Sunteți pe pagina 1din 26

SECURITE ET AUDIT INFORMATIQUE

Chapitre I : INSECURITE INFORMATIQUE

Universit Virtuelle de Tunis


Mastre Professionnel en Logiciels Libres

CHAPITRE I
Contenu du chapitre

INSECURITE INFORMATIQUE

Introduction du chapitre

Les objectifs du chapitre

Ce quil faut retenir dans le chapitre

Risques informatiques Causes communes aux problmes de scurit Types de menaces Sources des dangers encourus Cibles potentielles dune menace Attaques rseaux Attaques applicatives Denis de service Prsentation gnrale : Ce chapitre introduit aux divers problmes lis lutilisation de linformatique. On y distinguera les diverses risques informatiques et les causes des menaces auxquelles il faut faire face. Pr requis : Lecture de lintroduction concernant la scurit informatique et laudit (scurit) informatique Prsenter les divers risques informatiques Dfinir les causes communes aux problmes de scurit Etablir une typologie des menaces encourues par les SI Connaitre les sources des dangers potentiels Dcrire les divers types dattaques rseaux et applicatives A lissue de ce chapitre ltudiant devra tre capable de : discourir propos de linscurit informatique tablir le lien entre les causes et les effets lorsque des menaces se concrtisent numrer les menaces auxquelles une entreprise et ses systmes informatiques doivent faire face analyser les problmes lis la cybercriminalit Lecture du contenu du chapitre

Ce quil faut faire Tlcharger le chapitre Activits du chapitre

Le contenu du chapitre est tlchargeable partir de la plateforme denseignement distance utilise Les assignements correspondent la lecture darticles en rapport avec : - la cybercriminalit et ses chiffres - les concepts lis aux types dattaque - la motivation des hackers Liens utiles ou http://securitytube.net/ documentation https://www.clusif.asso.fr/fr/production/ouvrages/ http://www.memoireonline.com/04/09/2033/La-Cybercriminalitenouveaux-enjeux-de-la-protection-des-donnees.html http://www.scribd.com/doc/6910014/Le-Grand-Livre-De-SecuriteInformatique
2

I.1

RISQUES INFORMATIQUES

Comme toute activit de l'entreprise, l'informatique contribue ses objectifs gnraux savoir lamlioration de sa comptitivit et la recherche d'avantages comptitifs durables tout en respectant les lois, rglements et obligations contractuelles auxquels elle est soumise. Pour maintenir son avantage comptitif de manire durable, l'entreprise doit alors assurer la disponibilit constante de tous ses outils, et particulirement de son outil informatique dont elle est de plus en plus dpendante. L'entreprise doit galement assurer l'intgrit et la confidentialit de l'information qu'elle a stocke dans son systme informatique.

A cette fin, il faut que lentreprise prenne conscience que ses actifs (parc informatique, systme d'information, etc.) sont la cible d'une menace potentielle (des erreurs, des accidents, etc.), que cette menace se caractriser par une agression (malveillance, sabotage, etc.), que cette agression peut dclenche une dtrioration (altration, dgradation, endommagement, destruction, duplication parasite, etc.), que cette dtrioration provoque des dgts (pertes d'exploitation, frais lis au dysfonctionnement oprationnel, etc.) et que ces dgts occasionnent des pertes (financires, image de marque, etc.). Lentreprise doit connatre les risques informatiques quelle encoure, identifier les origines, les causes de chaque risque et en examiner ses symptmes, mesurer les consquences ventuelles de chaque risque afin de prendre les mesures adquates. Ces risques sont communment catgoriss en deux familles : les risques internes et les risques externes. Interne pour dsigner les risques provenant de son propre rseau, et externe pour dsigner ceux provenant dutilisateurs qui nappartiennent pas ce rseau. Parmi ces risques on peut citer les suivants : Destruction ou corruption d'information : Ceci peut occasionner des pertes de temps considrables aux techniciens et ingnieurs chargs de restaurer l'tat du systme et des bases de donnes, de plus si les sauvegardes n'taient pas rgulirement assures, cela peut devenir catastrophique.

Dni de service (dtrioration de la qualit du service) : Pour le bon fonctionnement de l'tablissement, une qualit de service doit tre garantie et maintenue, ceci peut entraner une perte de confiance dans l'outil informatique et le rseau. Vol d'informations confidentielles : Le travail doit tre protg, car l'espionnage industriel est bel et bien une ralit, ceci peut nuire aux relations contractuelles entre quipes ou dtriorer l'image de marque de l'tablissement. Modifications de donnes d'importance capitale : Ce risque est quivalent au premier prcit, mais il faut le mentionner plus fortement car il est plus pernicieux. Il concerne des modifications stratgiques mais non dtectables dans l'immdiat. Il y a une certaine gravit si ces modifications ne sont dcouvertes que trop tardivement (aprs plus d'une priode de rotation des sauvegardes). "Mascarade d'identit : Cela peut porter un lourd prjudice l'image de marque de l'tablissement, tant aux relations ultrieures avec les partenaires Utilisation frauduleuse de ressources : Cette intrusion a pour objectif de se connecter sur une machine dont on n'a pas l'autorisation et utiliser des ressources rserves (calcul, espace disque, logiciels, etc.).

I.2

CAUSES COMMUNES AUX PROBLEMES DE SECURITE

Aujourdhui, vu le niveau de dveloppement atteint au niveau matriel et logiciel, nous sommes apte schanger des donnes travers les rseaux dans une poigne de secondes. Le risque sintensifie donc ds quon sinterconnecte sur un rseau et principalement ces jours-ci sur le rseau des rseaux : Internet. En effet, quiconque peut se connecter Internet et tout un chacun peut essayer daccder au systme dautrui. Et par consquent, les problmes de scurit vont saccrotre dune manire tout du moins aussi fulminante que lexpansion de lInternet. Parmi les causes des problmes de scurit les plus rpandus on trouve ce qui suit. Une ide fausse de la scurit : Certains administrateurs persistent dire que leur systme est scuris rien que parce quils ont inculqu des mcanismes dauthentification forts et des outils logiciels pour les accs tels que les firewalls. Cest pour ce genre dadministrateurs quon parle de fausse ide de la scurit parce que ces gens l oublient, et oui ils oublient une des choses les plus simples : la connexion via modem sur une prise de
4

