Protection des infrastructures informatiques

des entreprises face à la cybercriminalité

Vincent Lemoine1, Charles Perez2, Marc Lemercier2, Pierre Vitard3,

Virginie Bensoussan-Brulé4, Alain Corpel2, Rida Khatoun2, Babiga Birregah2

1
Gendarmerie Nationale et Université Paris-Sud - CERDI, 54 boulevard Desgranges, 92 331 Sceaux cedex
2
ICD et UMR STMR, Université de Technologie de Troyes, 12 Rue Marie Curie, CS 42060, 10 004 Troyes Cedex
3
ADIT (Agence pour la Diffusion de l'Information Technologique), 40 rue Buirette, 51 100 Reims
4
Cabinet d’avocats Alain Bensoussan, 29 rue du Colonel Pierre Avia, 75 015 Paris

vincent_lemoine@[Link], [Link]@[Link], [Link]@[Link],

pv@[Link], virginie-bensoussan-brule@[Link],
[Link]@[Link], [Link]@[Link], [Link]@[Link]

Abstract – Les nouvelles technologies (Internet, terminaux nomades) révolutionnent jour après jour le fonctionnement des entreprises
qu'ils s'agissent de la sphère commerciale, de la gestion de projets ou des mécanismes d’échanges d’information en général. Les
entreprises doivent revoir leur stratégie digitale et leur système d'information pour intégrer ces nouveaux canaux de communication et
de vente (logique crosscanal) symbole actuel de modernité et d’efficacité économique. Aujourd’hui, les nouvelles préoccupations
stratégiques pour les entreprises sont maintenant leur référencement et leur réputation sur Internet, le Search Engine Marketing (SEM),
le marketing viral et la relation client via Internet (eCRM / Electronic Consumer Relationship Management). Les business models
doivent désormais évoluer pour tenir compte non seulement des réseaux sociaux numériques (Facebook, LinkedIn, Twitter, etc.) mais
aussi des dispositifs nomades interconnectés via le cloud (smartphones, tablettes). Cette mutation rapide a conduit les entreprises à
s’exposer de plus en plus, rendant parfois accessibles aux plus grand nombre leurs infrastructures informatiques et permettant en même
temps l’accès à des données stratégiques d’entreprises. Celles-ci sont de plus en plus la cible d’attaques informatiques (cybercriminalité)
dont les principaux objectifs sont le vol de données à caractère personnel ou professionnel, les malveillances (dysfonctionnement de
systèmes ou logiciels, atteinte à la réputation ou bris de carrière) et plus globalement la désorganisation de l’entreprise visée. Les
entreprises doivent intégrer le concept de sécurité globale permettant d’assurer un niveau suffisant de prévention et de protection contre
la cybercriminalité en prenant en compte leurs obligations règlementaires et juridiques. Nous présentons dans cet article les différentes
approches étudiées dans le cadre du projet CyNIC1 pour faire face à ces nouvelles menaces.

1
CyNIC (Cybercriminalité, Nomadisme et Intelligence éConomique) est un projet CPER soutenu par la région
Champagne-Ardenne, l’état français et le FEDER.
1. Introduction dans le cadre de notre étude. Ce cadre juridique constitue
Le monde actuel est de plus en plus complexe et un premier niveau de sécurité pour les entreprises mais
difficile à appréhender, que ce soit au niveau des relations aussi un recours en cas de dommage.
internationales, des relations entre individus ou des
relations entre les acteurs économiques. La notion 2.1 Responsabilité des particuliers
d’incertitude n’a jamais été aussi actuelle. Dans la sphère
économique, les logiques partenariales disparaissent au 2.1.1 Abus de confiance
profit de relations centrées sur l’intérêt unique d’une L'abus de confiance définit par l’article 314-1 du Code
entreprise au détriment d’une autre. La mondialisation des pénal est le fait par une personne de détourner, au
échanges et des moyens de communication a permis aux préjudice d'autrui, des fonds, des valeurs ou un bien
entreprises d’entrer en relation les unes avec les autres quelconque qui lui ont été remis et qu'elle a accepté à
quelle que soit leur implantation géographique. charge de les rendre, de les représenter ou d'en faire un
Parallèlement à ce phénomène, l’accès à l’information usage déterminé. L'abus de confiance est puni de trois ans
numérique est de plus en plus aisé grâce à la multiplication d'emprisonnement et de 375.000 euros d'amende. Cet
des terminaux d’accès (ordinateurs, smartphones, tablettes) article est généralement utilisé dans le cas de
et la baisse continue des coûts de communication (forfait détournements de l’usage des données dans une entreprise.
téléphone, forfait Internet). De cette manière, les
recherches usuelles via les moteurs de recherche sont 2.1.2 Violation du secret de fabrication
pratiquement gratuites et peuvent être automatisées. Les Le fait pour un directeur ou un salarié de révéler ou de
outils en ligne sont également de plus en plus nombreux : tenter de révéler un secret de fabrication est puni d'un
moteurs et méta moteurs de recherche génériques, moteurs emprisonnement de deux ans et d'une amende de 30.000
de recherches spécifiques (de personne, de société, etc), euros (article 1227-1 du Code du travail). Le juge peut
bases de données, annuaires, etc. Le concept d’open data également prononcer, à titre de peine complémentaire,
permet en plus un point d’accès pour la consultation de pour une durée de cinq ans au plus, l'interdiction des droits
données publiques ([Link] civiques, civils et de famille prévue par l'article 131-26 du
Les acteurs malveillants disposent de moyens de plus en Code pénal.
