un serveur. Il n est utilisé quasiment que dans sa mise en oeuvre basique, c est-à-dire sans sécurité aucune. Pour rappel, son mode de fonctionnement est le suivant : un utilisateur s authentifie au serveur en envoyant son nom d utilisateur et son mot de passe, qui circulent en clair sur le réseau, puis le serveur envoie les messages requis à l utilisateur, toujours en clair. Quelqu un écoutant sur le réseau à ce moment donné aura ainsi la possibilité de lire tous les messages, au format décrit précédemment (cf. partie 3.3.1), circulant sur le réseau au moment de son écoute. Mais il pourra également, et c est une chose dont il conviendra de se prémunir fortement, récupérer le nom et le mot de passe de l utilisateur écouté pour prendre connaissance ultérieurement de ses messages à son insu et également essayer son mot de passe pour d autres applications que la messagerie électronique. 1 voir exemple de message électronique figure 7 2 À titre de rappel, l entête comprend entre autres l expéditeur, le destinataire, et le sujet du message. N /SGDN/DCSSI/SD/BAS Page 10 sur 46

11 4.4 Relais pour des messages extérieurs Une architecture sécurisée de réseau comprend généralement au moins deux serveurs de messagerie : un serveur interne au réseau, et un relais de messagerie servant uniquement de passerelle, envoyant des messages provenant du serveur interne vers l extérieur et réceptionnant les messages provenant de l extérieur en attendant la connexion du serveur interne pour récupérer les messages. n voit ainsi que le serveur relais de messagerie est le plus proche des réseaux extérieurs, et sa sécurité devrait être particulièrement étudiée. Il ne devrait avoir que deux fonctions : transmettre des messages en provenance ou à destination du réseau local ; il ne devrait donc en aucun cas pouvoir servir de relais de messagerie entre deux réseaux extérieurs. Si c était le cas, le serveur faisant office de relais pourrait servir pour relayer des messages à l insu de l administrateur, tels l envoi massif de publicité («spam») et les administrateurs de ce serveur pourraient être poursuivis pour avoir permis la diffusion de ce type de messages. 4.5 Perte de messages Un serveur de messagerie, que ce soit en relais ou en serveur interne, doit être bien dimensionné et bien sécurisé pour résister à la charge et à des attaques en déni de service qui conduiraient à des pertes de messages. Ce risque doit être pris en considération, car une perte de message électronique est aujourd hui très difficilement acceptée par les utilisateurs. Il faut également penser à la configuration du serveur antivirus s il existe, car si ce serveur est mal configuré, il pourrait refuser et supprimer des messages contaminés sans en informer l expéditeur et/ou le destinataire et également refuser des messages non-contaminés. 4.6 Indisponibilité du serveur de messagerie Si le serveur de messagerie est la cible d attaques en déni de service, il peut être indisponible pendant une longue durée. L indisponibilité peut être due par exemple à une saturation du serveur par un grand nombre de messages envoyés volontairement (attaque ciblée d un pirate), par un ou plusieurs messages envoyés à un nombre de destinataires élevé. L attaque peut également provenir par exemple de l envoi de messages infectés ou de messages résultant de l envoi d une chaîne de solidarité. 4.7 Rebond possible pour une attaque en interne Un serveur de messagerie peut être situé en zone protégée (dans une DMZ ou sur le réseau interne). Il est ainsi possible qu il dispose de privilèges supplémentaires par rapport à un attaquant situé dans une zone non protégée (Internet par exemple). Si ce serveur de messagerie est compromis, il pourra potentiellement servir de rebond pour une attaque à destination d une machine dans un réseau sécurisé qui n aurait pu être réalisée autrement. N /SGDN/DCSSI/SD/BAS Page 11 sur 46

