La présentation est en train de télécharger. S'il vous plaît, attendez

La présentation est en train de télécharger. S'il vous plaît, attendez

1 Introduction ISO 7498-2: –définition de la terminologie de la sécurite, –description des services et mécanismes sécuritaires, –définition des points.

Présentations similaires


Présentation au sujet: "1 Introduction ISO 7498-2: –définition de la terminologie de la sécurite, –description des services et mécanismes sécuritaires, –définition des points."— Transcription de la présentation:

1 1 Introduction ISO : –définition de la terminologie de la sécurite, –description des services et mécanismes sécuritaires, –définition des points dapplication des services de sécurité dans le modèle OSI, –définition es concepts de gestion de la sécurité.

2 Le cycle de vie de la sécurité Définition de la politique de sécurité, Analyse des menaces (en fonction de la politique), Définition des services de sécurité protégent des menaces, Définition des mécanismes fournissant les services, Gestion courante de la sécurité

3 Menaces, services et mécanismes Une menace est une action possible violant la politique de sécurité (exemple : perte d intégrité ou de confidentialité). Un service est une mesure qui peut être prise pour faire face à une menace (exemple : service de confidentialité) Un mécanisme est un moyen qui permet de fournir le service (exemple : chiffrement, signature électronique).

4 2 Domaine et politiques Dans un système sécurisé, les règles gouvernant la sécurité doivent être rendu explicites sous la forme d une politique de sécurité. Politique de sécurité : ensemble des critères de fourniture des services de sécurité. Domaine de sécurité : domaine auquel s applique la politique de sécurité.

5 Types de politiques La norme ISO distingue deux types : –identity-based: l accès et l usage sont déterminés sur la base des identités des utilisateurs et des ressources, –rule-based: l accès et l usage sont contrôlés par des règles globales s imposant à tout utilisateurs, exemple un étiquetage.

6 3 Les menaces Une menace est : –une personne, chose, événement ou idée mettant en danger un bien (en termes de confidentialité, intégrité, disponibilité ou usage légitime). Une attaque est une réalisation de la menace. Protections = mesures (contrôles, procédures) contre les menaces. Vulnérabilités = faiblesses des protections.

7 Risque C est une mesure du coût d une vulnérabilité (prenant en compte la probabilité d une attaque réussie). L analyse du risque vise à déterminer l intérêt du coût d une protection nouvelle ou améliorée.

8 Les menaces fondamentales Quatre menaces (selon les critères CIA) : –Fuite d information (confidentialité), les conversations téléphoniques du Prince Charles 1993, –Violation de l intégrité USA Today, falsified reports of missile attacks on Israel, 7/2002 –Déni de service Yahoo 2/2000, –Usage illégitime Vladimir Levin détourne 50 MMFdu réseau SWIFT (1995).

9 Les menaces élémentaires Elles conduisent à la réalisation dune menace fondamentale: –Mascarade, Royal Opera House web site, 8/2002 –Contournement des contrôles, ADSL modem passwords – Illegitimate Use –Violation des autorisations, Cross site scripting – Information Leakage –Cheval de Troie, PWSteal.Trojan, 1999 – Information Leakage –Piègeage des portes d accès Ken Thompson, Unix login – Reflections on Trusting Trust, Illegitimate Use

10 4 Services de sécurité 5 services principaux : –Authentification (y compris authentification des entités et origines), –Contrôle d accés, –Confidentialité, –Intégrité des données, –Non-répudiation.

11 Authentification Niveau entité : vérification d une identité revendiquée à un instant donné. Utilisé généralement au début d une connexion. Combat les menaces par mascarade et rejeu. Niveau origine : vérification de la source des données. Ne suffit pas à se protéger contre le rejeu. GSM, serveur web

12 Contrôle d accès Protection contre les usages non autorisés d une ressource : –utilisation des ressources de communications,, –lecture/écriture d une ressource, –exécution sur une ressource. Remote users

13 Confidentialité Protection contre les accès non autorisés à l information. Plusieurs types : –confidentialité de la connexion, –confidentialité en mode non connecté, –confidentialité au niveau d un champ de données, –confidentialité d un flot de trafic. Banque sur Internet Routeurs à chiffrement sur le réseau SWIFT.

14 Intégrité des données protection contre les menaces portant sur la validité des données. 5 types: –intégrité de la connexion avec/sans récupération, –Intégrité en mode non connecté, –Intégrité de champs particuliers avec/sans connexion,. MD5 hashes

15 Non-répudiation Protection contre un émetteur de données prétendant ne pas les avoir émises (non- répudiation de lorigine). Protection conre un récepteur prétendant ne pas les avoir reçues. Signature et accusé de réception d un courrier

16 5 Mécanismes Fournissent et supportent les services de sécurité. Deux classes: –Mécanismes spécifiques à certains services –Mécanismes génériques.

17 Mécanismes spécifiques Huit types: –Chiffrement, fournit la confidentialité des données –signature numérique, procédure de signature (privée), procédure de vérification (publique). Permet la non-répudiation, authentification de l origine et services d intégrité des données –Contrôle d accès Usage d une information sur le client pour prendre la décision l autorisant à accéder aux ressources –ex access control lists,, labels de securité,

18 Mécanismes spécifiques Huit types (2): –mécanismes de maintien de l intégrité des données Protection contre la modification des données. –Permet authentification de l origine et services d intégrité des données, également à la base de certains mécanismes d authentificationdes échanges –authentification des échanges, Basée sur les mécanismes de signature et de chiffrement –bourrage de trafic Addition d un trafic fictif destiné à masquer les volumes réels Permet la confidentialité au niveau flux,

19 Mécanismes spécifiques Huit types (3): –contrôle du routage empêche la circulation des données sensibles sur des canaux non protégés. ex. choix d une route en fonction de la sécurité physique de ses composantes. –Notarisation Utilisation d une tierce partie fiable pour valider intégrité, origine et/ou destination des données. S appuie généralement sur des fonctions cryptographique.

20 Mécanismes génériques Cinq types : –Fonction de confiance Toute fonctions impliquées dans un mécanisme de sécurité doit être digne de confiance (trustworhy) logiciel et matériel. –(étiquette de sécurité) security labels Toute ressource (ex : donnée stockée, processeur, canal de communications) peut se voir affectée une étiquette indiquant sa sensibilité. Idem pour les utilisateurs L étiquette doit souvent être attachée aux données transférées

21 Mécanismes génériques Cinq types (2): –détection d événement (event detection,) détection des tentatives de violations, détection des activités légitimes Peut déclencher des événements (alarmes), logging, récupération automatique –audit, Log des évènements passés à fin d investigation des brêches de sécurité. –Récupération Peut impliquer un abandon de l opération, l invalidation temporaire ou permanente (blacklist) d une entité;

22 Services versus mécanismes La norme ISO indique les mécanismes qui peuvent être utilisés pour fournir les services. Les omissions incluent: –l usage des mécanisme d intégrité à es fins d authentification, –l usage des techniques cryptographiques pour la non répudiation (et éventuelleùment la notarisation)

23 Service/mécanismes I

24 Service/mécanismes II

25 Services versus couches OSI Les couches 1 and 2 peuvent fournir les services de confidentialité. Les couches 3/4 sont concernées par de nombreux services. La couche 7 peut fournir la totalité des services.

26 Service/layer table


Télécharger ppt "1 Introduction ISO 7498-2: –définition de la terminologie de la sécurite, –description des services et mécanismes sécuritaires, –définition des points."

Présentations similaires


Annonces Google