plus importants pour identifier, sélectionner et traquer des
citoyens ou des entreprises. Il n’existe pas de définition de 2.1.3 Compromission
la cybercriminalité dans le Code pénal, mais le ministère
L’article 434-10 du Code pénal précise qu’est puni de
de l'Intérieur [1] définit la cybercriminalité comme
sept ans d'emprisonnement et de 100.000 euros d'amende
« l'ensemble des infractions pénales commises sur le
le fait, par toute personne dépositaire d'un procédé, objet,
réseau Internet ». Nous pouvons citer à titre d'exemples
document, information, réseau informatique, donnée
certaines escroqueries (fraude à la carte bancaire, vente en
informatisée ou fichier qui a un caractère de secret de la
ligne avec encaissement sans livraison de la marchandise),
défense nationale, soit de le détruire, détourner, soustraire
la contrefaçon, la vente de produits illicites, le recel de
ou de le reproduire, soit d'en donner l'accès à une personne
biens volés, l’usurpation d’identité, le vol de données, la
non qualifiée ou de le porter à la connaissance du public ou
diffusion d'images pédopornographiques, l'incitation au
d'une personne non qualifiée.
suicide ou à la haine raciale, les injures, etc. Cependant, il
Est puni des mêmes peines le fait, par la personne
existe de nombreuses autres définitions de la
dépositaire, d'avoir laissé accéder à, détruire, détourner,
cybercriminalité. La Convention de Budapest sur la
soustraire, reproduire ou divulguer le procédé, objet,
cybercriminalité [2] l’a définie de la sorte « ensemble des
document, information, réseau informatique, donnée
infractions contre la confidentialité, l'intégrité et la
informatisée ou fichier visé à l'alinéa précédent.
disponibilité des données et systèmes informatiques ». On
Lorsque la personne dépositaire a agi par imprudence ou
peut synthétiser ces définitions par l’ensemble des
négligence, l'infraction est punie de trois ans
infractions commises par l’intermédiaire ou dont la finalité
d'emprisonnement et de 45.000 euros d'amende. Cet article
sont les nouvelles technologies notamment les réseaux ou
concerne les documents classifiés.
les équipements électroniques. La suite de l’article est
organisée comme suit : la section 2 rappelle les risques
2.1.4 Espionnage, intelligence avec une puissance
juridiques, la section 3 présente la gestion des incidents, la
étrangère
section 4 se focalise sur l’anticipation et la prévention en
présentant quelques solutions de protection des Le fait de livrer ou de rendre accessibles à une
infrastructures informatiques des entreprises. puissance étrangère, à une entreprise ou une organisation
étrangère ou sous contrôle étranger ou à leurs agents des
renseignements, procédés, objets, documents, données
2. Risques juridiques informatisées ou fichiers dont l'exploitation, la divulgation
Les particuliers et les entreprises sont soumis à de ou la réunion est de nature à porter atteinte aux intérêts
nombreuses réglementations qu’il est important de rappeler
fondamentaux de la nation est puni de quinze ans de utilisés pour le traitement de données, ainsi que ceux qui
détention criminelle et de 225.000 euros d'amende. permettent d’établir la communication entre les différents
éléments d’un système et donc, non seulement les
2.2 Responsabilités des entreprises ordinateurs et les périphériques d'entrée-sortie, mais
également les terminaux d'accès à distance et, d’une
2.2.1 Manquement à la sécurisation des données manière générale, tous vecteurs de transmission de
Le manquement à la sécurisation des données est données.
réprimé par l’article 226-17 du Code pénal. Le fait de Le délit d’accès frauduleux dans un système de
procéder ou de faire procéder à un traitement de données à traitement automatisé de données est prévu et réprimé par
caractère personnel sans mettre en œuvre les mesures l’article 323-1 du Code pénal aux termes duquel « le fait
prescrites à l'article 34 de la loi n° 78-17 du 6 janvier 1978 d’accéder (…), frauduleusement, dans tout ou partie d’un
modifiée est puni de cinq ans d'emprisonnement et de système de traitement automatisé de données est puni de
300.000 euros d'amende. L’article 34 précise que le deux ans d’emprisonnement et de 30.000 euros
responsable de traitement est tenu de prendre toutes d’amende ».
précautions utiles, au regard de la nature des données et La protection du système par un dispositif de sécurité
des risques présentés par le traitement, pour préserver la n’est pas une condition de l’incrimination : il suffit que le
sécurité des données et, notamment, empêcher qu'elles maître du système ait manifesté son intention d’en
soient déformées, endommagées, ou que des tiers non restreindre l’accès aux seules personnes autorisées.
autorisés y aient accès. Le délit de maintien frauduleux dans un système de
traitement automatisé de données est prévu et réprimé par
2.2.2 Divulgation illicite de certaines données l’article 323-1 du Code pénal aux termes duquel « le fait
personnelles (…) de se maintenir, frauduleusement, dans tout ou partie
d’un système de traitement automatisé de données est puni
La divulgation illicite de certaines données personnelles
de deux ans d’emprisonnement et de 30.000 euros
est réprimée par l’article 226-22 du Code pénal. Le fait,
d’amende ».
par toute personne qui a recueilli, à l'occasion de leur
Le délit d’atteinte volontaire au fonctionnement d’un
enregistrement, de leur classement, de leur transmission ou
système de traitement automatisé de données est prévu et
d'une autre forme de traitement, des données à caractère
réprimé par l’article 323-2 du Code pénal aux termes
personnel dont la divulgation aurait pour effet de porter
duquel « le fait d'entraver ou de fausser le fonctionnement
atteinte à la considération de l'intéressé ou à l'intimité de sa
d'un système de traitement automatisé de données est puni
vie privée, de porter, sans autorisation de l'intéressé, ces
de cinq ans d'emprisonnement et de 75.000 euros
données à la connaissance d'un tiers qui n'a pas qualité
d'amende ».
pour les recevoir.