12 5 Politique générale de la sécurité des systèmes d information Un document, la politique de sécurité d un SI (Système d Information) doit exister au sein de l organisme mettant en œuvre le SI. Parmi les règles relatives à la sécurisation de la messagerie présentes dans la PSSI, on doit retrouver au moins les éléments ci-dessous : la fonctionnalité du composant au sein du SI ; la liste des comptes d administration ainsi que les modalités de gestion de ces comptes dans le temps ; la liste des flux entrants/sortants vers/depuis le composant ; la liste des services lancés au démarrage ; la liste des services audités et leurs fichiers ; le suivi des mises à jour des versions des logiciels utilisés ; une copie des fichiers de configuration de tous les services et des fichiers de démarrage ; les mesures de sécurité physique mises en place ; la liste des correctifs et des modifications réalisées sur le composant ; les opérations d exploitation à mettre en œuvre sur le composant. Les recommandations énoncées dans tout ce document devraient également trouver leur place dans les règles de cette PSSI. Le lecteur pourra se reporter au document édité par la DCSSI «Guide pour l élaboration d une Politique de Sécurité Interne» (disponible sur le site internet de la DCSSI, pour plus d informations sur l établissement d une PSSI. N /SGDN/DCSSI/SD/BAS Page 12 sur 46

13 6 Principes fondamentaux de la SSI 6.1 Développer et implémenter une défense en profondeur Le principe de la défense en profondeur est de multiplier les protections d une ressource (information, composant, service...), à tous les niveaux où il est possible d agir. Ainsi, un agresseur devra passer outre plusieurs protections, de nature et de portée différentes, avant d accéder à la ressource. Ce principe doit être appliqué à tous les stades de la sécurisation d une ressource qu elle qu en soit sa nature : une donnée, une application, un système, un réseau, voire même le local hébergeant le système d information La sécurité des locaux et la sûreté de fonctionnement Ce document n a pas pour objectif de détailler les mesures de sécurité physique à mettre en œuvre pour l exploitation de systèmes d informations sensibles, les principaux points techniques nécessaires seront ici abordés sous l angle de leur sécurisation, sans entrer dans le détail technique de leur mise en œuvre. En particulier, les différents lots techniques, au sens bâtimentaire (incendie, climatisation,...) possèdent un grand nombre de contraintes techniques, réglementaires, légales ainsi que des interrelations qui ne seront pas détaillées dans ce document. Les règles essentielles de sécurité physique à prendre en compte dans la conception ou l aménagement de locaux, en vue de l installation de systèmes d information plus ou moins complexes et sensibles, recouvrent plusieurs éléments de nature différente mais interdépendants. Ces règles à appliquer sur tout ou partie de ces éléments doivent s inscrire en amont de toute autres actions, dont l objectif est de garantir en première instance, l accès physique, l intégrité et la disponibilité d un système d information et de ses données. Les situations géographiques, les implantations et les natures des constructions et des équipements d un site sont importantes au regard des risques naturels, de l environnement et des techniques mises en œuvre. n s attachera donc à examiner les points suivants : L environnement : La typologie des sols, magnétisme naturel, nappes phréatiques, résistance aux effondrements,... ; Les zones inondables, l indice kéraunique du lieu (impacts de foudre), les précipitations, vents dominants (par rapport au voisinage pour les prises d aération),... ; L existence de voies d accès au site et leur praticabilité ainsi que les dessertes V.R.D. (Viabilisation des Réseaux de Distribution) ; La nature de l implantation (zones urbaines, industrielles,...), la prise en compte du PS (Plan d ccupation des Sols) pour l emprise et les extensions bâtimentaires futures, la nature du voisinage (présence, d industries chimiques pouvant induire des pollutions importantes, d aéroports (crash), voies autoroutières ou transports suburbains (vibrations)),... ; L emprise et les bâtiments : L emprise avec son plan de masse indiquant la position, le type et la nature des clôtures, les voies internes de circulation, les diverses accessibilités, l espace réservé aux parkings (personnels, visiteurs),... ; Le gros œuvre, le type et la nature des bâtiments et des toitures (résistance aux charges résultantes des précipitations et jets d objets,...), écoulements des eaux usées et pluviales, positionnement des diverses canalisations,... ; Les lots de second œuvre et répartitions des locaux, type et nature des cloisonnements, modularité, répartition relative, issues (vitrages, portes,...),... ; Les lots techniques, généralités (énergie, ventilation, climatisation, détection/extinction incendie,...), implantation (usage dédié), type, nature, redondance (secours), renvois d alarmes sur défaillance. N /SGDN/DCSSI/SD/BAS Page 13 sur 46

