Indicateur et tableau de bord

Transcription

1 Agenda Indicateur et tableau de bord «La sécurité n est pas une destination mais un voyage» 1. Jean-François DECHANT & Philippe CONCHONNET jfdechant@exaprobe.com & pconchonnet@exaprobe.com +33 (0) La problématique La quantité d information à analyser (trop d informations!) L exactitude de ces informations (fausse positive ) Les compétences nécessaires La non-communication entre les différentes sources / outils. Les moyens : matériel (outils ), humain (ressource ) et organisationnel (procédures ) D où : Difficulté à générer une vision globale Difficulté à analyser rapidement un incident Difficulté à réagir rapidement Nécessité de communiquer efficacement vis à vis de la DG Pourquoi, pour qui, tracer? On n est jamais totalement à l abri Responsabilité pénale et civile de l entrepreneur vis à vis des moyens mis en œuvre pour protéger son SI et ses utilisateurs. Améliorer la visibilité de la sécurité du SI RSSI, Administrateurs, Prestataires spécialisés sécurité, La DG. Pouvoir justifier un budget complémentaire. Tracer = Optimiser les investissements fait sur le SI. Les objectifs sont la mise en place de systèmes permettant : De contrôler le respect de la politique de sécurité, De mesure de la qualité des services de sécurité, D aider le responsable de sécurité (RSSI) à faire des choix et de les présenter à la DG, De garantir le maintien du niveau de sécurité au grès de l évolution du SI et des menaces. 1

2 Les tableaux de bords permettent de mesurer le niveau de sécurité : En temps réel et en différé. Sur les différentes ressources : Sécurité, Réseaux, Systèmes, Sur les utilisateurs. La démarche est composé de quatre phases clés: 1. Etude et analyse 2. Implémentation 3. Validation 4. Exploitation «Avec le Tableau de Bord nous rentrons dans la production de la sécurité du SI, celle ci étant fondamentale sur le niveau de sécurité.» Agenda Identification des risques Les menaces 2.2 Les vulnérabilités 2.3 Le comportement des utilisateurs Trois catégories : 1. Les menaces (virus, attaques ) 2. Les vulnérabilités (failles logiciel ou matériel, implémentation incorrect ) 3. Le comportement des utilisateurs (respect de la charte, mots de passe, accès interdits ) Codes malveillants : Les menaces Dans les systèmes d exploitation: Les vulnérabilités Exploit (buffer overflow), Bombe logique, Sniffer, Spoofing, Cheval de Troie (trojan), Virus / ver DOS (Denial Of Service) Casseur de mots de passe (brut force) Sniffer Windows NT TCP sequence prediction Obtention des droits administrateurs DoS spécifiques NT/98/95 Unix Linux suze util pkg Solaris Solstice Internet Mail IMAP4 Server x86 exploit 2

3 Les vulnérabilités Les vulnérabilités Cisco Cisco 7xx password buffer overflow CISCO PIX Vulnerability, cracking the 48 bit DES Decrypts encrypted Cisco password files Langages Perl / CGI ActiveX Java Dans les applications: Serveurs Web IIS (vulnérabilité unicode ) Serveur FTP Wu-ftp (format string) Des dizaines de vulnérabilités sont découvertes tous les jours (mailling liste vuln-dev, bugtraq, NT bugtraq ) Les comportements utilisateurs Menaces délibérées Comportement déviant Utilisation malveillante d applicatif Intrusion Cyber-vandalisme Ou fortuites Victime d ingénierie sociale Erreur humaine Gestion et identification des menaces Le niveau de la menace peut être remonté par plusieurs composants du SI: Les systèmes de filtrage (routeur, firewalls, proxy, système de contrôle d accès) Les anti-virus Les systèmes de détection d intrusion (sonde IDS) Les serveurs (fichiers journaux ou log) Les firewalls: Gestion et l identification des menaces Base du système de protection Solution obstructive Solution externe ET interne La remontée d alarmes temps réelles Offre : FW-1 (Checkpoint), PIX (Cisco), EnTRUST (CA) Attention : suivi fastidieux et complexe Les sondes IDS: Gestion et identification des menaces Une surveillance active et proactive Solution non obstructive Remontée d alarmes temps réel Reconfiguration dynamique du firewall Gain de temps Offres : Intrusion Detection (CA), RealSecure (ISS), NetProwler (Symantec), Intrusion Detection System (Cisco), SNORT Attention : mise en place sensible d où un risque d inefficacité, voire de perturbation. 3

