[PDF] Chapitre III Les entreprises et lInternet

View - Download Chapitre III Les entreprises et lInternet

Previous PDF

Next PDF

1

3. SŽcuritŽ 1

Chapitre III

La sŽcuritŽ sur Internet

3. SŽcuritŽ 2

Les entreprises et lÕInternet

¥ Internet est devenu un ŽlŽment critique de la stratŽgie de communication des entreprises

¥ UtilisŽ dans deux buts

1. Communication avec les partenaires externes et les

clients ¥ Ouverture du rŽseau dÕentreprise vers lÕextŽrieur

2. Communication entre sites distants de la mme

entreprise ¥ PrŽcŽdemment rŽalisŽe avec des lignes louŽes rŽseau privŽ ¥ AujourdÕhui transmission des donnŽes sur une infrastructure publique

Cours chap. 3 Tutorial IBM ch. 22.3 Chapitre 6 Chapman&Zwicky ElŽments de cryptographie, S. Robert

2

3. SŽcuritŽ 3

SŽcuritŽ du rŽseau

¥ QuÕest-ce quÕil faut protŽger

" Les donnŽes Ð les ressources Ð la rŽputation

Aspects de la sŽcuritŽ

LÕintŽgritŽ des donnŽes

¥ Empcher une modification non-autorisŽe

La confidentialitŽ des donnŽes

¥ Protection des informations dÕune

divulgation non-autorisŽe LÕauthentification de lÕorigine des donnŽes ¥ Permet dՐtre sžr quÕune de lÕidentitŽ de la source originale dÕun ensemble de donnŽes

La disponibilitŽ des donnŽes

¥ Faire en sorte quÕon ne puisse pas

La disponibilitŽ des ressources

¥ ProtŽger vos ordinateurs et votre

3. SŽcuritŽ 4

Menaces classiques sur IP

¥ Malwares (viruses, vers, cheveaux de Troie): programmes crapuleux. ˆ un service en bombardant les serveurs avec des paquets malveillants.

¥ DŽtournement de trafic: On prend

possession de la connexion. entre les interlocuteurs. 3

3. SŽcuritŽ 5

Menaces classiques sur IP (2)

¥ Craquage de mots de passe pour obtenir

¥ Exploitation de vulnŽrabilitŽs pour casser

3. SŽcuritŽ 6

ARP Spoofing (avant lÕattaque)

4

3. SŽcuritŽ 7 3. SŽcuritŽ 8

Attaque ARP Spoofing

5

3. SŽcuritŽ 9

Inondation avec TCP SYN

¥ Le nombre de connexions semi-ouvertes est limitŽ ¥ Fausse adresse source ¥ Ejecter les SYN de la file

3. SŽcuritŽ 10

Smurf ¥ Ping en diffusion sur un LAN (40/seconde sur 200 machines) 6

3. SŽcuritŽ 11

Les firewalls

¥ Il empche les agresseurs

de s'approcher de vos autres dŽfenses

¥ Il restreint la sortie ˆ un

point prŽcis

Un firewall empche les dangers provenant de l'Internet de se rŽpandre ˆ l'intŽrieur de votre rŽseau

Source: Chapman/Zwicky

3. SŽcuritŽ 12

Fonctions dÕun firewall

Centre des dŽcisions de sŽcuritŽ ¥ Goulet d'Žtranglement par ou passe tout le trafic entre

le rŽseau interne et lÕInternet ¥ Sert ˆ implŽmenter la politique de sŽcuritŽ concernant p.ex. lÕutilisation de services dangereux ˆ travers Internet (i.e. serveur interne)

Monitoring du trafic depuis et vers lÕInternet

¥ Permet de collecter de lÕinformation sur lÕutilisation dÕInternet

Limite lÕexposition du rŽseau

sŽcuritŽ dans une des parties du rŽseau 7

3. SŽcuritŽ 13

Que ne peut pas faire un firewall ?

