akersia Présentation de compétences et technologies Janvier 2008 Frédéric Laplagne: Jordi Segués:

Transcription

1 akersia Architecture & Sécurité des Systèmes d Information Présentation de compétences et technologies Janvier 2008 Frédéric Laplagne: f.laplagne@akersia.fr Jordi Segués: jordi.segues@akersia.fr Akersia - 99 Route d Espagne - Bâtiment D Toulouse (France) Tél : +33 (0) Fax : + 33 (0)

2 Sommaire Présentation d akersia Axes de développement Caractéristiques Présentation de technologies Reverse Proxy VPN SSL Technologies de virtualisation Plate-forme de partage de fichiers: XShare 2

3 Présentation d Akersia 3

4 Présentation Développement autour de 4 axes: Architecture: Etude et accompagnement au développement de SI complexes Sécurité: Accompagnement et support à la sécurisation des SI Open Source: Intégration et support de composants Data Center: Architecture, conception et opération Caractéristiques Compétences multiples dans les domaines des SI Catalyseur de compétences avec nombreux partenaires indépendants Forte composante dans la veille technologique et la sécurité Entité autonome et indépendante Plus de 10 ans d expérience dans les technologies internet 4

5 Références Voici quelques unes de nos références: 5

6 Compétences & Technologies 6

7 Compétences & Technologies Quelques technologies maîtrisées: Reverse Proxy: Haute sécurisation d applications web; Single Sign On; Système de prévention d intrusion VPN SSL: Accès nomade sécurisé et flexible à l intranet Virtualisation: Flexibilité, abstraction de matériel pour les Data Center et respect environnemental XShare: Simplification et sécurisation des échanges de fichiers Compétences multiples IAM (Identity and Access Management); PKI; Active Desktop on Unix; Technologies SSO (Single Sign On); Fédération d identité; Sécurisation de code; Sécurisation de systèmes (Linux, Unix & Mac OSX); Personalisation et Optimisation de systèmes (Hardening & Hight Performance); Audit de 7

8 Reverse Proxy 8

9 RP - Architecture Authorized traffic SQL injection protection [mod_security] # SQL injection prevention: SecFilter "delete[[:space:]]+from" SecFilter "select.+from" Reverse Proxy Apache (mod_rewrite, mod_security, mod_proxy) Malicious user Browser PowerBook G4 Normal user 9

10 RP - Concepts généraux Principe Point unique d entrée de flux. Redirigés vers les serveurs destination. Serveurs réels inaccessibles directement. Haute sécurisation et optimisation du RP Bénéfices L utilisateur communique uniquement avec un serveur minimisé, dédié et robuste. Totalement transparent pour l utilisateur Minimisation des risques applicatifs au niveau des back ends. (code source non sécurisé...) Intégration avec les technologies de Single Sign On (SSO) Load balancing & Haute disponibilité 10

11 RP - Fonctionnalités Quelques finctionnalités: Intercepte les requêtes HTTP avant qu elles soient traitées par le serveur Analyse le corps des requêtes (POST payload...) Analyse des requêtes en appliquant un groupe de règles prédéfinies Intercepte, stocke et valide les uploads de fichiers Intercepte les réponses HTTP avant de les renvoyer au client Utilisation automatique de techniques anti-évasives Déclenchement d actions (lancement de script etc...) lorsqu une requête ou réponse matche une règle d analyse Permet la réécriture complète des URL Possibilité de pluguer des règles à partir de logiciels tiers (SQUID etc...) 11

12 RP - mod_security & mod_rewrite Exemples: [mod_rewrite] #Interdire l accès aux fichiers du serveur RewriteRule /../ - [F] (Forbidden, renvoi un code 403) RewriteRule etc/shadow - [F] RewriteRule ^(.*).exe$ - [F] #Filtre les URL trop longues (overflows) RewriteRule!(^.{0,255}$) - [F] #Réécriture et redirection d URL RewriteRule ^/guia/(.*) [P] RewriteRule ^/(.*\.htm)$ [P] #Interdire l utilisation du contenu en dehors du domaine RewriteCond %{HTTP_REFERER}!^ [NC] RewriteRule.*\.(jpg jpeg gif png bmp zip rar exe ace)$ [R,NC] [mod_security] # Prévention d injection SQL SecFilter "delete[[:space:]]+from" SecFilter "select.+from" # Prévention d ataques XSS à travers de cookies de session SecFilterSelective COOKIE_PHPSESSID "!^[0-9a-z]*$" # Directory traversal : SecFilter "\.\./" # Interdire googlebot SecFilter HTTP_USER_AGENT "Google" nolog,redirect: # Interdire l injection de javascript SecFilter "ARGS!ARG_html" "<[:space:]*script" 12

