Documente Academic
Documente Profesional
Documente Cultură
373
Environnements scuriss
374
Environnements scuriss
Tous ces systmes dinformation sont interconnects par le mme rseau, Renater, lui-mme connect lInternet. Sous laspect scurit, Renater est un rseau sans contrle particulier de scurit et une connexion Renater est aussi risque quune connexion directe lInternet. Il ny a donc pas un rseau CNRS et nous navons pas dIntranet. A noter quil serait compliqu de faire autrement, la plupart des units tant mixtes, un rseau purement CNRS pourrait difficilement tre mis en place. Cette architecture de rseau partag et ouvert nous rend donc trs vulnrable aux attaques venant de lInternet. Le systme dinformation de gestion et les centres de service ont du personnel en charge de la scurit informatique et les politiques de scurit appliquer sont standards . Ils ont donc un niveau de protection correct. Par contre, pour les laboratoires, nous navions pas de modle de politique de scurit appliquer. Il a fallu innover dans les actions entreprendre et la dfinition des priorits et aussi crer un modle de scurit suffisamment modulable pour sadapter aux particularits des laboratoires.
375
Environnements scuriss
plusieurs sur lInternet, il suffirait de les compiler. Le problme est que le rsultat serait trop volumineux pour tre appliqu dans les laboratoires. Par opposition, dans cette liste, nous nous limitons ce qui est le plus important vrifier en se basant sur notre exprience et sur les nouvelles attaques dont nous avons connaissance dans notre communaut. Avec cette liste comme outil de base, plusieurs tapes constituent ensuite le droulement dune opration scurit. Nous choisissons une dlgation (ou une communaut spcifique, nous avons par exemple fait une opration pour les laboratoires SHS de Paris). Au dpart nous sollicitions certaines dlgations, maintenant on nous demande dintervenir. Nous contactons 2 (parfois 3 maintenant) ingnieurs en informatique de la rgion qui connaissent les laboratoires dpendant de la dlgation, les problmes de scurit, et qui ont un sens du travail en groupe et de la coordination et qui sont volontaires pour consacrer du temps pour la collectivit CNRS . Ce peut tre ladministrateur du rseau du campus CNRS quand il y en a un dans la rgion, le responsable des systmes dinformation (RSI) de la dlgation, un ingnieur en informatique dun laboratoire, Nous contactons ensuite le dlgu pour lui exposer lobjet de ces oprations et lui proposer ces personnes pour piloter lopration dans sa rgion. Avec son accord et laccord des directeurs concerns, ces personnes sont dsignes coordinateurs scurit. Avec ces coordinateurs et le dlgu nous tablissons la liste des laboratoires qui vont participer lopration (en moyenne 15, plutt proches du CNRS), la liste des directeurs et des administrateurs informatiques, le planning, lorganisation, Le droulement se poursuit ainsi : - Nous intervenons 2 jours dans la rgion : Une demi-journe de sensibilisation des directeurs des units qui participent lopration, avec une intervention du dlgu rgional, de lUREC, du fonctionnaire de dfense, de la DST. Lopration est dtaille aux participants. Un jour et demi de travail avec les administrateurs o nous prsentons la liste de contrles, effectuons un tour de table o les administrateurs dcrivent leur environnement, leurs problmes, permettant ainsi des changes et la cration dun groupe ; des prsentations techniques adaptes aux laboratoires participants compltent systmatiquement les points prcdents. Deux ingnieurs de lUREC pilotent ce travail. - Nous laissons travailler les administrateurs 20 jours environ dans leur laboratoire pour quils appliquent la liste de contrles sur leurs serveurs et sur un chantillon reprsentatif de leur matriel et commencent installer quelques outils de scurit. Les coordinateurs crent une liste lectronique pour permettre lchange dinformations entre ces administrateurs et ils peuvent aider, dans lutilisation de