Ch_1 - Généralités sur la sécurité informatique.pdf

-Cours-
Sécurité Informatique
Dr. DIAB Tayeb
Département Informatique
tayeb.diab@univ-mascara.dz
Public cible
Systèmes Informatiques
Licence 3

Objectifs
A l’issue de ce cours, l’étudiant(e) sera capable de :
- Acquérir des concepts relatifs à la sécurité informatique;
- Comprendre les différentes failles de sécurité sur Internet;
- Appréhender d’une façon générale les moyens de protection
informatique.

Contenu
Chapitre 1 : Généralités sur la sécurité informatique
Chapitre 2 : Failles de sécurité informatique sur Internet
Chapitre 3 : Protection informatique

-Chapitre 1-
Généralités sur la sécurité informatique
Dr. DIAB Tayeb
Département Informatique
tayeb.diab@univ-mascara.dz

1- Concepts liés à la sécurité informatique
2- Étude des risques liés à la sécurité informatique
3- Établissement d’une politique de sécurité
4- Eléments d’une politique de sécurité
5- Principaux défauts de la sécurité informatique
6- Eléments de droits
Ch1: Généralités sur la sécurité informatique 1
2021/2022
Contenu
Dr. T. Diab

Concepts liés à
la sécurité
informatique
- Sécurité Informatique
- Système Informatique
- Vulnérabilité, menace et attaque informatiques
- Propriétés de la sécurité informatique

L’ensemble des moyens mis en œuvre pour réduire la vulnérabilité d’un
système informatique contre les menaces possibles qui peuvent
compromettre ses propriétés de sécurité (disponibilité, intégrité,
confidentialité, etc.).
Sécurité Informatique
2021/2022 Dr. T. Diab
Concepts
liés à la
sécurité
informatique

site matériel réseau
organisation
Ressources immatérielles
Ressources matérielles
processus
métiers
app web logiciel
Ressources logicielles
traitement de
texte
personne
Ressources humaines
agent Ingénieur
procédures
Système
Informatique
Système
d’Information
Système
Informatique
Système Informatique
Vs Système d’Information
2021/2022 Dr. T. Diab
Concepts
liés à la
sécurité
informatique

Faiblesse/faille au niveau d’une ressource/bien (Système
d'exploitation, PC portable, etc.), durant :
- Sa conception;
- Son installation;
- Son utilisation,
- etc.
Vulnérabilités
Exemples :
- Non-redondance (serveurs, BDD, câblage…) ;
- Existence des bogues dans un dispositif logiciel ;
- Etc.
Peut être exploitée par des menaces, pour
compromettre la ressource/système.
2021/2022 Dr. T. Diab
Concepts
liés à la
sécurité
informatique
Vulnérabilité

Cause potentielle d’un incident.
Menaces
Code malveillant
Personnes
extérieures
malveillantes
Perte de service
Stagiaire
malintentionné
Accidentelle :
Erreurs de saisie;
Oubli de sauvegarde;
Etc.
Intentionnelle (cause
d’une attaque)
Voleur autour du système;
Virus;
Logiciel mal configuré;
Etc.
Pourrait entrainer des dommages
sur une ressource.
2021/2022 Dr. T. Diab
Concepts
liés à la
sécurité
informatique
Menace

C’est la concrétisation d’une menace.
=> Nécessite l’exploitation d’une vulnérabilité
d’une ressource.
Attaques
Exemples :
- Destruction du matériel;
- Lancement d’une attaque (déni de service (DoS),
écoute passive, etc.);
- Installation d’un virus;
- Etc.
2021/2022 Dr. T. Diab
Concepts
liés à la
sécurité
informatique
Attaque

Propriétés/objectifs/critères de la sécurité
(exigences fondamentales)
Confidentialité
Confidentiality
Disponibilité
Availability
Intégrité
Integrity
(Critères DIC – CIA Triad)
2021/2022 Dr. T. Diab
Concepts
liés à la
sécurité
informatique

Disponibilité (Prêt à l’utilisation)
La ressource doit être disponible a tout moment (au moment ou doit
être disponible) aux personnes autorisées.
Exemples :
- Site web, moteur de recherche (Google) doit être
disponible à tout moment;
- Service d’état civile doit être disponible de
Dimanche à Jeudi, de 08:00 à 12:00 et de 14:00 à
16:00;
- Etc.
Ch1: Généralités sur la sécurité informatique
2021/2022 Dr. T. Diab
Concepts
liés à la
sécurité
informatique
8

Intégrité (Absence d’altération inappropriée)
La ressource ne puisse être modifiée que par les personnes
autorisées.
2021/2022 Dr. T. Diab
Concepts
liés à la
sécurité
informatique
Exemples :
- Si les messages échangés entre deux communicants,
sont modifiés par un tiers non autorisé => Manque
d’intégrité des messages;
- La signature numérique garantit l’intégrité d’un
message => modification non autorisée peut être
détectée;
- Etc.

