Généralités sur la sécurité informatique 1. Introduction 13 2. Les domaines et normes associés 16 2.1 Les bonnes pratiques ITIL V3 16 2.1.1 Stratégie des services - Service Strategy 17 2.1.2 Conception des services - Service Design 19 2.1.3 Transition des services - Service Transition 21 2.1.4 Exploitation des services - Service Operation 24 2.1.5 Amélioration continue des services - Continual Service Improvement (CSI) 26 2.1.6 La Gestion des configurations - Configuration Management 28 2.1.7 La Gestion de la disponibilité - AvailabilityManagement 29 2.1.8 La Gestion de la sécurité - Security Management 29 2.2 La méthode PDCA appelée aussi Roue de Deming 30 2.3 La norme ISO 20000 32 2.4 Les normes ISO 2700x 32 3. Les risques informatiques 35 3.1 Définitions 35 3.2 Les vulnérabilités 37 3.3 Les menaces et leurs impacts 38 3.4 La gestion du risque informatique 40 3.4.1 Méthode générale d'analyse de risques 41 4. La politique de sécurité 47 4.1 Les principes 49 4.2 L'élaboration du document 50 4.3 Les outils associés 51 5. Les principaux axes de la stratégie de sécurisation 52 5.1 Le diagnostic et l'évaluation des besoins 52 5.2 Les plans opérationnels de sécurité 53 5.3 L'accès aux systèmes et aux données 53 1/12
5.3.1 La protection physique 53 5.3.2 La protection logique 54 5.3.3 Identification et traçabilité 54 5.4 La garantie de la disponibilité du système d'information 55 5.5 La sensibilisation des utilisateurs à la sécurité 56 6. La sécurité et l'aspect légal 56 7. Conclusion 58 La sécurité dans l entreprise - Le réseau 1. Pré-requis 59 2. Généralités sur la sécurité dans les réseaux 59 2.1 Introduction à la technologie des pare-feu 61 2.2 Les fonctionnalités de pare-feu 64 2.3 Les différents types de pare-feu 65 2.4 Choix d un dispositif de pare-feu pour l entreprise 67 2.5 La politique de configuration de pare-feu 68 2.6 Stratégie d implémentation de pare-feu 70 2.6.1 Les règles dans un pare-feu 70 2.6.2 Guide de bonnes pratiques de mise en place d environnements de pare-feu 77 2.6.3 Les pare-feu spécifiques 81 2.6.4 La haute disponibilité dans l implémentation des pare-feu 81 2.7 Les réseaux DMZ (DeMilitarized Zones) 83 3. Les réseaux privés virtuels d entreprise ou Virtual Private Network (VPN) 85 3.1 Mise en œuvre de liaisons sécurisées 86 3.2 Le serveur VPN 86 3.3 Les catégories de VPN 88 3.3.1 Les VPN utilisateur-site 88 3.3.2 Les VPN site-site 88 2/12
3.4 Précautions d utilisation de la fonctionnalité du VPN et bonnes pratiques 89 3.5 Possibilités supplémentaires de protection 91 4. Les composants utilisés dans les réseaux et la sécurité 92 5. Les systèmes de détection d intrusion ou Intrusion Detection System (IDS) 93 6. Les serveurs DNS (Domain Name Service) et la sécurité 94 7. Les autres technologies utilisées dans les réseaux d entreprise et la sécurité 96 7.1 Le Wi-Fi et le réseau sans fil 96 7.2 La technologie CPL (Courant Porteur en Ligne) 100 La sécurité dans l entreprise - Les systèmes 1. Objectifs 101 2. La disponibilité des données et des systèmes 101 2.1 Concepts et principes 101 2.2 La disponibilité des données 102 2.2.1 La technologie RAID (Redundant Array of Inexpensive Disks) 102 2.2.2 Le réseau de stockage SAN (Storage Area Network) 104 2.3 La disponibilité des systèmes 108 2.3.1 Les clusters de serveurs Windows 109 2.3.2 La virtualisation de systèmes 111 2.3.3 La virtualisation et la réplication de serveurs 112 2.3.4 La virtualisation et le stockage en réseau SAN (Storage Area Network) 112 3. La disponibilité de l infrastructure 113 3.1 Énergie électrique 113 3.2 Réseau de communications 114 3/12
