en forte baisse (amélioration de la qualité des logiciels) malveillance 62% : en
forte hausse (en progression constante). Odile PAPINI. Sécurité des Syst`emes d'
...
Introduction Panorama des menaces Panorama des attaques L´ egislation
Partie II Cours 1 : Menaces et attaques Odile PAPINI ESIL Universit´ e de la m´ editerran´ ee
[email protected] http://odile.papini.perso.esil.univmed.fr/sources/SSI.html
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Plan du cours
1
Introduction
2
Panorama des menaces
3
Panorama des attaques
4
L´egislation
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Intoduction Que prot´ eger ?
Liste des biens ` a prot´ eger
De quoi les prot´ eger ?
Quels sont les risques ?
Liste des menaces
Liste des impacts et probabilit´ es
Comment prot´ eger Liste des contre-mesures
l’entreprise ?
DEMARCHE NORME ISO 17799 Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces Les menaces : accidents erreurs malveillance
typologie des incidents norme ISO 17799
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces
accidents
erreurs
malveillance
pertes de services essentiels pannes d’origine interne ´ev`enements naturels accidents physiques erreurs de conception erreurs d’utilisation vols ou disparitions infection par virus divulgations attaques logiques actes de d´enigrement ou atteinte ` a l’image sabotages physiques intrusions sur les SI fraudes informatiques chantage, extorsion informatique intrusions, acc`es par un dispositif sans fil Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces Accidents
incendie, explosion, implosion d´egˆat des eaux probl`eme d’int´egrit´e du bˆ atiment catastrophes naturelles pannes internes (composant) logiciel de base externes (ex : climatisation, alimentation, · · · )
arrˆet de services (EDF, T´el´ecommunications, eau, · · · ) choc, collision, chute, pollution, rayonnement, · · · Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces Erreurs
erreurs de saisie, de transmission de donn´ees erreurs d’exploitation erreurs de conception dans la r´ealisation ou la mise en oeuvre des : logiciels proc´edures
disponibilit´e des personnes ··· Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces Malveillances ce ce ce ce
que que que que
l’on l’on l’on l’on
voit connaˆıt ne connaˆıt pas ne peut pas imaginer
la malveillance n’est pas toujours visible il est toujours possible de d´ estabiliser un site : refus de service inondation : saturation par envoi de courrier ´electronique blocage de compte par tentatives r´ep´et´eees de connexion infructueuse Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces Malveillances (suite) fraude, sabotage d´etournement `a son avantage (versement, chantage, extorsion, ···) sabotage immat´eriel (destruction dans le seul but de nuire) d´enis de service
indiscr´etion ou ´ecoute de ligne d´etournement copie de message espionnage
actions ind´esirables spams ou inondation stockage ”pirate” Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces Malveillances (suite)
actions + ou - mal intentionn´ees curiosit´e, jeu, · · · ) d´ecodeur canal+ craquage de codes (cartes cr´edits, · · · )
piratage de logiciel craquage de s´ecurit´e copie illicite gravage
menaces dues aux t´el´ecommunications Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces
Malveillances (suite)
Menaces dues aux t´ el´ ecommunications interruptions de service ou disfonctionnement alt´eration des donn´ees transmises usurpation d’identit´ee divulgation d’informations ` a un tiers action malveillante transmise
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces Probl` emes de l’imputabilit´ e, de la r´ epudiation, de la responsabilit´ e lorsqu’un probl` eme intervient, comment prouver : que cela a ´et´e envoy´e ? qui l’a envoy´e ? qu’il a ´et´e re¸cu ? par qui ? et par qui d’autres ? qui a fait l’erreur ? qui est propri´etaire du support de communication ? qui peut en ˆetre garant ? questions fondamentales lors d’un litige Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces Probl` emes de l’imputabilit´ e, de la r´ epudiation, de la responsabilit´ e
´ el´ ements de r´ eponses : identification(identifiant ↔ entit´e) autentification(garantir l’identifiant) chiffrement le scellement informatique accus´e de r´eception tunnel de donn´ees ··· Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces D´ esinformation, propagande, d´ estabilisation, cr´ edulit´ e
falsification des sons, des images, des vid´eos v´eracit´e de l’information d’o`u vient l’information ? qui l’a fournie ? apr`es ”vu `a la t´el´e”, ”vu sur internet” ?
