Cyber-Sécurité: Contexte et solutions Stéphane Vince ee-campus 24/09/2015
Agenda 1. Introduction & notions de base 2. Sécurité des données: Réplication Backup Sécurisation des endpoints 3. Menaces courantes 4. Sécurité des réseaux: Gestion des identités & droits Firewall, VLAN, VPN IPS & UTM 5. Actualité: L AdN et le plan du numérique
Introduction (*) Thucydide, historien grec (5ème siècle avt. J-C )
Introduction Notions de base Risque Menace Vulnérabilité Contre Mesure Qu est ce que le sécurité informatique? Situation dans laquelle un système informatique est protégé des dangers internes et externes Quelques concepts: Intégrité Disponibilité Authentification Confidentialité Non-répudiation
Introduction Notions de base Menaces : Environnement (pannes: électriques, mécaniques, électroniques) Hacking Interne (espionnage, vol, sabotage) Hacking Externe (tentatives d intrusions et de prises de contrôle) Vulnérabilités : Services (serveurs/plateformes web, SGBD, ) Applications (browsers, OS, suite office, métiers ) Actions utilisateurs (effet next next next)
Accès Donnés Introduction Notions de base Contre-Mesures : Réplications (RAID, backup local, backup distant, ) Redondance (connectivité, alimentation, climatisation, synchronisation des donnés, ) Contre mesures (upgrade, antivirus, anti-***ware, ) Authentification forte (PKI, auth multi-facteurs, ) Limitations des surfaces d attaques (firewall, VLAN, IPS, upgrade) Signature électronique et chiffrement et un peu de «bon sens»!
Sécurité des données -> la réplication Méthode consistant à dupliquer les données sur plusieurs supports. Techniques : Manuelle : enregistrements en 2 endroits distincts Automatique : grappes de disques (RAID1, RAID5, ): Serveur SGBD, Mail, Applicatif (DAS) Serveur de fichiers (NAS) Infrastructure de stockage (SAN) Solution de stockage unifiés (SAN + NAS) Assistée : dans une application: SGBD «maitre-esclave», scripts,
Sécurité des données -> la réplication (illustration)
Sécurité des données -> la réplication (illustration)
Sécurité des données -> la réplication Techniques : Géographiquement distincte : baies de stockage en miroir (utilisation de solutions cloud : Amazon S3, Microsoft Azure Storage Services, OVH Hubic, proposé par les intégrateurs) Déconnectée : backup sur bandes magnétiques ou disques durs enfichables (quid de l entrepôt) Combinaisons diverses
Sécurité des données -> Backup Copie de sauvegarde des données (peut être en ligne ou hors-ligne). Finalités : Se prémunir des pertes de données involontaires En cas d incident grave: Sauvegarder le patrimoine informationnel de l entreprise Techniques : Classique: recopie sur un support externe (Disques Durs, supports optiques, bandes, mémoires flash) Méthode complémentaire: cliché instantané (ou snapshot)
Sécurité des données -> Backup Outils et possibilités: Copie manuelle Copie assistée (Logiciel, Scripts automatisés) Solutions cloud «légères» (DropBox, OneDrive, Google ) Logiciel spécialisé de sauvegarde (Backup Exec, Veeam) Logiciel embarqué dans une solution de stockage Rédaction, mise à jour et test d un DRP: Plan de reprise d activité - Disaster Recovery Plan
Sécurité des données -> Endpoint Security Logiciel conçu pour protéger un terminal contre des programmes néfastes tel que les virus, chevaux de Troie... Catégories : Antivirus intégré; Antivirus personnel (ou a usage familial); Antivirus d entreprise (gestion centralisée). Remarques : Quid des smartphones, tablettes? Logiciels souvent couplés à d autres techniques de protection.
Menaces courantes Spyware : Logiciel espion conçu pour exploiter les données ou les ressources présentes sur son hôte. SPAM : Courrier électronique non-sollicité dont le but est d attirer le lecteur vers un site internet (souvent commercial). Phishing : Plus dangereux que le SPAM traditionnel, le but est de collecter des informations privées (numéro de cartes de crédits, mots de passe, etc.) Ransomware
Menaces courantes Keylogger (ou sniffer) : Spyware permettant de capturer les saisies clavier. Cheval de troie : Partie de code malveillante dissimulée au sein d un logiciel utile. Rootkit : Ensemble de malware dont le but 1 er est de se dissimuler des antivirus et le 2 nd de permettre la prise de contrôle d un système. Les système infectés sont exploités par des réseaux de hackers pour lancer des attaques (ex: DoS). Un pc infecté est souvent qualifié de «pc zombie».