tlphone par un compte particulier sans passer ni par le Firewall ni par les mcanismes dauthentification. La scurit travers lobscurit : Cest lun des problmes majeurs des administrateurs daujourdhui. Ils pensent que rien quen masquant et en gardant secret les dtails du systme, ils scurisent leur systme, ce qui est archi faux dans la plupart des cas. Aucune assurance nest donne puisque un bidouilleur pourrait parvenir percer ou accder ces secrets, et tout le systme serait alors sa merci. Des administrateurs inexpriments : Le fait est que les systmes sont de plus en plus complexes et les mcanismes de scurit de plus en plus diffrents, consquence de quoi les administrateurs doivent tre les plus larges que possible et doivent bnficier dune vaste exprience. Malheureusement ce genre dadministrateurs a ne court pas les rues, et combien mme, le fait de les garder up to date est une chose coteuse en temps et en argents. La non familiarisation avec les services systme : Certains ingnieurs systmes ne connaissent pas ou ne sont pas habitus ou ne sont pas familiers avec tous les services du systme quils utilisent. En sus, ces services peuvent tre lancs avec le dmarrage du systme et peuvent laisser des brches ouvertes aux malintentionns. Lexemple typique est le service Telnet quon oublie de dsactiver sur certains serveurs ou quon le configure mal. Les installations par dfaut : Lors de linstallation de programmes ou de services, la plupart prfre recourir linstallation par dfaut, cest gnralement la plus simple et requiert le moins dinstallation possible. Mais voil que cette installation par dfaut peut amener la corruption totale du systme du fait tout simple que parfois linstallation par dfaut exige une certaine configuration du systme et que celle du votre nest pas adquate. Le rsultat est la dstabilisation du systme. Labsence de code source : Limportance du code source est trs simple expliciter. En effet, une fois quun bug sur un logiciel particulier est mis la lumire, et bien, sans code source, il sera impossible de le fixer moins dacheter ou demander un patch ou carrment la nouvelle version du produit. La malveillance : Aujourd'hui, il serait quasiment inconcevable de prtexter l'ignorance des risques sus-cits, tant les mdias ont pu parler des diffrents problmes de virus et de vers ces dernires annes (mme s'ils ont tendance, en vulgarisant, se tromper sur les causes et les problmes). Ainsi, certains utilisateurs, pour des raisons trs diverses, peuvent volontairement mettre en pril le systme d'information, en y introduisant en connaissance de cause des virus (en connectant par exemple un ordinateur portable sur un rseau d'entreprise), ou en introduisant volontairement de
5

mauvaises informations dans une base de donnes. De mme il est relativement ais pour un informaticien d'ajouter dlibrment des fonctions caches lui permettant, directement ou avec l'aide de complices, de dtourner son profit de l'information ou de l'argent. Le host hopping or connection laundering : Un utilisateur malveillant passera par une multitude de passerelles avant datteindre sa cible ce qui fait que sa trace sera plus longue ou parfois limite de limpossible surtout lorsque lattaquant vient de ltranger. Mais ce qui accentue le risque cest que le malfrat pourra effectuer ses prouesses et se dconnecter alors quon na pas encore pu contacter les administrateurs des locaux concerns et obtenir les autorisations ncessaires pour des raisons de dcalage horaire, etc. Le Breeding rabbits : Lexplosion de comptes non autoriss est due une personne qui au dpart ne trouvait aucun mal partager son compte et son mot de passe avec son plus proche ami. Lami a pens la mme chose avec son ami. La consquence fut quun mcanisme dauthentification qui tait jusquau l efficace est devenu compltement obsolte. L'ingnierie sociale : L'ingnierie sociale (social engineering en anglais) est une mthode pour obtenir d'une personne des informations confidentielles, que l'on n'est pas normalement autoris obtenir, en vue de les exploiter d'autres fins (publicitaires par exemple). Elle consiste se faire passer pour quelquun que lon n'est pas (en gnral un administrateur) et de demander des informations personnelles (nom de connexion, mot de passe, donnes confidentielles, etc.) en inventant un quelconque prtexte (problme dans le rseau, modification de celui-ci, heure tardive, etc.). Elle peut se faire soit au moyen dune simple communication tlphonique, soit par courriel, soit en se dplaant directement sur place. Le manque dans la rglementation en vigueur : Bien sr que des lois existent surtout concernant le copyright, le piratage des logiciels et les intrusions. Mais, la plupart des cas se rsolvent ou lamiable, ou les victimes refusent daller en justice cause de leur rputation ou de largent quils devront y mettre. Le fait est que ni les jures, ni les avocats sont des informaticiens et donc comment peuvent-ils estimer la perte que cause larrt dune machine, le plantage dun serveur, leurs jugements nest donc pas trs subjectifs ni trs concluant. En outre, on constate que ce sont des juvniles qui excutent les pires attaques et qui infligent les pires souffrances aux administrateurs. Les sentences sont donc amoindries et considrs comme des gestes de dlinquance informatique . Ce qui est par consquent non persuasif et non dissuasif.

I.3

TYPES DE MENACES

Les menaces auxquels il faut faire face et mettre les moyens et outils pour scuriser son informatique sont de plusieurs types. Certaines sont accidentelles ou dues diverses erreurs alors que dautres sont intentionnelles. Les menaces au systme d'information

Accidents
Accidents physiques Pannes Forces majeures (vnements naturels) Pertes de services essentiels Autres

Erreurs
Erreurs d'exploitation Erreurs de conception et de ralisation

Malveillance
Vol (physique) Fraudes (non physique) Sabotage (physique) Attaque logique (non physique) Divulgation d'informations Autres

1- Menaces accidentelles :
Ce sont des oprations non intentionnelles qui sont gnralement produites par malveillances ou par des mauvaises manipulations et peuvent produire dnormes dgts. Appartiennent cette catgorie les incidents suivants : - les pannes matrielles telles que des dfaillances de disque dur, - les accidents naturels tels que les incendies ou les inondations, - les erreurs humaines telles que les erreurs de manipulations lors de la sauvegarde des fichiers.

2- Menaces intentionnelles passives :


Ce sont des attaques qui ne nuisent pas au fonctionnement du systme et qui nont pour but que de collecter des donnes, visant dduire des informations confidentielles. Plusieurs techniques peuvent loccasion tre utilises tel que lcoute physique par lintermdiaire de branchement aux supports de transmission ou par coute des signaux hertziens, lanalyse du trafic ou lutilisation des canaux cachs (Cette mthode consiste utiliser des brches des protocoles de protection d'un systme).