Quelles cons´ equences ? Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces Evolution des menaces quelques chiffres (sources CLUSIF) accidents 24% : en baisse (effets mat´eriels palpables) erreurs 14% : en forte baisse (am´elioration de la qualit´e des logiciels) malveillance 62% : en forte hausse (en progression constante)
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des menaces Evolution des menaces aspect politico-´ economique
jusqu’` a la fin des ann´ ees 1980 : contexte de guerre froide aspect militaire de la s´ecurit´e : r`egles du jeu claires : qui menace ? que prot´eger ? : les informations sensibles comment les prot´eger ?
aujourd’hui : contexte de guerre ´ economique menaces tout azimut : qui : le concurrent, le terroriste, · · · quoi : toutes les informations de l’entreprise comment : les r´eseaux, les intervenants ext´erieurs, les virus, · · · Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques programmes malveillants programmes qui exploitent les vuln´erabilit´es du Syst`eme appel´es “malware” fragments de programmes n´ecissant un programme hˆote (virus, bombe logique, porte d´erob´ee) programmes autonomes ind´ependants (vers, robot) peuvent se r´epliquer ou non
menaces sophistiqu´ees sur les syst`emes informatiques
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques virales attaques techniques attaques classiques
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques virales : Porte d´ erob´ ee (backdoor) Fonction d’un programme non autoris´ee et qui ne participe en rien aux objectifs officiels d’un programme `a priori malveillante d’aucune utilit´e autre que pour son concepteur s’ex´ecute `a l’insu de l’utilisateur exemples : SGBD Interbase 2001, Linux 2003
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques virales : Porte d´ erob´ ee (backdoor) exemples SGBD Interbase 2001 nom d’utilisateur : politically, mot de passe : correct
Linux 2003 2 lignes de C dans la fonction sys-wait4 if ((options == ( WCLON | WALL)) && (current->uid = 0))
retval = -EINVAL ;
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques virales : Cheval de Troie (Tojan) Programme, jeu, commande ayant une fonction annonc´ee et en r´ealisant une autre (illicite) attaque classique s’ex´ecute `a l’insu de l’utilisateur exemple 2005 : cheval de troie envoy´e par email ou int´egr´e `a un CD contenant une fausse proposition commerciale. Une fois install´ee et contre 3000 euros, le concepteur fournissait `a son client une adresse IP, un nom d’utilisateur et un mot de passe pour acc´eder au PC de sa victime Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques virales : Cheval de Troie exemples Back Orifice : logiciel d’administration et de prise de contrˆ ole a` distance de machines utilisant Windows Subseven : l’un des chevaux de troie les plus connus, en 2000 il a intoduit : surveillance par cam´era (Webcam capture) surveillance en temp r´eel du bureau Windows (Desktop Capture) le vol de mots de passe (Recorded Password) par lequel subseven d´etecte les ´ecrans de demande de mot de passe (Windows, Internet · · · ) permet la capture-clavier (Keylogger) pour r´ecup´erer les num´eros de cartes de cr´edits
autres chevaux de Troie : ByteVerify, XXXDial, · · · Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques virales : Bombe logique Action malveillante g´en´eralement diff´er´ee chantage racket
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques virales : Virus programme illicite qui s’ins´ere dans des programes l´egitimes appel´es hˆ otes se reproduit automatiquement, se transmet, peut avoir des actions retard´ees se r´epand au travers d’internet, de disquettes, de cl´es USB analogie avec la biologie : contagion virus syst`eme, virus r´esident en m´emoire, virus programme, virus macro, virus polymorhe ou mutant, virus de scripts Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques virales : Virus exemple Tchernobyl ou CIH Yamanner Cabir ...