Ne permet pas de protection contre des utilisateurs internes malveillants ¥ Si l'attaquant se trouve dŽjˆ ˆ l'intŽrieur du rŽseau, un

firewall nÕoffre pas de protection

Ne permet pas de protection contre des

autorisation, peut rŽduire ˆ nŽant tous les efforts pour de sŽcuriser le rŽseau ¥ Un firewall ne peut pas facilement examiner les donnŽes au niveau application

3. SŽcuritŽ 14

StratŽgies de sŽcuritŽ

Refus par dŽfaut

Ç Ce qui n'est pas

expressŽment autorisŽ est interdit È Ð Choix Žvident du point de vue de lÕadministrateur

Ð Difficile ˆ dŽfendre

envers les utilisateurs

Permission par dŽfaut

Ç Ce qui nÕest pas

expressŽment interdit est autorisŽ

Ð Suppose quÕon connaisse

les dangers " VouŽe ˆ lՎchec dÕexploiter les failles

Ð Nouvelles idŽes des

utilisateurs 8

3. SŽcuritŽ 15

Types de firewalls

paquets entre lÕInternet et le rŽseau interne

¥ Filtre les paquets entrants et

sortants selon

Ð Les informations contenues

dans les en-ttes (adresse source et destination, ports source et destination, protocole, É)

Ð Les informations de routage

(interface dÕentrŽe, interface de sortie)

Source: Chapman/Zwicky

3. SŽcuritŽ 16

Exemple de la configuration du filtrage

¥ Linux, Kernel 2.4 (+2.6) Ð Couche firewall ÔNetFilterÕ Ð Configuration via la commande iptables

¥ Exemple

Ð Refus par dŽfaut Ð Ouvrir le service SSH sur le serveur 128.178.24.12

> iptables -F > iptables ÐP INPUT DROP > iptables ÐP OUTPUT DROP > iptables ÐP FORWARD DROP > iptables Ðt filter ÐA FORWARD Ðd 128.178.24.12 Ðp tcp Ðdport 22 Ðj ACCEPT > iptables Ðt filter ÐA FORWARD Ðs 128.178.24.12 Ðp tcp Ðsport 22 Ðj ACCEPT

9

3. SŽcuritŽ 17

Types de firewalls

Firewall du niveau application ¥ Ç Serveur mandataire È ou

Ç proxy È

¥ Accepte les requtes des clients

et les redirigent vers le vrai serveur

¥ Respectent la politique de

sŽcuritŽ de lÕentreprise

¥ Transparent pour les

utilisateurs

¥ Doit tre complŽtŽ par un

mŽcanisme qui restreint les communications directes

Source: Chapman/Zwicky

3. SŽcuritŽ 18

Architecture des firewalls

¥ Un firewall est gŽnŽralement constituŽ de multiples parties Ð Un ou plusieurs routeurs Žcran Ð Un ou plusieurs serveurs mandataires Ð RŽseaux intermŽdiaires

10

3. SŽcuritŽ 19

Architecture: H™te ˆ double rŽseau

¥ LÕh™te ˆ double rŽseau est connectŽ aux rŽseaux interne et externe ¥ Le routage est dŽsactivŽ ¥ Connexions avec lÕextŽrieur:

Ð Les utilisateur peuvent se

loguer sur lÕh™te et lancer le service souhaitŽ Bon niveau de sŽcuritŽ " Solution peu commode pour les utilisateurs " Gestion des comptes est vulnŽrable

Source: Chapman/Zwicky

3. SŽcuritŽ 20

Architecture: H™te ˆ Žcran

¥ Machine ÔbastionÕ situŽe sur le rŽseau interne

Ð Travaille en proxy pour les

connexions avec lÕextŽrieur

Ð Le routeur Žcran ne permet que les

connexions depuis et vers le bastion

Plus sŽcurisŽe que lÕh™te ˆ double

rŽseau

Ð Un routeur est plus facile ˆ

sŽcuriser quÕun h™te Plus commode pour les utilisateur Ð PossibilitŽ dÕautoriser quelques services directs, sans passer par le bastion " Le bastion se trouve sur le rŽseau interne " Le routeur Žcran est lÕunique point de dŽfense