3- Menaces intentionnelles actives :


Ce sont des attaques qui modifient le contenu des donnes dans les systmes ou bien le comportement du systme lui-mme. Elles sont en gnral plus dangereuses que les attaques passives et produisent des dgts plus importants. Voici quelques exemples dattaques passives : - Mascarade ou dguisement consiste se faire passer pour quelqu'un d'autre - Interception et la modification de message en transit sur le rseau - Gnration ou absorption de trafic cherche empcher une entit de fournir ou d'accder un service - Cheval de Troie consiste ajouter un programme des lignes de code produisant des actions normalement interdites, gnralement en tche de fond - Dnis de service a pour but d'empcher le fonctionnement d'une machine ou d'un service

I.4

SOURCES DES DANGERS ENCOURUS

Les dangers peuvent survenir la suite dune mauvaise manipulation comme ils peuvent surgir suite une action malveillante. Evidemment dans ce dernier cas, la possibilit de nuire au systme informatique et aux biens de lentreprise voire son image de marque est plus grand et sera par consquent plus fracassant. Les utilisateurs, qui sont la source des dangers potentiels encourus par les systmes et rseaux informations et les systmes dinformation quils supportent, peuvent tre classifis comme suit : Masqueraders : ce sont des utilisateurs qui travaillent en prenant lidentit dautrui. Le cas le plus rpandu consiste dans le fait dutiliser le compte dun autre utilisateur. Misfeasors : ce sont les utilisateurs autoriss utiliser le systme mais qui abusent de leurs privilges. Clandestins : ce sont les personnes qui arrivent djouer les systmes de contrle daccs et daudit des utilisateurs.

Voici maintenant les termes les plus communment utiliss pour qualifier certaines sources de dangers : Hacker : cest quelquun quon considre comme un expert ou un guru des systmes et qui essaie dexplorer les abysses des systmes. Ces actes sont sans intention malveillantes ou destructives. Cracker : cest tout un chacun qui essaie de dtruire le plus de systmes que possible. Ces actes sont trs dangereux et toujours nuisibles. Crasher : il essaie de planter le systme, de le crasher et de provoquer un dni de service. Il nhsite pas corrompre les donnes du systme.
8

Phreaker : Son centre dintrt est lexploration des failles dans les systmes tlphoniques. Il essaie surtout de trouver des numros avec lesquels il pourra faire des appels gratuits. Spyware : programme pirate charg de recueillir des informations sur l'utilisateur de l'ordinateur sur lequel il est install (on l'appelle donc parfois mouchard) afin de les envoyer la socit qui le diffuse pour lui permettre de dresser le profil des internautes (on parle de profilage). Malware : cest un logiciel malveillant dvelopp dans le but de nuire un systme informatique. Les virus et les vers sont les deux exemples de logiciels malveillants les plus connus. Exploit. cest un programme qui exploite une faille de scurit informatique dans un systme d'exploitation ou dans un logiciel afin de prendre le contrle d'un ordinateur ou installer des malwares. Virus : cest un programme qui sattache lui-mme un autre logiciel pour pouvoir se propager. Worm : un vers est trs similaire un virus, mais na pas besoin dun programme hte pour se propager car il fait des copies de lui-mme sur chaque station visite dun rseau. Trojan : cest un programme qui se dguise et se met sous lapparence dun autre (cest pour cette raison quon parle de cheval de Troie). Il effectue les mmes fonctionnalits que le programme quil remplace mais offre dautres oprations qui ne sont pas visibles lutilisateur. Logic Bomb : cest un programme avec du code intgr qui causera larrt ventuellement du logiciel aprs un vnement spcifique comme le nombre dutilisations ou le dpassement dune date limite. Buffer Overflow : un dpassement ou dbordement de tampon est un bogue qui rend le comportement de l'ordinateur imprvisible. Il peut tre exploit par un pirate pour violer la politique de scurit dun systme. SQL Injection : cest un type d'exploitation d'une faille de scurit d'une application interagissant avec une base de donnes, en injectant une requte SQL non prvue par le systme et pouvant compromettre sa scurit. Backdoor : dans un logiciel, une porte drobe est une fonctionnalit inconnue de l'utilisateur lgitime, qui donne un accs secret au logiciel. La personne connaissant la porte drobe peut l'utiliser pour contourner l'authentification. Rootkit : cest un programme ou un ensemble de programmes permettant un tiers de maintenir un accs frauduleux un systme informatique. Le pr-requis du rootkit est une machine dj compromise. Keylogger : cest un petit logiciel espion capable d'enregistrer tout ce qui est tap au clavier et qui le renvoie ensuite un rseau de pirates. Les jeux en ligne comme World of Warcraft sont la cible privilgie de ce type de malware. Hoax : cest un courrier lectronique propageant un canular (une fausse information) et poussant le destinataire diffuser la fausse nouvelle tous ses proches ou collgues.
9

Phishing : cest une technique frauduleuse dite dhameonnage utilise par les pirates informatiques pour rcuprer des informations (gnralement bancaires) auprs d'internautes. Spam : cest ce quon appelle en franais un pourriel qui est un mot form de poubelle et courrier lectronique. Cest un objet non dsir (courrier, publicit, fentre en popup) qui peut s'attaquer divers mdias lectroniques : les courriels, les forums de discussion de Usenet, les moteurs de recherche, les wikis, les messageries instantanes, les blogs. Cybersquatting : est une pratique consistant faire enregistrer un nom de domaine dans le seul but de bloquer toute attribution ultrieure de ce nom au profit de son titulaire naturel.

I.5

CIBLES POTENTIELLES DUNE MENACE

Tout ce qui concerne un systme informatique savoir le matriel, le logiciel, les donnes et la documentation, est une cible potentielle des dangers quon a voqu prcdemment. Les comptes utilisateurs sont la premire cible pour pouvoir accder au systme. Les risques quengendre un tel acte sont : Temps et argent : un utilisateur dont le compte a t drob refusera den subir les consquences et refusera par la mme la facturation des accs qua provoqu le pirate. Du temps, sera aussi consacr pour traquer lintrus et essayer de lliminer du systme. Abuser des privilges : lintrus aura de nouveaux privilges. Et dans ce cas, si lutilisateur pirat, a des privilges spciaux sur des donnes ou des programmes, le pirate pourra ds lors corrompre le systme et le rendre indisponible, comme il pourra copier, effacer, modifier, ajouter sa guise des programmes et des donnes prives ou stratgiques, en faire la distribution. Nuire la personnalit du propritaire du compte : une fois lidentit usurp (via le compte), le pirate peut envoyer des mails, des messages et des requtes contenant tout ce que lon pourrait imaginer de bien ou de mal. Il peut galement passer au chantage et la divulgation de donnes prives. Desservir la notorit et limage de marque de lentreprise : une fois lidentit dun administrateur usurp, le pirate peut associer par exemple le nom de domaine de lentreprise un site web pornographique ; comme il peut oprer la cration et lusage de faux utilisant lidentit visuelle ou autre de lentreprise, ou encore permettre la fuite de donnes stratgiques etc.

10

I.6

ATTAQUES RESEAUX

Les attaques rseaux1 s'appuient sur des vulnrabilits lies directement aux protocoles ou leur implmentation. Il en existe un grand nombre. Nanmoins, la plupart d'entre elles ne sont que des variantes des cinq attaques rseaux les plus connues aujourd'hui.