Confidentialité (Absence de divulgation non-autorisée )
La ressource n’est accessible qu'aux personnes autorisées.
La ressource ne puisse être divulguée qu’aux personnes autorisées.
2021/2022 Dr. T. Diab
Concepts
liés à la
sécurité
informatique
Exemples :
- Dans une entreprise, l’endroit de la salle des serveurs
doit être confidentiel et connu que par certaines
personnes;
- La base de données du système de l’organisme ne doit
être consultée que par l’administrateur de BDD;
- Un message chiffré/ crypté par l’expéditeur ne peut être
lu que par le destinataire qui a la clé de déchiffrement;
- Etc.

Reconnaissance de
l’entité selon son :
(Nom d'utilisateur,
Adresse email,, etc.)
Vérification/ certification de l’entité en
fournissant des informations supplémentaires
(Mot de passe, empreinte digitale, etc.)
Prouver l'authenticité de l'entité;
Limiter l'accès aux personnes
autorisées.
l’accès est autorisé
selon des droits et
privilèges
accordés.
Étapes du contrôle d’accès :
1. Identification
2. Authentification
3. Autorisation
Et d’autres …
Authenticité/ Authentification
2021/2022 Dr. T. Diab
Concepts
liés à la
sécurité
informatique

Etude des
risques liés à la
sécurité
informatique
- Concepts liés à l’étude des risques
- L’étude des risques
- Exemple d’étude des risques – norme ISO 27005

Risque
La potentialité qu'une menace exploite les
vulnérabilités d’une (plusieurs) ressources(s)
et cause ainsi des dommages au SI.
Se compose de 3 éléments : Vulnérabilité(s),
Menace(s) et Impact sur la ressource(s).
RISQUE = IMPACT * VRAISEMBLENCE
la conséquence du risque sur les
propriétés (DIC) et sur les objectifs
du système informatique.
Impact
la probabilité d’occurrence d’une
attaque dans une période bien
définie.
Vraisemblance
2021/2022 Dr. T. Diab
Etude des
risques liés à
la sécurité
informatique
Concepts liés à l’étude des risques

Processus (ensemble d’activités coordonnées – ex: ISO 27005)
applicable à l'organisation visant à identifier les problèmes
potentiels avec les solutions avec les coûts associés.
L’étude des risques
. Améliorer la sécurisation du SI;
. Réduire les coûts des
problèmes/attaques informatiques;
. La mise en place des mesures de sécurité
nécessaires et efficaces;
. Etc.
Etablir une politique de
sécurité incluant les
solutions retenues
durant l’étude des
risques.
2021/2022 Dr. T. Diab
Etude des
risques liés à
la sécurité
informatique
L’étude des risques

Quelques étapes durant le processus de l’étude de risque
ISO 27005 :
. Présentation de l'organisation (objectifs, ressources,
stratégies utilisées);
. Valoriser les ressources (équipements, informations …)
selon des critères (coûts, délais de remplacement …);
. Identifier les vulnérabilités, les menaces et les impacts
sur l'organisme lors d'un incident de sécurité;
. Valoriser les impacts (selon des critères financières par
exemple);
. Identification des mesures de sécurité existantes;
. Estimation de la vraisemblance des scénarios d’attaques;
. Calcul de la valeur de risque de chaque scénario;
. Prioritiser les risques;
. Traiter les risques (éviter, réduire, transfert ou accepter);
…
2021/2022 Dr. T. Diab
Etude des
risques liés à
la sécurité
informatique
Exemple d’étude de risques – norme ISO 27005
(Diapo suivant) Exemple
d’analyse des risques dans
une école de formation.

Etablissement
d’une politique
de sécurité
- Définition
- Eléments d’une politique de sécurité

Un plan d'actions/orientations/directives définies et suivies par l’organisation pour
maintenir un certain niveau de sécurité.
Elle spécifie les moyens (ressources, procédures, fonctions, outils…) qui répondent de
façon complète et cohérente aux exigences de sécurité dans un contexte donné.
Le choix des mesures de sécurité résultent généralement d’un compromis entre le coût
d’impact des attaques et celui de la réduction des risques.
2021/2022 Dr. T. Diab
Etablissement
d’une
politique de
sécurité
Def « Politique de sécurité informatique »

• Quel degré de confiance pouvez vous avoir envers vos utilisateurs internes ?
• Qu’est-ce que les clients et les utilisateurs espèrent de la sécurité ?
• Quel sera l’impact de la mesure de sécurité sur le système (la clientèle, logiciels,
matériels, etc) si le niveau de cette mesure est insuffisant, ou tellement fort qu’elle
devient contraignante ?
• Y a-t-il des informations importantes sur des ordinateurs en réseaux ? Sont-ils accessible
de l’externe ?
…
Questions à poser aidant à établir la politique de sécurité
2021/2022 Dr. T. Diab
Etablissement
d’une
politique de
sécurité

