Chapitre 1 - Notions de Base22-23

Sécurité Informatique
Chapitre 1: Notions de base

de la sécurité informatique
4ème Année
Esprit 2022/2023
Plan du chapitre
▪ Introduction
▪ Objectifs de la sécurité informatique
▪ Terminologies
▪ Règles de base de la sécurité informatique

2
Introduction
• Système Informatique (SI)
• Des équipements informatiques
• Des systèmes d’exploitation
• Des applications et des logiciels
• Ces ressources sont exposées à plusieurs risques et

attaques.
La sécurité informatique consiste à la protection :des

systèmes , de l'information et des services 3
Plan du chapitre
▪ Introduction
▪ Terminologies

4
Les objectifs de sécurité
Disponibilité :
Propriété
d'accessibilité au
Comment définir le service au
niveau de sécurité d’un moment voulu
S.I. ?
DIC
Comment évaluer si ce
système est
correctement sécurisé ? Confidentialité:
Intégrité:
Les données ne
Propriété
peuvent être
d'exactitude et
accessibles
de complétude
qu'aux personnes
des informations
autorisées.
5
Critères complémentaires
Besoins Complémentaires:
La non répudiation:
L’horodatage: Avoir Contrôle d’accès :
L’authentification: Avoir Avoir l’assurance que
l’assurance de la date et Avoir le droit de
l’assurance de l’identité l’expéditeur d’un
l’heure de l’exécution consulter et d’utiliser
d’une personne (ou document ne puisse
d’un serveur) avec qui
d’une action (envoi, des informations et
nier l’avoir envoyé ou réception, signature, …)
on échange ressources via une
que le destinataire ne sur un document autorisation
puisse nier l’avoir reçu
Actions de sécurité à mettre en place
Un Système d’Information a besoin de mécanismes de sécurité qui
ont pour objectif d’assurer de garantir les propriétés DIC sur le S.I.
Techniques : les solutions matérielles et logicielles
• Antivirus, Antispam, Firewall, contrôleur d’accès, etc.
Humains
• Direction informatique: Assure le bon fonctionnement des
applications, contrôler les accès aux systèmes, etc.
Organisationnels
• Etablissement de la politique et l’organisation de la sécurité.
Juridiques
. Règlement, autorisation et sanctions 7

Plan du chapitre
▪ Introduction
▪ Terminologies

8
Vocabulaire et terminologie
Vulnérabilité • Une faille ou une faiblesse qui permet de contourner la sécurité d’un SI.
•Un événement ou une action présentant un danger pour les actifs informationnels.
Menace •La sécurité n’est pas encore compromise, mais le potentiel d’attaque est réel
Risque • Une situation d’exposition à un certain type de danger (menace)
Impact • Changement négatif pénalisant le niveau des objectifs métiers atteints
Attaquant • Une personne ou un élément qui a le pouvoir de mener une menace
Contre-mesures • Fonctions et mécanismes dédiés pour assurer la sécurité d’un SI

9
Les principales causes des vulnérabilités
Types de Exemple
vulnérabilité
Matériel Maintenance insuffisante, absence de programme de
remplacement périodique
Logiciel Tests de logiciel absents ou insuffisants, interface utilisateur
compliquée
Réseau Connexions au réseau public non protégées, point de
défaillance unique
personnel/ Formation insuffisante à la sécurité, travail non surveillé d’une
humain équipe extérieure ou de l’équipe d’entretien, mauvaise
manipulation, « social engineering »
Site Réseau électrique instable, emplacement situé dans une
zone sujette aux inondations , aux séismes, aux instabilités
sociales…
Organisation Absence d’une bonne attribution des responsabilités en
sécurité de l’information, absence de responsabilités en
sécurité de l’information dans les descriptions de postes
10
Vulnérabilités
Vulnérabilité-menace-impact
Vulnérabilité Menace Impact

Entrepôt sans Vol d’équipement Pertes financière
surveillance
Interface utilisateur Erreur de saisi de Base de données
compliquée données corrompue
Ligne de communication Ecoute électronique Interception des
non protégée communications
Transfert des mots de Hacker Vol d’information
passe en clair
Absence de processus Corruption des données Documentation obsolète
de gestion des
documents
Sensibilité à l’humidité Corrosion Echec de l’équipement
Classification des risques
Vital : La nature du risque peut mettre en cause la survie de l’entreprise
Critique : La nature du risque peut affecter durablement les performances économiques
de l’entreprise
Majeur : La nature du risque peut affecter l’entreprise de manière non négligeable même
si limitée dans le temps.
Mineur : le risque existe mais son impact est limité
12
Une attaque: Définition
• Action malveillante destinée à porter

atteinte à la sécurité d’un S.I. Une
attaque représente la concrétisation
d’une menace, et nécessite
l’exploitation d’une vulnérabilité.
• Une attaque ne peut donc avoir lieu
(et réussir) que si le S.I est vulnérable
Ainsi, tout le travail des experts sécurité consiste à s’assurer que le S.I. ne possède aucune
vulnérabilité. Dans la réalité, l’objectif est en fait d’être en mesure de maitriser ces
vulnérabilités plutôt que de viser un objectif 0 inatteignable. 13
Attaque par logiciel malveillant (1)
• Le virus se duplique automatiquement sur le même dispositif et se