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Structure d’un virus composants : m´ecanisme d’infection : permet la r´eplication d´eclenchement : ´ev`enement qui rend la charge active charge du virus : ce qu’il fait, action maveillante ou b´enine
ajout au d´ebut `a fin au milieu d’un programme ex´ecutable blocage de l’infection initiale (difficile) blocage de la propagation (contrˆ ole d’acc`es)
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Structure d’un virus : exemple (1)
Fig.: source : W. Stallings, L. Brow Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Structure d’un virus : exemple (2)
Fig.: source : W. Stallings, L. Brow Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
Classification des virus virus d’amor¸cage virus programme virus de macro virus chiffr´e virus furtif virus polymorphe virus metamorphique
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Macro virus tr`es courant depuis le milieu des ann´ees 1990 ind´ependant des plateformes infecte les documents, se r´epand facilement
exploite les capacit´es des applications de logiciels de bureautique (word, excel, · · · ) programme ex´ecutable incorpor´e dans un document infecte les documents
versions r´ecentes des logiciels de bureautique ont des protections reconnus par de nombreux programmes anti-virus Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques e-mail virus d´eveloppements plus r´ecents en g´en´eral : utilise les macros d’un document attach´e (en word) `a l’ouverture du document attach´e la macro est activ´ee : le virus envoie des messages ` a toutes les adresses de la liste d’adresses de l’utilisateur localement, il occasionne des d´egˆ ats sur le syst`eme de l’utilisateur
version plus r´ecentes : d´eclenchement du virus `a lecture du message : propagation encore plus rapide Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Mesures contre les virus pr´evention : solution id´eale mais difficile r´eaction : plus r´ealiste d´etection identification retrait
en cas de d´etection mais impossiblit´e d’ identification ou de retrait
remplacement du programme infect´e Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Evolution des anti-virus les technologies des virus et anti-virus ont ´evolu´e ensemble premiers virus : fragments de code faciles ` a retirer virus de plus en plus complexes : les contre-mesures aussi 4 g´en´erations de logiciels anti-virus premi`ere g´en´eration : scanners simples (recherche de signature) deuxi`eme g´en´eration : r`egles heuristiques pour la recherche de fragments de code troisi`eme g´en´eration : identification des actions du virus quatri`eme g´en´eration : combinaison de plusieurs techniques Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Approche anti-virus plus sophistiqu´ee : D´echiffrement G´en´erique (DG) lance l’ex´ecution de fichier ex´ecutable avec DG analyse ´emulateur CPU pour l’interpr´etation des instructions analyse de virus pour contrˆ oler les signatures de virus module de contrˆ ole d’´emulation pour g´erer le processus
laisse le virus se dechiffrer dans l’interpreteur analyse p´eriodiquement pour rep´erer des signatures de virus probl`eme : dur´ee de l’interpretation et de l’analyse compromis entre chance de d´etection et dur´ee Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Approche anti-virus plus sophistiqu´ee : Syst`eme immunitaire informatique
Fig.: source : W. Stallings, L. Brow Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Approche anti-virus plus sophistiqu´ee : Logiciel de blocage
Fig.: source : W. Stallings, L. Brow Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques virales : Vers (worm) Processus parasite qui consomme, d´etruit et se propage sur le r´eseau n’a pas besoin d’un programme hˆ ote pour se reproduire (contrairement au virus) se reproduit par ses propres moyens sans contaminer de programme hˆ ote souvent ´ecrits sous forme de script int´egr´es dans un courriel, une page html
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Vers Programme qui se duplique et se propage sur le net par courrier ´electronique, ex´ecution, ouverture de session `a distance
comporte des phases comme un virus dormant, propagation, d´eclenchement, ex´ecution phase de propagation : recherche d’autres syst`emes, connection `a ceux-ci, auto-copie sur ceux-ci et ex´ecution
