Module 1Introduire la sécurité informatique
Chapitre 4 sur 9
Les protections de base : mises à jour, sauvegardes 3-2-1, MFA, chiffrement, VPN, IDS et IPS, antivirus et familles de pare-feu.
Objectifs
Avec ce chapitre, tu sauras…
Les chapitres 2 et 3 ont montré les attaques. Celui-ci présente les défenses de base, celles que toute organisation, et tout développeur sur sa propre machine, doit mettre en place. Aucune n'est suffisante seule : la sécurité repose sur leur empilement, ce qu'on appelle la défense en profondeur.
Leçon 1
Mettre à jour
La plupart des attaques réussies exploitent des failles déjà corrigées par l'éditeur, sur des systèmes qui n'ont pas été mis à jour (Nimda en 2001, WannaCry en 2017). Il faut appliquer rapidement les correctifs (patches) du système d'exploitation, du navigateur, du serveur web, de PHP, du CMS et des bibliothèques, et activer les mises à jour automatiques quand c'est possible.
Sauvegarder
Sauvegarder régulièrement et automatiquement toutes les données importantes : documents, bases de données, fichiers financiers et de ressources humaines, code source.
Des mots de passe solides
Un bon mot de passe est long (le critère le plus important), unique (un par site) et imprévisible. Les phrases de passe (quatre ou cinq mots au hasard, comme girafe-tajine-orage-violon) sont longues et plus faciles à retenir qu'une suite aléatoire de caractères. Un gestionnaire de mots de passe (Bitwarden, KeePassXC, celui du navigateur) génère et retient un mot de passe différent pour chaque site. Le chapitre 7 détaille la politique de mots de passe d'un service.
L'authentification multifacteur
Si un pirate vole le mot de passe, il lui manque encore le second facteur. Deux mots de passe ne font pas une MFA : ce sont deux facteurs de la même catégorie.
Contrôler l'accès aux données et aux systèmes
Chaque personne ne doit accéder qu'aux données et services dont elle a besoin. Concrètement :
.exe, macros).Chiffrer les données
Les données de l'entreprise et des clients doivent être chiffrées au repos (disques, bases, sauvegardes) et en transit (HTTPS, VPN). Si elles sont volées, elles restent illisibles sans la clé. Les chapitres 6 et 7 expliquent le chiffrement.
Utiliser un VPN sur les réseaux publics
Sensibiliser les utilisateurs
La plupart des incidents commencent par une erreur humaine : un clic sur un lien d'hameçonnage, une pièce jointe ouverte, un mot de passe réutilisé. Former régulièrement les employés (et faire des exercices d'hameçonnage simulé) est l'une des mesures les plus rentables.
Tableau: Détecter et bloquer les intrusions : IDS et IPS
| IDS (système de détection d'intrusion) | IPS (système de prévention d'intrusion) | |
|---|---|---|
| rôle | surveille le trafic et alerte l'administrateur | surveille et bloque le trafic malveillant |
| placement | hors du flux : il reçoit une copie du trafic (port miroir du commutateur) | dans le flux (inline), en général juste derrière le pare-feu |
| effet sur le trafic | aucun : le trafic continue à circuler | le trafic suspect est arrêté avant d'atteindre les serveurs |
| risque | une attaque peut réussir avant que l'humain réagisse | un faux positif bloque du trafic légitime |
Leçon 2
| Méthode de détection | Principe | Limite |
|---|---|---|
| détection spécifique (par signature) | compare les fichiers à une base de signatures : une empreinte unique de chaque malware connu | ne détecte que les menaces déjà connues ; la base doit être mise à jour plusieurs fois par jour |
| détection générique | recherche des morceaux de code ou des familles de malwares (variantes d'une même base de code) | une variante très modifiée peut passer |
| détection heuristique |
Leçon 3
| Famille | Ce qu'il examine | Forces et limites |
|---|---|---|
| filtrage de paquets sans état (stateless) | chaque paquet isolément : adresses IP source et destination, ports, protocole | rapide, mais sans contexte : un paquet qui prétend répondre à une connexion inexistante peut passer |
| filtrage avec état (stateful) | les paquets et l'état des connexions : il retient les connexions ouvertes et n'accepte une réponse que si elle correspond à une demande | beaucoup plus sûr ; c'est le standard actuel |
| pare-feu proxy (passerelle applicative) |
1Un mot de passe et un code reçu sur le téléphone forment…
2Une empreinte digitale est un facteur de type…
3Un système placé hors du flux qui alerte sans bloquer est…
4La détection par signature identifie…
5Un pare-feu qui retient les connexions ouvertes est…
6L'inspection approfondie des paquets (DPI) examine…
7Dans la règle 3-2-1, le « 1 » désigne…
8Un fichier suspect isolé par l'antivirus est placé en…
L'essentiel du chapitre
| Snort, Suricata ou Zeek en mode détection |
| Snort ou Suricata en mode inline |
| analyse la structure et les instructions d'un fichier inconnu à la recherche de traits suspects (code qui se chiffre lui-même, écriture dans le secteur de démarrage) |
| peut produire des faux positifs |
| analyse comportementale (et bac à sable) | observe ce que le programme fait quand il s'exécute, éventuellement dans un environnement isolé (sandbox) | plus lourde ; c'est la base des outils EDR des entreprises |
