Objectif : Tout administrateur système et réseau souhaitant avoir une vision d'ensemble des problèmes de sécurité informatique et des solutions existantes dans l'environnement Linux. Prérequis : Connaissance de l'administration de Linux ou Unix Une forte connaissance de TCP/IP est aussi requise, et plus généralement l'ensemble des concepts de sécurité des réseaux (filtrage, DMZ, etc.) et d'architecture de sécurité. - 3 jours - À l'issue de la formation, le stagiaire sera capable de : Mettre en place une architecture d'interconnexion à Internet sécurisé à l'aide de système Linux Renforcer la sécurité des systèmes Linux ouvert sur Internet Installer des services réseaux (DNS, HTTP, FTP) Contenu de formation LA SÉCURITÉ ET LE SYSTÈME LINUX Enjeux et objectifs de sécurité La menace Principaux facteurs de motivation des pirates Risques liés au type de connexion Risques liés aux failles des systèmes Émergence des systèmes Linux Linux et la sécurité Des distributions Linux sécurisées L'ÉTUDE DE CAS : UN RÉSEAU À SÉCURISER Une jeune entreprise Les besoins de la société en termes de services Les choix techniques initiaux de Tamalo.com Web et services associés Transfert de fichiers Base de données Résolution de noms Messagerie électronique Partage de fichiers Impression réseau L'infrastructure informatique vieillissante et vulnérable La compromission du site Mise en évidence des vulnérabilités La refonte du système informatique Le projet d'une nouvelle infrastructure réseau Études des flux: réseau Vers des outils de communication sécurisés Un suivi et une gestion quotidienne du système d'information CIT Formation 1/5 Avignon, le 28/08/2014
ATTAQUES ET COMPROMISSIONS DES MACHINES Kiddies, warez et rebonds Scénario de l'attaque du réseau de Tamalo.com Une faille dans le système L'exploitation de la faille Utilité des scans réseau La compromission Analyse de la machine compromise Traces visibles sur le système avant réinitialisation Sauvegarde du système compromis Analyse fine de l'image du disque piraté Montage pour l'analyse Étude des fichiers de démarrage et configuration Étude des fichiers créés lors du piratage Trousse à outils du pirate : le rootkit t0rm Sniffer réseau d'un rootkit Le mode PROMISCUOUS Rootkit : effacer les traces et masquer la présence du pirate - Rootkit : la porte dérobée Rootkit : t0rm: conclusion Détecter la compromission à partir des logs Origine de l'attaque CHIFFREMENT DES COMMUNICATIONS AVEC SSH ET SSL 35 Les quatre objectifs du chiffrement Authentification Intégrité Confidentialité - Signature électronique Facteurs de fiabilité des techniques de chiffrement Algorithmes de chiffrement symétrique et asymétrique Chiffrement symétrique - Chiffrement asymétrique Le protocole SSL (Secure Socket Layer) Qu'est-ce que SSL? SSL, comment ça marche? Les certificats x509 Authentification et établissement de la connexion SSL Utilisation de SSL par les applications client/serveur Le protocole SSH (Secure Shell) Qu'est-ce que SSH? À quels besoins répond SSH? Caractéristiques d'openssh Installation d'openssh Fichiers de configuration d'openssh Activation et lancement du serveur SSH Désactivation et arrêt du serveur SSH Utilisation de SSH Connexion interactive Exécution de commandes à distance Copie distante de fichiers ou de répertoires Transfert interactif de fichiers Options des commandes SSH Authentification avec SSH Configuration du service SSH Authentification par mot de passe Authentification à clé publique Relais d'affichage X11 Gestion des accès au service SSH CIT Formation 2/5 Avignon, le 28/08/2014