peut se d´eguiser en processus syst`eme
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Vers : exemple Morris worm l’un des vers les plus connus (concepteur Robert Morris 1988) diverses attaques sur les syst`emes UNIX craquage de fichiers de mots de passe : pour se connceter `a d’autres syt`emes exploitation d’un bug dans le “protocle finger”(pour donn´ees personnelles) exploitation d’un bug dans le processus d’envoi et de reception de messages ´electroniques
succ`es de l’attaque : acc`es ` a distance de shell
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Vers : mod`ele de propagation
Fig.: source : W. Stallings, L. Brow Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Vers : exemples d’attaques Code Redx juillet 2001 utilise un bug de Microsoft MS IIS adresses IP al´eatoires, attaque de deni de service (DDoS) actif consomme une capacit´e de r´eseau signifitive
Code Red II : variante utilisant des portes d´erob´ees SQL Slammer 2003, attaque sur serveur MS SQL compact et diffusion tr`es rapide
Mydoom 2004 : envoi en masse de messages ´electronique installe des portes d´erob´ees pour acc`es distant dans les fichiers infect´es Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
Vers : technologie multi plate-forme “multi exploit” diffusion tr´es rapide polymorphique m´etamorphique v´ehicules de transport “zero-day exploit”
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Mesures contre les vers recouvre de nombreuses techniques anti-virus d`es que le vers est dans le syst`eme un logiciel anti-virus peut ˆetre utilis´e pour le d´etecter un vers d´eveloppe une activit´e r´eseau importante les approches de d´efense contre les vers filtrage par analyse de signatures confinement bas´e sur des filtres confinement bas´e sur chargement-classification d´etection par analyse de chemin al´eatoire taux de limitation et taux d’arrˆet Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Vers : confinement actif
Fig.: source : W. Stallings, L. Brow Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Vers : d´efense bas´ee r´eseaux
Fig.: source : W. Stallings, L. Brow Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques virales : Canular (Hoax) messages diffusant de fausses alertes au virus messages diffusant des rumeurs encombrement des boˆıtes aux lettres encombrement du r´eseau ralentissement de l’activit´e
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques techniques : Hame¸connage (Phishing) piegeage de l’utilisateur en lui faisant croire qu’il s’adresse `a un tiers de confiance pour lui soutirer des informations confidentielles (mot de passe, no de carte de cr´edit ...) on lui demande son mot de passe on lui demande de le changer exemple : services bancaires en ligne, sites de ventes aux ench`eres (Ebay)
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques techniques : Hame¸connage (Phishing) : exemple l’utilisateur re¸coit un message :
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques techniques : Hame¸connage (Phishing) exemple il va cliquer sur le lien il croit qu’il se connecte sur le site LCL il saisit des informations confidentielles MAIS il ne se connecte sur un faux site LCL et un pirate r´ecup`ere ces informations
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques techniques : Hame¸connage (Phishing) : rapport APWG (2006-2007) 37 444 sites frauduleux signal´es nombre d’attaques par hame¸connage :
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques techniques : Craquage (Cracking) craquage de mot de passe `a l’aveuglette comparaison du chiffrement de mots de passe suppos´es et de mots chiffr´es dans le fichier /etc/passwd ou /etc/ypasswd exemple : craquage de de jeux ou de logiciels
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques techniques : Renifflage (Sniffing) analyse du traffic pour r´ecup´erer mots de passe et informations confidentielles sondes pla¸c´ees sur le r´eseau pour ´ecouter et r´ecup´erer des informations `a la vol´ee solutions : protocoles de communication s´ecuris´es (ex SSH, SSL)
