Sécurité informatique : Principes et méthodes à l'usage des DSI, RSSI et administrateurs

361 Pages·2013·86.33 MB·French

by  Laurent Bloch

, . ,
e c u r 1 t e
i n f o r m a t i q u e
Principes et méthodes
à l'usage des DSI, RSSI
et administrateurs
Laurent Bloch
Christophe Wolfhugel
Préfaces de Christian Queinnec et Hervé Schauer
Avec la contribution de Nat Makarévitch
Vl
Q)
0
L
>
w
("I')
r-l
0
N
@
S é c u r i t é
infarniatique
L. Bloch
Ancien élève de l'École
nationale de la statistique
et de l'administration
Que recouvre le terme de sécurité informatique pour l'entreprise? histe-t-il des normes et bonnes pratiques
économique IENSAE),
universelles? Comment mettre en œuvre une politique de sécurité et mettre au point des chartes de conduite pour Laurent Bloch a travaillé
minimiser le risque humain? à l'INSEE, dirigé les services
d'informatique scientifique
Une bible pratique et systématique pour le responsable informatique de l'INED, du CNAM et de
Écrit par un responsable de la sécurité des systèmes d'information devenu DSI, et par un expert des réseaux et l'Institut Pasteur, avant d'être
responsable de la sécurité
des systèmes, ce livre limpide expose les risques inhérents à tout système informatique - et les moyens de s'en
des systèmes d'information
protéger. S'adressant aux administrateurs et responsables informatiques comme à leurs interlocuteurs, il offre au de l'INSERM ILead Auditor
professionnel consciencieux un exposé clair des modes opératoires des programmes nocifs et des outils censés les certifié IS 27001), puis DSI
contrer ainsi qu'une méthode rigoureuse pour concevoir une véritable politique de sécurité. de l'Université Paris-Dauphine ;
il a écrit Les systèmes
Outre un modèle de politique de sécurité et de charte d'utilisation que le lecteur pourra adapter à son environnement,
d'exploitation des ordinateurs
cette quatrième édition, mise à jour avec les dernières évolutions en matière de menaces et de sécurité, fait le point
et Systèmes d'information,
sur la pratique du c/oud computing et sur 1Pv6, et propose un éclairage sur la dimension géostratégique de la sécurité obstacles et succès (Vuibert,
liée à l'Internet (Wikileaks, attaques contre la Géorgie et l'Estonie, coupure de l'Internet en Égypte ou en Tunisie, etc.J. 2003 et 2005). Il est
aujourd'hui chercheur
à l'Institut français d'analyse
stratégique IIFAS).
Au sommaire
PREMliRES NOTIONS DE stcuR1Tt. Menaces, risques et vulnérabilités • Aspects techniques et organisationnels • La nécessaire C . Wolfhugel
veille auprès des CERT • Le management de la sécurité • Les différents volets de la protection du SI • Sécurité physique Ingénieur INSA de Lyon,
• Protection dans le système d'exploitation • Authentification • Failles et attaques sur les logiciels • Le mirage de la Christophe Wolfhugel
biométrie • Malveillance informatique • Types de logiciels • Formes de malveillance • Spam • Attaques via le Web et s'est spécialisé dès la fin
sur les données • Quelques statistiques ... SCIENCE DE LA stCURITt INFORMATIOUE. La clef de voûte : le chiffrement • DES et des années 1980 dans
les réseaux IP, notamment
RSA • Critères de robustesse • Sécurité du système d'exploitation et des programmes • Le modèle de protection Multics •
l'Internet, et les services
Protection des systèmes contemporains • Débordements de zone mémoire • Sécurité par analyse du code • Séparation
associés. Il occupera plusieurs
des privilèges dans le système • Architectures tripartites • Sécurité du réseau • Les réseaux privés virtuels [VPNJ • postes d'expert, chez HSC
Partage distant de fichiers • Sécuriser un site en réseau • Le ONS • Traduction d'adresses NAT • Promiscuité sur et à l'Institut Pasteur. Co
un réseau local • Réseau sans fil • Identités, annuaires, habilitations. L'identité dans un monde numérique • PGP et fondateur d'Oléane, premier
signatures • Créer un réseau de confiance • Certificats • PoLITIOUES DE stcuRnt. Une charte des utilisateurs • Accès aux FAI français destiné aux
ressources et aux services • Règles d'utilisation, de sécurité et de bon usage • Confidentialité • Respect de la législation entreprises, il rejoint le groupe
• Préservation de l'intégrité du système • Usage des services Internet [Web, messagerie, forums ... J • Surveillance France Télécom lors de son
rachat. Il est aujourd'hui
et contrôle de l'utilisation des ressources • Rappel des principales lois françaises • Une charte de l'administrateur de
installé à Londres en tant
système et de réseau • Complexité en expansion et multiplication des risques • Règles de conduite • Proposition de
que consultant et ingénieur
charte • Organisation el mise en œuvre d'une politique de sécurité • Aspects humains et sociaux • Législation financière et SI • chez Sendmail, Inc.