SÉCURISATION DES SYSTÈMES Installation automatisée Mise à jour régulière des systèmes Mise à jour et installation optimale avec APT Mise à jour avec Red Hat Network L'indispensable protection par mot de passe au démarrage Mise en configuration minimale, limitation des services actifs Identification des processus Identification des ports réseau utilisés Identification des services actifs Désactivation des services inutiles Sécurisation du système de fichiers Permissions des fichiers Détection des fichiers dotés de droits trop permissifs Droits suid et sgid Alternative à la protection suid : sudo Options de montage des systèmes de fichiers Gestion des accès et stratégie locale de sécurité Compte privilégié root Blocage des comptes inutiles Filtrage réseau avec TCP Wrapper Configuration des services système cron et syslog Cron et syslog Configuration sécurisée de la pile TCP/IP Ignorer certains messages ICMP ICMP Redirect ICMP Echo request ICMP Ignore Bogus Response Interdiction du source routing Surveillance des martiens! Protection contre les attaques IP spoofing et SYN flooding Configuration en pare-feu avec IPtables SÉCURISATION DES SERVICES RÉSEAU: DNS, WEB ET MAIL Bases de la sécurisation des services réseau Service de résolution de noms DNS Comment ça marche? Serveurs de noms et sécurité Installation du logiciel BIND Configuration des serveurs DNS Compte non privilégié Changement de la racine du système de fichiers avec «chroot» Activation et lancement du serveur Configuration des clients DNS Messagerie électronique Comment ça marche? Les logiciels de transfert de courrier Messagerie électronique et sécurité SPAM et relais ouvert L'architecture du système de messagerie Installation de sendmail Activation de sendmail Configuration de sendmail Installation d'imap Configuration et activation du serveur IMAPS CIT Formation 3/5 Avignon, le 28/08/2014
Serveur Web Serveur Web et sécurité Installation de HTTPD Configuration et activation de HTTPD FILTRAGE EN ENTRÉE DE SITE But poursuivi Principes de base du filtrage en entrée de site Filtrage sans état Adresses IP source et destination Protocole, ports source et destination Drapeaux TCP et filtrage en entrée Les limites du filtrage sans état Filtrage avec états Politique de filtrage: avant la compromission, «tout ouvert sauf» Politique de filtrage: du «tout ouvert sauf» au «tout fermé sauf» Déploiement de service FTPavec (et malgré) les filtres Filtrage d'un client FTP actif Filtrage d'un serveur FTP destiné à fonctionner en mode actif Filtrage d'un client FTP passif Filtrage du serveur FTP passif, limitation du serveur à une plage de ports TOPOLOGIE, SEGMENTATION ET DMZ Pourquoi cloisonner? Définition des zones du réseau de Tamalo.com Définition des flux à l'extérieur et à l'intérieur du réseau de Tamalo.com Postes de travail Serveurs applicatifs internes Serveurs accessibles depuis l'extérieur et l'intérieur: DMZ Topologie du réseau Topologie à un seul pare-feu Topologie à double pare-feu adoptée pour le réseau de Tamalo.com Détails de la configuration réseau de Tamalo.com DMZ Services internes Postes de travail Comment segmenter? Les VLAN et leurs limites VLAN par port physique VLAN par adresse MAC Configuration VLAN retenue pour Tamalo.com Proxy et NAT Proxy Traduction d'adresses NAT Source NAT - un pour un - ou NAT statique Source NAT -N pour M - ou NAT dynamique Proxy versus NAT Netfilter/IPtables Fonctionnalités d'lptables Tables et chaînes Écriture des règles Suivi de connexion Journalisation Traduction d'adresses NAT Filtrage Configuration IPtables des deux pare-feux Linux Configuration IPtables de chaque poste de travail Configuration IPtables du serveur SMTP CIT Formation 4/5 Avignon, le 28/08/2014
SURVEILLANCE ET AUDIT Des traces partout Linux et le syslog Empreinte des machines: Tripwire Métrologie réseau avec MRTG Installation et configuration de MRTG chez Tamalo.com Configuration SNMP du firewall A pour accepter les requêtes MRTG Installation et configuration de MRTG sur la machine d'analyse NMAP Audit réseau avec Nessus Configuration de Nessus Rapport d'audit Détection d'intrusion : Snort Mise en place de la sonde Snort Configuration et validation de Snort, détection des scans Extensions du noyau CIT Formation 5/5 Avignon, le 28/08/2014