Cours Gratuit
La politique de sécurité
La Politique de Sécurité du Système d’Information définit l’intégralité de la stratégie de sécurité informatique de l’entreprise. Elle se traduit par la réalisation d’un document qui regroupe l’ensemble des règles de sécurité à adopter ainsi que le plan d’actions ayant pour objectif de maintenir le niveau de sécurité de l’information dans l’entreprise. Elle décrit l’ensemble des enjeux, des besoins, des contraintes, ainsi que des règles à adopter propres à chaque structure. Elle doit être validée par la direction et prise en compte par chaque collaborateur.
En premier lieu, la démarche de mise en œuvre d’une PSSI permet d’entreprendre une évaluation de la maturité de la sécurité de l’organisme, d’identifier les failles et les faiblesses organisationnelles et techniques afin de prévoir et d’appliquer un plan d’actions correctives et des règles associées.
La Politique de Sécurité du Système d’Information est un document qui doit être pris en compte par chaque collaborateur intervenant dans l’organisme afin qu’il puisse connaître les règles et les enjeux en matière de sécurité interne et externe mais aussi des mesures à appliquer en situation de crise liée.
De surcroît définir une politique de sécurité permet également d’évaluer l’importance du rôle que joue le système d’information dans le fonctionnement de l’ensemble des services.
L’élaboration d’une politique de sécurité nécessite une approche globale, portant à la fois sur l’aspect technique tel que la sécurité logique, la sécurité informatique et la sécurité des réseaux mais également la sécurité physique, organisationnelle ainsi que les aspects liés à l’humain.
Cette conception ne peut s’effectuer seul. Il s’agit d’un travail d’équipe piloté la plupart du temps par le Responsable de la Sécurité du Système d’Information avec l’aide de la Direction et de chaque personne composant la gouvernance de la sécurité de l’information mais aussi d’autres collaborateurs tels que certains responsables de services et des ressources humaines.
Ensemble, le groupe de travail effectuera une analyse du niveau de maturité SSI permettra de définir le périmètre de la politique de sécurité ainsi que ses objectifs.
Ensuite, un minimum des domaines ci-dessous devra constituer la Politique de Sécurité du Système d’Information :
Principes organisationnels
Politique de sécurité
Organisation de la sécurité
Gestion des risques SSI
Sécurité et cycle de vie
Assurance et certification
Principes de mise en œuvre
Aspects humains
Planification de la continuité des activités
Gestion des incidents
Sensibilisation et formation
Exploitation
Aspects physiques et environnementaux
Principes techniques
Identification / authentification
Contrôle d’accès logique
Journalisation
Infrastructures de gestion des clés cryptographiques
Signaux compromettants.
La mise en œuvre d’une Politique de Sécurité du Système d’Information nécessite une méthodologie particulière afin d’impliquer chaque acteur concerné et prendre en compte l’ensemble des domaines nécessaires à sa construction.
Différentes solutions de sécurité
Les Firewall (Pare-feu)
Un firewall aussi appelé pare-feu est un matériel ou un logiciel qui vise à filtrer les informations qui entrent et qui sortent d’un réseau informatique. C’est un des éléments indispensables au maintien de la sécurité de données. Cet outil prévient différentes menaces qui pourraient nuire à l’entreprise. En d’autres termes, il protège des intrusions provenant d’un réseau extérieur et surtout d’internet.
Chaque ordinateur connecté à internet est susceptible d’être victime d’une attaque d’un pirate informatique. La méthodologie généralement employée par le pirate informatique consiste à scruter le réseau à la recherche d’une machine connectée, puis à chercher une faille de sécurité afin de l’exploiter et d’accéder aux données s’y trouvant.
Cette menace est d’autant plus grande que la machine est connectée en permanence à internet pour plusieurs raisons :
La machine cible est susceptible d’être connectée sans pour autant être surveillée ;
La machine cible est généralement connectée avec une plus large bande passante ;
La machine cible ne change pas (ou peu) d’adresse IP.
Ainsi, il est nécessaire, autant pour les réseaux d’entreprises que pour les internautes possédant une connexion de type câble ou ADSL, de se protéger des intrusions réseaux en installant un dispositif de protection.
Le pare-feu est un système permettant de filtrer les paquets de données échangés avec le réseau, il s’agit ainsi d’une passerelle filtrante comportant au minimum les interfaces réseau suivante :
une interface pour le réseau à protéger (réseau interne) ;
une interface pour le réseau externe.
Le système firewall est un système logiciel, reposant parfois sur un matériel réseau dédié, constituant un intermédiaire entre le réseau local (ou la machine locale) et un ou plusieurs réseaux externes. Il est possible de mettre un système pare-feu sur n’importe quelle machine et avec n’importe quel système pourvu que.
Le filtrage simple de paquets
Un système pare-feu fonctionne sur le principe du filtrage simple de paquets. Il analyse les en-têtes de chaque paquet de données (datagramme) échangé entre une machine du réseau interne et une machine extérieure.