Sécurité psychologique du hacker • AVENIR DE LA stCURITt DU SI. Versatilité des protocoles • Encapsulation HTTP • pour l'Europe.
Protocoles pair-à-pair [peer-to-peerl : exemple de Skype • Téléphonie sur IP, 1Pv6 • Tendances • Les six idées les plus
stupides en sécurité selon Ranum • Les 50 prochaines années, selon Alan Cox • Détection d'intrusion, inspection en
profondeur • À qui obéit votre ordinateur? • Échanges de données numériques • Dimension géostratégique • Organisation
et contexte économique de l'Internet • L'.hégémonie américaine en question • Estonie et Géorgie • WikiLeaks • Stuxnet
• Égypte et Tunisie : peut-on éteindre l'Internet ?
Vl
Q)
0
L
>
w
À qui s'adresse cet ouvrage?
("I')
r-l - Aux administrateurs de systèmes et de réseaux, mais aussi aux OS! et aux responsables de projets;
0
N - A tous ceux qui doivent concevoir ou simplement comprendre une politique de sécurité informatique.
@
S é c u r i t é
informatique
Principes et méthodes
Vl
(1)
0
L
>
w
(V')
,-t
0
N
@
.....
.r::.
·.O::: l
>
o.
0
u
CHEZ LE MÊME ÉDITEUR
Ouvrages sur la sécurité, l'administration et la gestion des systèmes d'information
F. MATTATTA. - Traitement des données personnelles. N° 12821, 3° édition, 2010, 562 pages.
N° 13594, 2013, 188 pages.
D. SEGUY et P. ÜAMACHE. - Sécurité PHP 5 et MySQL.
Y. CoNSTANTTNIDIS. - Expression des besoins pour le SI. N° 13339, 3° édition, 2011, 277 pages.
N° 13653, 2° édition, 2013, 294 pages.
P-L. JliFALO. - La sécurité numérique de l'entreprise.
D. MouroN. - Sécurité de la dématérialisation. N°55525, 2012, 296 pages.
N° 13418, 2012, 314 pages.
T. A. LIMONCELLI et S. BLONDEEL. -Admin'sys.
A. FERNANDEZ-TORO. - Management de la sécurité de N° 11957, 2006, 258 pages.
l'information.
P. LEGAND. - Sécuriser enfin son PC.
N° 12697, 3° édition, 2012, 322 pages.
N° 12005, 2006, 400 pages.
S. BORDAGE. - Conduite de projet Web.
R. HERTZOG et R. MAs. - Debian Squeeze. GNU / Linux.
N° 13308, 6° édition, 2011, 480 pages.
N° 13248, 2011, 500 pages.
A. LuPFER. - Gestion des risques en sécurité de
E. DREYFUS. - BSD. Les dessous d'Unix.
l'information.
N° 11463, 2° édition, 2004, 290 pages.
N° 12593, 2010, 230 pages.
J.-F. BoucHAUDY. - Linux Administration (Tomes 1
E. BESLUAU. - Management de la continuité d'activité.
à4).
N° 12820, 2° édition, 2010, 298 pages.
N° 12624, 12882, 12245, 12248. 2008 à 2011, 1500
S. BoHNKÉ. - Moderniser son système d'information. pages.
N° 12764, 2010, 290 pages.