14 Ce qu il faut prendre en compte prioritairement sur les lots techniques Avant tout, les locaux accueillants les lots techniques doivent être dédiés, l accès à ces derniers ou directement aux composants, ne doivent être accessibles que par des personnels qualifiés, internes ou externes (maintenance), en régime restrictif et contrôlés afin d abaisser les risques potentiels (malveillances, fausses manœuvres,...). Les agressions ou défaillances sur des éléments connexes au système d information peuvent concourir à son indisponibilité totale ou partielle. Pour cela, il y a nécessité de vérifier les points suivants : Énergie électrique Le local accueillant le poste de transformation MT/BT (Moyenne Tension/Basse Tension) doit, si possible, être implanté sur le site tout en laissant un accès, sous contrôle, au fournisseur (tête de câble). De même, la dernière chambre de tirage avant transformation devra se situer sur le site. Dans le cas ou une seconde arrivée serait mise place (secours), il sera nécessaire de négocier avec le fournisseur un tirage de ligne, pour ce qui est hors site, empruntant un chemin physique différent et venant d une sous station différente ; Le TGBT (Tableau Général Basse Tension) élément sensible de la première répartition de l énergie au sein du site, fera l objet d une attention dans sa localisation et son accessibilité. Par ailleurs, les locaux (ex : PABX (autocommutateur téléphonique), conception ancienne d onduleurs,...) renfermant des batteries et dont la composition est à base d acide, doivent être dédiés et isolés physiquement des matériels auxquels il sont raccordés. Ces locaux seront munis d une ventilation mécanique et aménagés électriquement en antidéflagrant. n vérifiera que les terres et masses (bâtiments, vérins supportant les faux planchers, matériels informatiques, PABX,...) sont conformes à la réglementation (ex : terres informatiques < ou = 1 hm,...). Dans la même optique, on s assurera que les divers revêtements de sols ou muraux sont anti-statiques. n veillera à ce que les divers ensembles électriques primaires soient munis de parasurtenseurs ou parafoudre afin de limiter les risques kérauniques sur les matériels pouvant se révéler sensibles aux variations induites sur les différents réseaux (PABX, serveurs,...) Secours énergie électrique Selon l importance du site (au regard de son infrastructure et de ses installations), un secours par groupe électrogène dédié ou partagé peut être envisagé. Sa localisation est des plus importantes. En effet, on peut être confronté à des problèmes relatifs aux vibrations, ainsi qu aux coups de bélier dûs aux ondes stationnaires (longueurs des tubes d échappements des gaz) si ce dernier se trouve en sous-sol ou rez-de-chaussée. Par ailleurs, il faudra s assurer de la présence d un bac de rétention de capacité supérieure à celle de la cuve à fuel de démarrage avec une évacuation conforme à l antipollution. L ensemble des matériels formant le système d information (serveurs, terminaux, imprimantes,...) doivent être raccordés sur un circuit ondulé (régulation) avec une disponibilité d un minimum de 1/4 d heure afin de permettre une extinction propre des systèmes. À ce sujet, l implantation de l onduleur (intermédiaire tampon, en cas de rupture d énergie, entre le fournisseur d énergie et le démarrage du groupe électrogène) ainsi que ses caractéristiques intrinsèques, seront étudiés de manière à ce que toute extension de matériels réclamant une énergie ondulée soit possible. Il est à noter que pour ce qui concerne les PABX, le maintien des batteries en tampon doit être au minimum de l ordre de 48 heures Climatisations et ventilations Les climatisations, quelles soient autonomes ou centralisées, associées aux ventilations sont des éléments dont l importance est vitale pour la vie des matériels (serveurs, PABX,..) par nature N /SGDN/DCSSI/SD/BAS Page 14 sur 46

