La présentation est en train de télécharger. S'il vous plaît, attendez

La présentation est en train de télécharger. S'il vous plaît, attendez

Défense en profondeur Cyril Voisin Chef de programme Sécurité Microsoft France.

Présentations similaires


Présentation au sujet: "Défense en profondeur Cyril Voisin Chef de programme Sécurité Microsoft France."— Transcription de la présentation:

1 Défense en profondeur Cyril Voisin Chef de programme Sécurité Microsoft France

2 Contenu de la session Un aperçu de la sécurité de bout en bout Authentification, Autorisation, Audit, Chiffrement Produits - Windows Server 2003, ISA Server 2003, ASP.NET,.NET Framework, SQL Server 2000 Cette sessions ne traite pas de Programmation.NET Programmation ASP.NET Conception de site Web Pratiques de codage sécurisé

3 Sommaire Évolution des menaces Risques & Moyens datténuation.NET Framework Windows Server 2003 ISA Server Lexemple OpenHack IV Résumé

4 Nous vivons une période de choc frontal Défi de la gestion des systèmes Généralisation de lusage Augmentation des menaces Augmentation des transactions en ligne Augmentation de la responsabilité juridique et de la transparence Installations par défaut insuffisamment sécurisées

5 Evolution des menaces Internet (IP) Web Paradigme « accessible par défaut » Mobilité Messagerie instantanée Réseaux sans fil Internet

6 Le défi de la sécurité Vous permettre de fournir des services… Accès Web, , accès fichiers, messagerie,… Accès Web, , accès fichiers, messagerie,… tout en protégeant vos actifs tout en protégeant vos actifs Données financières, cycles CPU, ressources réseau, propriété intellectuelle, informations client, espace disque,… Données financières, cycles CPU, ressources réseau, propriété intellectuelle, informations client, espace disque,… Le bon accès au bon contenu par les bonnes personnes par les bonnes personnes Les sociétés qui utilisent Internet font face au défi qui consiste à sassurer que leur système dinformation est sécurisé tout en assurant un accès rapide et facile aux informations

7 Lavantage de lattaquant et le dilemme du défenseur Principe n°1 Le défenseur doit défendre tous les points; lattaquant peut choisir le point le plus faible Principe n°2 Le défenseur ne peut défendre que ce quil connaît; lattaquant peut rechercher des points vulnérables Principe n°3 Le défenseur se doit dêtre vigilant en permanence; lattaquant peut attaquer quand il le veut Principe n°4 Le défenseur doit respecter les règles; lattaquant peut faire ce quil veut

8 Cyber-criminalité Étude réalisée par le Computer Security Institute et le FBI (2002 Computer Crime and Security Survey)

9 La menace est-elle réelle ? Informations issues du site Croissance des activités hostiles Et la progression continue…

10 Données supplémentaires Daprès le CERT (centre de coordination de luniversité de Carnegie Mellon autour de la sécurité), la non installation des patches de sécurité est la cause de pratiquement 99 % des pénétrations de système (2001, 95% en 2002) Il faut faire attention à son propre code : toujours daprès le CERT, 25 % des CERT advisories sont liés à des problèmes de buffer overflows

11 Pas simplement des technos…

12 Les 3 facettes de la sécurité Architecture sécurisée PersonnesAdmin. de lEntreprise Admin. Du Domaine Service/Support Développeur Utilisateur Archivage Politique daccès Installation Réparation Gestion des événements Gestion des perfs Gestion du Changement / de la Configuration Processus Restauration Sauvegarde Réponse à Incident MicrosoftOperationsFramework Evaluation de risques Technologies Windows 2000/XP/2003 Active Directory Service Packs Correctifs IPSEC Kerberos PKI DFS EFS SSL/TLS Clusters Détection dintrusion SMS MOM ISA Antivirus GPO RMS

13 Architecture applicative Clients 2Pare-feu 3Frontal Web 4Application 5Base de données 6Annuaire dutilisateurs 7Gestion de systèmes

