La présentation est en train de télécharger. S'il vous plaît, attendez

La présentation est en train de télécharger. S'il vous plaît, attendez

Sécurité informatique: domaines dapplication Université Paris XI - IFIPS Protego Informatique Nicolas Monier.

Présentations similaires


Présentation au sujet: "Sécurité informatique: domaines dapplication Université Paris XI - IFIPS Protego Informatique Nicolas Monier."— Transcription de la présentation:

1 Sécurité informatique: domaines dapplication Université Paris XI - IFIPS Protego Informatique Nicolas Monier

2 Plan I Sécurité informatique et gestion dentreprise II Sécurité informatique et développement logiciel III Sécurité informatique et exploitation

3 Sécurité informatique et gestion dentreprise

4 Unité de mesure pour le manager: le risque Deux informations intéressent le manager: Lergonomie des outils Informatiques (impliquant un gain de productivité) et lestimation dune probabilité dun perte financière liée à un incident informatique. Son but: maximiser le rapport productivité/coût. Le consultant sécurité ne répond pas à un besoin énoncé par le DSI mais À des contraintes financières spécifiées par le DAF. Linformaticien doit donc élargir son champs danalyse: Minimiser limpact de la sécurité sur lergonomie. Minimiser limpact de la sécurité sur lergonomie. Prendre en compte la sécurité physique des systèmes (car le DAF considère Prendre en compte la sécurité physique des systèmes (car le DAF considère tous les incidents et pas uniquement les malveillances). tous les incidents et pas uniquement les malveillances). Prendre en compte la sécurité organisationnelle. Prendre en compte la sécurité organisationnelle. Se doter doutils danalyse pour communiquer avec le DAF. Se doter doutils danalyse pour communiquer avec le DAF. Risque informatique: valeur synthétique mesurant la probabilité dexécution dune menace exploitant la vulnérabilité dun système, ayant un impact négatif sur le niveau de production.

5 Outils danalyse: méthodes et normes Méthodologies institutionnelles: ITSEC, NSA books. Méthodologie non institutionnelle: OCTAVE. Méthodologie non institutionnelle: MEHARI. Norme internationale: IS La mesure du risque nécessite un audit. Ce dernier nécessite la création dun référentiel de valeurs. On doit donc se doter de méthodes pour: (1) appréhender La complexité du système dinformation, (2) créer des échelles de valeur Propres à lentreprise. Les méthodes proposent toutes la création dun cadre de référence, la définition dun périmètre danalyse et un système de calcul du risque. MAIS: elles ne proposent pas de technique de mise en œuvre, de contrôle De la durée, de répartition des tâches, dintégration danalyses de bas niveau.

6 Sécurité informatique et développement logiciel

7 Sécurité et développement: notions de base Les considération de sécurité doivent être intégrées au processus de développement et non prises en compte a posteriori. Ne pas confondre « ajouter des fonctionnalités de sécurité » et « sécuriser des fonctionnalités logicielles ». La sécurité intervient lors de: la phase de conception, la phase dimplantation, la phase de validation.

8 Phase de conception: analyse de base Méthode STRIDE basée sur lanalyse des menaces: Spoofing, Tampering with data, Repudiation, Information disclosure, DoS, Elevation of privilege. Processus de base: 1) Schématiser larchitecture logicielle. 1) Recensement des menaces. 2) Tri des menaces par ordre de risque décroissant. 3) Choix des réponses aux menaces 4) Choix des techniques de sécurisation 5) Choix des technologies de sécurisation Il est souvent nécessaire de réitérer le processus plusieurs fois. Il faut impliquer toutes les disciplines liées au développement: Codeurs, concepteurs, analystes fonctionnels, DBA etc…

9 Phase de conception: exemple (1) Traiter lexemple suivant: Soit une application réseau permettant aux employés dune entreprise de consulter leurs fiches de salaires. Le logiciel doit répondre aux impératifs suivants : 1) Il doit proposer une interface WEB afin déviter un déploiement sur les postes clients. 2) Il doit proposer à un employé donné uniquement les informations qui le concernent. 3) Sa base de compte doit sappuyer sur lannuaire dentreprise. 4) Il doit enregistrer les consultations. 5) Il doit puiser les informations financières dans le SGBD central de la société. 6) Il peut (mais ce nest pas obligatoire) sappuyer sur le serveur applicatif Tomcat existant. Les développeurs ont décidés de se baser sur les choix techniques suivants : serveur WEB : Apache sous Windows Langage de scripts : PHP. Langage de programmation évolué : servlets JAVA sur serveur Tomcat.