4 Contrôle des vulnérabilités Le niveau de vulnérabilité du SI d information peut-être mesuré par des scanners de vulnérabilités. Les vulnérabilités pourront être localisées à plusieurs niveaux : Interne au composant (matériel, logiciel, infrastructure, ) Implémentation incorrecte (configuration ) Les scanners de vulnérabilités: Contrôle des vulnérabilités Tests de vulnérabilités (base de signatures) Contrôle régulier Pas besoin de connaissance des utilisateurs Offres : NetRecon (Symantec), Policy Compliance (CA), Internet Security Scanner (ISS), Secure Scanner (Cisco), Vigilante, Nessus Attention : l analyse des résultats n est pas toujours évidente (fausse positive) Deux types de scanners de vulnérabilités: Scanner Actif «Network-based» Analyse de vulnérabilités depuis le réseau Contrôle des vulnérabilités + Pas d application sur les serveurs - Détecte uniquement les vulnérabilités «réseaux» Scanner Passif «Host-based» Analyse de vulnérabilités en local (notion d agents déportés et de management centralisé) + Possibilité d appliquer automatiquement les correctifs + Détecte les vulnérabilités locales au système + Fonctionnalité de vérification d intégrité - Installation d agent sur les serveurs (utilisation de ressource système) Les deux solutions sont complémentaires! Surveillance du comportement Le comportement des utilisateurs peut être contrôlé par plusieurs moyens: Les analyseurs de log (synthèse, statistique, top ten ) Les solutions de gestion centralisée des utilisateurs Surveillance du comportement Les procédures La remontée d alarmes Surveillance active Authentification / Autorisation Consolidation des comptes Augmentation de productivité Suivi des modifications Offres : etrust Admin (CA), Secure Access Control (Cisco), ESM (Symantec) Les procédures techniques : Politique de sécurité Procédure de notification: temps réel (alerte) et différé (Synthèses mensuelle, hebdomadaire) Plan de réaction / réponse sur incidents Attention : lourdeur de gestion 4

5 Les procédures Les limites de ces outils & procédures Les procédures organisationnelles : Charte d utilisation du SI Programme de sensibilisation, éducation, responsabilisation des utilisateurs Définition des droits d accès (uniquement aux ressources autorisées) Gestion administrative des utilisateurs (arrivée/départ) Génération importante de données peu ou pas exploitées Applicatifs propriétaires et ne communicant pas ou peu entre eux. Approche souvent produit L application des procédures n est pas suivie dans le temps IL FAUT ALLER PLUS LOIN Agenda Méthodologie Méthodologie 4.2 Inventaire des ressources 4.3 Analyse des pertes 4.5 Sélection des 4.6 Exemple d indicateurs 4.7 L offre du marché Etude et analyse Inventaire des ressources du SI (sur la base de la P.G.S.) Inventaire des procédures appliquées Analyse des pertes (sur la base de la P.G.S.) notion de Risk Management Sélection des indicateurs Mise en œuvre du système de tableau de bord Sélection du/des logiciel(s) Approche sélective Configuration et personnalisation Inventaire des ressources Lister, identifier et classifier les ressources du SI de l entreprise (ou du périmètre étudié) suivant plusieurs facteurs : Valeur Coût Nature (équipement, logiciel) Sensibilité, Priorité «Risk Management» Définition de l impact financier et organisationnel pour l entreprise, classification par catégories: Absence de service Altération des informations Destruction des données Vol (informations, matériel ) Divulgation Dysfonctionnement Perte de notoriété / image Analyse des pertes 5

6 Sélection des indicateurs Exemples d indicateurs Les contraintes : Véhiculer des informations pertinentes Limiter le nombre d indicateurs Déterminer des valeurs cibles et des seuils Déterminer la fréquence d analyse Les types Stratégiques (ex : seuil de sécurité) Fonctionnels (ex : seuil du service Internet) Opérationnels (ex : nombre de maintenance du firewall) Indicateurs sur les utilisateurs: Accès (fichiers, applicatifs, ) ex : nombre de refus d accès Passes droit (administrateurs temporaires, ) ex : nombre d accès injustifié Invités ex : nombre d accès du profil invité Utilisation du login ex : nombre fermeture/ouverture de session Respect de la charte (Web, mail, mot de passe, ) ex : nombre de refus sur les sites interdits Exemples d indicateurs Exemples d indicateurs Indicateurs sur les processus de gestion: Modifications réalisées (mises à jour,) ex : nombre de mise à jour sur une période Nouvelles failles & correctifs ex : nombre de différences par rapport à la période précédente Gestions des comptes ex : nombre d accès supprimés / nombre de personnes ayant quitté l entreprise Vulnérabilités des mots de passe ex : nombre de mot de passe crackés Archivages ex : nombre de supports réalisés sur une période Indicateur sur la production: maintenance (logiciel, matériel) ex : % de disponibilité des ressources procédures d exploitation (modifications, rédaction, ) ex : nombre d applications documentées configuration matérielle & logicielles ex : dernier contrôle de licence gestion des incidents (erreurs, anomalies,) ex : nombre d incidents dans une période protection (antivirale, intrusion, ) ex : nombre de virus sur une période L offre du marché Agenda E-Trust Management Solution (Computer Associate) Safe Suite Decision (ISS) Log Repository (NFR Security) 1. 6

7 Conclusion Merci pour votre attention Les limites de l approche : L équipe de production informatique La souplesse d utilisation du S.I. Les managers de l entreprise La politique de sécurité Questions / Réponses? Approche personnalisée «projet» 7