15/12/98J-L Archimbaud et N. Dausque1 Opérations sécurité au CNRS Nicole Dausque ingénieur UREC Jean-Luc Archimbaud UREC, chargé de mission sécurité réseaux au CNRS ( De plus en plus de problèmes de sécurité –Intrusions sur des machines : nombreuses journées de travail perdues rebond = responsabilité –Non respect de la législation « presse » : droit d’auteurs (Web) protection ordre public (propos racistes) –Vol de résultats de recherche –Virus

15/12/98J-L Archimbaud et N. Dausque2 Que faire ? CNRS atypique –Pas de solution « sur étagère » –Pas de solution unique Agir sur place –Administrateurs informatiques compétents et ouverts –Opérations sécurité –Méthodologie d’intervention sur mesure Pragmatique –Faire « pour le mieux » avec nos moyens

15/12/98J-L Archimbaud et N. Dausque3 Objectifs Aider les laboratoires –Sensibilisation –Bilan vulnérabilités –Actions correctrices –Outils de sécurisation –Amélioration de l’organisation (matérielle et humaine) –Vérification de l’applications recommandations CNRS –Création d’un réseau humain

15/12/98J-L Archimbaud et N. Dausque4 Méthodologie Rédaction d’une liste de contrôles Préparation de la mission : –Délégué et coordinateurs locaux –Liste des laboratoires, participants, planning –Adaptée à l’environnement 2 jours : sensibilisation, tour de table, présentation de l’opération, cours jours de travail : admin info dans leur labo 1 jour de bilan (préparé avec le coordinateur) Rapport

15/12/98J-L Archimbaud et N. Dausque5 Liste de contrôles Questions ---> Recommandations - Corrections 7 items –Présentation du laboratoire –Organisation / sécurité –Unix –Réseaux –Outils Unix –Windows NT –Micros (PC et Mac) Charte, admin du parc, gestion des comptes, contrôles réseau, architecture des services

15/12/98J-L Archimbaud et N. Dausque6 Extrait de la liste de contrôles Chapitre organisation : question : existence d’une charte ? Recommandation –Une charte doit être proposée à chaque utilisateur au moment de l’ouverture de son compte. Elle doit être signée et approuvée par lui. Le compte ne peut lui être ouvert qu’à cette condition. Il existe un modèle du CNRS, vous pouvez y ajouter des consignes strictes et si besoin des clauses propres au site (modèle disponible sur le site : dir.fr/Infosecu/document.html). Chapitre réseaux : question : tournez-vous un sendmail de version ? Recommandation –Les sendmail constructeurs ou de version inférieure à 8.8.x doivent être remplacés pour utiliser unsendmail V8.8.8 (binaire disponible sur ftp://ftp.lip6.fr/jussieu/sendmail/bin) ayant la fonction " RELAY " invalidée. Conseil –Envisager une politique d'établissement avec une seule machine autorisée à recevoir du mail de l'Internet avec une redistribution interne. La documentation est disponible sur : ftp://ftp.lip6.fr/jussieu/sendmail/kit. –Si vous avez des clients " Eudora ", vérifier que leur " shell " est /bin/false.

15/12/98J-L Archimbaud et N. Dausque7 Bilan Sophia 12/97, Toulouse 3/98, Grenoble 6/98, Marseille 9/98, Nancy 10/98, Gif 1/99 Méthode très bien perçue –Message externe (Direction parisienne) –Bonne sensibilisation –4 à 5 jours de travail / administrateur –Inventaire du parc –Correction de certaines vulnérabilités –Installation d’outils –Première étape d’un travail de longue haleine Pb de la participation des Directeurs

15/12/98J-L Archimbaud et N. Dausque8 Apports et futur Conséquences indirectes –réorganisation de l’architecture –achat d’équipements (routeur, …) –reconnaissance de la fonction d’administrateurs informatiques et de responsables sécurité –postes d’ITA Groupe d’échanges techniques Futur : –S’appuyer sur le réseau de coordinateurs –Utilisation d’Internet Scanner

15/12/98J-L Archimbaud et N. Dausque9 Constats Sécurisation très inégale, en moyenne faible La Direction doit avoir un rôle moteur Besoin d’une fonction administrateur de systèmes et réseaux dans chaque unité avec la maîtrise des postes de travail, puis de responsable sécurité Penser architecture de réseau / informatique avec des critères de sécurité Attention à –L’accès Internet –Windows-NT, Linux –Utilisation d’Internet