Le délit d’introduction frauduleuse de données est prévu
et réprimé par l’article 323-3 du Code pénal aux termes
2.2.3 Violation du secret professionnel
duquel « le fait d’introduire frauduleusement des données
La révélation d'une information à caractère secret par dans un système de traitement automatisé ou de supprimer
une personne qui en est dépositaire soit par état ou par ou de modifier frauduleusement les données qu’il contient
profession, soit en raison d'une fonction ou d'une mission est puni de cinq ans d’emprisonnement et de 75.000 euros
temporaire, est punie d'un an d'emprisonnement et de d’amende ».
15.000 euros d'amende par l’article 226-13 Code pénal. L’article 323-3-1 du Code pénal incrimine « le fait, sans
motif légitime, (…) de détenir (…) un programme
2.2.4 Complicité par assistance ou fourniture de informatique (…) conçu ou spécialement adapté pour
moyen commettre une ou plusieurs des infractions prévues par les
L’article 121-7 du Code pénal précise qu’est complice articles 323-1 à 323-3 du Code pénal ».
d'un crime ou d'un délit, la personne qui sciemment par Le délit d’association de malfaiteurs informatiques est
aide ou assistance en a facilité la préparation et la prévu et réprimé à l’article 323-4 du Code pénal selon
consommation. lequel « la participation à un groupement formé ou à une
entente établie en vue de la préparation, caractérisée par
2.3 Textes et réglementations liées à la un ou plusieurs faits matériels, d'une ou de plusieurs des
cybercriminalité infractions prévues par les articles 323-1 à 323-3-1 est
Les atteintes à un système de traitement automatisé de punie des peines prévues pour l'infraction elle-même ou
données, par quelque moyen que ce soit, sont sanctionnées pour l'infraction la plus sévèrement réprimée ».
par les articles 323-1 et suivants du Code pénal. La présentation de ces textes prouve la solidité juridique
L’expression « tout ou partie d’un système de traitement de notre pays pour lutter contre les atteintes à un système
automatisé de données », non définie par la loi du 5 janvier de traitement automatisé de donnée, mais également contre
1988 relative à la fraude informatique [3] désigne l'ensemble des atteintes aux fichiers de part la Loi
l'ensemble des éléments physiques et des programmes informatique et liberté (loi de 1978 modifiée en 2004). Les
obligations et incriminations s’appuyant sur cette loi sont 3.1 Analyse numérique (forensique)
de plus en plus présentes au sein des entreprises de part Il est important d’analyser les différentes traces laissées
l'évolution des technologies. Ces dispositions vont être à la suite d’un incident de sécurité. L’analyse post incident
renforcées par l'obligation de déclarer les pertes et fuites de est l’ensemble des techniques visant à analyser un système
données en vertu d'une directive européenne. informatique dans le but de collecter des informations et de
Ces outils constituent des recours en cas d’atteinte mais recréer une image des activités ayant eu lieu sur un
ne constituent pas une barrière physique face aux attaques système informatique [5]. Principalement utilisée dans le
des cybercriminels qui trouvent des solutions de plus en cas d’investigations liées à la cybercriminalité, cette
plus innovantes pour cacher leur identité. Il est à déplorer analyse est employée dans le cas d’incidents qui peuvent
que les services de sécurité intérieur ne dispose pas de tous être liés à l’exploitation du système informatique pour
les instruments pour mener à bien leur mission. En effet, si comprendre les dysfonctionnements. Les objectifs sont
l'Union Européenne a consacré depuis des années la libre principalement la cessation de la compromission, le
circulation des biens et des personnes, les données rétablissement du fonctionnement normal du système et
transitent entre pays sans possibilité d’être appréhendées l’amélioration de la sécurité afin d’éviter la réédition de
facilement. De plus, tous les pays de l'Union n'ont pas l’incident.
encore ratifiés la convention cybercriminalité de Budapest. Le DFRWS (Digital Forensic Reseach Workshop) qui
En outre, aucun pays de l'Afrique ne l’a ratifiée alors que regroupe une communauté d’experts en analyse forensique
nous constatons une expansion de certains types de faits a édité un rapport permettant de définir une formalisation
(harcèlement, racket, etc) en provenance de ce continent. du processus d’analyse et de préciser les enjeux et verrous
De plus, le caractère international intrinsèques aux du domaine [6]. Cette formalisation définit les huit étapes
systèmes informatiques sublimé par le Cloud, doit faire de l’analyse des traces numériques : l’identification, la
face au caractère national de la justice ce qui constitue une préservation, la collecte, l’examen, l’analyse, la
marge souple qui peut servir de rempart à un acteur présentation et la décision [7].
malveillant. Dans le contexte d’un incident, la méthode consiste à
Apres avoir évoqué les aspects juridiques, il convient lister, identifier et analyser les processus en cours, les
d'évoquer les aspects de la gestion des incidents de sécurité applications suspectes, les ports TCP et UDP ouverts et les
qui permettront à une entreprise de réagir correctement applications qui les utilisent et les traces (logs) pertinentes
face aux menaces liées a la cybercriminalité. En effet, si présentes sur le système informatique. La majeure partie de
les entreprises maîtrisent parfaitement les aspects de PCA cette étude consiste à faire une analyse a posteriori des
et PRA, elles doivent impérativement prendre en compte éléments saisis au cours de l’investigation (phase de
les aspects techniques pour pouvoir apporter une réponse collecte). Ces éléments peuvent être des supports de
judiciaire à ceux-ci. stockage informatique (disques durs, bandes, cartouches,
cd/dvd, clés USB, cartes mémoire type SD, etc.) ou du
3. Gestion d’un incident de sécurité matériel informatique (ordinateurs, PDA, téléphones,
lecteurs MP3, appareils photos, disques de photocopieurs,
Les problématiques de cybercriminalité sont réelles
GPS, cartes bancaires, etc.).