B. BouTHERIN et B. DELAUNAY. - Sécuriser un réseau
F. DUFAY. - CMMI par l'exemple. Linux.
N° 12687, 2010, 288 pages. N° 11960, 3° édition, 2006, 266 pages.
P. JoUFFROY. - ERP. T. HURBAIN et E. DREYFUS. - Mémento Unix/Linux.
N° 12716, 2010, 317 pages. N° 13306, 2° édition, 2011, 14 pages.
J. STEINBERG et T. SPEED. - SSL VPN. M.F. KRAFFT adapté par R. HERTZOG, R. MAS et N.
N° 11933, 2006, 208 pages. MAKARÉVITCH. - Debian. Administration et configuration
avancée.
C. LLORENS, L. LEVIER, D. VALOIS et B. MORIN. -
N° 11904, 2006, 674 pages.
Tableaux de bord de la sécurité réseau.
Collection« Accès Libre»
Pour que l'informatique soit un outil, pas un ennemi !
R. M. STALLMAN, S. WILLIAMS et C. MAsurn. - Richard M. BAcK, P. B. KoETTER, R. HlLDERBANDT, A. McDoNALD,
Stallman et la révolution du logiciel libre. D. RusENKo et C. TAYLOR. - Monter son serveur de
(V1)l N° 13635, 2° édition, 2013, 338 pages. mails sous Linux.
0 N° 11931, 2006, 346 pages.
L> X. TANNIER. - Se protéger sur Internet.
w
N° 12774, 2010, 232 pages. A. BOUCHER. - Ergonomie web.
(V)
,-t N° 13215, 3° édition, 2011, 356 pages.
0 C. Huc. - Préserver son patrimoine numérique.
N
@ N° 12789, 2010, 344 pages. K. NovAK. - Linux aux petits oignons.
.....
N° 12424, 2009, 546 pages .
.r::. M. W. LUCAS. - PGP et GPG. Assurer la confidentialité
·.O::: l
de ses e-mails et fichiers.
>-
0. N° 12001, 2006, 230 pages.
0
u
S é c u r i t é
i n f a r n i a t i q u e
cm=,
Principes et méthodes
Laurent Bloch
Christophe Wolfhugel
Préfaces de Christian Queinnec et d'Hervé Schauer
Avec la contribution de Nat Makarévitch
Vl
(1)
0
L
>
w
(V')
,-t
0
N
@
.....
.r::.
·.O::: l
>
o. EYROLLES
u0 •
ÉDITIONS EYROLLES
61, bd Saint-Germain
75240 Paris Cedex 05
www.editions-eyrolles.com
Remerciements à Marie-Capucine Berthier pour sa relecture.
Vl
(1)
0
L
>
w
(V')
,--t
0
N
~ En application de la loi du 11 mars 1957, il est interdit d: reproduire intégralement ou partiellement le présent ouvrage,
-§i sur quelque support que ce soit, sans l'autorisation de l'Editeur ou du Centre Français d'exploitation du droit de copie,
·~ 20, rue des Grands Augustins, 75006 Paris.
g-
© Groupe Eyrolles, 2006, 2009, 2011, 2013, ISBN : 978-2-212-13737-8
u
Préface
L'Internet, on le lit souvent, est une jungle, un lieu plein de dangers sournois, ta
pis et prêts à frapper fort, péniblement et durablement. On aura intérêt à ne pas
s'attarder sur cette banalité car la jungle est en l'occurrence l'endroit où l'on doit
obligatoirement vivre. En revanche, tout comme pour certaines maladies trans
missibles, être ignare, ne pas vouloir apprécier les dangers, persister à les ignorer
sont des attitudes blâmables.
Par contre, un ordinateur est un assemblage hétéroclite, historiquement enche
vêtré, de matériels et de logiciels dont les innombrables interactions sont au-delà
de !'humainement appréhendable. Un ordinateur est tout autant une jungle, qui
même s'étend au fil de ses expositions successives à Internet.
Comme dans tant d'autres domaines sociétaux, la «sécurité» est réputée être la
solution à ces problèmes !