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques techniques : Mascarade (Spoofing) utilisation de l’adresse IP d’une machine afin d’en usurper l’identit´e. r´ecup´eration de l’acc`es ` a des informations en se faisant passer la machine dont elle a usurp´e l’adresse IP cr´eation de paquets IP avec une adresse IP source appartenant `a quelqu’un d’autre
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques techniques : Smurfing attaque du r´eseau IP envoi d’un message ` a une adresse fausse provoque la saturation et le blocage du r´eseau
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques techniques : Piratage t´ el´ ephonique (Phreaking) utilisation du r´eseau t´el´ephonique d’une mani`ere non pr´evue par l’op´erateur, afin d’acc´eder ` a des fonctions sp´eciales, en g´en´eral pour ne pas payer les communications et rester anonyme exemple : Captain Crunch
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques techniques : Composeur d’attaques (Dialer) logiciel balayant une s´erie de num´eros de t´el´ephones `a la recherche d’un ordinateur distant Le logiciel compose des num´eros de t´el´ephone dont le cˆout d’appel est surtax´e exemple : ann´ees 1990, (besoin d’un MODEM)
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques techniques : Rootkit programme ou ensemble de programmes permettant de maintenir dans le temps un acc`es frauduleux ` a un SI s’utilise apr`es une intrusion et l’installation d’une porte d´erob´ee fonction principale : camoufler la mise en place de plusieurs portes d´erob´ees op`ere des modifications sur les commandes syst`emes l’installation d’un rootkit n´ecessite des droits d’administrateur exemple : octobre 2005 Rootkit SONY-BMG Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques techniques : D´ enis de service (DoS) rendre une application informatique incapable de r´epondre aux requˆetes des utilisateurs types d’attaques nombreux : d´ebranchement de la prise d’un serveur saturation d’un ´el´ement charg´e d’animer l’application exemple : bombe fork D´ enis de service distribu´ es (DDoS) repose sur la parall´elisation d’attaques DoS men´ees simultan´ement par plusieurs syst`emes Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques attaques techniques : Robots programmes malveillants permettant une prise de contrˆ ole `a distance de machines vuln´erables afin de former un r´eseau d’attaque cach´e (botnet) pour s’implanter le robot utilise une m´ethode classique il peut ˆetre d´epos´e sur la cible par spam, vers, virus, cheval de troie ... il peut poss´eder son propre module de propagation et exploite : une vuln´erabilit´e des partages ouverts (open share) des mots de passe faibles ou manquants
exemple : Hollande octobre 2005 (rapport CLUSIF) Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybersurveillance R´ eseau d’´ ecoute Echelon (USA +UK) technologies intercept´ees 1956 : signaux radio HF 1965 cables sous-marins 1968 micro-ondes 1970 satellites 1980 r´eseaux digitaux 1990 fibres optiques 2000 internet / portables
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybersurveillance R´ eseau d’´ ecoute Echelon (USA +UK)
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybersurveillance R´ eseau d’´ ecoute Echelon (USA +UK) objectif officiel : lutter contre terrorisme grand banditisme MAIS aussi : intrusion/interception espionnage industriel politique vie priv´ee Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
cybersurveillance Autres r´ eseaux d’´ ecoute Frenchelon & ESSAIM (fran¸cais) Nice Track (belge) Magic Lantern (FBI) SORM (russe) ···
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybersurveillance Frenchelon & ESSAIM cr´ ee en 2003 surveillance radar, radio orbite 680 km d’altitude 4 microsatellites sur des orbites perpendiculaires station de contrˆ ole ` a Toulouse
LSI ou loi Sarkosy II (mars 2003) conservation des donn´ees relatives au trafic sur Internet ! ! ! Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
attaques classiques vol d´etournement destruction sabotage chantage exemples : (rapports CLUSIF)
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF ) vols de code source chantage, extorsion, racket sur Internet cyberterrorisme menaces sur la mobilit´e (t´el´ephones) hame¸connage ´economie souterraine espionnage industriel vols et pertes de donn´ees, d’ordinateurs, de supports de sauvegarde harc`element Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