Source: Chapman/Zwicky

11

3. SŽcuritŽ 21

Architecture: Sous-rŽseau ˆ Žcran

¥ Couche de sŽcuritŽ supplŽmentaire: rŽseau pŽriphŽrique ou DMZ (demilitarized zone)

Ð Isole le bastion, qui est

vulnŽrable aux attaques

Ð Un intrus ayant rŽussi ˆ

sÕinfiltrer sur le bastion doit encore franchir le routeur Žcran intŽrieur

Ð Le trafic LAN (p.ex. Ethernet

partagŽ) ne peut pas tre espionnŽ depuis le bastion

Source: Chapman/Zwicky

3. SŽcuritŽ 22

Variation: Plusieurs bastions

¥ SŽparation des serveurs mandataires, par exemple Ð Bastions pour les services aux utilisateurs internes plus bastion pour les utilisateurs externes

Ð Isolation des services

vulnŽrables (FTP) Performances amŽliorŽes DiffŽrents niveaux de sŽcuritŽ " Cožts

Source: Chapman/Zwicky

12

3. SŽcuritŽ 23

Variation: Fusion des routeurs externe et interne ¥ Le bastion reste isolŽ sur le rŽseau pŽriphŽrique

¥ Le routeur peut autoriser

le passage directe de certains services

NÕaugmente que peu la

vulnŽrabilitŽ " Le routeur est le seul

ŽlŽment de dŽfense

Source: Chapman/Zwicky

3. SŽcuritŽ 24

Variation: Fusion du router externe et le bastion ¥ Architecture pratique pour les petits sites Ð Connexion modem ou ADSL

Ð Machine ˆ lÕentrŽe

fonctionne comme routeur et bastion

NÕaugmente que peu la

vulnŽrabilitŽ

Source: Chapman/Zwicky

13

3. SŽcuritŽ 25

Attention: Ne pas fusionner le bastion et le routeur interne ¥ Rend inutile le rŽseau pŽriphŽrique Ð Si le bastion est infiltrŽ,

Ð RŽsulte en une

architecture h™te ˆ Žcran

Source: Chapman/Zwicky

3. SŽcuritŽ 26

Attention: Ne pas utiliser plusieurs routeurs internes pour un rŽseau interne ¥ Peut compromettre lÕeffet du rŽseau pŽriphŽrique Ð Le routage peut dŽcider de traverser le rŽseau pŽriphŽrique pour le trafic LAN

Ð Double lÕeffort de gestion

Source: Chapman/Zwicky

14

3. SŽcuritŽ 27

Exercices

3. SŽcuritŽ 28

RŽseaux virtuels privŽs VPN

¥ VPN (Virtual Private Network) Ð Ç Technologie qui permet de transmettre des

donnŽes sur une infrastructure partagŽe sans compromettre la sŽcuritŽ des donnŽes È

¥ Avant lÕapparition des VPN

Ð Interconnexion de sites distants ˆ lÕaide de lignes louŽes ou des circuits virtuels comme ATM

¥ Configuration statique par lÕopŽrateur ¥ Impossible pour un intrus de modifier lÕacheminement

ou dÕinjecter des paquets dans un circuit virtuel Tutorial IBM ch. 22.4 + 22.10 Cours ch. 3 VPNs, OÕReilly, C. Scott, P. Wolfe, M. Erwin 15

3. SŽcuritŽ 29

Utilisation des VPN: LAN to LAN

" Interconnexion transparente de LAN distants LAN 1 LAN 2

Routeur WAN

Routeur WAN

3. SŽcuritŽ 30

Utilisation des VPN: Host to LAN

¥ Permet la connexion au rŽseau dÕentreprise depuis un site distant

Ð Connexion modem vers un ISP Ð Connexion ÔlogiqueÕ sŽcurisŽe au rŽseau dÕentreprise " LÕh™te fait logiquement partie du rŽseau dÕentreprise

ISP 16

3. SŽcuritŽ 31

Utilisation des VPN: Host to Host

¥ Connexion sŽcurisŽe entre deux machines

3. SŽcuritŽ 32

Exigences de sŽcuritŽ

Les VPN permettent de configurer plusieurs rŽseaux sŽparŽs et sŽcurisŽs sur la mme infrastructure

Que signifie la ÔsŽcuritŽ des donnŽesÕ ? Ð SŽparation de lÕadressage et du routage ¥ Deux VPN doivent pouvoir utiliser le mme adressage (p.ex.