1. Fragments attacks
Cette attaque outrepasse la protection des quipements de filtrage IP. Pour sa mise en pratique, les pirates utilisent deux mthodes : les Tiny Fragments et le Fragment Overlapping. Ces attaques tant historiques, les pare-feux actuels les prennent en compte depuis longtemps dans leur implmentation. Tiny Fragments : D'aprs la RFC 791 (IP), tous les nuds Internet (routeurs) doivent pouvoir transmettre des paquets d'une taille de 68 octets sans les fragmenter d'avantage. En effet, la taille minimale de l'en-tte d'un paquet IP est de 20 octets sans options. Lorsqu'elles sont prsentes, la taille maximale de l'en-tte est de 60 octets. Le champ IHL (Internet Header Length) contient la longueur de l'en-tte en mots de 32 bits. Ce champ occupant 4 bits, le nombre de valeurs possibles vaut de 2^4 - 1 = 15 (il ne peut pas prendre la valeur 0000). La taille maximale de l'en-tte est donc bien 15*4 = 60 octets. Enfin, le champ Fragment Offset qui indique le dcalage du premier octet du fragment par rapport au datagramme complet est mesure en blocs de 8 octets. Un fragment de donnes occupe donc au moins 8 octets. Nous arrivons bien un total de 68 octets. L'attaque consiste fragmenter sur deux paquets IP une demande de connexion TCP. Le premier paquet IP de 68 octets ne contient comme donnes que les 8 premiers octets de l'en-tte TCP (ports source et destination ainsi que le numro de squence). Les donnes du second paquet IP renferment alors la demande de connexion TCP (flag SYN 1 et flag ACK 0). Or, les filtres IP appliquent la mme rgle de filtrage tous les fragments d'un paquet. Le filtrage du premier fragment (Fragment Offset gal 0) dterminant cette rgle elle s'applique donc aux autres (Fragment Offset gal 1) sans aucune autre forme de vrification. Ainsi, lors de la dfragmentation au niveau IP de la machine cible, le paquet de demande de connexion est reconstitu et pass la couche TCP. La connexion s'tablit alors malgr le filtre IP. Les figures 1 et 2 montrent les deux fragments et la figure 3 le paquet dfragment au niveau de la machine cible :

Cette partie est de principalement F. Raynal (chercheur INRIA)


11

Fig. 1 : Fragment 1

Fig. 2 : Fragment 2

Fig. 3 : Paquet dfragment Fragment Overlapping : Toujours d'aprs la RFC 791 (IP), si deux fragments IP se superposent, le deuxime crase le premier. L'attaque consiste forger deux fragments d'un paquet IP. Le filtre IP accepte le premier de 68 octets (voir Tiny Fragments) car il ne contient aucune demande de connexion TCP (flag SYN = 0 et flag ACK = 0). Cette rgle d'acceptation s'applique, l encore, aux autres fragments du paquet. Le deuxime (avec un Fragment Offset gale
12

1) contenant les vritables donnes de connexion est alors accept par le filtre IP. Ainsi, lors de la dfragmentation les donnes du deuxime fragment crasent celles du premier partir de la fin du 8me octet (car le fragment offset est gal 1). Le paquet rassembl constitue donc une demande de connexion valide pour la machine cible. La connexion s'tablit malgr le filtre IP.

2. IP Spoofing
Le but de cette attaque est l'usurpation de l'adresse IP d'une machine. Ceci permet au pirate de cacher la source de son attaque (utilise dans les dnis de services dont nous discuterons plus tard) ou de profiter d'une relation de confiance entre deux machines. Nous expliquerons donc ici cette deuxime utilisation de l'IP Spoofing. Le principe de base de cette attaque consiste forger ses propres paquets IP (avec des programmes comme hping2 ou nemesis) dans lesquels le pirate modifiera, entre autres, l'adresse IP source. L'IP Spoofing est souvent qualifi d'attaque aveugle (ou Blind Spoofing). Effectivement, les rponses ventuelles des paquets envoys ne peuvent pas arriver sur la machine du pirate puisque la source est falsifie. Ils se dirigent donc vers la machine spoofe. Il existe nanmoins deux mthodes pour rcuprer des rponses : le Source Routing : Le protocole IP possde une option appele Source Routing autorisant la spcification du chemin que doivent suivre les paquets IP. Ce chemin est constitu d'une suite d'adresses IP des routeurs que les paquets vont devoir emprunter. Il suffit au pirate d'indiquer un chemin, pour le retour des paquets, jusqu' un routeur qu'il contrle. De nos jours, la plupart des implmentations des piles TCP/IP rejettent les paquets avec cette option. le Reroutage : Les tables des routeurs utilisant le protocole de routage RIP peuvent tre modifies en leur envoyant des paquets RIP avec de nouvelles indications de routage. Ceci dans le but de rerouter les paquets vers un routeur que le pirate matrise.

Ces techniques ne sont plus (ou difficilement) utilisables : l'attaque est donc mene sans avoir connaissance des paquets mis par le serveur cible. Le Blind Spoofing s'utilise contre des services de type rlogin ou rsh. En effet, leur mcanisme d'authentification se base uniquement sur l'adresse IP source de la machine cliente. Cette attaque relativement bien connue (surtout grce Kevin Mitnick qui l'avait utilise contre la machine de Tsutomu Shimomura en 1994) se droule en plusieurs tapes : - dtermination de l'adresse IP de la machine de confiance en utilisant par exemple showmount -e qui montre o sont exports les systmes de fichiers ou rpcinfo qui apporte des informations supplmentaires ; - mise hors service de l'hte de confiance via un SYN Flooding par exemple (nous aborderons les dnis de service plus loin dans cet article). Cela est ncessaire pour que la machine ne puisse pas rpondre aux paquets envoys par le serveur cible. Dans le cas contraire elle enverrait des paquets TCP RST qui mettraient fin l'tablissement de la connexion ;
13

prdiction des numros de squence TCP : chaque paquet TCP est associ un numro de squence initiale. La pile TCP/IP du systme d'exploitation le gnre de manire linaire, dpendante du temps, pseudo-alatoire ou alatoire selon les systmes. Le pirate peut uniquement appliquer cette attaque des systmes gnrant des numros de squence prvisibles (gnration linaire ou dpendante du temps). l'attaque consiste ouvrir une connexion TCP sur le port souhait (rsh par exemple).