cybercriminalit´ e (CLUSIF ) panorama 2006 les mules vols d’identit´e SPIT nouvelles opportunit´es de ”spamming” manipulation du cours de la bourse vuln´erabilit´es et attaques ”0-Day” ´ecoutes et enquˆetes ` a haut risque
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
cybercriminalit´ e (CLUSIF) panorama 2007 mondes virtuels attaques en r´eputation piratage pour focaliser l’attention espionnage industriel r´eseaux sociaux : nouvelles opportunit´es de malveillance
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
cybercriminalit´ e (CLUSIF) panorama 2007 sophistication des attaques enjeux malveillants sur le e-commerce fraude aux cartes bancaires via internet escroqueries via les sites d’ench`eres
faits marquants “cyber-guerre” en Estonie “cyber-attaques” chinoises
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF) : Les mondes virtuels
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF) : Les mondes virtuels
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF) : Les mondes virtuels les mondes virtuels ont des monnaies virtuelles
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
cybercriminalit´ e (CLUSIF) : Les mondes virtuels piratage sur les mondes virtuels : chevaux de Troie, vol de mot de passe virus hamme¸connage (phishing) exploitation de tiers (farming)
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF ) : Les mondes virtuels chevaux de Troie, vol de mot de passe
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF ) : Les mondes virtuels virus
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF) : Les mondes virtuels hamme¸connage
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF) : Les mondes virtuels exploitation de tiers
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF 2008) : Les mondes virtuels fournisseurs et ´editeurs dont il faut se m´efier
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
cybercriminalit´ e (CLUSIF) panorama 2007 attaques en deni de service (DoS ou DDoS) CastleCops organismes de lutte anti-spam et anti-phishing
attaques en r´eputation CastleCops : donations frauduleuses
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF) panorama 2007 : attaques en r´eputation : donations frauduleuses virements Paypal effectu´es au profit de CastleCops source des donations : comptes bancaires pirat´es par phishing montant des donations : 1 ` a 2800 US $ CastleCops : coupable d´esign´e image alt´er´ee perte de temps, de moyens, d’argent v´erifications, comptabilit´e, remboursements actions en justice blocage de compte
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques
cybercriminalit´ e (CLUSIF) panorama 2007 : espionnage industriel volume d’affaires d’espionnage industriel ne faiblit pas espionnage industriel : employ´es de l’entreprise 2 grandes affaires dans le monde de la Formule 1 en 2007 Mc Laren et Ferrari Renault-F1 et Mc Laren
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques cybercriminalit´ e (CLUSIF) panorama 2007 : r´eseaux sociaux : opportunit´es de malveillance nombreux r´eseaux sociaux sur internet (Classmates, Facebook, Myspace etc..) pour certains d’entre eux : des millions d’inscrits possibilit´es d’attaques acc`es frauduleux : Facebook 2007 impostures : Myspace 2007 infections : Myspace 2007
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Les clubs,observatoires associations, sites internet CLUSIF, CLUb de la S´ecurit´e Informatique en France http ://www.clusif.asso.fr OSSIR, Observatoire de la S´ecurit´e des syst`emes d’Information et des R´eseaux http ://www.ossir.org CRU, Centre des R´eseaux Universitaires http ://www.cru.fr CNRS et UREC, Unit´e des R´eseaux du Cnrs http ://www.cnrs.fr/Infosecu Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation loi informatique et libert´ es no 78-17 du 6/01/78 relative `a l’informatique et aux libert´es (modifi´ee en 92 et en 93) loi relative ` a la fraude informatique 92-957 du 01/07/92 loi relative aux infractions aux r` egles de cryptologie du 29/07/81, modifi´ee le 26/07/96, modifi´ee le 17/03/99 d´ ecret no 99-199 du 17/03/99 d´efinissant les cat´egories de moyens et de prestations de cryptologie pour lesquelles la proc´edure de d´eclaration pr´ealable est substitu´ee ` a celle d’autorisation d´ ecret no 99-200 du 17/03/99 d´efinissant les cat´egories de moyens et de prestations de cryptologie dispens´ees de toute formali´e p´ealable