aussi bien au niveau des attaques virales, de l’usurpation
Les techniques d’analyse post incident sont bien
d’identité, de vols ou divulgations d’informations à
maîtrisées lorsqu’elles sont au niveau des disques durs ou
caractère privé ou stratégique. L’actualité récente n’a cessé
du réseau. Ce qui n’est pas le cas de l’analyse forensique
de démontrer les graves impacts des déficiences en matière
en mémoire (live-forensic) qui est une technique jeune. Les
de sécurité. Ainsi, en juin 2012, des centaines de dossiers
problématiques nécessitant ce type d’analyse répondent la
médicaux ont été diffusés sur Internet et rendus accessible
plupart du temps à un incident de sécurité, à la collecte de
via le moteur de recherche Google. Ces dossiers
traces « volatiles » d’une intrusion. L’objectif est de
comprenaient des comptes-rendus opératoires, des bilans,
comprendre la méthode d’intrusion de l’attaquant. Dans ce
des conclusions de prélèvements et toutes les informations
cas, il s’agit souvent d’intrusion ciblée discrète ne laissant
confidentielles généralement associées. La gestion de la
aucune trace sur les disques durs.
crise par les responsables de la clinique a conduit à fermer
Actuellement, de nombreux travaux de recherche sont
l’accès aux données médicales et à intervenir auprès du
réalisés sur les terminaux nomades (smartphones,
moteur de recherche afin d’en effacer les données
tablettes). En effet, ces terminaux intelligents rendent
sensibles. La seconde décision a consisté à réutiliser les
compliqués les phases de préservation des données, de
versions papier des dossiers jusqu’à la mise en place d’une
collecte et aussi d’analyse car les types et les volumes de
solution de sécurité satisfaisante [4]. Cet exemple illustre
données sont en croissance continue [8,9,10,11].
bien la situation actuelle de nombreuses petites et
La contrainte principale est la non altération de la
moyennes entreprises ou administrations en France et leur
preuve car une contre-expertise doit pouvoir être effectuée.
sous-estimation des risques liés à la cybercriminalité.
Les outils d’analyse utilisés ne doivent en aucun cas
modifier les fichiers journaux (logs), les dates d’accès aux
fichiers analysés, ne doivent pas utiliser le ou les fichiers
d’échanges (swap) et ne doivent laisser aucune trace de les performances des recherches. Dans ce cas, on procède à
montage sur les supports analysés. Il est donc important de des traitements de masse. L’objectif est donc de
travailler, si c’est possible, sur des copies des données. comprendre rapidement l’architecture réseau, d’identifier
L’utilisation de solutions de blocage en écriture et/ou la les machines « intéressantes » et de faire des recherches
réalisation de copies parfaites (copie bit à bit d’un disque brutes par critères (nom de fichier, mots-clés dans les
dur) permet de répondre à cette contrainte. Il est possible courriers électroniques, etc).
d’utiliser des outils commerciaux spécifiques de collecte et
d’analyse comme Forensic Toolkit d’Access Data, Encase 3.2 Détection de malwares
de Guidance Software, X-Ways, etc. Lors d’une analyse forensique, il peut être intéressant de
Il faut exprimer les limites de fiabilité de l’analyse : date vérifier que la machine, le terminal et/ou le disque n’a pas
et heures des évènements modifiées, créateur d’un été infecté par un malware. Dans le cadre du projet CyNIC,
document n’est pas nécessairement le propriétaire du nous avons étudié les approches concernant les terminaux
support numérique, données et traces stockées chez un tiers nomades.
éventuellement à l’étranger (cloud [12]), chiffrement des
données, des traces ont pu être laissées par un malware, la 3.2.1 Cas de smartphones dans un environnement
machine a peut être été utilisée dans le cadre d’un botnet professionnel
ou réseau de machines zombies. Nous pouvons citer la
Les smartphones sont très utilisés dans un cadre
mise en ligne d’un Wiki sur ce domaine permettant les
professionnel afin de permettre à certains collaborateurs
échanges d’information [13].
d’être connectés en permanence à leurs courriers
L’une des difficultés majeures de la phase d’analyse
électroniques, calendriers, Intranets, réseaux sociaux, etc.
réside dans le fait qu’il n’est pas toujours facile de savoir
Toutefois, si ces terminaux ne sont pas gérés et protégés
ce que l’on cherche notamment dans le cas de piratage.
correctement, ils peuvent présenter des risques pour les
Une autre difficulté réside sur la problématique
entreprises. A titre d’exemple, un smartphone peut subir
d’exhaustivité de l’analyse car on se heurte aux contraintes
des attaques et des intrusions comme :
de délai et de coût de l’analyse. Or, la masse d’information
− des attaques par déni de service qui consiste à
obtenue durant la phase de collecte peut être très
empêcher le client d’accéder au service fourni par le
importante. Notamment dans le cas d’analyse de système
smartphone en déchargeant le plus rapidement
d’information d’entreprise où les volumes de données
possible sa batterie par l’exécution de tâches
peuvent atteindre plusieurs Téra voire Péta octets avec des
consommatrice d’énergie;
formats pas toujours faciles à manipuler (e.g. ERP avec
− les vers (programme malveillant qui se reproduit
une base de données associée sur des serveurs utilisant une
d’ordinateur à ordinateur par l’intermédiaire d’un
technologie matérielle propriétaire). Il est donc nécessaire
réseau) qui ciblent des smartphones peuvent aussi
d’utiliser des méthodes de triage permettant de réduire le
avoir un coût assez important, comme l’envoi des
périmètre de la phase d’analyse.