14 Risques Spoofing Un utilisateur non autorisé se fait passer pour un utilisateur valide Tampering Un attaquant change ou détruit des données de manière illicite Repudiation Possibilité pour un utilisateur de nier avoir effectué une action Information Disclosure Fourniture de données à des utilisateurs non autorisés Denial of Service Rendre indisponible le système aux utilisateurs valides Elevation of Privilege Un attaquant obtient de manière illicite un niveau daccès plus élevé

15 Méthodologie dattaque Reconnaissance Recherche de vulnérabilités existantes Identification des faiblesses applicatives Exploitation Téléchargement doutils Exécutions dactions interdites Maquillage des traces

16 Méthodologies dattaque Scan de ports 2Spoofing de paquet 3Attaque dictionnaire 4Élévation de Privilèges 5Défiguration 6Vol de données 7Effacement des audits

17 Diminution des risques Spoofing Authentification forte Tampering Autorisation pour éviter les modifications illicites de données Repudiation Événements daudit pour les opérations autorisées et non autorisées Information Disclosure Sécurisation des données sensibles pendant le transit et durant le stockage Denial of Service Maîtrise de la bande passante pour interdire les requêtes malicieuses Elevation of Privilege Exécution des services avec les moindres privilèges

18 Stratégie de sécurité en profondeur Donn é es & ressources D é fenses application D é fenses hôtes D é fenses r é seau D é fenses du p é rim è tre Supposer léchec des couches précédentes

19 Stratégie de sécurité en profondeur Réseau sécurisé 2Limitation de la bande passante 3Authentification 4Autorisations basées sur les rôles 5Autorisations sur ressources et code 6Chiffrement de données 7Audit

20 Réseau sécurisé SSL/TLS Sécurise les couches applicatives (HTTP, LDAP) IPSec Trafic chiffré, signé & authentifié Filtrage au niveau de lhôte 802.1x Port Access Protocol Connexions réseau authentifiées Authentification via RADIUS Authentifie les utilisateurs distants VPN utilisant L2TP/IPSec

21 Sécurisation du périmètre ISA Server Filtrage de ports Filtrage de paquets Inspection de paquets Détection dintrusion Authentification de session Publication dapplications (Web, , FTP)

22 Flux de trafic ISA Deny All Allow Port 80 Create port rules Packet Filtering Packet Inspection Accept port 80 Request port 80 Send data Send response

23 Inspection de paquets Filtre les requêtes entrantes daprès un ensemble de règles Assure que seules les requêtes valides sont traitées La plupart des attaques font intervenir des requêtes formées de manière inhabituelles Extrêmement longues Demandant une action non habituelle Codées en utilisant un jeu de caractères alternatif Exemples simplifiés : ?%2e%2e%2f%2e%2e%2f (Rappel : %2e =. %2f = /) ?../../ ?../../ C:\inetpub\wwwroot\index.html

24 Filtres ISA Server Exchange Inspecte les messages MAPI RPC Rejette les requêtes mal formées Gère la pré-authentification SOAP/XML Limite la taille des requêtes Rejet si le message SOAP est trop long Valide lintégrité des requêtes SOAP/XML Peut-on la parser ? Sa structure est-elle valide ? Autorisation au niveau des méthodes Web

25 Authentification Windows Kerberos Permet la délégation Associe des credentials à des principals NTLM – pour la compatibilité avec lexistant RADIUS – utilisateurs distants Active Directory Annuaire LDAP Stockage sécurisé de credentials Associe des credentials à un security principal X.509 PKI – support des cartes à puce & des certificats

26 Authentification ASP.Net Authentification Windows (via IIS) Standards dauthentification HTTP (RFC 2617) BasicDigest Authentification Windows intégrée NTLMKerberos SSL/TLS avec des certifications X.509 clients Authentification personnalisée ASP.NET supporte la sécurité au niveau applicatif Modèle de programmation unifié pour toutes les formes dauthentification Passport

27 Authentification.NET Framework Principals Generic: utilisateurs et rôles non authentifiés Windows: utilisateurs / comptes Windows Custom: principals définis par lapplication Classe PrincipalPermission Effectue les vérifications vis-à-vis du principal actif Authentification et autorisation

28 Flux dauthentification 4Delègue laccès 4 3Impersonifie lutilisateur 3 2Demande un Ticket de session 2 1Demande le TGT 1 1

