Etude et sécurisation d’une base de données réparties sous ORACLE 12C

Etude et sécurisation d’une base de données réparties sous ORACLE 12C

GENERALITE SUR LA SECURITE INFORMATIQUE 

Qu’est ce que la sécurité informatique 

Avec le développement de l’utilisation de cet outil qu’est l’internet, il est de constat que les informations des personnes ains que des entreprises sont de plus en plus accessible. Ces entreprises. pour offrir un meilleur service, sont amenées à ouvrir leur système d’information à leurs collaborateurs. Il est do 1c nécessaire de mettre en place une solution qui pourra protéger les données de l’entreprise face à tout genre d’attaque. D’où est nait le concept de sécurité informatique qui est une branche de l’informatique désignant l’ensemble des moyens mis en œuvre pour réduire la vulnérabilité d’un système contre les menaces accidentelles ou intentionnelles. 

 Les objectifs de la sécurité informatique 

Afin d’offrir aux personnes une sécurité de leurs données, d’une part ct d’autre part aux entreprises, une sécurité de tout leur système d’information, des moyens ont été mis en œuvres. Moyens se basant sur un ensemble de cinq objectifs que sont: La disponibilité: c’est le fait d’assurer le bon fonctionnement du système d’information et J’accès aux ressources au moment voulu. L’intégrité : c’est l’objectif à pouvoir garantir que les données reçues et exploitées sont bien ce qu’elles sont ct qu’elles sont fiables. La confidentialité: c’est le fait de pouvoir garantir que seules les personnes habilitées à prendre connaissance d’une information le seront. L’authentification : tout accès à un système doit pouvoir être réglementé par des contrôles grâce à la mise en place d’un moyen d’authentification des utilisateurs qui interviennent dans ce systeme. La non-répudiation : Nul ne peut, d »une manière ou d’une autre pouvoir nier les opérations qu’il a effectue durant l’exploitation du système ni pouvoir s’attribuer les actions effectuées par un autre utilisateur. 1 – 3°) Les risques liés à la non sécurisation des données Il est nécessaire de pouvoir identifier les risques que peut en courir nos systèmes. Ci après une brève identification des risques : 

Le risque lié à l’utilisation de l’informatique

 Il importe de mesurer ces risques : • en fonction de la probabilité ou de la fréquence de leurs survenances; • en mesurant leurs effets possibles. 18 Ces effets peuvent avoir des conséquences négligeables ou catastrophiques : • le traitement informatique en cours échoue : il suffit de le relancer, éventuellement par une autre méthode si on craint que la cause ne réapparaisse ; • l’incident est bloquant et vn doit procéder à une réparation ou une correction avant de poursuivre le travail entrepris. Mais ces mêmes incidents peuvent avoir des conséquences beaucoup plus fâcheuses: • données irrémédiablement perdues ou altérées, ce qui les rend inexploitables ; • données ou traitements durablement indisponibles, pouvant entraîner l’arrêt d’une production ou d’un service ; • divulgation d’informations confidentielles ou erronées pouvant profiter à des sociétés concurrentes ou nuire à l’image de l’entreprise: • déclenchement d’actions pouvant provoquer des accidents physiques ou induire des drames humains. 