Sécurité des réseaux -> Identification & Droits d accès L'accès aux applications informatiques se doit d être régulé selon une politique établie de droits d accès et d identification. Bonnes pratiques : Préférer une gestion centralisée des comptes utilisateurs (utilisations d annuaires) Avoir une règle de renforcement des mots de passe (authentification forte) Utiliser PKI une infrastructure à clé publique Eviter l effet Post-IT Fédération & Single-Sign-On (SSO)
Sécurité des réseaux -> Identification & Droits d accès Bonnes pratiques : Gérer les policies au plus près de l informations: par le biais d un annuaire (AD, LDAP, NIS, ) gestion des droits d accès au niveau fichiers gestion des droits d accès au niveau du SGBD gestion des droits d accès de la messagerie Définir une politique de traçabilité (logs) Connecter les applications à l annuaire (via LDAP, RADIUS, )
Sécurité des réseaux -> Firewall Le pare-feu assure un périmètre de protection entre le réseau interne à l'entreprise et le monde extérieur. Caractéristiques : Grandes diversités de produits: niveaux de sécurités variables Point central du trafic Traduit la politique de sécurité des accès réseaux Protège des attaquent externes (ex: D-o-S) Peut être logiciel ou matériel L utilisation conjointe d un pare-feu au niveau de l accès à internet (souvent matériel) et d un autre au niveau des stations de travail (souvent logiciel) est une bonne pratique
Sécurité des réseaux -> Firewall (illustrations) FW d entreprise FW Individuel
Sécurité des réseaux -> VLAN Permet la création de réseaux distincts au sein d une même infrastructure (ex: PC, imprimantes, téléphones). Augmente la sécurité au niveau de la couche transport. Caractéristiques : Séparation de différent type de trafics Evite l effet «bottleneck» Permet de définir des priorités Obligatoire dans l utilisation de VoIP
Sécurité des réseaux -> VLAN (illustrations)
Sécurité des réseaux -> VPN Permet d établir des connections sécurisées entre deux entités (ex: le réseau interne de l entreprise et un employé en télétravail) en utilisant un réseau publique (ex: internet). Caractéristiques : Création d un tunnel vers l entreprise Différent protocoles (L2TP, SSL, IPSec, ) Points importants : L authentification et les autorisations sont critiques! Pas tjs utile cloud (file storage, appli métier, )
Sécurité des réseaux -> VPN (illustrations)
Sécurité des réseaux -> Intrusion Prévention System Système automatisé de détection d intrusions et/ou de comportements anormaux, complémentaire au firewall bloque les attaques non détectables par ce dernier. Caractéristiques : Détecte des attaques complexes Surveille la validité des protocoles (http, pop, imap, smtp, sip, ) Réagit aux attaques (blocage de certaines communications ou d hôtes distants)
Sécurité des réseaux -> Autres notions UTM (Unified Threat Management) : Appliance/Boitier de sécurité «tout en un» comprenant les fonctionnalités de parefeu, antivirus, système de prévention d'intrusion, VPN, filtrage Web, anti-spam et d'autres fonctionnalités: QoS, virtualisation, compression de données, routage, policy routing, etc. NAC (Network Access Control) : Solution complète autorisant l accès au réseau de l entreprise uniquement au entités pouvant montrer patte blanche. Seul un PC étant reconnu par l entreprise et ayant son antivirus à jours, les derniers patch de sécurités appliqués aura accès aux ressources de l entreprise.
Audit en Sécurité Vue à un instant T de tout ou partie d un système d information, permettant d en comparer l'état vis-à-vis d un référentiel. Caractéristiques : Analyse des points forts et points faibles d un système, Confrontée aux policies connues du système (+ documentation), Vérifie l adéquation aux règles, SLA, de l entreprise, Comporte une analyse du risque, Doit déboucher sur des recommandations.
Conclusions Recommandations : La sécurité informatique est l affaire de tous, Pro-activité vs Réactivité, Rester critique Le risque 0 n existe pas, Éviter les comportements à risques, Éduquer les utilisateurs, Rester à jour (logiciel & utilisateurs), Faites valider votre infrastructure par un tiers.
Missions de l Agence du Nume rique 1. Veille & intelligence de référence dans le domaine du numérique : baromètre / cartographie. publications ciblées sur les innovations technologiques. partenaires privilégiés de l écosystème numérique. 2. Promotion de la Wallonie numérique et des usages: vitrine/ marque mise en valeur des usages innovants dans le domaine du numérique au sein du secteur privé (avec notamment l AEI) et du secteur public. 3. Accompagnement du secteur et de l e cosystème nume rique wallon : mise en réseau/soutien des acteurs/opérateurs locaux de l écosystème numérique. relais du secteur (national et international). Compétence de référence pour l analyse de dossiers.
Plan du Numérique Objectif: Transformer la Wallonie par le numérique Méthodologie: Assise: Groupes de travail + site participatif Synthèse et élaboration du plan Adoption par le GW Structure: 5 thèmes - 50 mesures Timing: Aujourd hui 1 er effet 2016
Plan du Numérique: Mesure 31
Plan du Numérique: Mesure 32
Open Data. Données unifiées. API. Agenda partagé. Back-office et développements personnalisés. Données Diffusion et suivi du Plan du Numérique. Lieu de convergence et de redirection. Articles de fond. Diffusion de la veille. Catalogue et cartographie dynamiques de l écosystème numérique (entreprises, grappes, écoles, ). Agenda. Site Web Gouvernance collaborative par et pour l écosystème du numérique (Ministre du numérique, Clusters, AWEX, Centres de compétence, Agoria, DGO6, ). Intelligence Plateforme Structuration sur base des 5 thèmes du Plan. Veille technologique et des usages numériques. Cohérence des initiatives. Conseil et expertise. Support (missions, forums, ). Baromètre et indicateurs du Plan du Numérique. Marque Branding. Animation et promotion de l écosystème numérique (régional, national et international). Vitrine du territoire numérique et des bonnes pratiques.. Labellisation (partenaires, events, ). Ambassadeurs.
Questions?
Stéphane Vince IT Manager stephane.vince@aei.be Agence du Numérique Avenue Prince de Liège 133 5100 Jambes +32 (0)81 778071
Références DigitalWallonia : Plan du numérique AWT : Guide «sécurité informatique» CCM : Sécurité / Législation Wikipedia : Portail de la sécurité informatique Portail: cert.be, www.securite-informatique.gouv.fr