cette liste de contrles, certains laboratoires qui manquent de personnel. - Les coordinateurs recueillent les listes de contrles remplies et en font une compilation. - Deux ingnieurs de lUREC interviennent ensuite 1 jour pour faire un bilan : Prsentation de la compilation des rponses par les coordinateurs. Tour de table pour recueillir les remarques des administrateurs et les vulnrabilits importantes dcouvertes dans leur laboratoire. Bilan provisoire de notre part. Complment de prsentations techniques. - Nous rdigeons un rapport qui rsume les points les plus vulnrables que nous avons dcouverts et qui inclut certaines propositions (besoin de demande de poste, de mise en place dorganisation, dachat dquipement particulier, ). Celui-ci est envoy au dlgu rgional, au fonctionnaire de dfense, aux directeurs et aux administrateurs informatiques. Les coordinateurs de lopration suivante assistent lopration en cours. Sont aussi invits les responsables des structures non CNRS qui peuvent tre impliqus dans la scurit : administrateurs du rseau mtropolitain, rgional, responsables de CRI universitaire, RSSI universit, Ces personnes font souvent des prsentations lors des oprations. A Lyon, lopration a ainsi t faite en collaboration avec les universits. Cette participation externe tient compte de la ralit des laboratoires du CNRS o les interactions avec les universits, en particulier, sont trs fortes. Chaque opration est ainsi diffrente et sadapte aux spcificits de la rgion. ce jour nous avons men 14 oprations. Nous avons dbut par 3 oprations pilotes, Sophia (12/97), Toulouse (03/98), Grenoble (06/98). Devant le succs de ces oprations nous avons continu par Marseille (09/98), Nancy (10/98), Gif (04/99), Orlans (11/99), SHS Paris (03/00), Strasbourg (05/00), Besanon (09/00), Orsay (10/00), Lyon (12/00), Montpellier (03/01), Meudon (05/01). La prochaine sera Thiais en octobre-novembre 2001, puis sur le campus de Jussieu et avec en prvision la rgion Ouest. Notre rythme est ainsi de 3 4 voire 5 oprations par an. Ces oprations ont t compltes par la diffusion dun logiciel de simulation de vulnrabilits Internet Scanner , prsent au chapitre 12 (Les outils techniques recommands et fournis).
376
Environnements scuriss
377
Environnements scuriss
Un comit de pilotage a t constitu et sest runi en octobre 2000. Compos de A. Marchal dlgu rgional de Bretagne (prsident), Y. Ellien bureau national de la formation permanente, N. Lucciani-Chapuis responsable formation permanente Marseille, P. Richy expert extrieur (France Tlcom, enseignant ENST), Y. Deswartes expert CNRS (Directeur de recherche au LAAS), A. Schwenck Fonctionnaire de dfense, S. Manoussis charg de mission informatique du dpartement SDU, M-A Caron DRH, J. Marchand administrateur informatique laboratoire de Maths, J-L Archimbaud et N. Dausque UREC, ce comit nous a vivement encourag dans cette dmarche et sest montr trs intress suivre le droulement. Le principe le plus efficace et le moins coteux que nous avons retenu est de former les coordinateurs pour quils forment leur tour les correspondants. Les coordinateurs seront donc des formateurs. Nous avons dfini et suivons 3 tapes : 1. Prparation du programme et du support de cours avec un sous-ensemble des coordinateurs, chaque participant amenant une comptence dans un domaine. Ce sont 15 rdacteurs qui ont ralis un travail collaboratif (cf. annexe 14.1). Ce travail sest droul fin 2000. On dispose ainsi dun support de cours, ouvrage collectif, de plus de 400 pages. Les chapitres, ayant tous trait la scurit, sont : - Organisation, mthodologie et lgislation - lments de base (TCP/IP, cryptographie, IGC, ) - Unix - Windows-NT et Windows-2000 - Services rseaux locaux - Services Internet - Postes individuels - Applications - Architectures rseaux - Outils de scurit et applications scurises - Recommandations, mise en uvre 2. Avec le bureau national de la formation permanente, mise en place de la formation de tous les coordinateurs scurit pendant 2 semaines en janvier 2001. La partie technique a t assure par les rdacteurs du cours, une journe consacre la pdagogie a t ralise par une socit externe. Lobjectif tait de former ces coordinateurs pour quils acquirent les bases techniques ncessaires pour leur travail de coordination et pour quils puissent redonner cette formation dautres ingnieurs : les correspondants scurit. Cette formation sest trs bien passe et tous les coordinateurs ont t volontaires pour organiser cette formation dans leur rgion respective. 