13 RP - Interaction entre fichiers de configuration Browser 13

14 VPN SSL 14

15 VPN SSL - Concepts généraux Aujourd hui: L accès distant à l infrastructure d entreprise ne peut plus se limiter aux employés. Les collaborateurs, clients et employés nomades doivent aussi pouvoir s y connecter. La gestion de chaque terminal n est plus possible (flotte de portables et terminaux n appartenant pas à l entreprise) 15

16 VPN SSL - La solution Browser PowerBook G4 VPN SSL Infrastructure Les plate-formes VPN SSL permettent: Accès sécurisé, flexible et sans nécessité de client VPN lourd Il suffit d un browser web standard Accès from anywhere, même derrière un firewall (utilisation du port 443) Trafic chiffré (encapsulation dans un tunnel SSL standard) Intégration parfaite avec l infrastructure existante (LDAP, Active Directory, SSO etc...) Multiplate-forme (Linux, Unix, Windows et Mac OS X) 16

17 VPN SSL - En pratique Browser PowerBook G4 Browser Browser Web intranet Interface web service ABC 17

18 VPN SSL - En pratique Browser PowerBook G4 18

19 Juniper Networks Se appliances lead the remote access solut needs of organizatio Akersia: test de plusieurs solutions pour Airbus Juniper Networks Cisco Nortel... Juniper Networks SA 700 The world s IT leaders choose Juniper Netwo thanks to the affordable, full-featured flexibi includes models sized to meet the needs of the way up to high-capacity products for larg authorization, and auditing (AAA) capabilities access. Juniper Networks SA 2000 All models use Secure Sockets Layer (SSL) every standard Web browser. SSL sessions laptop, PDA, or kiosk to be able to securely and complexity of installing, configuring, and temporary VPN connections that SSL brows Address Translation (NAT) issues of tradition Juniper Networks SA 4000 Juniper Networks SA 4000 FIPS 19 While almost any endpoint device is capable Networks Secure Access appliances can be

20 Virtualisation de serveurs 20

21 Virtualisation de serveurs Création de plusieurs machines virtuelles (VM) au sein d un même serveur physique. Bénéfices & avantages Application Application OS OS Réduction des coûts Optimisation des ressources matérielles Isolement des applications critiques Haute disponibilité Evolutivité Backup et restauration simplifiés Idéal aussi pour des plate-formes de test, honneypotting... Couche de virtualisation (hyperviseur) 21 Architecture x86

22 Virtualisation - Avantages Différents types de coûts Achat de matériel; électricité; maintenance; hosting... Optimisation des ressources & respect environnemental Mutualisation de composants (CPU, Disque, alimentation...); support du multiprocessing au sein des VM; allocation dynamique des ressources... Selon les statistiques, les serveurs utilisent uniquement 20% de leur capacités Isolation des applications critiques Le crash d un système ne perturbe pas les autres; impossibilité d escalade de privilèges Haute disponibilité & Backup Restauration anywhere en un temps record; backup de l intégralité du disque Maquettage Simulation d environnements de production; honneypots et tests de sécurité... 22