SMS ou MMS vers un numéro surtaxé ;
Un support numérique peut contenir des fichiers connus
− les virus (programme malveillant, inclus dans un
car associés à des systèmes d’exploitation ou à des
programme hôte légitime, qui se reproduit
logiciels très utilisés. Il devient alors possible de détecter et
d’ordinateur à ordinateur) contaminent un ordinateur
d’écarter de nombreux fichiers de l’analyse numérique.
de bureau après une synchronisation avec le
Afin d’améliorer les performances de cette recherche, des
smartphone. Les virus et les vers peuvent aussi placer
bases de données de signatures de fichiers sont disponibles
un cheval de Troie (programme apparemment
comme le Reference Data Set (RDS) de la National
légitime qui exécute des actions à l’insu de
Sofware Reference Library (NSRL). [14] présente une
l’utilisateur) sur l’appareil, permettant le vol des
étude sur les forces et faiblesse de cette approche.
données ou l’enregistrement d’appels téléphoniques
Un outil forensique est généralement capable d’assurer
en envoyant périodiquement un rapport vers un
la collecte des documents et de les classer par type. Cette
serveur.
classification n’est pas uniquement fondée sur l’extension
Une autre étude réalisée par TrendMicro (leader
d’un fichier et peut utiliser le data carving qui consiste à
mondial dans le domaine des logiciels antivirus) montre
classifier les documents par rapport à une séquence
que Google Android serait menacé par plus de 5.000
d’octets présente au début de chaque fichier. Le résultat est
nouvelles applications malveillantes. Nous citons à titre
donc un classement par type de documents : texte, images,
d’exemple les malwares Opfake.D [16] et RootSmart.A.
vidéos et par application Word, Latex, etc. Dans le cas de
Opfake.D est un Trojan (programme caché dans un autre,
documents textuels, il existe une solution capable de
qui s'exécute à l'insu de l'utilisateur afin de voler des mots
détecter le langage utilisé permettant ainsi d’affiner
de passe et des données sensibles, ouvrir un port, etc) qui
l’analyse [15].
s’installe avec les applications gratuites de GooglePlay.
Enfin, la dernière approche est une recherche par mots-
Une fois installé sur le terminal mobile, il envoie des SMS
clés. Certains logiciels de collecte construisent une
vers des numéros surtaxés. Pour éviter d’être détecté par
indexation complète des données afin d’améliorer ensuite
les antivirus Opfake.D modifie ses paramètres internes à 4. Anticipation et prévention
chaque téléchargement (par exemple changement du texte
du SMS). RootSmart.A [17] peut contourner les analyses 4.1 Outils de surveillance et de détection
et les scans d’antivirus car il ne contient pas de code Les dispositifs tels que les antivirus et les pare-feux ont
malveillant (programme dont le but est de nuire soit à un été les premières briques de sécurité implémentées dans les
système informatique soit aux utilisateurs du système entreprises. Malheureusement même si elles sont
informatique). Dans une seconde phase, il télécharge un nécessaires, elles restent insuffisantes. En effet, ces
nouveau programme à partir d'un serveur distant lui technologies agissent soient au niveau du poste de travail
permettant l’exécution de tâches malveillantes. (pour les antivirus) donc sur le dernier maillon de la chaîne
du système d’information donc trop tard, soit au niveau de
3.2.2 Approches de détection d’intrusions dans les la politique de filtrage (pour les pare-feux) aussi bien pour
smartphones les flux provenant ou en direction de l’extérieur du réseau
Les nouveaux malwares ne peuvent pas toujours être de l’entreprise que pour les flux internes (notamment au
détectés par des antivirus avant la mise à jour de ceux-ci niveau des cœurs de réseau). Hors cette politique de
(vulnérabilité 0 day). Certains malwares nécessitent des filtrage ne peut être efficace à 100%, elle tend même à le
analyses comportementales pour être enfin détectés. Dans devenir de moins en moins. L’avènement d’Internet et des
ce contexte, les approches basées sur la détection applications orientées Web utilisant le protocole non
d’anomalies sont plus adaptées à la détection d'intrusions sécurisé HTTP nous oblige à avoir une politique de filtrage
car elles consomment moins de temps et d'énergie. très permissive. Ce que les attaquants ont bien compris en
Dans le cadre général (ordinateur, stations de travail), l’utilisant massivement comme vecteur d’attaques des
deux approches pour la détection des malwares ont été systèmes d’information.
proposées qui sont l'analyse statique [18,19] et l’analyse Une seconde ligne de défense devient donc nécessaire :
dynamique [20,21,22]. La première analyse le code source la détection d’intrusion, que l’on retrouve dans la
d'un programme pour chercher des signatures d’intrusions. littérature anglo-saxonne sous l’acronyme IDS (Intrusion
La seconde étudie le comportement des programmes à Detection System). On distingue trois types de sonde de
l’aide des méthodes statistiques et probabilistes par une détection d’intrusion : les sondes mises en place sur les
surveillance de certains paramètres du système comme les systèmes hôtes, celles surveillant les applications et celles
entrées/sorties, le taux d’utilisation de la mémoire, la analysant les flux sur le réseau. La détection s’effectue soit
consommation du CPU, le type de numéro utilisé par les à partir d’une base de signatures, soit par la constatation
SMS, etc. d’un comportement abusif. On distingue aussi deux
Après la découverte du premier logiciel malveillant méthodes d’analyse : l’analyse par signature et l’analyse
infectant les smartphones en 2004 [23], plusieurs comportementale.