15 fortement exothermiques. En effet, elles permettent de les réguler en température et hygrométrie évitant ainsi les surchauffes et diminuant par voie de conséquence le risque incendie. n prendra soin pour les climatisations de relever le type, la nature, et la puissance de dissipation frigorifique. L existence d une redondance, afin d assurer une forte disponibilité, est fortement conseillée. Pour produire du froid, l élément réfrigérant doit être compressé à partir de compresseurs euxmêmes devant être refroidis. Pour cela, des échangeurs thermiques (aérothermes) protégés en malveillance (blocage volontaire des pales de ventilation) devront être installés et disposés de manière à ce qu ils ne causent aucune nuisance sonore (vitesse des pales provocants des sifflements) ni vibratoire. Les VMC (Ventilation Mécanique Centralisé) seront judicieusement positionnées en particulier les prises d aération (au regard des pollutions de l environnement et des vents dominants). Les différentes conductions de ventilation (gaines, faux planchers/plafonds..) et les reprises d air doivent être vérifiées au moins une fois l an et les filtres changés selon l environnement deux à quatre fois par an. L ensemble climatisation/ventilation se doit d être asservi en arrêt sur une détection confirmée d incendie, afin de ne pas devenir un vecteur de propagation Incendie Indépendamment des obligations légales (IGH, (Immeubles de Grande Hauteur)...), il est nécessaire que les locaux accueillants les matériels du système d information ou y contribuant (onduleurs, cellules climatisation, énergie,...) soient protégés contre l incendie. À cet égard, on choisira la nature (flammes, températures, fumées,...) et le type de la détection (statique, différentiel, vélocimétrique,...) afin de l approprier au risque le plus probable (une solution mixte peut être envisagée). Des solutions, manuelles (extincteurs appropriés) ou automatiques (gaz non halogénés, eau pulvérisée,...), d extinction sont à mettre en œuvre pour compléter et agir rapidement sur l extinction d un incendie. Les locaux ainsi que les gaines de ventilation, faux planchers/plafonds devront périodiquement faire l objet d un dépoussiérage afin d éviter ce vecteur complémentaire d incendie. Des alarmes sonores et lumineuses locales avec renvoi vers un poste de surveillance devront accompagner l activation de ces détections. n relèvera la présence des d éléments combustibles (revêtement des parois,,...), lieux de stockage (papier,...), disposition relative des locaux, afin d agir sur ces éléments pour abaisser le risque d incendie. Enfin, il est indispensable d avoir à disposition des procédures et des consignes relatives à l incendie tant en prévention qu en action Dégâts des eaux Les locaux revêtant un caractère sensible au regard du système d information ou contribuant à sa disponibilité doivent être protégés contre le dégât des eaux (inondations, rupture de canalisation,...). Si en terme de confidentialité le positionnement en sous-sols semble remporter la faveur, il est indispensable que ces locaux soient dotés de faux planchers munis de détecteurs d humidité couplés à des pompes de relevage et rendus étanches au regard des étages supérieurs, ou s inscrire dans des unités totalement cuvelées Contrôles des accès anti-intrusion Dans le cadre général, un premier niveau de contrôle d accès (niveau de l enceinte du site), ainsi qu un second niveau (accès aux bâtiments), doivent être installés séparément ou confondus selon la nature du site, leur nature (contrôle humain, électronique, mixte...) et leur type (contrôle visuel, portiques, badges, cartes électronique...). Pour les locaux sensibles (serveurs, PABX,...), un contrôle d accès dans un régime restrictif quel qu en soit le type et la nature sera indépendant ou intégré aux autres contrôles d accès. N /SGDN/DCSSI/SD/BAS Page 15 sur 46

16 Des systèmes anti-intrusion, actifs ou passifs, à différents niveaux (enceinte, bâtiments, locaux sensibles...) doivent être mis en œuvre. Leur type et leur nature (grillage, barreaux, radars, infrarouge...) doivent être choisis d une manière cohérente au regard de l environnement. Les alarmes, des contrôles d accès et des dispositifs anti-intrusion, ainsi que leurs renvois intégrés ou non dans une unité de gestion centralisée, doivent impérativement être complémentés par des consignes et des procédures. Ces mesures organisationnelles doivent être cohérentes entre elles ainsi qu au regard de leur environnement. Une redondance minimum et une autonomie sont indispensables afin de permettre une continuité a tous les niveaux des contrôles d accès et des dispositifs anti-intrusion. AVERTISSEMENT Les alarmes techniques et celles concernant les contrôles d accès/anti-intrusion sont de natures différentes. n s attachera à ce quelles ne soient pas gérées par les mêmes personnes et quelles ne soient pas techniquement regroupées La défense au niveau du réseau Il faut comprendre ici la défense des flux circulant sur le réseau (limiter les