Denial of Service (DoS) Audit des systèmes d'information de gestion – Prof. Campos Présentation par Sophie Biffiger, Cécile Ginier, Beat Grand, Joëlle Savoldelli, Guilhem Tardy 11 mars 2014

3.1 Grande surface du quartier Plan Introduction Analyse des risques 3.1 Grande surface du quartier 3.2 Banque 3.3 Société de ventes par correspondance et on-line 3.4 Gouvernement cantonal en période d'élection 3.5 Kiosque du coin Conclusion

Denial of Service (DoS) «Attaque informatique qui rend un service indisponible et inutilisable par saturation de son serveur ou de son réseau» Intrusion intentionnelle et malveillante attaque asymétrique : peu de resources nécessaires pour l’attaquant

Méthodes Inondation du réseau via l’envoi de nombreux messages Exploitation de vulnérabilités dans OS ou application Attaque asymétrique : court message entraînant une réponse détaillée OS : operating system (système d’exploitation) attaque asymétrique : peu de resources nécessaires pour l’attaquant (ex : NTP server  facteur d’amplification 206x), large utilisation mémoire & CPU du serveur

Evolution Nombre d’attaques décuplé par l’évolution : Limites du DoS : Des systèmes IT toujours plus répandus Des technologies Du Haut-débit Limites du DoS : Ressources limitées de l’attaquant Identification des requêtes illégitimes haut-débit : non seulement plus grand débit (⇒ potentiel de dégâts créés par un seul ordinateur), mais aussi ordinateurs toujours connectés (⇒ contrôle 24h/24 des bots) contre-mesures : firewall (simple deny rules), switch/router (rate-limiting), application frond-end hardware (packet data packets), Intrusion Prevention System (identify illegimitate traffic with signatures, but not legitimate traffic with bad intent), DDS based defense, blackholing, clean pipes.

Distributed Denial of Service (DDoS) Attaque simultanée depuis plusieurs machines Plusieurs personnes, ou Une personne contrôlant plusieurs « bots » Attaque via plusieurs serveurs bot : machine contrôlée à l’insu de son propriétaire par un hacker botnet : réseau de bots (par centaines et milliers) utilisé pour envoyer des spams, lancer des attaques DDoS, propager des virus informatiques et/ou obtenir des informations personnelles à des fins de vol d’identité

Motivation Atteinte envers l’activité économique ou la réputation d’une entreprise Demande de rançon Représailles Acte politique ou idéologique Défi personnel (reconnaissance entre hackers) Guerre est un résultat des différentes motivations

Pertes en 100’000s

Ces dernières semaines Alphadex (28.2.2014 - 2.3.2014) affecte des centaines de sites web et messageries Meetup (2.3.2014) 400Gbps affecte le site web et les applications rançon Russie - Ukraine (4.3.2014) affecte l’infrastructure de téléphones mobiles Alphadex : datacenter provider Des programmes de DDoS sont disponibles gratuitement ou très bon marché (moins de $20). Meetup : “A competitor asked me to perform a DDoS attack on your website. I can stop the attack for $300” Russie – Ukraine : “Kiev security chief says 'IP-telephonic' attack is targeting Parliament”

Grande surface du quartier Circonstances Risques Impacts Gestion de la chaîne logistique (GCL) Empêcher la grande surface d’effectuer ses commandes Pénurie de stock Perte d’opportunités de vente et de clients Caisses enregistreuses reliées au système ou paiements par cartes Empêcher la vente Gestion informatisée du stock Impossibilité de retirer les produits périmés à temps Perte de réputation Caméras de surveillance Pas d’enregistrement vidéo, pas de preuve Perte financière en cas de vol Système de domotique Blocage de l’ordinateur central Empêcher la surface de fonctionner correctement Empêcher la surface de fonctionner correctement : lumières, portes, climatisation, etc…

Banque Circonstances Risques Impacts Système de retrait par cartes Empêcher l’utilisation des services bancaires Perte d’opportunités de vente (commission) Système de gestion des comptes clients Empêcher l’accès à la base de données Refus de toutes transactions Utilisation du service E-banking Empêcher l’accès aux données et les transactions Mécontentement des clients Utilisation d’internet pour les transactions en bourse Empêcher les achats et ventes de titres Perte de crédibilité et éventuel dédommagement Citer camera surveillance, pareil qu’avant

Société de ventes par correspondance et on-line Circonstances Risques Impacts Prise des commandes par téléphone Saturation de leur service téléphonique Perte d’opportunités de ventes et de clients Vente à travers un site internet Empêcher l’accès au site internet Perte de ventes et de clients Incapacité de passer correctement sa commande Système de gestion des clients et des livraisons Empêcher la société de connaître les livraisons à effectuer Perte de réputation et frais de dédommagement Point 2&3, quelle difference pour l’attaque? Une attaque peut avoir deux consequences différentes? Attaque serveurs hébérgeur=> site out Attaque plateforme du site => impossible voter

Gouvernement cantonal en période d'élection Utilisation du vote électronique dans le canton de Neuchâtel, Genève, Zürich Circonstances Risques Impacts Utilisation d’internet pour voter Impossibilité de voter Perte de crédibilité du système, probable perte de voix Votes effectués mais non transférés Biais les résultats, éventuelle annulation du vote, perte de crédibilité Système d’envoi des résultats par internet Blocage du système de la commune ou du canton Impossible de réunir les votations Accès à la plateforme Fonctionnement plateforme

Kiosque du coin Circonstances Risques Impacts Caisses enregistreuses reliées au système ou paiements par cartes Empêcher la vente Perte d’opportunités de vente et de clients Système informatisé pour validation des tickets de loterie Impossibilité de valider les tickets Perte d’opportunités de ventes Caméras de surveillance Risque de vols Perte financière

Mesures Mener une veille active Filtrer le trafic Etablir des profils types de comportements Test des adresses sources…  Protection intelligente et flexible Les risques susmentionnés  risques inhérents

Conclusion Une société de ventes par correspondance (et on-line) Une banque La grande surface Le gouvernement cantonal en période d’élection Le kiosque du coin Avec le développement des Systèmes IT, les risques et les impacts des DoS deviennent de plus en plus importants.

Merci pour votre attention