approches ont été proposées pour détecter les malwares
dans les téléphones intelligents. La plupart des solutions 4.1.1 Analyse par signature
proposées a été basée sur un seul critère de détection qui Cette méthode d’analyse porte également le nom
est la consommation de l’énergie [24,25,26]. La d’analyse par scenario et se retrouve dans la littérature
surveillance continue de ce paramètre et sa comparaison anglo-saxonne sous l’expression « misuse detection ». En
avec une consommation normale permet la détection effet, elle repose sur la définition préalable de motifs
d’anomalies. Cependant, ces techniques ne sont utiles que caractérisant des attaques connues et insérées dans une
pour des attaques qui ciblent la consommation d’énergie base de données. Concrètement avec cette approche, tout
comme le déni de service pour mettre le terminal hors ce qui n’est pas interdit est autorisé. La technique de
service par l’épuisement rapide de ses batteries. comparaison la plus répandue est celle des algorithmes de
En ce qui concerne l'analyse dynamique, plusieurs recherche de motifs (pattern matching) dans les paquets
approches ont été proposées. Schmidt et al [27] ont d’informations transitant sur le réseau ou présents dans les
proposé un système s'appuyant sur des événements fichiers de logs. Néanmoins, d’autres approches existent,
survenus sur le noyau Linux généralement utilisé par les comme celle proposée par Mé [32] basée sur des
OS des terminaux nomades. Ils mettent l'accent sur des algorithmes génétiques pour l’analyse des audits systèmes,
événements de contrôle au niveau du noyau : des fichiers ou comme celle de Lunt et al. [33] s’appuyant sur
des journaux, des fichiers du système et des évènements l’utilisation de systèmes experts. L’outil le plus connu
réseaux. Le modèle de sécurité du système Android, en travaillant par analyse de signature est SNORT.
particulier le modèle de sécurité basé sur l'autorisation a
été étudié par plusieurs chercheurs [28,29,30]. Burguera et 4.1.2 L’analyse comportementale
al. ont proposé Crowdroid [31], un système de détection de
L’analyse comportementale repose sur la définition du
malwares pour Android basé sur le comportement des
comportement normal de l’élément surveillé (système,
applications et non sur celui de l’utilisateur. Dans ce cadre,
application ou réseau). Elle nécessite donc une phase
les données recueillies auprès des utilisateurs seront
d’apprentissage qui va permettre de définir le modèle de
transférées vers un serveur distant pour être analysées.
comportement normal. Dans cette approche, toute cloisonner le réseau et isoler les parties de celui-ci en cas
déviation significative du comportement génère une alerte. de problème majeur.
A contrario de l’approche par signature, tout ce qui n’est Pour les sondes de détection/prévention d’intrusions
pas explicitement autorisé est interdit [34]. On distingue dont l’objectif est soit de détecter et prévenir (en mode
deux approches dans les méthodes de détection détection), soit de détecter et bloquer (en mode prévention)
comportementale : l’approche statistique comme dans le les attaques qui pourraient avoir lieu contre le réseau, une
projet intitule NIDES [35] et l’approche probabiliste connaissance de l’architecture du réseau est indispensable
comme l’indique Zimmerman et Mé [36]. pour pouvoir placer les sondes aux endroits stratégiques.
Une connaissance fine des applications et des protocoles
4.1.3 Système hybride est également incontournable afin d’éviter de générer trop
Contrairement à ce que l’on pourrait penser les de faux positifs qui nuiraient à l’efficacité des sondes.
approches par signature et comportementale ne s’opposent
pas. De nombreux chercheurs font collaborer les deux 4.3 Réseaux sociaux et confiance
méthodes de détection au sein des IDS comme c’est le cas numérique
dans les travaux de Jia et de Chen [37]. L’hybridation Dans le cadre du projet CyNIC, nous menons des
permet de tirer le meilleur parti des deux méthodes. activités de recherche sur la sécurité et les réseaux sociaux
numériques. La multiplicité des plates-formes sociales
4.1.4 Une nécessaire corrélation associée à la forte quantité de données personnelles et
Pour assurer la sécurité d’un système d’information, il sensibles en fait des lieux où l’utilisateur est vulnérable.
est évident que plusieurs équipements de détection Depuis quelques années, les acteurs malveillants ont pris
d’intrusions vont être installés comme un HIDS (Host- place sur les réseaux sociaux numériques afin d’attirer les
based Intrusion Detection System) ou un NIDS (Network utilisateurs non vigilants sur des pages web malveillantes.
Intrusion Detection System). Cependant, ces systèmes font Ce moyen d’action souvent automatisé est effectué à
remonter un flot important d’alertes à l’administrateur qui grande échelle ce qui permet de toucher un public très
aura le plus grand mal à analyser ces données et à prendre large. A titre d’exemple, Koobface est un exemple de vers
les bonnes décisions durant la période de l’attaque. Aussi, informatique ayant utilisé les réseaux sociaux comme
comme l’indiquaient Mé et al. dès 2001 [38] les outils vecteur de diffusion et de propagation [40]. Celui-ci avait
doivent coopérer. L’objectif est de limiter le volume global la capacité de détecter, en analysant les cookies de la
des alertes et en particulier de diminuer le nombre de faux machine infectée, les réseaux sociaux sur lequel
positifs qui selon Julisch [39] représentent 99% des alertes. l’utilisateur se connecte afin de publier a son insu un
message lui permettant ainsi de se rependre. Koobface
4.2 Protection de l’infrastructure avait la capacité de se propager sur dix réseaux sociaux
numériques distincts (Facebook, Twitter, MySpace, etc).
