Cybersécurité

TABLE DES MATIÈRES

Chapitre 1 • Sécurité informatique et cybersécurité 1

1.1 Objectifs de sécurité 1

1.1.1 Cybersespace et sécurité 1

1.1.2 Disponibilité 2

1.1.3 Intégrité 3

1.1.4 Confidentialité 3

1.1.5 Fonctions additionnelles 3

1.2 Domaines d’application 5

1.2.1 Sécurité matérielle, physique et environneentale 6

1.2.2 Sécurité logique, applicative et de l’information 6

1.2.3 Sécurité de l’exploitation 7

1.2.4 Sécurité des réseaux de télécommunication 8

1.2.5 Cybersécurité 9

1.3 Multiples facettes de la cybersécurité 10

1.3.1 Cybermenace et cyberrisque 10

1.3.2 Des cyberrisques globaux 13

1.3.3 Développer un écosystème numérique cyberrésilient 15

1.4 Différents besoins de la cybersécurité 15

1.4.1 Piloter la sécurité 15

1.4.2 Importance du juridique dans la sécurité des systèmes d’information 17

1.4.3 Éthique et formation 17

1.4.4 Architecture de sécurité et approche holistique 18

Chapitre 2 • Cybercriminalité 27

2.1 Comprendre la menace d’origine criminelle pour une meilleure sécurité 27

2.1.1 Origine des menaces 27

2.1.2 Le cyberespace, champ d’action de la criminalité 28

2.2 Infrastructure Internet et vulnérabilités exploitées à des fins criminelles 29

2.2.1 Éléments de vulnérabilité 29

2.2.2 Internet, facteur de performance du monde criminel 30

2.2.3 Internet au cœur des stratégies criminelles 32

2.3 Les cyberrisques 33

2.3.1 Principaux risques pour les individus 33
2.3.2 Principaux risques pour les organisations 35
2.3.3 Principaux risques pour la nation et la société 36
2.3.5 Guerre sémantique et cyberhacktivisme 38
2.4 Crime informatique et cybercriminalité 39
2.4.1 Éléments de définition 40
2.4.2 Écosystème cybercriminel 42
2.4.3 Marchés noirs de la cybercriminalité 43
2.4.4 Coûts directs et indirects 45
2.5 Principales caractéristiques des cyberattaques 46
2.5.1 Étapes de réalisation d’une cyberattaque 46
2.5.2 Attaques actives et passives 47
2.5.3. Leurrer, détourner, exploiter 49
2.6 Faire face à la cybercriminalité 53
2.6.1 Développer une culture de la cybersécurité
et disposer de mesures de sécurité 53
2.6.2 Diminuer le risque d’origine cybercriminelle 53
2.6.3 Lutter contre la cybercriminalité, un enjeu majeur 55

Chapitre 3 • Gouvernance et stratégie de sécurité 65

3.1 Gouverner la sécurité 65

3.1.1 Contexte 65
3.1.2 Principes de base de la gouvernance de la sécurité 66
3.2 Gérer le risque informationnel 68
3.2.1 Définitions 68
3.2.2 Projet d’entreprise et culture de sécurité 68
3.3 Connaître les risques pour les maîtriser 69
3.4 Vision stratégique de la sécurité 72
3.4.1 Fondamentaux 72
3.4.2 Mission de sécurité 73
3.4.3 Principes de base 74
3.4.4 Conditions de succès 75
3.4.5 Approche pragmatique 75
3.4.6 Bénéfices 76
3.4.7 Aspects économiques 76
3.5 Définir une stratégie de sécurité 78
3.5.1 Stratégie générale 78
3.5.2 Compromis et bon sens 79
3.5.3 Nouveaux risques, nouveaux métiers 80
3.5.4 Acteurs et compétences 81
3.6 Organiser et diriger 83
3.6.1 Organisation structurelle 83
3.7 Prise en compte des besoins juridiques 84
3.7.1 Responsabilités et obligations de moyens 84
3.7.2 La confiance passe par le droit, la conformité et la sécurité 86 3.8 Prise en compte des besoins d’intelligence
économique 87
Chapitre 4 • Politique de sécurité 99
4.1 De la stratégie à la politique de sécurité 99
4.2 Propriétés d’une politique de sécurité 101
4.3 Méthodes et normes contribuant à la définition
d’une politique de sécurité 102
4.3.1 Principales méthodes françaises 102
4.3.2 Normes internationales ISO de la série 27000 104
4.3.3 Méthodes et bonnes pratiques 115
4.3.4 Modèle formel de politique de sécurité 116
4.4 De la politique aux mesures de sécurité 116
4.4.1 Classification des ressources 116
4.4.2 Mesures de sécurité 117
4.5 Continuité des activités et gestion de crises 119
4.5.1 Définitions et objectifs 119
4.5.2 Démarche de déploiement d’un plan de continuité 119
4.5.3 Plans de continuité et de reprise 120
4.5.4 Dispositifs de secours et plan de secours 122
4.5.5 Plan d’action 126
4.5.6 Gestion de crise et dispositif de gestion de crise 126
4.6 Audit des systèmes d’information et audit de sécurité 127
4.6.1 Principes de base de l’audit des systèmes d’information 127
4.6.2 Référentiel CobiT 129
4.7 Mesurer l’efficacité de la sécurité 131
4.7.1 Métriques de sécurité 131
4.7.2 Modèle de maturité 132
4.8 Certification des produits de sécurité 134
4.8.1 Critères communs 134
4.8.2 Acteurs concernés par les critères communs 135
4.8.3 Principales limites des critères communs 135
4.8.4 Principes de base des critères communs 136
Chapitre 5 • La sécurité par le chiffrement 149
5.1 Principes généraux 149
5.1.1 Vocabulaire 149
5.1.2 Algorithmes et clés de chiffrement 150