Lors de l'attaque le pirate ne reoit pas le SYN-ACK envoy par la cible. Pour que la connexion puisse s'tablir, il prdit le numro de squence y afin d'envoyer un paquet avec le bon numro de ACK (y+1). La connexion s'tablit alors grce l'authentification par l'adresse IP. Le pirate peut donc envoyer une commande au service rsh pour obtenir des droits supplmentaires, comme echo ++ >> /.rhosts. Pour cela il forge un paquet avec le flag TCP PSH (Push) : les donnes reues sont immdiatement transmises la couche suprieure, ici le service rsh, pour que celle-ci les traitent. Il lui est alors possible de se connecter sur la machine directement via un service de type rlogin ou rsh sans IP Spoofing. La figure 4 rsume les tapes de l'IP Spoofing :

Fig.4 : IP Spoofing appliqu au service rsh Le pirate utilise la machine A tandis que la C reprsente la machine de confiance. La notion A(C) signifie que le paquet est envoy par A avec l'adresse IP Spoofe de C. A noter l'existence du programme mendax qui met en oeuvre ces diffrents mcanismes de l'IP Spoofing.

3. TCP Session Hijacking


Le TCP Session Hijacking permet de rediriger un flux TCP. Un pirate peut alors outrepasser une protection par un mot de passe (comme telnet ou ftp). La ncessit d'une coute passive (sniffing) restreint le primtre de cette attaque au rseau physique de la cible. Cette attaque cre un tat de dsynchronisation de chaque ct de la connexion TCP, rendant possible le vol de session. Une connexion est dsynchronise lorsque le numro de squence du prochain octet envoy par la machine A est diffrent du numro de squence du prochain octet recevoir par B. Et rciproquement, il y a dsynchronisation lorsque le numro de squence du prochain octet envoy par la machine B est diffrent du numro de squence du prochain octet recevoir par A.
14

Concrtement, un pirate avec une machine C veut voler une session Telnet tablie entre les machines A et B. Dans un premier temps, la machine C sniffe le trafic Telnet (port TCP 23) entre A et B. Une fois que le pirate estime que A a eu le temps de s'authentifier auprs du service Telnet de la machine B, il dsynchronise la machine A par rapport B. Pour cela, il forge alors un paquet avec, comme adresse IP source, celle de la machine A et le numro d'acquittement TCP attendu par B. La machine B accepte donc ce paquet. En plus de dsynchroniser la connexion TCP ce paquet permet au pirate d'injecter une commande via la session Telnet pralablement tablie par A. En effet, ce paquet peut transporter des donnes (flag PSH gal 1). La figure 5 rsume cette attaque :

Fig. 5 : TCP Session Hijacking La machine B accepte bien la commande envoye par C, elle acquitte donc ce paquet en envoyant un paquet A avec le flag ACK. Entre temps, si A a envoy un paquet B celui-ci n'a pas t accept du fait de numro de squence qui n'est pas celui attendu par B. Un problme apparat alors : le Ack Storm. Il s'agit d'une multitude de ACK qui sont gnrs. Ils apparaissent lorsque A envoie un paquet TCP avec un numro de squence non valide (car A est dsynchronis) B le jette et envoie A un ACK avec le numro de squence qu'il attend. De son ct, A reoit ce ACK et comme le numro de squence ne correspond pas celui attendu il renvoie son tour un ACK B et B refait la mme chose... Ce problme du Ack Storm peut tre rgl si le pirate utilise l'ARP Spoofing. Dans ce cas, la machine C empoisonnera le cache ARP de la machine B en lui indiquant que l'adresse IP de A est dsormais associe l'adresse MAC de C. Ces diffrentes techniques sont implmentes par le programme hunt.

4. ARP Spoofing
Cette attaque, appele aussi ARP Redirect, redirige le trafic rseau d'une ou plusieurs machine vers la machine du pirate. Elle s'effectue sur le rseau physique des victimes. Au pralable nous ferons un rappel sur l'utilit et le fonctionnement du protocole ARP.

15

Le protocole ARP (Address Resolution Protocol) implmente le mcanisme de rsolution d'une adresse IP en une adresse MAC Ethernet. Les quipements rseaux communiquent en changeant des trames Ethernet (dans le cas d'un rseau Ethernet bien sr) au niveau de la couche liaison de donnes. Pour pouvoir changer ces informations il est ncessaire que les cartes rseau possdent une adresse unique au niveau Ethernet, il s'agit de l'adresse MAC (Media Access Control). Quand un paquet IP doit tre envoy la machine expditrice a besoin de l'adresse MAC du destinataire. Pour cela une requte ARP en broadcast est envoye chacune des machines du rseau physique local. Cette requte pose la question : "Quelle est l'adresse MAC associe cette adresse IP ?". La machine ayant cette adresse IP rpond via un paquet ARP, cette rponse indiquant la machine mettrice l'adresse MAC recherche. Ds lors, la machine source possde l'adresse MAC correspondant l'adresse IP destination des paquets qu'elle doit envoyer. Cette correspondance sera garde pendant un certain temps au niveau d'un cache (pour viter de faire une nouvelle requte chaque paquet IP envoy). Cette attaque corrompt le cache de la machine victime. Le pirate envoie des paquets ARP rponse la machine cible indiquant que la nouvelle adresse MAC correspondant l'adresse IP d'une passerelle (par exemple) est la sienne. La machine du pirate recevra donc tout le trafic destination de la passerelle, il lui suffira alors d'couter passivement le trafic (et/ou le modifier). Il routera ensuite les paquets vers la vritable destination. L'ARP Spoofing sert dans le cas o le rseau local utilise des switchs. Ceux-ci redirigent les trames Ethernet sur des ports diffrents selon l'adresse MAC. Il est ds lors impossible un sniffer de capturer des trames au-del de son brin physique. L'ARP Spoofing permet ainsi d'couter le trafic entre des machines situes sur des brins diffrents au niveau du switch. Pour mettre en uvre une attaque par ARP Spoofing, le pirate va utiliser un gnrateur de paquet ARP comme ARPSpoof ou nemesis.

5. DNS Spoofing
Le protocole DNS (Domain Name System) a pour rle de convertir un nom de domaine (par exemple www.test.com) en son adresse IP (par exemple 192.168.0.1) et rciproquement, savoir convertir une adresse IP en un nom de domaine. Cette attaque consiste faire parvenir de fausses rponses aux requtes DNS mises par une victime. Il existe deux mthodes principales pour effectuer cette attaque. DNS ID Spoofing : L'en-tte du protocole DNS comporte un champ identification qui permet de faire correspondre les rponses aux demandes. L'objectif du DNS ID Spoofing est de renvoyer une fausse rponse une requte DNS avant le serveur DNS. Pour cela il faut prdire l'ID de la demande. En local, il est simple de le prdire en sniffant le rseau. Nanmoins, cela s'avre plus compliqu distance. Cependant il existe plusieurs mthodes : 1. essayer toutes les possibilits du champ ID. Cette mthode n'est pas trs raliste puisqu'il y a 65535 possibilits pour le champ ID (car ce champ est cod sur 16
16

bits). 2. envoyer quelques centaines de requtes DNS dans l'ordre. Cette mthode est bien videmment peu fiable. 3. trouver un serveur qui gnre des ID prvisibles (incrmentation de 1 de l'ID par exemple), ce genre de faille existe sur certaines version de Bind ou des machines Windows 9x. Dans tous les cas, il est ncessaire de rpondre avant le serveur DNS, en le faisant tomber via un dni de service par exemple. Pour parvenir ses fins, l'attaquant doit contrler un serveur DNS (ns.attaquant.com) ayant autorit sur le domaine attaquant.com. Le serveur DNS cible (ns.cible.com) est suppos avoir des numros de squence prvisibles (s'incrmentant de 1 chaque nouvelle requte). L'attaque se dcompose en quatre tapes : 1. l'attaquant envoie une requte DNS pour le nom www.attaquant.com au serveur DNS du domaine cible.com comme le montre la figure 6.