flux autorisés, les chiffrer (contre l écoute et le piratage de session), limiter l utilisation de logiciels d écoute 3...), ainsi que des flux entrants ou sortants du périmètre du réseau (mettre en place des moyens de filtrage, limiter les flux autorisés, limiter les connexions non contrôlées comme les modems) Utilisation de commutateurs La mise en place d un environnement réseau sécurisé passe par la mise en œuvre de commutateurs bien administrés. En effet si l on se passe de commutateurs 4 et que l on utilise des concentrateurs 5, tout le trafic est «diffusé» sur la totalité du réseau local, sans contrôle possible par l expéditeur ou le destinataire. Ainsi, si quelqu un écoute le trafic local, il peut recevoir des informations qui ne lui sont pas destinées. L utilisation de commutateurs est d autant plus recommandée que la grande majorité des protocoles utilisés par les applications classiques (messagerie électronique, navigation Web, accès à des fichiers distants...) ne sont pas chiffrés. Cependant, il faut noter que la protection apportée par un commutateur n est pas parfaite, car sujette à des attaques au niveau du protocole de résolution d adresse (ARP), et doit être complétée par d autres mesures découlant du principe de défense en profondeur Mise en place d outils de détection d intrusion La défense au niveau des hôtes Elle consiste à durcir le système d exploitation d un composant, ainsi que ses relations avec les autres composants du SI La défense au niveau des applications La sécurisation d une application s appuie sur des mécanismes propres à l application, mais aussi sur la sécurisation du système d exploitation sans lequel elle ne peut exister La défense au niveau des données Les données, stockées comme transmises, sont particulièrement vulnérables (mots de passe, contenu de fichiers, de messages électroniques...). Le chiffrement et/ou des mesures de contrôle d accès discrétionnaires permettent de protéger les données stockées. De même, des données transmises sous forme chiffrée seront moins vulnérables en cas d interception. 3 également appelés «sniffers» 4 également appelés «switchs» 5 également appelés «hubs» N /SGDN/DCSSI/SD/BAS Page 16 sur 46

17 6.2 Principe du moindre privilège Le principe du moindre privilège est de ne permettre que ce qui est strictement nécessaire à la réalisation de la fonction recherchée. Comme le principe de défense en profondeur, il se décline à tous les niveaux d un SI. Il se traduit, par exemple, par la limitation des droits accordés à un utilisateur à ceux nécessaires pour remplir sa mission (utilisation du système, administration, gestion des sauvegardes...) et à aucun autre. N /SGDN/DCSSI/SD/BAS Page 17 sur 46

18 7 Sécuriser : mesures générales 7.1 Relevé de configuration Il est recommandé d établir et de tenir à jour un relevé de configuration des serveurs en distinguant les différents types de serveurs et leur localisation dans l architecture globale du système d information. Pour chacun de ces types, un document décrira les choix de configuration réalisés, et la liste des mesures particulières à ces systèmes comme, par exemple : les choix réalisés lors de l installation, en terme de partitions, de paramétrages du BIS... les procédures liées à l identification/authentification des utilisateurs et des administrateurs ; la liste des applications installées et leur version ; la liste des services installés, leur propriété (démarrage automatique, manuel...), la liste des services désinstallés ; le niveau de mise à jour appliqué, en détaillant les mises à jour principales, comme les «Service Packs» de Windows, les correctifs cumulatifs, postérieurs aux Service Packs, tels que les «Rollup Patches» de Windows et les correctifs individuels, postérieurs aux Rollup Patches, appelés «Hotfixes» dans les environnements Windows ; les règles de contrôle d accès aux ressources, et les droits positionnés sur les clés de registre, répertoires et fichiers ; les règles d audit et de journalisation ; les mesures de chiffrement et d empreintes des fichiers critiques contenus sur les serveurs. Les aspects liés à l organisation doivent également être décrits. Ce document devra en particulier être utilisé pour toute nouvelle installation de serveurs de même type. Un volet exploitation devra préciser les tâches liées à la sécurité devant être assurées. n pourra pour cela s inspirer de la structure du présent document. L objectif de ce document est multiple : assurer