5.2 Principaux systèmes cryptographiques 151

5.2.1 Système de chiffrement symétrique 151
5.2.2 Système de chiffrement asymétrique 153
5.2.3 Quelques considérations sur la cryptanalyse 156
5.2.4 Cryptographie quantique 157
5.2.5 Principaux algorithmes et techniques 160
5.3 Services offerts par la mise en œuvre du chiffrement 161
5.3.1 Optimisation du chiffrement par une clé de session 161
5.3.2 Vérifier l’intégrité des données 163
5.3.3 Authentifier et signer 164
5.3.4 Rendre confidentiel et authentifier 166
5.3.5 Offrir un service de non-répudiation 166
5.4 Infrastructure de gestion de clés 166
5.4.1 Clés secrètes 166
5.4.2 Objectifs d’une infrastructure de gestion de clés 167
5.4.3 Certificats numériques 168
5.4.4 Organismes de certification 170
5.4.5 Exemple de transaction sécurisée par l’intermédiaire d’une PKI 171
 5.4.6 Limites des solutions basées sur des PKI 173
5.5 Apport de la blockchain 174

Chapitre 6 • La sécurité des infrastructures de télécommunication 183

6.1 Protocole IPv4 183

6.2 Protocoles IPv6 et IPSec 185
6.2.1 Principales caractéristiques d’IPv6 185
6.2.2 Principales caractéristiques d’IPSec 187
6.2.3 En-tête d’authentification (AH) 187
6.2.4 En-tête de confidentialité-authentification (ESP) 187
6.2.5 Association de sécurité 188
6.2.6 Implantation d’IPSec 189
6.2.7 Gestion des clés de chiffrement 190
6.2.8 Modes opératoires 191
6.4.5
6.2.9 Certificats numériques
Réseaux privés virtuelset contrôles d’accès 206
192
6.4.6 Gestion des autorisations d’accès via un serveur de noms 207
6.3 Sécurité du routage 193
6.4.7 Contrôle d’accès basé sur des données biométriques 208
6.3.1 Contexte 193
6.5 Sécurité des réseaux
6.3.2 Principes généraux d’adressage
210
194
6.5.1
6.3.3 Protection
Gestion desdenoms
l’infrastructure de transmission 210
195
6.5.2 Protection du réseaudedel’acheminement
6.3.4 Principes généraux transport des données 211
200
6.5.3 Protection des flux applicatifs et de ladesphère
6.3.5 Sécurité des routeurs et des serveurs noms de l’utilisateur 211
202
6.5.4 Protection optimale 212
6.4 Sécurité et gestion des accès 203
6.5.5 Sécurité du cloud computing 213
6.4.1 Degré de sensibilité et accès aux ressources 203
6.4.2 Principes généraux du contrôle d’accès 204
6.4.3 Rôle et responsabilité d’un fournisseur d’accès
dans le contrôle d’accès
Chapitre 7 • La sécurité des réseaux sans fil 205
225