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation loi sur la signature ´ electronique 200-230 du 13/03/00 l’´ecrit ´electronique sign´e a la mˆeme valeur que l’´ecrit sign´e sur papier ´equivalence papier ´electronique en pr´esence de signature la signature ´electronique ”jusqu’` a preuve du contraire” authentifie le signataire et garantit l’int´egrit´e du document (article 4) Loi sur la signature ´electronique 200-230 du 13/03/00 revient ` a faire confiance ` a l’organisme qui fournit la signature ´electronique
loi de r` eglementation des t´ el´ ecomunications du 26/07/96 r` egles au niveau europ´ een lignes directrices au niveau mondial (OCDE) Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation Criminalit´ e des hautes technologies (OCLCTIC)
criminalit´ e informatique (d´ efinitions) toute action ill´egale dans laquelle un ordinateur est l’instrument ou l’objet d’un d´elit (d´elit dont le moyen ou le but est d’influencer la fonction de l’ordinateur) tout acte intentionnel associ´e d’une mani`ere ou d’une autre ` a la technique informatique dans laquelle une victime a subi ou aurait pu subir un pr´ejudice et dans laquelle l’auteur a tir´e ou aurait pu intentionnellement tirer profit
cybercriminalit´ e ensemble des infractions p´enales susceptibles de se commettre sur des r´eseaux de t´el´ecommunications en g´en´eral et plus particuli`erement sur les r´eseaux partageant Internet Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation Code p´ enal
article 323.1 acc´eder frauduleusement ` a un syst`eme de traitement automatis´e de l’information
article 323.2 entraver ou fausser un syst`eme de traitement automatis´e de l’information
article 323.3 introduire frauduleusement des donn´ees dans un syst`eme de traitement automatis´e de l’information
conduit ` a un d´ elit p´ enal passible de : 3 ans d’emprisonnement 50 000 euros d’amende Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation
Quelques sites
http ://www.journal-officiel.gouv.fr http ://www.legifrance.gouv.fr http ://www.jurifrance.gouv.fr http ://www.justice.gouv.fr
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation
Quelques organismes officiels
CNIL : http ://www.cnil.fr DCSSI : http ://www.ssi.gouv.fr CESTI OCLCTIC : http ://www.interieur.gouv.fr/police/oclctic ART : http ://www.art-telecom.fr CERT
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation CNIL : Commission Nationale de l’Informatique et des Libert´ es (http ://www.cnil.fr) ses missions : recenser les fichiers en enregistrant les demandes d’avis et les d´eclarations, en tenant ` a jour et en mettant ` a disposition du public le ”fichier des fichiers” contrˆ oler en proc´edant ` a des v´erifications sur place r` eglementer en ´etablissant des normes simplifi´ees pour les traitements les plus courants et les moins dangereux garantir le droit d’acc`es en exer¸cant le droit d’acc`es indirect, en particulier au fichier des Renseignements G´en´eraux instruire les plaintes informer les personnes de leurs droits et obligations, conseiller, proposer des mesures Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation Loi Informatique et des Libert´ es : droits et obligations Tout traitement automatis´ e d’informations nominatives doit, avant sa mise en oeuvre, ˆ etre d´ eclar´ e ou soumis ` a la CNIL afin : de responsabiliser les utilisateurs de donn´ees nominatives de permettre ` a la CNIL de contrˆ oler et d’influencer les choix effectu´es r` eglementer en ´etablissant des normes simplifi´ees pour les traitements les plus courants et les moins dangereux d’assurer grˆ ace ` a la publicit´e ` a laquelle elles donnent lieu, la transparence n´ecessaire ` a l’exercice des droits des personnes concern´ees par les traitements