| Type | Caractéristiques | Exemples |
|---|---|---|
| antivirus en cloud | un petit client installé sur l'ordinateur envoie les éléments suspects (ou leurs empreintes) à un service web qui fait l'analyse lourde et renvoie la décision | la plupart des antivirus actuels combinent analyse locale et cloud |
| logiciel autonome (outil de désinfection) | spécialisé, souvent portable (sur clé USB), utilisé à la demande en cas d'urgence, parfois sans installation | Kaspersky Virus Removal Tool, Microsoft Safety Scanner, Windows Defender Offline |
| suite de sécurité | antivirus + pare-feu + filtre web + contrôle parental + sauvegarde + gestionnaire de mots de passe | Bitdefender Total Security, Norton 360, Kaspersky Premium |
| le contenu des protocoles de la couche 7 (HTTP, FTP) ; il sert d'intermédiaire : le client parle au proxy, qui parle au serveur |
| analyse fine, mais plus lent et limité aux protocoles qu'il comprend |
| pare-feu de nouvelle génération (NGFW) | filtrage avec état + inspection approfondie des paquets (DPI, le contenu et pas seulement l'en-tête) + IPS intégré + reconnaissance des applications + inspection du trafic chiffré | la protection la plus complète ; permet aussi de savoir quels utilisateurs utilisent quels services |
| SMLI (Stateful Multilayer Inspection) | les paquets aux couches réseau, transport et application, comparés à des paquets de confiance connus | proche du NGFW : un paquet ne passe que s'il est validé à chaque couche |
| Génération des attaques | Période | Réponse apportée |
|---|---|---|
| 1 · virus | fin des années 1980 | antivirus |
| 2 · réseaux | milieu des années 1990 | pare-feu |
| 3 · applications | début des années 2000 | systèmes de prévention des intrusions (IPS) |
| 4 · charge utile (attaques ciblées, inconnues, polymorphes) | vers 2010 | anti-bots, bac à sable (sandboxing) |
| 5 · méga-attaques (grande échelle, multi-vecteurs) | vers 2017 | prévention avancée des menaces, intégrée et en temps réel |
Pour chaque besoin, choisis entre pare-feu sans état, pare-feu avec état, IDS, IPS, NGFW, antivirus, VPN : (1) bloquer automatiquement les attaques connues avant qu'elles atteignent les serveurs ; (2) savoir quels employés utilisent quelles applications web ; (3) analyser un fichier téléchargé ; (4) travailler en sécurité depuis le Wi-Fi d'un hôtel ; (5) recevoir des alertes sur un trafic suspect sans risquer de bloquer la production.
Internet ── pare-feu ── IPS ── commutateur ── serveurs internes
│ copie du trafic (port miroir)
IDS ──► alerte à l'administrateurLes deux s'appuient sur des signatures d'attaques connues et sur la détection d'anomalies (un trafic inhabituel par rapport au comportement normal).
Un antivirus est un logiciel conçu pour prévenir, détecter et supprimer les logiciels malveillants (virus, vers, chevaux de Troie, logiciels espions, rançongiciels). Une fois installé, il fonctionne en arrière-plan et offre une protection en temps réel : il analyse chaque fichier téléchargé, ouvert ou exécuté.
Tableau: Comment fonctionne un antivirus
Un pare-feu (firewall) est un dispositif de sécurité réseau qui surveille le trafic entrant et sortant et l'autorise ou le bloque selon un ensemble de règles de sécurité. Il établit une barrière entre un réseau interne de confiance et un réseau externe (Internet).
Un pare-feu peut être logiciel (un programme sur chaque ordinateur, qui filtre par numéro de port et par application, comme le pare-feu de Windows ou ufw sous Linux) ou matériel (un équipement placé entre le réseau et la passerelle Internet). L'idéal est d'avoir les deux.
Tableau: Les familles de pare-feu
Dans ton carnet de sécurité, fais l'état des lieux de ta machine de développement et de ton XAMPP, puis corrige ce qui doit l'être : (1) Windows et le navigateur sont-ils à jour ? (2) l'antivirus et le pare-feu de Windows sont-ils actifs ? (3) le compte root de MySQL a-t-il un mot de passe ? (4) phpMyAdmin est-il accessible depuis une autre machine du réseau ? (5) ton dossier htdocs/m107 est-il sauvegardé ailleurs (dépôt Git distant, cloud) ?
Pour chaque méthode de connexion, indique le nombre de facteurs différents et leur type : (1) mot de passe + question secrète ; (2) carte bancaire + code PIN au distributeur ; (3) téléphone déverrouillé par le visage, puis notification validée ; (4) mot de passe + code OTP d'une application ; (5) badge d'entrée seul.
Une agence de 8 personnes sauvegarde chaque soir son serveur de fichiers sur un disque USB toujours branché au serveur. (1) Pourquoi cette stratégie ne protège-t-elle pas contre un rançongiciel ni contre un incendie ? (2) Propose une stratégie qui respecte la règle 3-2-1. (3) Que faut-il faire une fois par mois ?
Quand l'antivirus trouve un fichier infecté, il le met en quarantaine (déplacé dans une zone isolée où il ne peut plus s'exécuter) ou le supprime. La quarantaine permet de restaurer un fichier en cas de faux positif.
Tableau: Les types d'antivirus
Un peu d'histoire
Les premiers pare-feu (fin des années 1980) étaient de simples filtres de paquets. Ils sont devenus avec état dans les années 1990, puis applicatifs, et enfin de nouvelle génération vers 2010, pour suivre l'évolution des attaques.