3. Formation des correspondants scurit des laboratoires dune dure de 6 jours, organise par les coordinateurs avec le responsable de la formation permanente de chaque dlgation. Les cours seront assurs par les coordinateurs locaux ou dautres rgions et des intervenants locaux si besoin. Lobjectif est de former les administrateurs informatiques de laboratoire pour quils puissent dfinir une politique de scurit adapte leur laboratoire. Cest dire conseiller et aider ces administrateurs pour quils acquirent une mthodologie et une dmarche scurit, une vue des techniques et des outils de protection actuels, et soient aptes installer un ensemble minimum doutils de scurit dans leur laboratoire, ceci avec des critres compatibles avec la vie des laboratoires de recherche. Ces formations sont tales sur lanne 2001, certaines sont dj ralises dautres sont planifies avant la fin 2001 ou sur le premier trimestre 2002. On espre ainsi que les 300 correspondants scurit auront reu la formation durant lanne 2001 et le premier semestre 2002. Une seconde session de formation, voire une troisime pourront tre organises (comme cest le cas sur Grenoble). La mise jour du support de cours, indispensable dans ce domaine trs volutif de la scurit informatique, est ralise par les rdacteurs. Si le support de cours, les dernires corrections faites, est dune bonne qualit, nous envisageons de le diffuser sur le Web et peut-tre sous forme dune dition papier. Les universits et dautres organismes de recherche sont dj intresss. Les mmes besoins quau CNRS existent et ce support de cours pourrait tre ainsi mis leur disposition.
378
Environnements scuriss
- Des documentations sur la scurit produites par lUREC : Articles, Supports de cours et prsentations - Des Outils de scurit (audit ou prvention) tests et recommands par lUREC pour Unix et Windows (cf. chapitre 12) - Des pointeurs sur les anti-virus, les Virus et les canulars - Des pointeurs sur les CERTs et les avis du CERT-Renater - Des pointeurs vers dAutres serveurs : service juridique du CNRS, CNIL, DCSSI, CRU, Ainsi que des informations sur les IGC - Infrastructure de Gestion de Cls : Politique de certification CNRS, serveur de Certificats CNRS et Documentation et sur la formation SIARS. Les rubriques du serveur de lUREC, ayant traits la scurit ne sont pas des rubriques caractre gnraliste, elles sont cibles sur ce qui peut tre utile dans ce domaine aux laboratoires du CNRS. Robert Longeon administre un serveur Web complmentaire dans ce domaine : http://www.cnrs.fr/Infosecu/accueil.html avec 4 parties : - Des informations rapides : annonces de stages, formations, - La protection du patrimoine - La revue Scurit informatique (cf. ci-aprs) - Les virus : documentation, pointeurs, anti-virus, Trois principales listes de diffusions sont utilises par les laboratoires : - sos-virus, liste trs active avec 5 10 messages par jour sur les virus, elle comprend prs de 500 abonns et est ouverte des personnes dautres organismes que le CNRS http://www.services.cnrs.fr/wws/info/sos-virus. - csec qui regroupe les coordinateurs scurit (44 abonns). Elle permet ce groupe de travailler ensemble. La diffusion dans cette liste est contrle par certificat CNRS-SSI. - corres-secu, modre et contrle et qui regroupe plus de 300 correspondants scurit des laboratoires CNRS. Les avis du CERT-Renater et du CERT-A sur les vulnrabilits dcouvertes sont diffuss dans cette liste. Le