4. Identification et authentification 114 4.1 Définitions 114 4.2 Implémentation de systèmes d identification et d authentification 115 4.3 Mécanismes de contrôle d accès 116 4.3.1 Contrôle d accès logiques 116 4.3.2 Contrôles d accès internes 118 4.3.3 Contrôles d accès externes 118 4.3.4 Administration des contrôles d accès 118 4.3.5 Les outils ou solutions de contrôle d accès 119 4.4 La signature numérique, signature électronique 120 4.5 La mise en place d une infrastructure de Chiffrement à Clés Publiques 121 5. Sécurité physique et environnementale 123 6. Les protections contre les virus et programmes malveillants 124 6.1 Les virus 124 6.2 Les autres programmes malveillants 125 7. Les bonnes pratiques de sécurité dans le cadre d un système d information 126 7.1 Les bonnes pratiques générales 126 7.2 La gestion des comptes 127 7.2.1 Conseils à destination des administrateurs 128 7.2.2 Les bonnes pratiques de gestion des comptes et des mots de passe pour les utilisateurs 130 7.3 Les mécanismes de contrôles et de vérification 134 7.3.1 Les mécanismes de contrôle d accès 134 7.3.2 Contrôles d accès logique 134 7.3.3 Revues et audits 135 7.3.4 Les anomalies 135 7.3.5 La surveillance des systèmes 136 7.4 La protection des serveurs 140 7.5 La protection des postes de travail 142 7.6 La protection des périphériques d impression de documents 143 4/12
7.7 Bonnes pratiques de sécurité à destination de l administrateur système et réseau 144 7.7.1 Cas des mots de passe d administration des serveurs 145 7.7.2 Centralisation des mots de passe 145 7.8 Exemples d outils de contrôles de mise à jour des protections sur Windows 146 7.9 Sécurité physique des accès à la console des systèmes 147 7.10 Documentation de configuration des serveurs et périphériques 147 7.11 La veille technologique 148 8. Bonnes pratiques d administration spécifiques à Windows 148 8.1 Politique de verrouillage de compte 148 8.2 La politique de sécurité d accès aux comptes via Kerberos sur les plates-formes Windows 149 8.3 Protocole d authentification par défaut dans Windows 2000/2003/2008 149 8.4 Le chiffrement ou cryptage des systèmes de fichiers de Windows 149 8.5 Politique d audit des accès aux comptes et aux fichiers et la journalisation des tentatives illégales d accès 150 Mobilité et sécurité 1. Qu appelle-t-on terminal mobile? 151 2. Les terminaux nomades : problèmes spécifiques 153 2.1 L'origine de ces problèmes 153 2.2 Les principales vulnérabilités et menaces 154 2.3 Les impacts 158 2.4 Autres vulnérabilités et menaces 158 2.4.1 L'utilisation des réseaux sans fil (Wi-Fi) 159 2.4.2 Le BYOD (Bring Your Own Device) 159 2.5 Principes de réponse aux menaces 161 3. Les bonnes pratiques 161 3.1 Conseils pour l'utilisateur 161 5/12
3.1.1 La protection physique : protéger le terminal du vol ou de la perte 161 3.1.2 La protection logique 162 3.1.3 Installation d applications 162 3.1.4 Minimiser les fonctionnalités et sécuriser les interfaces radio 163 3.1.5 L'utilisation des réseaux sans fil (Wi-Fi) 163 3.1.6 Les différences entre les connexions sans fil (Wi-Fi ou 3G+) : l'aspect sécurité 164 3.2 Conseils supplémentaires 164 3.3 Mise en place d'une solution de sécurité 170 3.4 Quelques dispositifs de protection 180 4. Conclusion 184 La sécurité des données 1. Les risques de perte des données 187 2. La sauvegarde, la restauration 189 2.1 Concepts généraux 189 2.1.1 Définitions 189 2.1.2 La politique de sauvegarde 191 2.1.3 La sauvegarde 192 2.1.4 L archivage 192 2.1.5 La restauration 192 2.2 Les méthodes générales de sauvegarde 193 2.2.1 La sauvegarde directe 193 2.2.2 La sauvegarde en environnement réseau 193 2.3 Les types de sauvegarde les plus courants 194 2.3.1 La sauvegarde complète (Full Backup) 194 2.3.2 La sauvegarde normale 194 2.3.3 La sauvegarde partielle 195 2.3.4 La sauvegarde définie par l'utilisateur 196 2.3.5 La sauvegarde à distance (electronic vaulting) ou en ligne 196 2.3.6 La sauvegarde synthétique 197 6/12