une continuité de service en cas d absence de l administrateur chargé de l installation du système ; faciliter la constitution d annexes techniques à la PSSI ; savoir sur quels composants assurer une veille technologique. Ce relevé de configuration papier du serveur contient des informations permettant d accéder aux paramétrages du serveur, d identifier les versions du système, des applications, des services, etc. Il doit donc être identifié comme confidentiel et stocké dans un endroit protégé (local fermé à clé par exemple). D une façon pratique, ce relevé de configuration peut être constitué en consignant les choix réalisés lors de l application des différentes parties de ce document. Ce relevé devra bien évidement faire l objet de mises à jour aussi souvent que nécessaire, comme indiqué au paragraphe page Préalables de l installation Vérification du système sous-jacent Avant toute installation d un logiciel, il convient de vérifier que le système, au sens large (système d exploitation ou applicatif) a été installé dans les mêmes conditions que celles décrites ultérieurement et qu il a fait l objet d une sécurisation en se référant, par exemple, au guide DCSSI ad hoc. Cette partie complète les pré-requis évoqués au début de ce document, partie 3.1. D autre part, le système devrait être installé à partir d une nouvelle version, et il ne devrait pas être installé à partir d une mise à jour d une ancienne version. N /SGDN/DCSSI/SD/BAS Page 18 sur 46

19 7.2.2 Version du serveur de la messagerie à installer Il pourrait paraître naturel d installer la version française du serveur de la messagerie. Cependant, un des principes de base de la sécurisation est de maintenir le serveur de la messagerie au dernier niveau de mise à jour disponible. r l expérience montre qu il existe un décalage de plusieurs jours, voire plusieurs semaines, entre la publication d un correctif dans le langage de l éditeur et sa version francisée, même si ce délai tend à se réduire au fil des ans. Il est donc recommandé d installer le serveur de la messagerie dans sa version anglaise, plutôt que sa version francisée Vérification des sources d installation Lors de l installation d un élément logiciel (système d exploitation ou applicatif) sur une machine, plusieurs méthodes sont disponibles : installation depuis un média physique commercial (disquette, CD-RM,...) ; installation à partir d une archive préalablement téléchargée sur un réseau externe à l entité ; installation directe au travers d un réseau externe à l entité Média physique Il s agit certainement du mode d installation le plus sûr bien qu un certain nombre de précautions restent nécessaires. Il convient tout d abord de s assurer que le média proposé n est pas une contrefaçon mais qu il émane bien directement de l éditeur. Ensuite, il convient d examiner le contenu de ce média avec un anti-virus et ce quelque soit sa provenance. En effet, il se peut que des personnes indélicates aient introduit des programmes malicieux (virus, chevaux de Troie, etc...) au cours du processus d élaboration du média. Si les fichiers présents sur le média ont fait l objet d une signature numérique par l éditeur, il convient de vérifier la validité de cette signature en utilisant la clé publique de l éditeur et les outils adéquats. Ceci ne constitue cependant pas une preuve irréfutable de l exemption de contenu malicieux qui aurait pu être introduit à l insu de l éditeur avant qu il ne signe le contenu du média. De plus, la signature électronique ne peut qu être un élément de preuve de l identité de l émetteur suivant de nombreux paramètres (dispositif cryptographique employé, mode de récupération de la clé publique, soin apporté par l éditeur dans la gestion de ses clés privées, etc...). Il convient donc de bien comprendre les éventuels mécanismes cryptographiques mis en jeu avant de donner une confiance aveugle à une signature électronique Installation d un applicatif téléchargé La problématique reste la même que pour un support physique. Il convient toujours d effectuer une analyse antivirale avant installation. Le problème supplémentaire posé ici réside dans le mode de récupération des sources qui ne peut être considéré comme sûr. Les mécanismes cryptographiques peuvent permettre de sécuriser ce canal de récupération mais certains problèmes peuvent subsister. n pourra se référer à la note d information n CERTA-2001-INF-004 émise par le CERTA traitant du sujet «Acquisition des correctifs» dont la problématique est proche Installation directe depuis un réseau externe Cette approche est à proscrire absolument car il ne vous est laissé aucune possibilité de personnaliser le processus de vérification des sources avant installation si ce processus existe. Il convient donc de séparer ces deux tâches d autant plus que l installation directe depuis Internet suppose que vous interconnectiez une machine que vous n avez pas encore sécurisé ce qui serait une grave erreur. N /SGDN/DCSSI/SD/BAS Page 19 sur 46