Les risques causés par l’être humain 

Ce sont les plus importants, mêm~ s’ils sont le plus souvent ignorés ou minimisés. Ils concernent les utilisateurs mais ébalement les informaticiens eux-mêmes. • la maladresse : commettre des erreurs : exécuter un traitement non souhaité, effacer involontairement des don ·1ées ou des programmes, etc. • l’inconscience et l’ignorance : introduire des programmes malveillants sans le savoir (par exemple lors de la reception de courrier). De nombreux utilisateurs d’outils informatiques sont encore inconscients ou ignorants des risques qu’ils font courir aux systèmes qu’ils utilisent. Réaliser des manipulations inconsidérées (autant avec des logiciels qu’avec du maté1 iel) • la malveillance : impossible d’ignorer les différents problèmes de virus et de vers ces dernières années (beaucoup de couverture médiatique). Certains utilisateurs peuvent volontairement mettre en péril le système d’information, en y introduisant en connaissance de cause des virus (en connectant par exemple un ordinateur portable sur un réseau d’entreprise ), ou en introduisant volontairement de mauvaises informations dans une base de données. Il est facile pour un informaticien d’ajouter délibérément des fonctions cachées lui permettant, directement ou avec l’aide de complices, de détourner à son profit de l’information ou de l’argent. On parle alors de la « cybercriminalité ». • l’ingénierie sociale (social engineering) est une méthode pour obtenir d’une personne des informations confidentielles, que l’on n’est pas normalement autorisé à obtenir, en vue de les exploiter à d’at. tres fins (publicitaires par exemple). Elle consiste à : – se faire passer pour quelqu’un que l’on n’est pas (en général un administrateur) -demander des informations personnelles (nom de connexion, mot de passe, données confidentielles, etc.) en inventant un quelconque prétexte (problème dans Je réseau, modification de celui-ci, heure tardive, etc.). Elle peut se faire soit au moyen d’une 19 simple communication té léphonique, soit par mail, soit en se déplaçant directement sur place. • l’espionnage : surtout industriel, emploie les même moyens, ainsi que bien d’autres, pour obtenir des informat·ons sur des activités concurrentes, procédés de fabrication, projets en cours, futurs produits. politique de prix, clients et prospects, etc. Des formes à la limite de la lé.salité correspondent à« l’intelligence économique>>. Les risques matériels Ils sont liés aux défauts et pannes inévitables que connaissent tous les systèmes matériels et logiciels. Ces incidents son plus ou moins fréquents selon Je soin apporté lors de la fabrication et l’application de procédures de tests effectuées avant que les ordinateurs et les programmes ne soient mie; en service. Certaines de ces pannes ont des causes indirectes, voire très indirectes, donc difficiles à prévoir. • Incidents liés au matériel . la plupart des composants électroniques, produits en grandes séries, peuvent comporter des défauts. Ils finissent un jour ou l’autre par tomber en panne. Certaines de ces pannes sont assez difficiles à déceler car intermittentes ou rares. Parfois, elles relèvent d’une erreur de conception (une des toutes premières générations du processeur Pentium d’Intel pouvait produire, dans certaines circonstances, des erreurs de calcul) ; • Incidents liés au logiciel mes plus fréquents; Les systèmes d’exploitation et les programmes sont de plus en plus complexes car ils font de plus en plus de choses. Ils nécessitent l’effort conjoint de dizaines, de centaines, voire de milliers de programmeurs. Ces programmeurs peuvent faire des erreurs de manière individuellement ou collective que les meilleures méthodes de travail et les meilleurs outils de contrôle ou de test ne peuvent pas éliminer en totalité. • Incidents liés à l’environnement : les machines électroniques et les réseaux de communication sont sens1 bles aux variations de température ou d’humidité (tout particulièrement en cas d’i ncendie ou d’inondation) ainsi qu’aux champs électriques et magnétiques. Il est possible qu’un ordinateur tombe en panne de manière définitive ou intermittente à cause de conditions climatiques inhabituelles ou par l’influence d’installations électriques notamment industrielles (et parfois celle des ordinateurs eux-mêmes !). 

Les programmes malveillants 

 Un logiciel malveillant (malware en anglais) est un logiciel développé dans le but de nuire à un système informatique. • le virus: programme sc dupliquant automatiquement sur le même ordinateur. Il peut être transmis à un autre ordinateur par l’intermédiaire du courrier électronique ou par l’échange de données ; • le ver (worm) : exploite les communications réseaux d’un ordinateur afin d’assurer sa reproduction sur d’autres ordinateurs ; • le cheval de Troie (troJ an): programme à apparence légitime (voulue) qui exécute des routines nuisibles sans l’autorisation de l’utilisateur : 20 • la porte dérobée (backJoor) : permet d’ouvrir d’un accès réseau frauduleux sur un système informatique. Il est ainsi possible d’exploiter à distance la machine ; • le logiciel espion (spyware) : fait de la collecte d’informations personnelles sur l’ordinateur d’un utilisateur sans son autorisation. Ces informations sont ensuite transmises à un ordinateur tiers ~ • l’enregistreur de frappe (keylogger) : programme généralement invisible installé sur le poste d’un utilisateur et chargé d’enregistrer à son insu ses frappes clavier; pour intercepter des mots de passe par exemple. • l’exploit : programme permettant d’exploiter une faille de sécurité d’un logiciel ; • le rootkit : ensemble de logiciels permettant généralement d’obtenir les droits d’administrateur sur une machine, d’installer une porte dérobée, de truquer les informations susceptibles de révéler la compromission, et d’effacer les traces laissées par l’opération dans les journaux système. Les risques et menaces sur le réseau • les écoutes (sniffing) : technique permettant de récupérer toutes les informations transitant sur un résea . (on utilise pour cela un logiciel sniffer). Elle est généralement utilisée pour récupérer les mots de passe des applications et pour identifier les machines qui communiquent sur le réseau. • l’usurpation d’identité (spoofing) : technique consistant à prendre l’identité d’une autre personne ou d’une autre machine. Elle est généralement utilisée pour récupérer des informations sensibles, que l’on ne pourrait pas avoir autrement. • le déni de service (deniai of service): technique visant à provoquer des interruptions de service, et ainsi d’empêcher le bon fonctionnement d’un système. Il peut y avoir des tentatives d’extorsion de fond :menacer de stopper l’activité d’une entreprise.