Fig. 6 : Envoie de la requte DNS ns.cible.com 2. le serveur DNS cible a donc relay la demande au DNS du domaine attaquant.com. 3. l'attaquant est capable de sniffer la requte pour rcuprer son ID (dans notre exemple l'ID a une valeur de 100). 4. l'attaque falsifie l'adresse IP associe un nom de machine, ici la machine victime est www.spoofed.com qui a normalement l'adresse IP 192.168.0.1. Le pirate met une requte DNS de rsolution du nom www.spoofed.com vers ns.cible.com. Immdiatement aprs, il envoie une multitude de rponses DNS falsifies (donnant comme adresse IP celle du site de l'attaquant 10.0.0.1) cette mme requte en ayant spoof l'adresse IP source avec celle du serveur DNS du domaine spoofed.com. L'ID de chaque rponse sera incrment de 1 partir de celui rcupr lors de la deuxime tape (ID = 100) pour augmenter la chance de tomber sur le bon numro d'ID rponse, dans le cas o ns.cible.com aurait du rpondre d'autre requte et donc incrment son ID DNS. La figure 7 dtaille cette tape.

17

Fig. 7 : DNS ID Spoofing Le cache du serveur DNS cible est donc corrompu, et la prochaine machine demandant une rsolution du nom www.spoofed.com rcuprera l'adresse IP de la machine de l'attaquant et sera redirige vers son site qui pourra tre une copie du vrai site pour tromper les internautes et leur voler des informations confidentielles. DNS Cache Poisoning : Les serveurs DNS possdent un cache gardant en local, pendant un certain temps, les rponses de requtes passes. Ceci pour viter de perdre du temps interroger chaque fois le serveur de nom ayant autorit sur le domaine demand. Ce deuxime type de DNS Spoofing va consister corrompre ce cache avec de fausses informations. En considrant que les conditions de l'exemple prcdent sont toujours valables, voici les diffrentes tapes de l'attaque : 1. envoyer une requte DNS de rsolution du nom www.attaquant.com au serveur DNS du domaine cible.com. 2. le serveur DNS cible envoie donc une requte portant sur une rsolution du nom www.attaquant.com au serveur DNS de l'attaquant. 3. le serveur DNS de l'attaquant enverra une rponse avec des enregistrements falsifis qui permettront d'assigner un nom de machine avec une adresse IP appartenant l'attaquant. Par exemple, le site www.cible.com pourra avoir un enregistrement DNS falsifi renvoyant l'adresse IP de www.attaquant.com au lieu de la bonne adresse IP.

I.7

ATTAQUES APPLICATIVES

Les attaques applicatives s'appuient principalement sur des vulnrabilits spcifiques aux applications utilises. Cependant, certaines attaques peuvent tre classes par type.

1. Les problmes de configuration


Un des premiers problmes de scurit engendr par les applications est celui des erreurs de configurations. Nous distinguerons deux types d'erreurs : les installations par dfaut et les mauvaises configurations proprement parler.
18

Des logiciels, comme les serveurs Web, installs par dfaut ont souvent des sites exemples qui peuvent tre utiliss par des pirates pour accder des informations confidentielles. Par exemple, il peut y avoir des scripts permettant d'obtenir les sources des pages dynamiques ou des informations sur le systme utilis. En outre, lors d'une telle installation une interface d'administration distance est disponible avec un login/mot de passe par dfaut (trouvable dans le guide d'administration de l'application). Le pirate a donc la main sur le site et peut le modifier selon son bon vouloir.

Les principales failles gnres par une mauvaise configuration sont des listes d'accs mal paramtres. Le pirate accde alors des pages et autres bases de donnes prives. Comme exemple classique de problme de configuration, les erreurs de paramtrage du serveur Web Lotus Domino sont courantes. En effet, lors de l'installation de ce serveur, des bases Lotus de configuration sont accessibles sans aucune liste de contrle d'accs. Concrtement, si la base Lotus names.nsf est accessible via un navigateur Web sans demande d'authentification, il est alors possible d'obtenir de nombreuses informations comme le nom de tous les utilisateurs Lotus. Cette base n'est qu'un exemple, et Lotus Domino en contient un nombre important de sensibles.

2. Mauvaise programmation
Une mauvaise programmation des logiciels ou des scripts entrane obligatoirement des bugs. Ceux-ci seront la source des failles de scurit les plus importantes. Ces vulnrabilits quand elles sont dcouvertes vont permettre d'excuter des commandes non autorises, obtenir le code source de pages dynamiques, rendre indisponible un service, prendre la main sur la machine, etc. Les plus connus de ces bugs et les plus intressants en ce qui concerne leur exploitation sont les buffer overflow (ou dbordement de pile). Le buffer overflow ou est une faille due une mauvaise programmation. Effectivement, un buffer overflow apparat quand une variable passe en argument d'une fonction est recopie dans un buffer sans que sa taille n'aie t vrifie. Il suffit que la variable ait une taille suprieure l'espace mmoire rserv pour ce buffer pour qu'un dpassement de pile se produise. Celui-ci sera exploit en passant dans la variable un fragment de programme capable de faire dmarrer un shell tout en obligeant ce dbordement de pile se produire. Dans le cas o un pirate russi cette attaque il obtiendra alors le moyen d'excuter distance des commandes sur la machine cible avec les droits de l'application attaque.

3. Man in the Middle


L'objectif principal de cette attaque est de dtourner le trafic entre deux machines. Cela pour intercepter, modifier ou dtruire les donnes transmises au cours de la communication. Cette attaque est plus un concept qu'une attaque part entire. Il existe plusieurs attaques mettant en uvre ce principe du Man in The Middle, comme le DNS Man in the Middle qui est une utilisation du DNS Spoofing pour dtourner le trafic entre un client et un serveur Web
19

I.8

DENIS DE SERVICE

Cette attaque porte bien son nom puisque qu'elle aboutira l'indisponibilit du service (application spcifique) ou de la machine vise. Nous distinguerons deux types de dni de services, d'une part ceux dont l'origine est l'exploitation d'un bug d'une application et d'autre part ceux dus une mauvaise implmentation d'un protocole ou des faiblesses de celui-ci.