A minima, deux types d’outils doivent être déployés
Notons que la topologie des réseaux sociaux
pour sécuriser un réseau : les pare-feux et les sondes de
numériques suit pour la plupart d’entre eux le modèle du
détection/prévention d’intrusions. Mais, avant de mettre en
petit monde. Celui-ci est notamment caractérisé par une
place ces outils, il est nécessaire de bien connaître
faible distance entre tout individu (nombre
l’architecture de son réseau. En effet, un pare-feu ou une
d’intermédiaire) et une forte tendance à former des groupes
sonde mal positionné peut engendrer plus d’insécurité que
(les amis de mes amis sont mes amis). A titre d’exemple
l’absence de ces équipements car ils diminueraient la
sur Facebook la distance entre toute personnes est
vigilance par une trop grande confiance.
approximée à 3.5. Cela induit une capacité de contagion
Les pare-feux peuvent être de différentes sortes suivant
très rapide et explique les phénomènes amplifiés de
la couche réseau sur lesquels ils agissent. Il est
rumeurs et de buzz sur ces réseaux [41].
indispensable de déployer au moins un pare-feu
Nous menons conjointement deux pistes de recherche
d’infrastructure (couche 3 et 4 du modèle OSI) qui permet
sur ces aspects dans le projet CyNIC. D’une part, la
de filtrer tous les trafics provenant de l’internet, mais
détection et la prédiction de comportements malveillants
également de prévenir la fuite d’informations et la
sur ces plates-formes. Il s’agit alors de mettre en place des
propagation de codes malveillants. Ce pare-feu sera placé
indicateurs comportementaux suffisants pour identifier les
en coupure juste derrière le routeur d’accès à Internet.
entités malveillantes sur ces plates-formes. Les approches
Il convient également de placer un pare-feu dit
reposent alors sur les techniques de classification ou sur
applicatif (couche 7 du modèle OSI) pour filtrer et analyser
des modèles innovants [42,43]. Nous avons dans ce but
l’ensemble des flux applicatifs en particulier le protocole
conçu et expérimenté SPOT 1.0 (Scoring Suspicious
HTTP. Il devra être positionné au niveau des serveurs
Profiles on Twitter) qui est un outil de collecte et d’analyse
mandataires de l’infrastructure. L’état de l’art demanderait
en temps réel fonctionnant à partir de la plate-forme
également de positionner au cœur du réseau un autre pare-
Twitter [44]. Cet outil propose une visualisation 3D
feu d’infrastructure non seulement pour filtrer les flux
permettant l’aide à la décision pour un utilisateur personnel
inter-applications et inter-VLAN, mais également pour
ou professionnel. Il est ainsi possible de visualiser
rapidement les profils les plus virulents de la plate-forme. institutionnelles, blog, sites personnels, profils de réseaux
Cette analyse est en traitement pour être étendue et adaptée sociaux).
aux terminaux nomades. Pour évoquer un exemple parlant, lors d’une inscription
D’autre part, nous investiguons l’utilisation des réseaux sur les réseaux sociaux, aucun site ne demande une
sociaux numériques pour sécuriser un utilisateur de ces validation des informations saisies. Plusieurs profils
plates-formes. Cet aspect de recherche est traité dans la peuvent ainsi être créés sur différents réseaux (comme par
littérature sous l’angle des systèmes de confiance exemple Viadeo, LinkedIn & Xing) avec les mêmes
numérique [45,46]. Notre approche originale repose sur fausses informations. Or plus une information est visible et
une analyse fine des multiples profils d’un même présente sur des sources numériques différentes et plus elle
utilisateur pour en déduire un indicateur de confiance. Cet semble valide pour l’utilisateur non averti. Nous avons
indicateur peut être synthétisé à partir d’un Smartphone, tendance à confondre la visibilité et la validité des
appareil ubiquitaire qui est connecté en permanence à de informations, or une information visible n’est pas
nombreux services sociaux (appels, SMS, courriers forcément correcte.
électroniques, Facebook, Twitter). L’approche que nous Les exemples les plus parlant sont les différents “Hoax”
proposons analyse les redondances entre les contacts d’un (Canular informatique) ou “Fake” (qui signifie “Faux” et
même utilisateur sur de multiples réseaux sociaux. Ces qui est repris sur le net pour désigner une personne ayant
redondances sont illustrées par un indicateur d’imbrication. prit une fausse identité ou diffusant une fausse information
Un indicateur de confiance est alors calculé entre deux disponible sur le web [53].
individus en fonction du nombre de contacts et du taux Ainsi, il est impératif de faire le tri dans les
d’imbrication des amis communs. Nous avons montré [47] informations que nous recevons et que nous recherchons,
que dans le cas de Facebook notre approche obtenait un c’est l’un des objectifs de l’intelligence Économique en
taux de détection de profils de confiance supérieur aux général.
approches existantes (quantité de voisins commun,
attachement préférentiel, etc.) [43]. La validation repose 4.4.1 Qualification de l’information reçue
donc sur la capacité de notre approche à prédire les liens de Il est impératif de qualifier l’information, qu’elle soit
confiance d’un utilisateur [48]. recherchée volontairement ou reçue sans démarche
préalable, de la même manière qu’il est nécessaire de
4.4 Intelligence économique et analyse des qualifier l’information qui circule au sein même de son
acteurs entreprise.
Actuellement, l’accès à l’information de surface est Pour qualifier les informations reçues ou recherchées,
relativement facile et rapide via une connexion internet et plusieurs critères peuvent s’appliquer, tels que : la fiabilité
l’utilisation d‘outils de recherche en ligne adéquats. La de la source, la qualité du contenu, la confidentialité de
quantité d’informations disponible et reçue est également l’information ou son importance. Pour chacun de ces
en très forte croissance voir en trop forte croissance d’où la critères, différents niveaux de qualification peuvent être
naissance de différents termes tels que l’infobésité (État appliquées : de fiable à peu sûre ou non évaluée pour la
résultant d'une information jugée trop abondante par fiabilité de la source, de confirmé à improbable pour la
rapport aux besoins ou aux capacités d'assimilation des qualité du contenu, etc.