29 Autorisation Autorisation système Permissions sur les ressources (ACL sur fichiers, imprimantes, …) ACL ASP.NET sur des chemins dURL Autorisation.NET Framework Code Security Rôles & Permissions Autorisation au niveau de lapplication Permissions basées sur les rôles

30 Sécurité.NET Framework Sécurité.NET Framework Code access security Protection contre le code malicieux Application Domains et assemblies Policies et Evidence Les hôtes comprennent les : Shell, Browser, Server Le modèle de sécurité est basé sur les permissions Sécurité basé sur les rôles Principals Autorisation de lutilisateur

31 Code Access Security Le code fournit des preuves au runtime (hash, strong name, publisher, url etc.) Demandes de permissions déclaratives Attribut Security au niveau de lassembly, la classe ou du membre Attribut Security au niveau de lassembly, la classe ou du membre Imports Namespace=System.Security.Permissions FileIOPermissionAttribute( SecurityAction.Demand) Requête impérative de permissions Code explicite évalué à lexécution Code explicite évalué à lexécution Imports Namespace=System.Security.Permissions Dim FileIOPermission myPerm =_ new FileIOPermission(...) myPerm.Demand()

32 Permissions & Policies Permissions Code daccès aux zones restreintes Objets de contrôle des restrictions sur le managed code Security policy Règles, que le runtime doit suivre pour vérifier des permissions

33 Accès basé sur les rôles Principals Generic: utilisateurs et rôles non authentifiés Windows: utilisateurs / comptes Windows Custom: principals définis par lapplication Classe PrincipalPermission Effectue les vérifications vis-à-vis du principal actif Authentification et autorisation

34 Autorisation niveau application Windows Authorization API Frontal Web Services Application E-Commerce Application LOB Windows Authorization API Authorization Administration Manager Common Roles Management UI Policy Store (XML or Active Directory) URL Authorization

35 Séquence dautorisation 1Authentifie 1 2 2Rôles assignés 3 3Politique évaluée 4 4Accès autorisé

36 Securisation des données Transmission sécurisée de données SSL/TLSIPSec Stockage sécurisé de données EFS (Encrypting File System) de Windows Data Protection API (DPAPI).NET Framework Isolated Storage.NET Cryptography

37 .NET Framework Cryptography Conception orientée Stream Algorithmes symétriques Une opération pour une entrée de données périodique Fonctionne avec une seule clé secrète Exemple : chiffrement de message Algorithmes asymétriques Tampon fixe Paire de clé Publique/Privée Exemple : signatures numériques Cryptographic Service Provider (CSP)

38 .NET Cryptography Hashing MD5, SHA1 Génération de nombre aléatoire Algorithmes symétriques RC2, DES, TripleDES, AES Algorithmes asymétriques DSA, algorithmes RSA à clé publique

39 Audit & Gestion Événements daudit intégrés dans Windows Accès programmatique simple Windows Management Instrumentation.NET Framework namespace for WMI Microsoft Operations Manager Consolide les journaux dévénements Exécute des règles distribuées Base de connaissance Génère des alertes vers les consoles centrales

40 Microsoft Day ISSE 2003 OpenHack IV Description rapide de la configuration mise en œuvre par Microsoft pour remporter le dernier concours OpenHack

41 Composants mis en jeu Application Web IIS 5.0 Windows 2000 Advanced Server Stratégies IPSec Gestion et surveillance à distance SQL Server 2000 Mots de passe Remarque: aucun pare-feu utilisé!

42 Architecture Administrateur RRAS IIS SQL Server Terminal Services routeur

43 OpenHack - SQL Server Interaction avec la base de données uniquement via des procédures stockées Typage fort des paramètres. Ceux-ci sont vérifiés avant tout autre chose Toutes les données qui seront renvoyées à lutilisateur sont encodées en HTML (but : éviter une attaque de cross site scripting)

44 OpenHack - SQL Server Chaîne de connexion Non codée en dur dans lapplication !! Utilisation de lauthentification intégrée Windows La chaîne ne contient alors que le nom du serveur et celui de la base de données Chiffrée en utilisant les fonctions de lAPI de protection de données (DPAPI) CryptProtectData et CryptUnprotectData Intérêt : chiffre des secrets sans avoir à gérer ou stocker des clés Stockée dans le registre Permission sur cette clé accordée Aux administrateurs Au processus ASPNET