1. Les dnis de service applicatifs :


Tout comme les vulnrabilits d'une application entranent la possibilit de prendre le contrle d'une machine (exemple du buffer overflow), elles peuvent aussi amener un dni de service. L'application sera alors indisponible par saturation des ressources qui lui sont alloues ou un crash de celle-ci.

2. Les dnis de service rseaux :


Il existe diffrents types de dni de service utilisant les spcificits des protocoles de la pile TCP/IP. SYN Flooding : Nous avons vu qu'une connexion TCP s'tablie en trois phases (TCP Three Way Handshake). Le SYN Flooding exploite ce mcanisme d'tablissement en trois phases. Les trois tapes sont l'envoi d'un SYN, la rception d'un SYN-ACK et l'envoi d'un ACK. Le principe est de laisser sur la machine cible un nombre important de connexions TCP en attentes. Pour cela, le pirate envoie un trs grand nombre de demandes de connexion (flag SYN 1), la machine cible renvoie les SYN-ACK en rponse au SYN reus. Le pirate ne rpondra jamais avec un ACK, et donc pour chaque SYN reu la cible aura une connexion TCP en attente. Etant donn que ces connexions semi-ouvertes consomment des ressources mmoires au bout d'un certain temps la machine est sature et ne peut plus accepter de connexion. Ce type de dni de service n'affecte que la machine cible. Le pirate utilise un SYN Flooder comme synk4, en indiquant le port TCP cible et l'utilisation d'adresses IP source alatoires pour viter toute identification de la machine du pirate. UDP Flooding : Ce dni de service exploite le mode non connect du protocole UDP. Il cre un "UDP Packet Storm" (gnration d'une grande quantit de paquets UDP) soit destination d'une machine soit entre deux machines. Une telle attaque entre deux machines entrane une congestion du rseau ainsi qu'une saturation des ressources des deux htes victimes. La congestion est plus importante du fait que le trafic UDP est prioritaire sur le trafic TCP. En effet, le protocole TCP possde un mcanisme de contrle de congestion, dans le cas o l'acquittement d'un paquet arrive aprs un long dlai, ce mcanisme adapte la frquence d'mission des paquets TCP, le dbit diminue. Le
20

protocole UDP ne possde pas ce mcanisme, au bout d'un certain temps le trafic UDP occupe donc toute la bande passant n'en laissant qu'une infime partie au trafic TCP. L'exemple le plus connu d'UDP Flooding est le Chargen Denial of Service Attack. La mise en pratique de cette attaque est simple, il suffit de faire communiquer le service chargen d'une machine avec le service echo d'une autre. Le service chargen gnre des caractres tandis que echo se contente de rmettre les donnes qu'il reoit. Il suffit alors au pirate d'envoyer des paquets UDP sur le port 19 (chargen) une des victimes en spoofant l'adresse IP et le port source de l'autre. Dans ce cas le port source est le port UDP 7 (echo). L'UDP Flooding entrane une saturation de la bande passante entres les deux machines. Un rseau complet peut donc tre victime d'un UDP Flooding. Packet Fragment : Les dnis de service de type Packet Fragment utilisent des faiblesses dans l'implmentation de certaines pile TCP/IP au niveau de la dfragmentation IP (rassemblage des fragments IP). Une attaque connue utilisant ce principe est Teardrop. L'offset de fragmentation du second fragment est infrieur la taille du premier ainsi que l'offset plus la taille du second. Cela revient dire que le deuxime fragment est contenu dans le premier (overlapping). Lors de la dfragmentation certains systmes ne grent pas cette exception et cela entrane un dni de service. Il existe des variantes de cette attaque : bonk, boink et newtear par exemple. Le dni de service Ping of Death exploite une mauvaise gestion de la dfragmentation au niveau ICMP, en envoyant une quantit de donnes suprieure la taille maximum d'un paquet IP. Ces diffrents dnis de services aboutissent un crash de la machine cible. Smurf : Cette attaque utilise le protocole ICMP. Quand un ping (message ICMP ECHO) est envoy une adresse de broadcast (par exemple 10.255.255.255), celui-ci est dmultipli et envoy chacune des machines du rseau. Le principe de l'attaque est de spoofer les paquets ICMP ECHO REQUEST envoys en mettant comme adresse IP source celle de la cible. Le pirate envoie un flux continu de ping vers l'adresse de broadcast d'un rseau et toutes les machines rpondent alors par un message ICMP ECHO REPLY en direction de la cible. Le flux est alors multipli par le nombre d'hte composant le rseau. Dans ce cas tout le rseau cible subira le dni de service, puisque l'norme quantit de trafic gnr par cette attaque entrane une congestion du rseau. Dni de service distribu : Les dnis de services distribus saturent le rseau victime. Le principe est d'utiliser plusieurs sources (daemons) pour l'attaque et des matres (masters) qui les contrlent. Les outils de DDoS (Distributed Denial of Service) les plus
21

connus sont Tribal Flood Network (TFN), TFN2K, Trinoo et Stacheldraht. La figure 11 montre un rseau typique de DDoS :

Fig. 11 : Rseau DDoS Le pirate utilise des matres pour contrler plus facilement les sources. En effet, il a besoin de se connecter (en TCP) aux matres pour configurer et prparer l'attaque. Les matres se contentent d'envoyer des commandes aux sources en UDP. S'il n'y avait pas les matres, le pirate serait oblig de se connecter chaque source. La source de l'attaque serait dtecte plus facilement et sa mise en place beaucoup plus longue. Chaque daemon et master discutent en changeant des messages spcifiques selon l'outil utilis. Ces communications peuvent mme tre cryptes et/ou authentifies. Pour installer les daemons et les masters, le pirate utilise des failles connues (buffer overflow sur des services RPC, FTP ou autres). L'attaque en elle-mme est un SYN Flooding, UDP Flooding ou autre Smurf Attack. Le rsultat d'un dni de service est donc de rendre un rseau inaccessible.