7.1 Mobilité et sécurité 225

7.2 Réseaux cellulaires 227
7.3 Sécurité des réseaux GSM 227
7.3.1 Confidentialité de l’identité de l’abonné 228
7.3.2 Authentification de l’identité de l’abonné 229
7.3.3 Confidentialité des données utilisateur et de signalisation 230
7.3.4 Limites de la sécurité GSM 230
7.4 Sécurité des réseaux GPRS 231
7.4.1 Confidentialité de l’identité de l’abonné 231
7.4.2 Authentification de l’identité de l’abonné 232
7.4.3 Confidentialité des données de l’utilisateur et de signalisation 232
7.4.4 Sécurité du cœur du réseau GPRS 234
7.5 Sécurité des réseaux UMTS 234
7.5.1 Confidentialité de l’identité de l’abonné 234
7.5.2 Authentification mutuelle 235
7.5.3 Confidentialité des données utilisateurs et de signalisation 237
7.5.4 Intégrité des données de signalisation 238
7.5.5 Évolutions à long terme et réseau 5G 239
7.6 Réseaux locaux sans fil 802.11 241
7.6.1 Principes de base 241
7.6.2 Sécurité 802.11 242
7.6.3 Renforcer la sécurité (norme 802.11i) 244
7.7 Réseaux personnels sans fil 249

Chapitre 8 • La sécurité par pare-feu et la détection d’incidents 257

8.1 Sécurité d’un intranet 257

8.1.1 Risques associés 257
8.1.2 Éléments de sécurité d’un intranet 258
8.2 Principales caractéristiques d’un pare-feu 260
8.2.1 Fonction de cloisonnement 260
 8.2.2 Fonction de filtre 262
8.2.3 Fonctions de relais et de masque 264
8.2.4 Critères de choix d’un pare-feu 265
8.3 Positionnement d’un pare-feu 266
8.3.1 Architecture de réseaux 266
8.3.2 Périmètre de sécurité 267
8.4 Système de détection d’intrusion et de prévention d’incidents 268
8.4.1 Définitions 269
8.4.2 Fonctions et mode opératoire 269
8.4.3 Attaques contre les systèmes de détection d’intrusion 273

Chapitre 9 • La sécurité des applications et des contenus 281

9.1 Messagerie électronique 281

9.1.1 Une application critique 281
9.1.2 Risques et besoins de sécurité 282
9.1.3 Cas particulier du spam 283
9.2 Protocoles de messagerie sécurisés 284
9.2.1 S/MIME 285
9.2.2 PGP 286
9.2.3 Recommandations pour sécuriser un système de messagerie 287
9.3 Sécurité de la téléphonie Internet 288
9.3.1 Contexte et éléments d’architecture 288
9.3.2 Éléments de sécurité 289
9.4 Mécanismes de sécurité des applications Internet 291
9.4.1 Secure Sockets Layer (SSL) – Transport Layer Security (TLS) 291
9.4.2
9.9.2 Secure-HTTP (S-HTTP)
Le faux au service de la rentabilité 293
309
9.5 9.9.3 L’ère
Sécurité du commerce
de l’opinion électronique et des paiements en ligne
et de la post-vérité 294
309
9.5.1 Mesures
9.9.4 Contextepour
du commerce
renforcer électronique
la confiance 294
310
9.5.2 Risques particuliers 294
9.5.3 Sécuriser la connexion entre l’acheteur et le vendeur 295
9.5.4 Sécurité des paiements en ligne 296
Chapitre
9.5.510 • La sécurité
Sécuriser par la gestion opérationnelle
le serveur 319
298
9.5.6 Notions de confiance et de contrat dans le monde virtuel 298
10.1 Intégration des mesures de sécurité 319
9.6 Sécurité des documents XML 300
10.1.1 Interopérabilité et cohérence globale 319
9.6.1 Risques et besoins de sécurité liés à l’usage
10.1.2 Une question d’investissement 320
de documents XML 300
10.1.3 Externalisation 321
9.6.2 Signatures XML 300
10.2 Gestion de systèmes et réseaux XML
9.6.3 Chiffrement/déchiffrement 323
302
10.3
9.7 Gestion du parc informatique
Marquage de documents et droits numériques 324
303
10.3.1Objectifs et fonctions
9.7.1 Tatouage numérique 324
303
10.3.2
9.7.2 Gestion desrecommandations
Quelques droits numériques 324
304
10.4
9.8 Gestion de laréseaux
BYOD, qualité sociaux
de service réseau
et sécurité 326
306
10.4.1 Indicateurs de qualité 326
9.9 Désinformation et mesures de confiance 308
10.4.2 Évaluation et efficacité 327
9.9.1. Fabriquer le faux 308
10.5 Gestion comptable et facturation 328
10.6 Gestion opérationnelle d’un réseau 329
10.6.1 Gestion des configurations 329
10.6.2 Surveillance et optimisation 330
10.6.3 Gestion des performances 331
10.6.4 Maintenance et exploitation 331
10.6.5 Supervision et contrôle 334
10.6.6 Documentation 334
10.7 Gestion de systèmes par le protocole SNMP 335
10.8 Concilier gouvernance et gestion opérationnelle 337