La politique de sécurité peut être découpée en plusieurs parties/ éléments. Pour chaque
élément, un ensemble de moyens/mesures de sécurité sont définis :
Défaillance matérielle
Nécessité d’avoir une bonne garantie avec un support technique des équipements
matériels (en cas de panne, défaut …);
La température à l’intérieur des salles de serveurs doit être entre 18 et 27°C, etc.
Défaillance logicielle
Faire des copies des informations à risque pour se protéger contre les bugs des
programmes informatiques;
Les logiciels utilisés ne doivent pas être piratés ou crackés, etc.
Une mise à jour régulière des logiciels;
Erreur humaine
Sensibilisation et Formation adéquate du personnel concernant la sécurité informatique.
2021/2022 Dr. T. Diab
Etablissement
d’une
politique de
sécurité
Eléments d’une politique de sécurité informatique

2021/2022 Dr. T. Diab
Etablissement
d’une
politique de
sécurité
Eléments d’une politique de sécurité informatique
RAID (Redundant Array of Independent Disks) : Techniques de virtualisation du stockage permettant de répartir des données sur plusieurs disques
durs afin d'améliorer les performances et la tolérance aux pannes.
Accidents (pannes, incendies, inondations…)
Sauvegardes régulières pour protéger les données contre ces accidents :
. Utiliser les disques RAID pour maintenir la disponibilité des serveurs ;
. Copie des données dans un emplacement (bâtiment) loin du système (hebdomadaire), etc.
Vol via des dispositifs physique
Contrôler l'accès au matériel (portes blindées, agents, …);
Mettre en place des dispositifs de surveillances (caméras, détecteurs de mouvement, …), etc.
Virus provenant des clés USB
Désactiver les lecteurs USB non nécessaires;
Installation des programmes antivirus, etc.

2021/2022 Dr. T. Diab
Etablissement
d’une
politique de
sécurité
Contexte du SI
(ressources,
vulnérabilités,
menaces, …)
Etude des risques
(ISO 27005, EBIOS,
MEHARI, …)
Politique de sécurité
Réalisation des procédures,
outils, moyens, …pour
répondre aux exigences de
sécurité.
Etablissement basé su un compromis
entre le cout d’impact d’attaque et le
cout de sa réduction par la mesure de
sécurité

Principaux défauts
de la sécurité
informatique
- Principaux défauts de la sécurité informatique

Sont des actions accidentelles ou inconscientes du fonctionnement normal des équipements
informatiques :
. Installation par défaut des logiciels et matériels (accepter sans lire les conditions) ;
. Mises à jour non effectuées (mises à jour peuvent inclure des correctifs de sécurité) ;
. Mots de passe inexistants, faibles ou par défaut ;
. BIOS non sécurisé (pas de mot de passe) ;
. Fichiers traces (fichiers journaux, logs) inexploités ;
. Pas de séparation des flux opérationnels des flux d’administration des systèmes ;
. Procédures de sécurité obsolètes (anciennes) non efficaces ;
. Authentification faible (nécessité d’utiliser l’authentification à deux ou trois facteurs dans
certains systèmes) ;
. Communication non chiffrée ;
. Etc.
2021/2022 Dr. T. Diab
Principaux
défauts de la
sécurité
informatique
Principaux défauts de la sécurité informatique
Fichier journal : fichier contenant les informations (l’historique) des évènements, des l’applications, du système, de la sécurité …
Windows : l’outil « Observateur d’événnement » - fichiers logs dans (C:WindowsSystem32winevtLogs)
Linux : fichiers logs dans (dossier/var/log)

Eléments
de droits
- Eléments de droits

Intrusions informatiques :
Loi « Godfrain » 5/1/1988 (relative à la fraude informatique)
Art. 323-1. Le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un
système de traitement automatisé de données est puni d’un an d’emprisonnement et de 15 000 €
d’amende. Lorsqu’il en est résulté soit la suppression ou la modification de données contenues
dans le système, soit une altération du fonctionnement de ce système, la peine est de deux ans
d’emprisonnement et de 30 000 € d’amende.
Art. 323-2. Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement
automatisé de données est puni de trois ans d’emprisonnement et de 45 000 € d’amende.
Art. 323-3. Le fait d’introduire frauduleusement des données dans un système de traitement
automatisé, ou de supprimer ou de modifier frauduleusement des données qu’il contient est
puni de trois ans d’emprisonnement et de 45 000 € d’amende.
Loi « Informatique et liberté n°78/17 » 6/1/1978 (relative à l’informatique, fichiers et aux libertés)
Article 29 Toute personne ordonnant ou effectuant un traitement d’informations nominatives
s’engage de ce fait, vis-à-vis des personnes concernées, à prendre toutes les précautions utiles
afin de préserver la sécurité des informations et notamment d’empêcher qu’elles ne soient
déformées, endommagées ou communiquées à des tiers non autorisés.
2021/2022 Dr. T. Diab
Principaux
défauts de la
sécurité
informatique
Eléments de droits

- Fin -
-Chapitre 1-
Généralités sur la sécurité informatique

Ch_1 - Généralités sur la sécurité informatique.pdf

Contenu connexe

Tendances

Similaire à Ch_1 - Généralités sur la sécurité informatique.pdf

Ch_1 - Généralités sur la sécurité informatique.pdf