2.3.7 Comparaison des types de sauvegarde 198 2.3.8 Avantages et inconvénients des différents types de sauvegarde 199 2.4 Les périphériques de sauvegarde 200 2.5 Les supports de sauvegarde 200 2.6 La gestion des supports et périphériques dans l application de sauvegarde 204 2.6.1 Critères de choix 204 2.6.2 Gestion des supports et des pools 205 2.6.3 Cycle de vie des supports 208 2.6.4 Formatage des supports 208 2.6.5 Prise en charge des bandes nettoyantes 209 2.6.6 Protection des données écrites sur les supports 209 2.6.7 Recommandations pour la gestion des bandes ou cartouches magnétiques 209 2.7 Les copies de supports (clonage) 211 2.8 Les sauvegardes sur disque, la bibliothèque virtuelle 212 2.8.1 Sauvegarde disque vers disque vers bande 212 2.8.2 La bibliothèque virtuelle de sauvegarde ou VTL (Virtual Tape Library) 214 2.9 L'utilisation de l'architecture SAN pour le stockage virtuel 215 2.10 Les clés d une bonne sauvegarde 216 2.11 La base de données de sauvegarde 217 2.11.1 Le concept 217 2.11.2 La sauvegarde de la base de données 218 2.12 Les notifications 219 2.13 Les machines virtuelles et leur stratégie de sauvegarde 219 2.14 La gestion de la sécurité au niveau des sauvegardes 222 2.14.1 La sécurité des données stockées 222 2.14.2 Dispositifs supplémentaires de gestion de la sécurité 222 2.15 Concept de snapshot ou clichés instantanés 223 3. La restauration des données 227 3.1 Les différentes options de restauration de fichiers 228 3.1.1 Restauration à la demande 228 3.1.2 Restauration d un système d exploitation complet d un serveur 230 4. La stratégie de sauvegarde 231 4.1 Éléments de réflexion pour la mise en place d une stratégie de sauvegarde 240 7/12
4.1.1 La fenêtre de sauvegarde 242 4.1.2 La périodicité des sauvegardes 242 4.1.3 Le temps de rétention des données copiées 242 4.1.4 Le type de support de copie de données 243 4.2 Les spécifications de sauvegarde 243 4.2.1 Création d'une spécification de sauvegarde 243 4.2.2 Les calculs de besoins en stockage 244 4.2.3 Collecte des besoins pour concevoir un système de sauvegarde opérationnel 246 5. L archivage des données 248 5.1 Stratégie d'archivage 248 5.2 Archivage légal et à long terme 248 6. L administration et la supervision des sauvegardes 248 6.1 La supervision des sauvegardes 248 6.1.1 Administration quotidienne 249 6.1.2 Vérification des sessions 250 6.1.3 Gestion de la base de données du logiciel de sauvegarde 250 7. Plan de reprise du serveur de sauvegarde 250 8. La technologie Drive Backup 11 Server 257 9. Les différents produits du marché 258 Le plan de secours informatique 1. Introduction 259 2. La préparation aux situations de sinistre 260 2.1 Approches possibles 262 2.2 Rétablissement 262 8/12