CERT-Renater a ainsi mis environ 400 annonces de vulnrabilits durant lanne 2000 qui ont t rediffuses dans cette liste. Cest aussi notre moyen de diffusion pour transmettre les recommandations CNRS, formations, et insister sur certains avis de scurit du CERT-Renater que nous jugeons importants. Laccs cette liste est restreint aux correspondants scurit du CNRS. Le bulletin Scurit informatique http://www.cnrs.fr/Infosecu/Revue.html dont le responsable de la publication est Robert Longeon, avec une parution de 5 numros par an, propose des articles de fond sur la scurit. A titre dexemple, les derniers numros ont trait de : - La politique de scurit informatique - La correspondance prive et le courrier lectronique - Les virus - Les produits de simulations dintrusion Tir plusieurs milliers dexemplaires la fois sous forme papier et avec une diffusion lectronique il est trs connu et trs lu dans les laboratoires et maintenant reconnu lextrieur de lorganisme comme un bulletin de rfrence. Un Guide de la scurit des systmes dinformation lusage des Directeurs : http://www.cnrs.fr/Infosecu/guide/guide.pdf de 90 pages a t rdig par Robert Longeon et Jean-Luc Archimbaud. Tir plusieurs milliers dexemplaires, il a t envoy tous les directeurs dunit CNRS au cours du deuxime semestre 1999. Destin sensibiliser les directions aux problmes de scurit et prsenter les principales vulnrabilits et les premires protections mettre en place, il a aussi t diffus dans dautres organismes de recherche qui taient intresss par cet ouvrage. Autre lment de sensibilisation, lors du stage destin aux nouveaux directeurs, un crneau est rserv la protection du patrimoine et la scurit des systmes dinformation. Cette intervention, assure par le fonctionnaire de dfense, permet un dialogue direct avec les nouveaux directeurs.
379
Environnements scuriss
- Regarder les dgts et dterminer la cause de lincident : http://www.CRU.fr/securite/Documents-generaux/Recommandations.html. - Informer en concertation avec le directeur du laboratoire, le/les centre(s) fournisseur(s) de ressources (calcul, bases de donnes) avec lesquels les utilisateurs du laboratoire travaillent rgulirement. - Examiner toutes les autres machines pouvant tre compromises et en particulier changer tous les mots de passe si linstallation dun renifleur a t dtecte. - Rinstaller la machine compromise en ayant soin davoir corrig la/les failles de scurit. - Faire une sauvegarde et une empreinte du systme. - Rinstaller les comptes utilisateurs. - Reconnecter la machine au rseau. Nous rappelons ces conseils lors de chaque opration scurit pour sensibiliser mais aussi rassurer les administrateurs qui sont souvent trs perturbs par une intrusion. Lors des intrusions venant de lInternet, ces dernires annes cest le CERT-Renater avec ses 4 permanents qui a assur lassistance technique aux sites de manire trs efficace : http://www.renater.fr/Securite/CERT_Renater.htm. Nous intervenons pour mettre en contact le CERT-Renater avec le correspondant scurit du laboratoire (ou inversement), en cas de besoin spcifique CNRS, pour sassurer que les recommandations CNRS sont suivies, que les diffrents acteurs (direction, ventuellement dautres laboratoires) sont au courant et pour dventuels conseils de fond (revoir larchitecture du rseau par exemple). Durant lanne 2000, 61 incidents scurit nous ont t signals, en grande majorit des intrusions Internet. Ces chiffres nincluent pas les tests classiques de vulnrabilit sur Internet (scans) qui ne donnent pas lieu rellement des intrusions.
380
Environnements scuriss
381
Environnements scuriss
http://www.urec.cnrs.fr/securite/articles/si_recommandations.pdf, formation des administrateurs, utilisation par ces administrateurs dans leur unit et bilan. Pour poursuivre lemploi de ce type de produit dans les laboratoires, car ils font partie de la politique de scurit, le logiciel NESSUS http://www.nessus.comest galement prsent avec les mmes recommandations dutilisation.