23 Infrastructure virtuelle 7.8"3& 8)*5& 1"1&3 7.8"3& 8)*5& 1"1&3 Concept d infrastructure virtuelle )BSEXBSF 4PGUXBSF 4FQBSBUJPO )BSEXBSF 4PGUXBSF 4FQBSBUJPO 8FC 4FSWJDF %BUBCBTF 8FC 4FSWJDF %BUBCBTF 8JO, 8JO, 8JO, 8JO, Business Web DNS %/4 &.BJM #VTJOFTT "QQT 'JMF 1SJOU &.BJM #VTJOFTT "QQT 'JMF 1SJOU -JOVY -JOVY 8JO, 8JOEPXT 91 /PWFMM -JOVY Win 2K -JOVY 8JO, 8JOEPXT 91 /PWFMM Linux Linux Solaris 8FC 8FC Apps %/4 7 J S7UJVS BU VM B* OM G* SOBG TS UBSTVU DS VU VD SU FV S F Infrastructure Virtuelle $PNQVUF $ P N Q V U F Calcul 'JHVSF 7JSUVBM *OGSBTUSVDUVSF 'JHVSF 7JSUVBM *OGSBTUSVDUVSF Calcul 4UPSBHF /FUXPSL 4UPSBHF /FUXPSL Stockage Réseau Stockage Réseau Infrastructure: interconnexion des ressources Virtualisation: Mapping dynamique des ressources *OGSBTUSVDUVSF JT XIBU *OGSBTUSVDUVSF JT XIBU DPOOFDUT SFTPVSDFT UP ZPVS DPOOFDUT SFTPVSDFT UP ZPVS Bénéfice: Abstraction de matériel, réduction des coûts CVTJOFTT et gain en CVTJOFTT 0QFSBUJOH 4ZTUFN 0QFSBUJOH 4ZTUFN 0QFSBUJOH 4ZTUFN 7JSUVBM *OGSBTUSVDUVSF JT B 0QFSBUJOH 4ZTUFN 0QFSBUJOH 4ZTUFN 0QFSBUJOH 4ZTUFN 7JSUVBM *OGSBTUSVDUVSF JT B EZOBNJD NBQQJOH PG ZPVS 7JSUVBM.BDIJOF 7JSUVBM.BDIJOF 7JSUVBM.BDIJOF EZOBNJD NBQQJOH PG ZPVS 7JSUVBM.BDIJOF 7JSUVBM.BDIJOF 7JSUVBM.BDIJOF SFTPVSDFT UP ZPVS CVTJOFTT SFTPVSDFT UP ZPVS CVTJOFTT 3FTVMU EFDSFBTFE DPTUT BOE 3FTVMU EFDSFBTFE DPTUT BOE JODSFBTFE FGGJDJFODJFT BOE 7JSUVBM *OGSBTUSVDUVSF 23 JODSFBTFE FGGJDJFODJFT BOE "QQMJDBUJPO "QQMJDBUJPO "QQMJDBUJPO "QQMJDBUJPO "QQMJDBUJPO "QQMJDBUJPO flexibilité

24 Virtualisation - Expérience Forte expérience dans la conception et l intégration de systèmes de virtualisation VMware Infrastructure 3 (ESX) Licence commerciale Excellents résultats pour les plate-formes Windows Xen 3.1 OpenSource Haut niveau de personnalisation Puissance native pour les VM sous Linux 24

25 XShare 25

26 XShare - Présentation Simplification et Sécurisation des échanges de fichiers Développé par Akersia et Neoprog pour ThalesAlenia Space Etat actuel des échanges de fichiers: Impossibilité d utiliser l pour l échange de fichiers (smtp, taille maximale des pièces jointes etc...) Protocole FTP souvent bloqué par les firewall et proxies FTP: protocole non sécurisé (identifiants en clair) Les autres solutions ne proposent pas de garantie de sécurité et confidentialité Besoin des entreprises: Echange de fichiers de taille > 10 Mo avec les partenaires Assurer la confidentialité des échanges Gestion des droits d accès Abstraction de logiciels spécifiques sur les postes clients 26

27 XShare - Fonctionnalités XShare permet: Echange avancée de fichiers: technologie WebDAV (dossier à travers HTTP) Gestion des utilisateurs et groupes: LDAP Sécurisation de flux: SSL et mod_security Interopérabilité (Windows, Linux, Unix, Mac OS X...) Gestion avancée et simplifiée des droits d accès (IHM d administration) Intégration parfaite au sein de l infrastructure existante (grâce aux composants Open Source) Solution évolutive Haute disponibilité 27

28 XShare - Interface Interface d administration modulaire et intuitive Délégation d administration Gestion de projets, groupes et utilisateurs Gestion simplifiée des accès en lecture/écriture Intégration native avec OpenLDAP, Active Directory et edirectory 28

29 XShare - Web browser Browser PowerBook G4 WebDAV Dragʼn Drop Copy / Paste Criptatge SSL 29

30 XShare - Montage WebDAV Browser PowerBook G4 30

31 Récapitulatif 31

32 Récapitulatif Reverse Proxy Haute sécurisation des portails web; gestion des flux VPN SSL Accès nomade sécurisé à l infrastructure Employés, clients et partenaires privilégiés Interopérabilité maximale Virtualisation de serveurs Réduction des coûts Haute flexibilité & disponibilité Optimisation des ressources et respect environnemental XShare Echange sécurisé de fichiers et confidentialité Interopérabilité maximale 32

33 akersia Architecture & Sécurité des Systèmes d Information Frédéric Laplagne: f.laplagne@akersia.fr Jordi Segués: jordi.segues@akersia.fr Akersia - 99 Route d Espagne - Bâtiment D Toulouse (France) Tél : +33 (0) Fax : + 33 (0)