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation Nature des formalit´ es un r´ egime d’avis pour le secteur public : les traitements publics sont cr´ees par un acte r`eglementaire apr`es avis motiv´e de la CNIL un r´ egime d´ eclaration pour le secteur priv´ e un r´ egime d´ eclaration simplifi´ e pour les traitements les plus courants, publics ou priv´es exemple : quel sera la finalit´e du fichier ? quelles informations vont ˆetre enregistr´ees, pendant combien de temps ? qui y aura acc`es ? ` a quel service les personnes peuvent-elles s’adresse pour exercer leur droit d’acc`es ? Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation DCSSI : Direction Centrale de la S´ ecurit´ e des Syst` emes d’Information (http ://www.ssi.gouv.fr) d´epend du premier ministre ses missions : ´ evaluer les proc´ed´es de chiffrement, les produits et syst`emes agr´ eer les ´equipements, produits, · · · utilis´es pour le traitement des donn´ees class´ees d´efense proc´ eder ` a l’agr´ement des CESTI certifier les produits ´evalu´es par les CESTI instruire les demandes autour de la cryptologie ´ elaborer et distribuer les cl´es de chiffrement pour le secteur public ou priv´e participer aux actions de normalisation Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation
les CESTI : Centres d’Evaluation de la S´ ecurit´ e des Technologies d’Information centres publics ou priv´ es missions : ´ evaluer ´evaluer de fa¸con ind´ependante et suivant des r` gles de sch´emas fournis les produits en vue de la certification DCSSI proposer de l’expertise
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation OCLCTIC : Office Central de Lutte Contre la Criminalit´ e li´ ee aux Technologies de l’Information et de la Communication (http ://www.interieur.gouv.fr/police/oclctic) d´epend de la Police Nationale double mission : op´ erationnelle
r´ealisation d’enquˆetes judiciaires de haut niveau technique men´ees d’initiative ou `a la demande des magistrats assistance technique `a l’occasion d’enquˆetes men´ees par d’autres Services (p´edophilie, prostitution,trafic de stup., · · · ) strat´ egique
formation, animation et coordination de l’action des autres services r´pressifs, comp´etents en mati`ere d’infractions li´ees aux technologies de l’information et de la communication coop´eration internationale Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation ART : Autorit´ e de R´ egulation des T´ el´ ecommunication (http ://www.art-telecom.fr) liens entre l’ART et l’informatique vecteur de transport de l’information r´eseaux m´etropolitains, inter-r´egionaux, inter-entreprises, · · · → fournisseurs indirects de t´el´ecommunication loi de r` eglementation des t´ el´ ecommunications du 26/07/96 ´etablit une nouvelle r´epartition des missions de r´egulation au sein de l’´etat avec la cr´eation d’une autorit´e administrative autonome. Les missions : favoriser l’exercice au b´en´efice des utilisateurs d’une concurrence effective, loyale et durable veiller au d´eveloppement de l’emploi, de l’innovation et de la comp´etitivit´e dans le secteur des t´el´ecommunications prendre en compte les int´erˆets des territoires et des utilisateurs dans l’acc`es aux services et aux ´equipements Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation les CERT : Computer Emergency Response Teams groupes au service d’une communaut´ e identifi´ ee Renater (Reseau National Technologie Enseignement Recherche) missions : r´ eagir efficacement et au plus vite sur les probl` emes de s´ ecurit´ e
comp´etence techniques pointues points de contact en cas de probl`eme relations avec les autres organismes volont´e de pr´evention
Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
L´egislation les CERT : Computer Emergency Response Teams 3 CERT en France
CERT Renater (enseignement, recherche) http ://www.renater.fr/Securite/CERT Renater.htm CERT A (administration) http ://www.ssi.gouv.fr/rubriq/certa.htm CERT IST (Industrie, Services, Tertiaire) http ://www.ssi.gouv.fr/rubriq/certa.htm coordination europ´ enne
TF-CSIRT organisation mondiale des CERT : FIRST
FIRST : Forum of Incident Response and Security Team http ://www.first.org/ les 3 CERT fran¸cais sont int´ egr´ es dans le FIRST Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
Introduction Panorama des menaces Panorama des attaques L´ egislation
Panorama des attaques Les solutions mat´erielles : firewall proxy protocoles s´ecuris´es, · · · logicielles : politique de s´ecurit´e contrˆ ole d’acc`es anti-virus anti-spyware syst`emes de d´etection d’intrusion utilisation de la biom´etrie Odile PAPINI
S´ ecurit´ e des Syst` emes d’Information