20 7.3 Installation Dans la mesure du possible, un serveur devrait être dédié à une seule fonction (par exemple, la messagerie). Le principe de moindre privilège (cf. 6.2) doit guider toute installation. Il se traduit par la limitation des fonctionnalités et des services installés au strict minimum requis par la fonction du serveur. Il s agit de limiter les vulnérabilités potentielles qui peuvent apparaître dans les applications, les services, les options système, les couches réseau... Après avoir installé le système, il est nécessaire d appliquer les derniers correctifs fournis par l éditeur. Toutefois la mise en place de tels correctifs nécessite toujours une vérification préalable de leur bon fonctionnement sur le serveur de test afin d éviter d éventuels effets de bords des mises à jour, observés le plus souvent au niveau des applicatifs. L adresse internet suivante permet d accéder aux articles édités par Microsoft sur la parution de nouveaux correctifs : Microsoft met à la disposition du public un outil permettant de contrôler la mise à jour du système : hfnetchk.exe (Hotfix Network Checker). Cet outil exécuté en ligne de commande sur le serveur avec les droits administrateur contrôle l ensemble des mises à jour appliquées au système et aux applicatifs principaux de Windows, comme Internet Explorer, utlook.... Il nécessite de disposer d une base de signatures à jour. Il est donc recommandé de lancer tout d abord l outil sur une machine connectée à Internet afin qu il télécharge la dernière base de signatures, puis de transférer l outil et sa base sur le serveur. Microsoft propose également un second outil MBSA (Microsoft Baseline Security Analyser), graphique, qui reprend les fonctions de hfnetchk.exe v3.81, et qui effectue des tests complémentaires sur le système, comme la vérification du nombre de comptes administrateur présents sur la machine, l existence de leur mot de passe, ainsi que sur les applicatifs suivants : Internet Information Server (IIS 4.0 et 5.0), serveur Microsoft SQL (7.0 et 2000), serveur Exchange (5.5 et 2000), Windows MediaPlayer (6.4 et postérieurs), et Internet Explorer (5.01 et postérieurs). Ces deux outils permettent donc d identifier les mises à jour qui n ont pas été appliquées pour ensuite y remédier. MBSA permet en outre d identifier des vulnérabilités critiques du système d exploitation et des principales applications éditées par Microsoft. Enfin, il est nécessaire de créer une disquette de démarrage Windows, une disquette de réparation d urgence (ERD), et de conserver tous ces médias d installation dans un lieu protégé. 7.4 Emploi de mots de passe complexes Les mots de passe sont souvent la seule et unique protection d un système d information contre l intrusion logique. Une bonne politique de choix et de gestion des mots de passe est donc le passage obligé pour sécuriser une machine, voire un système d information tout entier. Afin d être robuste aux attaques, un mot de passe doit être complexe. Si l environnement dans lequel il est utilisé le permet, un mot de passe complexe doit avoir les propriétés suivantes : il se compose d un nombre suffisant de caractères : au moins sept pour un utilisateur et plus de quatorze pour un administrateur pour les environnements sous Windows, huit caractères pour les systèmes de type Unix/Linux ; il comporte au moins un caractère de chaque catégorie : caractère alphabétique minuscule ; caractère alphabétique majuscule ; chiffre ; caractère spécial (disponible sur le clavier, hors des trois premières catégorie). Pour un sécuriser un compte avec des privilèges étendus sur une application, sur un système ou sur un composant (compte administrateur, communauté SNMP avec droits en écriture...), on peut également envisager l utilisation d un caractère ASCII non imprimable, obtenu en appuyant sur ALT et NB, où NB est un nombre compris entre 1 et 255 pour les environnements Windows. N /SGDN/DCSSI/SD/BAS Page 20 sur 46