transmet à un autre dispositif par l'intermédiaire du courrier
électronique ou par l'échange de données
• Le ver (worm) exploite des communications réseaux d'une entité
afin d'assurer sa reproduction sur d'autres dispositifs
• Le cheval de Troie (trojan) a une apparence légitime et exécute des
routines nuisibles sans l'autorisation de l'utilisateur
• La porte dérobée (backdoor) permet d'ouvrir d'un accès réseau
frauduleux sur un système informatique et peut exploiter à distance
la machine
14
Attaque par logiciel malveillant (2)
• Le logiciel espion (spyware) fait la collecte d'informations

personnelles sur l'ordinateur d'un utilisateur sans son
autorisation et les transmet à un ordinateur tiers
• L'enregistreur de frappe (keylogger) est généralement invisible,
installé sur le poste d'un utilisateur et chargé d'enregistrer à son
insu ses frappes clavier
• Le rootkit est un ensemble de logiciels permettant généralement
d'obtenir les droits d'administrateur sur une machine
15
Attaque suite à une mise en réseau
• les écoutes (sniffing) permettent de récupérer toutes les informations

transitant sur un réseau (par un logiciel sniffer)
🡺 récupérer les mots de passe des applications et identifier les machines
communiquant sur le réseau.
• L'usurpation d'identité (spoofing) prend l'identité d'une autre

personne ou d'une autre machine pour collecter des données
sensibles, confidentielles, …
• Le déni de service (denial of service) provoque des interruptions de

service pour empêcher le bon fonctionnement d’un système
🡺 Des tentatives d'extorsion de fond : menacer de stopper l'activité d'une
entreprise.
16
Les contre-mesures
• Mesure de sécurité:
• Solution qui modifie/ éliminer un risque
• Les processus, politiques, dispositifs, pratiques ou
autres actions
Mesure
préventive Dissuader ou prévenir l’apparition de problèmes
Mesure de
détection Rechercher, détecter et identifier les anomalies
Mesure
correctives Remédier aux problèmes découverts et prévenir la répétition
des anomalies
17
Relation entre concepts de sécurité
18
Plan du chapitre
▪ Introduction
▪ Terminologies

19
Méthodologie de la sécurité
1. Identifier la menace
• Qui ou quoi / Comment (vulnérabilités) ?
2. Évaluer les risques et les vulnérabilités
• Probabilité / Impact
3. Considérer les mesures de protection par rapport
au risque
• Efficacité / Coût / Difficulté d'utilisation
• Préparer des scénarios de récupération
4. Mettre en place et opérer les mesures de
protections
• Modification et/ou installation
• Changer les politiques
• Test des scénarios d’attaques
20
5. Auditer, Valider et suivre 🡪 Rapport d’audit
Règles de base
Interdiction par
défaut Tout ce qui n’est pas autorisé explicitement est
interdit
Moindre
privilège N’autoriser que le strict nécessaire
Défense en Protection au plus tôt et à tous les niveaux

profondeur
Défenses en série
Goulet
d’étranglement Point de sortie unique permettant le contrôle
Simplicité
Filtrage le plus simple possible
Concertation
Acceptation des contraintes par utilisateurs
21
Fin chapitre

Chapitre 1 - Notions de Base22-23

Transféré par

Informations du documentcliquez pour développer les informations du document

Informations du documentcliquez pour développer les informations du document

Droits d'auteur :

Formats disponibles

Chapitre 1 - Notions de Base22-23

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Chapitre 1 - Notions de Base22-23

Transféré par

Droits d'auteur :

Formats disponibles

Sécurité Informatique

Chapitre 1: Notions de base

▪ Objectifs de la sécurité informatique

▪ Règles de base de la sécurité informatique

• Ces ressources sont exposées à plusieurs risques et

La sécurité informatique consiste à la protection :des

▪ Objectifs de la sécurité informatique

▪ Règles de base de la sécurité informatique

. Règlement, autorisation et sanctions 7

▪ Objectifs de la sécurité informatique

▪ Règles de base de la sécurité informatique

Risque • Une situation d’exposition à un certain type de danger (menace)

Impact • Changement négatif pénalisant le niveau des objectifs métiers atteints

Attaquant • Une personne ou un élément qui a le pouvoir de mener une menace

Contre-mesures • Fonctions et mécanismes dédiés pour assurer la sécurité d’un SI

Vulnérabilité Menace Impact

Vital : La nature du risque peut mettre en cause la survie de l’entreprise

Critique : La nature du risque peut affecter durablement les performances économiques

si limitée dans le temps.

Mineur : le risque existe mais son impact est limité

• Action malveillante destinée à porter

• Le virus se duplique automatiquement sur le même dispositif et se

• Le logiciel espion (spyware) fait la collecte d'informations

• les écoutes (sniffing) permettent de récupérer toutes les informations

• L'usurpation d'identité (spoofing) prend l'identité d'une autre

• Le déni de service (denial of service) provoque des interruptions de

▪ Objectifs de la sécurité informatique

▪ Règles de base de la sécurité informatique

Défense en Protection au plus tôt et à tous les niveaux

Vous aimerez peut-être aussi