10 Phase de conception: exemple (2) Faire un schéma où apparaissent : - - Les processus essentiels. - - Les données persistantes (fichiers, BD, clefs de registre, AAA). - - Les données non persistantes (credentials, données de contexte, cookies). - - Les canaux de communication interprocessus (sockets, named pipe, RPC..)

11 Phase de conception: exemple (3) Menace détectée sur le canal de communication HTTP. TitreVol de login/mot de passe Type(s) de menaceI + S (Information disclosure + Spoofing identity) Cible HTTP (communication client WEB Serveur WEB) Probabilité3 (sur une échelle décroissante de 10, donc 1 = proba max) : Cest une attaque relativement triviale pour une personne familière avec linformatique. Or il existe dans les filiales de lentreprise un personnel informatique nombreux et difficilement controlable. Criticité7/10 : les salaires sont des données confidentielles qui ne sont pas légalement divulgables. Ces informations, si elles devenaient publiques pourraient provoquer des conflits au sein de lentreprise. Technique dattaqueUn logiciel « sniffer » bascule une interface réseau en mode « promiscuous » sur un poste de travail. Technique de réduction du risque (optionnel) Plusieurs possibilités : chiffrement de la communication HTTP ou utilisation dun mécanisme dauthentification renforcé. Statut de la menaceEn cours dinvestigation : deux réponses possibles ont été identifiées. On essaie de chiffrer les coûts. Dautre part. Il existe une autre menace sur le même composant qui pourrait exiger une réponse de réduction de risque similaire. Numéro de bugNéant (pas de base de données de bug utilisé dans lentreprise).

12 Phase de conception: exemple (4) Comment répondre? - - Ne rien faire - - Avertir lutilisateur - - Supprimer la fonctionnalité - - Trouver une parade Quelle technique appliquer? - Appliquer tableau à droite. Type de menaceTechnique de réduction Spoofing identity-Authentication -Protect secrets -Dont store secrets Tampering with data-Authorization -Hashes -Message Authentication code -Digital signature -Tamper-resistant protocols Repudiation-Digital signature -Timestamps -Audit trails Information disclosure -Authorization -Privacy enhanced protocol -Encryption -Protect secrets -Dont store secrets Deny of service-Authentication -Authorization -Filtering -Throttling -Quality of service Elevation of privileges -Run with least privilege

13 Sécurité informatique et exploitation

14 Problématique dexploitation: lauthentification Authentifier les utilisateurs est une problématique majeure dans les systèmes dinformation modernes: - - La dépendance croissante des processus de production vis-à-vis de linformatique impose de maitriser laccès aux systèmes. - - Lexplosion du nombre de systèmes nécessitant une authentification complique la tâche des utilisateurs et celle des administrateurs. - -Trop de bases de comptes différentes, trop de mots de passe faibles. Il faut donc à la fois: - - Implanter un système dauthentification forte (résistant au rejeu et à la capture). - - Implanter des mécanismes SSO afin de faciliter le travail des utilisateurs, celui des administrateurs et renforcer les mots de passe.

15 Problématique dexploitation: les certificats Authentification par certificat: quest ce quun certificat? Cest un document électronique contenant: Une clef publique. Une identité. Une signature électronique assimilable à une certification de conformité.

16 Problématique dexploitation: infrastructures de clef Authentification par certificat: quest ce quune infrastructure de clefs? Cest une structure à la fois organisationnelle et informatique chargé de: Détablir une relation de confiance avec ses clients (procédures, mécanismes de protection, charte). De collecter les requêtes de certification des clients. Denquêter sur la probité de ses clients. De générer des certificats. De détruire des certificats. De renouveler des certificats.


Télécharger ppt "Sécurité informatique: domaines dapplication Université Paris XI - IFIPS Protego Informatique Nicolas Monier."

Présentations similaires


Annonces Google