2.3 Sélection des objectifs prioritaires 263 2.4 Détermination du budget disponible 263 2.5 Détermination ou analyse des risques 264 2.6 Les solutions de secours 264 3. Considérations techniques pour l établissement de plans de secours 265 3.1 Postes de travail fixes et portables 265 3.1.1 Considérations de précautions et bonnes pratiques 265 3.1.2 Les sauvegardes 267 3.1.3 Les risques particuliers des postes nomades 269 3.2 Les serveurs 270 3.2.1 Considérations de précautions de sécurité et bonnes pratiques 270 3.2.2 Solutions de précaution et de secours 271 3.2.3 Solutions de restauration particulières 272 3.3 Les réseaux locaux ou LAN (Local Area Network), étendus ou WAN (Wide Area Network) 274 3.3.1 Considérations de bonnes pratiques 274 3.3.2 Solutions de précaution et de secours 275 3.3.3 Les réseaux sans fil ou WLAN (Wireless Local Area Networks) 276 3.3.4 Les systèmes distribués selon une architecture client-serveur 276 4. Guide pour l établissement d un Plan de Reprise d Activité en préparation d un désastre 277 4.1 Objectifs généraux 277 4.2 État des lieux de l'existant 279 4.2.1 Éléments critiques de l infrastructure 279 4.2.2 Inventaire et diagnostic de l état de la sécurité 280 4.2.3 Architecture de sauvegarde 280 4.2.4 Équipements redondants ou de haute disponibilité 281 4.2.5 Matériel et logiciels de secours 281 4.3 Analyse des besoins métier 281 4.3.1 Analyse de l'impact sur l'activité 281 4.3.2 Détermination des durées d'interruptions acceptables 282 4.4 Les scénarios de risque 283 4.5 Élaboration du plan de reprise d activité 288 4.5.1 Optimisation de l'infrastructure existante 288 9/12
4.5.2 Analyse des solutions et choix globaux 289 4.5.3 Choix du site de reprise ou de secours 290 4.5.4 Autres solutions techniques de reprise 293 4.6 Mise en place des ressources 293 4.6.1 Évaluation des ressources 293 4.6.2 Solutions techniques systèmes et réseaux 294 4.6.3 Moyens techniques externes 294 4.6.4 Contraintes liées aux fournisseurs externes 294 4.6.5 Aspect humain 295 4.7 Élaboration des procédures 295 4.7.1 Procédures d'exploitation 295 4.7.2 Procédures de reprise 296 4.7.3 Documentation 296 4.8 Les tests de fonctionnalités 297 4.9 La gestion du suivi du plan 299 5. La virtualisation de serveurs dans la stratégie de plan de secours 300 6. Exemple de projet d implémentation d un PRA 302 Le Cloud Computing 1. Principes 309 1.1 Les modèles ou solutions 310 1.2 Les différents modes de déploiement 313 1.3 Avantages du Cloud Computing 315 1.4 Le Cloud Computing interne à une entreprise 315 2. Le Cloud Computing et ses risques 316 2.1 Comprendre les risques du Cloud Computing 316 2.2 Les problématiques actuellement identifiées 317 2.3 Les risques cachés du Cloud Computing 319 2.4 Les menaces et vulnérabilités spécifiques 321 2.5 Les risques organisationnels liés à l'utilisation du Cloud Computing 322 10/12
2.5.1 Les risques généraux 322 2.5.2 Les risques techniques 326 2.5.3 Les risques réglementaires 331 2.5.4 Les risques non spécifiques au Cloud Computing 332 3. Bonnes pratiques de sécurité 332 3.1 Étape préliminaire 334 3.2 État des lieux 335 3.3 Analyse des risques 335 3.4 Conformité 336 3.5 Le prestataire 338 3.5.1 Le choix du prestataire 338 3.5.2 Vérification chez le prestataire 339 3.6 Le contrat et les niveaux de service 341 3.7 Les incidents 342 3.8 Le chiffrement des données 344 3.9 La sauvegarde 345 3.10 La gestion de la continuité d'activité 345 3.11 Étape de suivi ou de maintenance 346 3.12 La sortie du Cloud Computing 348 3.13 Le modèle de Maturité d'assurance Commun (Common Assurance Maturity Model - CAMM) 349 4. Conclusion 350 La sensibilisation à la sécurité dans l entreprise 1. Objectif 351 2. Le comportement 352 3. Sensibilisation 353 11/12
4. La charte de bonne conduite 354 Annexe 1. Sites Web 355 2. Organismes relatifs à la sécurité 357 Index 359 12/12