Mais plus que de bonnement nommer cette solution, d'espérer un monde meilleur
où l'on pourrait enfin jouir de cette fameuse sécurité, il faut s'interroger sur son
existence, sa nature, ses constituants, ses conditions d'apparition ou de dispari
tion, son développement, etc. C'est précisément à ces interrogations que répond
Vl l'ouvrage de Laurent Bloch et Christophe Wolfhugel.
(1)
0
L> Un tel état de grâce ne s'obtient ni par décret, ni par hasard. C'est le résultat d'une
w
confluence opiniâtre de comportements et de solutions techniques. Ces dernières
(V')
,-t
0 existent depuis l'article séminal de Diffie et Hellman [SOI publié en 1976 , qui a
N
permis de résoudre le problème, ouvert depuis des millénaires : comment deux
@
.....
personnes, ne se connaissant au préalable pas, peuvent-elles élaborer un secret
.r::.
·.O::: l commun à elles seules en n'ayant échangé que des messages publics? Clés publiques
>
o.
0
u
- Sécurité informatique
et privées, certificat, signature électronique sont les plus connues des innovations
dérivées de cet article. Notariat électronique, respect de l'anonymat (réseau TOR),
crypto-virus blindés en sont d'autres plus confidentielles.
Si, dès maintenant, des solutions techniques existent pour un monde meilleur, sur
le plan humain le salut peine à s'instaurer. On ne peut souhaiter un monde sûr
que si l'on prend la mesure de l'actuelle insécurité. On ne peut espérer un monde
plus sûr que si l'on sait qu'il est réalisable, que si l'on est prêt à tolérer des chan
gements personnels importants de comportement, si l'entière société humaine sti
mule l'adoption de ces nouvelles règles et veille à les adapter au rythme des inéluc
tables évolutions.
La sécurité n'est qu'un sentiment dont l'éclosion est due à la conjonction de facteurs
techniques et sociétaux. La mise en place d'un contexte favorable à ce sentiment est
complexe, tant sont grandes les difficultés de réalisation et les oppositions entre les
différentes inclinations libertaires, dirigistes ou Big Brother-iennes. L'anonymat
est-il autorisé sur Internet? Puis-je mettre mon ordinateur en conformité avec
mes désirs sécuritaires? Comment rétribuer une création intellectuelle incarnée
numériquement (sic) et dont la duplication est quasiment gratuite? Devons-nous
laisser l'offre des industriels diriger notre morale et notre liberté ?
L'excellent livre de Laurent Bloch et Christophe Wolfhugel a pour thème la sécu
rité. Loin de s'appesantir sur les seuls aspects techniques ou de broder autour de
banalités comme « la sécurité parfaite n'existe pas » ou encore « avoir listé les me
naces garantit une éternelle quiétude », ce livre est à lire et à méditer par tous ceux
qui y croient et tous ceux qui n'y croient pas afin que tous puissent participer intel
ligemment à l'avènement de l'ère numérique. Cet espace incommensurablement
démocratique (les internautes votent avec leur souris) que réalise l'interconnexion
de toutes les puces calculantes, nous avons une chance de modeler son avenir tout
autant que de le transformer en le plus effroyablement fliqué lieu communautaire.
À nous de choisir, à la lueur de ce que nous en dit cet ouvrage.
Vl
Q)
0
L
>
w
('I')
r-l
0
N
Christian Qyeinnec
@
.,_,
Professeur à l'université
..c
·.O::: l Pierre et Marie Curie
>-
0.
0
u
Préface Il
Alors que la sécurité des systèmes d'information était un produit de luxe, elle tend
aujourd'hui à devenir un moyen d'apporter la confiance au cœur des affaires.
Cet ouvrage en rappelle les bases techniques et présente une perspective nouvelle,
pertinente et utile à tous les acteurs du secteur de la sécurité des systèmes d'infor
mation, par deux esprits vifs, qui ont prouvé, par leur carrière et leurs réalisations,
leur indépendance et leur compétence.
Hervé Schauer
Consultant en sécurité
des systèmes d'information
depuis 1989
Vl
Q)
0
L
>
w
('I')
r-l
0
N
@
.,_,
..c
·.O::: l
>-
0.
0
u
Copyright© 2013 Eyrolles.