22

EVALUATION FORMATIVE
I- THEMES DETUDES (ACTIVITE OPTIONNELLE)
Aprs recherche et lecture darticles en rapport avec les thmes suivants, rdigez un document de synthse : la cybercriminalit et ses chiffres les concepts lis aux types dattaque la motivation des hackers

II- LISTE DEXERCICES CORRIGES


Exercice 1 : Objectifs CIDA Donner pour chacun des termes suivants une petite dfinition : contrle daccs, authentification, contrle dintgrit, chiffrement. Solution : Contrle daccs : Comme la priorit des entreprises est de prserver ses systmes dinformation, il est donc indispensable de se donner les moyens dinterdire les accs non autoriss aux ressources informatiques et de scuriser pareillement les infrastructures rseaux. Les solutions hardware et/ou logicielles doivent apporter un niveau de scurit suprieur au simple accs par mot de passe . Authentification Cette fonction banale dans la vie courante revt une importance capitale dans un environnement dchanges dinformations sur des rseaux informatiques distants. Afin de prvenir toutes intrusions indsirables dans les systmes dinformation, les procds dauthentification fiables doivent permettre ltablissement de la preuve quun utilisateur ou un systme est bien ce quil prtend tre. Contrle dintgrit Puisquil est inconcevable de traiter ou dexploiter des documents falsifis, il est donc important de contrler lintgrit des donnes et dassurer loriginalit et la conformit des documents. Le scellement des documents et le contrle des sceaux est lune des mthodes les plus recommandes pour assurer leur intgrit. Cela consiste enregistrer dune manire unique une empreinte du document protger (on obtient ainsi un sceau), que lon peut contrler aisment pour apporter llment de preuve de modification illicite. Chiffrement Longtemps rserv aux secteurs sensibles, le chiffrement est lgalement accessible. En tout tat de cause, il peut tre mise en uvre sans contrainte sur le rseau intranet de lentreprise si elle le dsire. Ceci lui permettra de mettre fin la non
23

confidentialit des donnes qui schangent sur ce type de rseau.

Exercice 2 : Dfinir ce quest un droit daccs. Solution : Un droit daccs cest la possibilit pour un utilisateur daccder aux ressources sur le rseau. Ce droit peut porter sur laccs au rseau, laccs un dossier, un fichier, une application, linternet. Pour les droits daccs on distingue : - le droit en lecture seule : lutilisateur ne peut que consulter le dossier, le fichier, - le droit en lecture/criture : lutilisateur peut consulter et complter les informations, - le droit complet : lutilisateur dispose de toutes les possibilits : lecture, criture, modification, suppression.

Exercice 3 : Identification dun danger Qui reprsente un danger ? Donner au moins 3 exemples dans chacune des colonnes du tableau qui suit et expliquer en quoi cela reprsente un danger ? Une certaine classe d'utilisateurs Certains programmes Autres

Solution : Une certaine classe Certains programmes Autres d'utilisateurs Hacker : Virus : Erreurs d'exploitation : Gourou intress par Un petit programme qui Cause la plus rpandue explorer en s'attache un autre logiciel de sinistre sur un profondeur un dans le but de se propager. systme informatique systme informatique sans intentions malicieuses ou destructives Cracker : Cheval de Troie : Erreurs de Quelqu'un intress Programme qui s'implante dveloppement : par casser les dans le systme la place Bogues non dtects systmes d'un autre et dont le malgr tous les tests informatiques et qui fonctionnement est raliss sur les peut causer des similaire celui qu'il programmes dommages en remplace except qu'il essayant d'effacer ralise d'autres oprations trace de son passage non prvues.
24

Crasher: Bombe logique : Quelqu'un intress Programme avec un code par rendre le systme qui cause son arrt aprs inoprant ou de un vnement prcis. refuser des services. De plus, il n'hsite pas corrompre les donnes du systme attaqu. Phracker : Programmes contenant Quelqu'un intress lerreur Buffer Overflow : par explorer le Le dpassement de pile fonctionnement peut gnrer une action interne du systme non attendue et souvent tlphonique pour larrt du programme. On obtenir des accs non peut lexploiter pour un payant. dnis de service

Pannes matrielles : Dfaillance des quipements informatiques ou de rseau, problmes nergtiques, etc.

Incendie et les sinistres naturels : En cas dinexistence dune solution de type salle blanche, cela perturbera pour un moment plus ou moins long la ralisation des services offerts par linformatique

Exercice 4 : Inscurit informatique Rpondre par Vrai ou Faux Rponse 1. Les pirates sont une plus grande menace que les employs. 2. Les informations sensibles poses sur les bureaux sont la plus grande brche dans la scurit. 3. Les managers aiment se concentrer sur les sujets techniques comme la scurit. 4. Les vendeurs d'anti-virus et de systmes de scurit aiment effrayer la population. 5. La raction aux risques est essentiellement lie la taille du risque. 6. L'intrt qu'on porte une menace doit tre pondr selon les consquences de la menace. 7. La plupart des brches de la scurit ne sont connues.

Solution 1. Faux Les pirates sont une ressource de problmes ngligeables, mais les employs sont la base de la trs grande majorit les dommages. 2. Faux Les informations stockes sur les PC sont souvent beaucoup plus importantes et moins protges qu'un rapport laiss sur un bureau. Jadis, un utilisateur pouvait
25

3.

4.

5.

6.

7.

demander un rapport confidentiel au centre de calcul et le laisser traner sur son bureau par inadvertance. Aujourd'hui, les utilisateurs rcuprent directement les informations sur le disque dur. Le problme a chang de nature, mais le sens du devoir et l'attention des utilisateurs n'a gure chang. Les employs ont besoin d'un entranement aux nouvelles responsabilits qu'implique l'utilisation d'un PC. Gnralement faux Les managers portent beaucoup plus d'intrt ce qui concerne les humains, comme la productivit ou la communication. Les sujets techniques sont de plus en plus loin de leurs considrations quotidiennes, comme le dnote diverses tudes en la matire. Probablement vrai La plupart des vendeurs tentent apparemment d'effrayer cruellement le monde. Les magazines affirment de plus en plus souvent que le besoin de protection est souvent exagr par l'industrie de la scurit pour augmenter son profit. Cette affirmation n'est pas totalement errone, mais il n'en reste que pas moins exact que la plupart des organisations surestiment leur scurit et sont plus vulnrables qu'elles ne le croient. Probablement faux La perception des risques encourus est une meilleure motivation que les risques rels. De nombreuses tudes montrent que les personnes prendraient un risque si on le rdige en termes de gains possibles et ne le prendraient pas si le mme risque tait rdig en termes de pertes possibles. De plus, le choix de prendre un risque peut aussi dpendre du budget. Un petit budget forcera l'acceptation de plus grands risques. Vrai Si le rseau de l'entreprise contrle un silo de missiles nuclaires ou une base de donnes de cartes de crdit, toutes les menaces doivent tre considres srieusement. S'il s'agit juste de grer la liste des cartes de vux de la nouvelle anne, la situation est tout de mme moins dangereuse et les mmes menaces ne sont pas toutes dramatiques. Vrai. La plupart des infractions ne seront jamais dtectes. Ceci est suggr par une tude ralise au Royaume-Uni sur les mthodes de dtection des violations qui rvle que, entre autres, que 41% sont dtectes par les systmes de contrle, 27% sont dcouvertes par hasard, et que 32% sont dtectes rtrospectivement par des vrifications ultrieures.

26

S-ar putea să vă placă și