Ainsi, les paquets de données échangées entre une machine du réseau extérieur et une machine du réseau interne transitent par le pare-feu et possèdent les en-têtes suivants, systématiquement analysés par le firewall :
Adresse IP de la machine émettrice ;
Adresse IP de la machine réceptrice ;
Type de paquet (TCP, UDP, etc.) ;
Numéro de port (rappel : un port est un numéro associé à un service ou une application réseau).
Les adresses IP contenues dans les paquets permettent d’identifier la machine émettrice et la machine cible, tandis que le type de paquet et le numéro de port donnent une indication sur le type de service utilisé.
Les ports reconnus (dont le numéro est compris entre 0 et 1023) sont associés à des services courants (les ports 25 et 110 sont par exemple associés au courrier électronique, et le port 80 au Web). La plupart des dispositifs pare-feu sont au minimum configuré de manière à filtrer les communications selon le port utilisé. Il est généralement conseillé de bloquer tous les portsqui ne sont pas indispensables.
Le port 23 est par exemple souvent bloqué par défaut par les dispositifs pare-feu car il correspond au protocole Telnet, permettant d’émuler un accès par terminal à une machine distante de manière à pouvoir exécuter des commandes à distance. Les données échangées par Telnet ne sont pas chiffrées, ce qui signifie qu’un individu est susceptible d’écouter le réseau et de voler les éventuels mots de passe circulant en clair. Il est préférable d’utiliser le protocole SSH, réputé sûr et fournissant les mêmes fonctionnalités que Telnet.
Le filtrage dynamique
Le filtrage simple de paquets ne s’attache qu’à examiner les paquets IP indépendamment les uns des autres, ce qui correspond au niveau 3 du modèle OSI. Or, la plupart des connexions reposent sur le protocole TCP, qui gère la notion de session, afin d’assurer le bon déroulement des échanges. D’autre part, de nombreux services (le FTP par exemple) initient une connexion sur un port statique, mais ouvrent dynamiquement (c’est-à-dire de manière aléatoire) un port afin d’établir une session entre la machine faisant office de serveur et la machine cliente.
Ainsi, il est impossible avec un filtrage simple de paquets de prévoir les ports à laisser passer ou à interdire. Pour y remédier, le système de filtrage dynamique de paquets est basé sur l’inspection des couches 3 et 4 du modèle OSI, permettant d’effectuer un suivi des transactions entre le client et le serveur. Le terme anglo-saxon est « stateful inspection » ou « stateful packet filtering », traduisez « filtrage de paquets avec état ».
Un dispositif pare-feu de type « stateful inspection » est ainsi capable d’assurer un suivi des échanges, c’est-à-dire de tenir compte de l’état des anciens paquets pour appliquer les règles de filtrage. De cette manière, à partir du moment où une machine autorisée initie une connexion avec une machine située de l’autre côté du pare-feu ; l’ensemble des paquets transitant dans le cadre de cette connexion seront implicitement acceptés par le pare-feu.
Si le filtrage dynamique est plus performant que le filtrage de paquets basique, il ne protège pas pour autant de l’exploitation des failles applicatives liées aux vulnérabilités des applications. Or ces vulnérabilités représentent la part la plus importante des risques en termes de sécurité.
Le filtrage applicatif
Le filtrage applicatif permet de filtrer les communications application par application. Le filtrage applicatif opère donc au niveau 7 du modèle OSI, contrairement au filtrage de paquets simple. Le filtrage applicatif suppose donc une connaissance des protocoles utilisés par chaque application.
Le filtrage applicatif permet, comme son nom l’indique, de filtrer les communications application par application. Le filtrage applicatif suppose donc une bonne connaissance des applications présentes sur le réseau, et notamment de la manière dont elle structure les données échangées.
Un firewall effectuant un filtrage applicatif est appelé généralement « passerelle applicative » (ou « proxy »), car il sert de relais entre deux réseaux en s’interposant et en effectuant une validation fine du contenu des paquets échangés. Le proxy représente donc un intermédiaire entre les machines du réseau interne et le réseau externe, subissant les attaques à leur place.
De plus, le filtrage applicatif permet la destruction des en-têtes précédant le message applicatif, ce qui permet de fournir un niveau de sécurité supplémentaire.
Il s’agit d’un dispositif performant, assurant une bonne protection du réseau, pour peu qu’il soit correctement administré. En contrepartie, une analyse fine des données applicatives requiert une grande puissance de calcul et se traduit donc souvent par un ralentissement des communications, chaque paquet devant être finement analysé. Par ailleurs, le proxy doit nécessairement être en mesure d’interpréter une vaste gamme de protocoles et de connaître les failles afférentes pour être efficace.
Enfin, un tel système peut potentiellement comporter une vulnérabilité dans la mesure où il interprète les requêtes qui transitent par son biais. Ainsi, il est recommandé de dissocier le pare-feu (dynamique ou non) du proxy, afin de limiter les risques de compromission.
Télécharger le document complet