45 OpenHack – SQL Server Réduction de la surface dattaque Logiciels installés Authentification Compte de service Protocoles de communication Permissions de lapplication

46 OpenHack – SQL Server Logiciels Service pack 2 + les derniers correctifs de sécurité (Remarque : à lépoque le SP3 nétait pas disponible) Non installés Outils de mise à jour (Upgrade tools) Symboles de débogage Support de la réplication Documentation en ligne Outils de développement DésactivésMsdtc Agent SQL Server Microsoft search

47 OpenHack – SQL Server Modification de la stratégie de sécurité locale pour nautoriser que NTLMv2 Configuration en mode intégré Windows seulement Pas besoin de stocker un identifiant et son mot de passe sur le serveur Web (y compris SA) Mise en place dun mot de passe SA très très complexe Au cas où quelquun changerait par erreur le mode dauthentification Mise en place de laudit des Echecs Preuves des tentatives dattaques Mode paranoïaque : activer les Succès aussi au cas où le pirate ait deviné le mot de passe…

48 OpenHack – SQL Server Compte de service Par défaut : LocalSystem Bien trop permissif ! Création dun compte local non privilégié pour le service SQL Mot de passe fort Que lutilisateur ne peut pas changer Aucun accès à Terminal Server Si laccès au réseau avait été nécessaire, il aurait alors fallu utiliser un compte non privilégié du domaine

49 OpenHack – SQL Server Protocoles de communication Dans lutilitaire réseau serveur (server network utility) : cacher SQL Server des broadcasts de clients Enlever le protocole canaux nommés (on a besoin uniquement de TCP/IP) Suppression des bases exemples (Northwind, Pubs) Création de la base de lapplication Accorder au compte de lapplication les permissions sur les procédures stockées plutôt que sur les tables elles- même Interdire lexécution de requêtes ad hoc Sassurer que ce compte na pas de permissions ailleurs dans SQL Server

50 OpenHack – SQL Server Stratégies IPSec Traffic Serveur Web SQL Server Serveur dadministration SQL Server (carte réseau privé) SQL Server partages de fichier du serveur dadministration Protection Certificats numériques Forcer lauthentification de toutes les machines Chiffrement et signature (confidentialité et intégrité)

51 OpenHack – SQL Server Propriétés des stratégies IPSec Par défaut, bloquer tout le traffic IP et ICMP Serveur Web SQL Server Authentifier et signer : IPSec AH Serveur dadmin SQL Server Authentifier, signer, chiffrer : IPSec ESP+AH

52 Stratégie IPsec Administrateur RRAS IIS SQL Server Terminal Services routeur Permit 443 SHA L2TP+IPsec Permit 445, 3389 SHA1/3DES 445, 3389

53 Une Solution de bout en bout Offre une solution complète sécurisée à tous les niveaux Déploiement aisé pour toutes les audiences Utilisateurs finaux AdministrateursDéveloppeurs Basée sur les standards de lindustrie pour promouvoir linteropérabilité Kerberos, X.509 XML/SOAP, WS-Security, SAML

54 Références ISA Server Windows Server Framework Design, Deployment & Management Microsoft Operations Manager OpenHack l=/library/en-us/dnnetsec/html/openhack.asp l=/library/en-us/dnnetsec/html/openhack.asp l=/library/en-us/dnnetsec/html/openhack.asp

55 Présentations Microsoft 9H15 à 10H15 Défense en profondeur 10H30 à 11H30 Gestion des correctifs de sécurité 11H30 à 12H30 Sécurité des réseaux Wi-Fi 13H30 à 14H30 NGSCB (ex-Palladium) 14H45 à 15H45 Gestion de droits numériques en entreprise (RMS) 15H45 à 16H45 Sécurité des réseaux Wi-Fi Présentations sécurité :


Télécharger ppt "Défense en profondeur Cyril Voisin Chef de programme Sécurité Microsoft France."

Présentations similaires


Annonces Google