10.x.x.x) sans conflits

¥ Le routage doit garantir que les paquets restent ˆ lÕintŽrieur du VPN

Ð RŽsistance aux attaques

17

3. SŽcuritŽ 33

Le protocole IPSec

¥ IPSec (RFC 2401) permet de sŽcuriser la couche rŽseau IP et donc toutes les applications qui travaillent en-dessus

¥ Services de sŽcuritŽ dÕIPSec

Ð Authentification:

SÕassurer que la personne avec laquelle on communique est rŽellement cette personne et pas quelquÕun dÕautre

Ð ConfidentialitŽ

SÕassurer que des personnes non-autorisŽes ne peuvent pas Žcouter la communication

Ð IntŽgritŽ

SÕassurer que les donnŽes reues nÕont pas ŽtŽ modifiŽes

3. SŽcuritŽ 34

Mode Transport dÕIPSec

¥ Permet de sŽcuriser les donnŽes des couches supŽrieures (TCP + Application) Ð Souvent utilisŽ pour le ÔHost to HostÕ ou ÔHost to LANÕ

Application

TCP/UDP

IPSec IP

DonnŽes

DonnŽes

DonnŽes

DonnŽes

Application

TCP/UDP

IPSec IP

DonnŽes

protŽgŽes 19

3. SŽcuritŽ 37

Gestion des SA

¥ La source et le destinataire doivent utiliser la bonne SA afin de traite correctement les paquets

¥ Une SA est identifiŽe par Ð LÕadresse IP du destinataire Ð Le protocole de sŽcuritŽ (AH ou

ESP)

SŽcuritŽ (SPI)

¥ Les SA peuvent tre crŽŽes Ð Dynamiquement ˆ lÕaide du protocole IKE (Internet Key Exchange)

Ð Manuellement, par

lÕadministrateur

Administrateur

SA Database

Configure

IKE IPSec nŽgocie, modifie, supprime

Consulte

demande la crŽation d'une SA

3. SŽcuritŽ 38

Service dÕauthentification dÕIPSec

¥ Permet de sÕassurer sur lÕidentitŽ de la source des donnŽes et de leur intŽgritŽ

¥ BasŽ sur lÕutilisation de signatures numŽriques Ð IPSec ne dŽfinit pas lÕalgorithme mais seulement la mŽthode (service gŽnŽrique)

En-tte dÕauthentification (AH)

IPv4 IPv4quotesdbs_dbs27.pdfusesText_33

[PDF] La solution monétique Labellisée par

[PDF] Chapitre IV : La gestion des flux de production Section I : La méthode MRP (Material Requirements Plannig)

[PDF] Guide utilisateur. Flexible Storage

[PDF] 1. Dispodoc? dispodoc dossier de presse 2

[PDF] Utilisation de la Plateforme Office365 et d Oultlook Web App

[PDF] Licence professionnelle Administration et sécurité des réseaux

[PDF] Office 365 - Utilisateur Prise en main de l'environnement (MS100)

[PDF] Dossier de candidature. pour une inscription en Licence Professionnelle. domaine Sciences, Technologies et Santé

[PDF] Dispenses et allègements pour les diplômes du secteur SANITAIRE et SOCIAL

[PDF] Solides et patrons. Cours

[PDF] ANNEE UNIVERSITAIRE 2005 2006

[PDF] Le Baccalauréat Sciences et Techniques de Laboratoire. Spécialité Biotechnologies

[PDF] DES AIDES FINANCIERES POUVANT ÊTRE ATTRIBUEES

[PDF] L histoire-géographie et sa contribu4on à la construc4on du socle commun de connaissances, de compétences et de culture

[PDF] JEUNES MAXIMISEZ LEURS CHANCES DE RÉUSSITE!