382
Environnements scuriss
dfinies pour dlivrer des certificats en suivant la politique de certification rdige. Le second semestre 2001 devrait tre consacr dfinir la mthode et les moyens mettre en uvre pour dployer la distribution des certificats dans lensemble de lorganisme. En quelques mots, la politique de certification prvoit de dlivrer des certificats pour toute personne travaillant dans une unit CNRS (pas uniquement aux agents CNRS) ou sur un projet CNRS, pour tout service rseau (serveur Web, routeur, ) dune unit, ventuellement pour des codes dvelopps dans les laboratoires (applets par exemple).Trois sous-autorits ont t cres : - Une autorit CNRS-Standard qui dlivre des certificats pour des usages courants, lautorit denregistrement (la personne qui dcide de dlivrer ou non un certificat) sera le directeur de lunit ou son reprsentant. - Une autorit CNRS-Plus qui dlivre des certificats pour des actes administratifs. Lautorit denregistrement pourrait tre le dlgu ou son reprsentant. Ces certificats pourraient tre stocks sur une carte puce, cette option est ltude. Cette autorit est galement utilise pour dlivrer les certificats des autorits denregistrement. - Une autorit CNRS-Projets pour des projets dure de vie limite, qui peuvent impliquer dautres organismes, chaque projet dpendant dune autorit fille et lautorit denregistrement tant le responsable du projet. Cest le cas par exemple de lautorit de certification SSI, sous-autorit de certification de lautorit CNRSProjets et qui peut dlivrer des certificats des coordinateurs ou des correspondants scurit informatique du CNRS pour des applications lies cette activit. Ceci est un vaste projet qui peut entraner une rvision complte de toutes les procdures administratives bases actuellement sur lutilisation du papier, avec des gains trs importants de productivit et defficacit si celles-ci basculaient en procdures lectroniques dmatrialises. Ce projet fait lobjet dune prsentation aux Journes JRES2001 : Mise en place progressive dune IGC au CNRS par Jean-Luc Archimbaud.
14 Annexes
14.1 Formation SIARS et travail collaboratif Pour rpondre au besoin de formation nous nous sommes poss la question comment utiliser et partager les connaissances et les comptences l o elles sont ? . Lorganisation humaine mise en place et tout particulirement le rseau des coordinateurs scurit a t la premire partie de la rponse, la seconde nous lavons trouv dans lutilisation des rseaux et applications scurises. Aprs avoir dcid que le travail serait collaboratif, les tapes suivantes ont permis dobtenir une premire version provisoire du support en janvier 2001 : - Runion des coordinateurs pour une prsentation du projet - laboration des listes de rdacteurs, relecteurs et intervenants - valuation du volume lignes des chapitres tant pour le support que pour les prsentations - valuation de la rpartition horaire entre les diffrents thmes abords - Finalisation du programme propos pour cette formation - Dfinition du planning pour la rdaction et la relecture - Rpartition dans les sous-groupes de rdacteurs des diffrents sujets aborder - Dfinition de modle de prsentation (feuille de style,) - Organisation de la relecture, de la concatnation des sous-chapitres - laboration du support provisoire par concatnation de tous les chapitres Pour raliser ce travail de mise en commun des comptences dun rseau humain, un espace scuris et une liste de diffusion avec certificats ont t utiliss. Les services de bases en scurit ont t mis en uvre : authentification, intgrit, confidentialit et non rpudiation ainsi que lutilisation des contrles daccs des ressources. Ces services sont rendus en utilisant un espace scuris accessible depuis le serveur de lUREC avec comme support technique : un serveur https (Apache + OpenSSL + ModSSL), des certificats X509 pour la gestion des clefs publiques des serveurs et des utilisateurs. Lespace de travail scuris sert galement pour la communication des supports de prsentation pour les sessions organises en rgion. Ces supports de prsentations sont soient ceux crs pour la formation des coordinateurs, soient spcifiques la rgion. Dans tous les cas, aucun modle na t impos laissant ainsi chacun le soin dutiliser le style le mieux adapt au thme expos. Cest la liste de diffusion CSEC, contrle par certificats CNRS-SSI, qui est utilise pour la communication. Ainsi lors de la rdaction du support, lensemble des coordinateurs sest trouv inform de lvolution de celuici et cest ce qui a conduit un certain nombre dentre eux tre volontaires pour la relecture des chapitres. Chacun sest trouv ainsi encore plus concern par la formation SIARS, le travail accompli jusqu ce jour est notable.
383
Environnements scuriss
384
Environnements scuriss