utilisateurs), ou le Big Data, voir même d’infopollution La source peut également faire l’objet d’une attention
[49]. Nous assistons également au développement de particulière, en analysant le nom de domaine (dont certains
collectifs comme l’IORG (Information Overload Resource sont attribués sur justificatifs comme les .gouv, .edu, …)
Center). en procédant à une analyse « whois » (protocole pour
Ceci signifie que tout le monde peut obtenir des interroger une base de données afin de déterminer le
informations sur une thématique ou un acteur, mais comme propriétaire d’un nom de domaine ou d’une adresse IP) ou
l’a évoqué Eric Sutter : « l’abondance apparente encore en vérifiant le « pagerank » (algorithme d'analyse
d’informations masque, en réalité, la difficulté à accéder des liens concourant au système de classement des pages
aux informations réellement utiles » [50]. Pour Ludovic Web utilisé par le moteur de recherche Google), afin de
François, nous nous heurtons à la surinformation, germe de mesurer l’impact ou la dangerosité d’un site.
la mésinformation [51]. De même pour Éric Delbeque « il Cette méthodologie permettra de faire un premier tri
importe surtout de hiérarchiser, de savoir ce qui relève de dans les sources importantes et dans les informations
l’accessoire et de l’essentiel, du tactique et du pertinentes et celles de moindre intérêt.
stratégique » [52].
Par ailleurs, toute information disponible n’est pas 4.4.2 Relations virtuelles entre acteurs
nécessairement fiable et pertinente. En effet, ces Dans ce contexte où tout type d’information non valide
informations ne sont pas toujours correctes, à jour, circule librement sur le web, il est également nécessaire de
validées, etc. Or, l’un des principaux problèmes pour réduire les incertitudes existantes sur différents acteurs
l’utilisateur commun est de considérer toutes les sources dans le cadre de relations commerciales ou contractuels.
comme étant au même niveau de fiabilité (sites
L’objectif étant de réduire les risques lors d’un 4.5 Classifications des informations
engagement avec un Tiers. De plus en plus de relations La gestion de l’information revêt à l’heure actuelle une
débutent via un contact ou une identification en ligne, ceci place primordiale dans les administrations mais également
s’explique car l’entreprise est face à plusieurs défis : dans les sociétés et quelle que soit leur taille. Afin de la
− elle se doit d’être présente sur le Web, pour montrer sauvegarder de manière optimale au sein des entreprises, il
qu’elle existe et exposer son savoir-faire, sur un convient au préalable de définir les informations
marché mondial de plus en plus concurrentiel, stratégiques (sensibles) des autres. Il existe plusieurs
− elle doit piloter sa communication et vérifier ce qui recommandations ou sources d’information dans ce
est diffusé à son sujet : elle doit piloter sa e- domaine (ANSSI, AFNOR, Assises de la sécurité, Rapport
réputation, Laborde, Clusif, etc.) mais elles ne sont pas toujours
− mais elle doit également rester prudente sur les respectées par les PME. Nous proposons ici une démarche
relations qui vont s’établir via ce canal de permettant d’initier un processus vertueux dans les
communication : contrat commercial, partenariat, … entreprises.
Ces deux derniers points sont primordiaux car les
conséquences d’une mauvaise image ou d’un mauvais 4.5.1 Classification des informations
partenariat, virtuel ou réel, peuvent être multiples et
La classification des informations (documents,
extrêmement graves, pouvant aller d’un déficit d’image,
applications métier, messagerie, informations non
l’arrêt d’une production à la variation des cours de bourse,
formalisées) qui seront diffusées dans l’entreprise est
de l’arrêt de la production à des pertes de données et
nécessaire. Elle permet d’éviter que des informations
entrainer in fine des pertes financières.
sensibles, confidentielles soient diffusées volontairement
Ainsi, une structure économique, avant toute relation, se
ou non à l’extérieur de l’entreprise, ce qui pourrait porter
doit de valider l’image qu’elle renvoie, et surtout de
préjudice à son activité. Un exemple très intéressant est
vérifier si les informations envoyées par d’éventuels
celui mis en place au niveau interministériel par le SGDSN
partenaires ou partie prenantes sont exactes. Elle doit donc
(Secrétariat Général de la Défense et de la Sécurité
au minimum, et de manière non exhaustive :
Nationale) s’agissant d’une classification d’un certain type
− valider l’existence du partenaire : (1) par une étude du
d’informations afin de restreindre leur diffusion en raison
site Internet : qui sont les propriétaires, où est hébergé
de leur nature pour des questions de défense nationale ou
le site, le contact indiqué correspond t’il avec une
de défense civile.
personne en présence dans la structure, etc. (2) par la
Une habilitation est requise pour posséder des
validation de l’existence même de la société : en se
documents classifiés ou accéder à des données classifiées.
référant au registre du commerce du pays
Il y a généralement plusieurs niveaux de sensibilité, classés
d’implantation par exemple
par un système hiérarchique du secret utilisé. L'action
− valider de l’activité de la société : (1) en confrontant
d'assigner un niveau de sensibilité à une donnée est
les éléments diffusés par la société à d’autres
appelée « classification des données ».
sources : institutionnelles, presses, etc. (2) en se
L’intérêt de cet exemple c’est qu’il défini trois
rapprochant de clients (anciens ou actuels), de
catégories importantes qui pourraient être reprises dans les
fournisseurs (présents ou passés), etc. (3) en se
sociétés privées, notamment pour les données sensibles,:
rapprochant d’éventuels syndicats ou organisations
les sources de programmes, les brevets, etc. Classifier les
professionnelles d’attache, (4) en se rapprochant
informations revient à affecter un degré de sensibilité aux
d’organismes certificateurs,
informations. L’information est générale, c’est-à-dire
− valider des capacités financières (dans le cade d’un
ouverte à l’ensemble du personnel, restreinte car sa
contrat de vente) en recherchant les dernières
divulgation peut nuire de façon importante à l’entreprise
informations économiques disponibles auprès
ou strictement confidentielle car sa divulgation porterait
d’organismes d’autorité (registre du commerce) ou
lourdement préjudice à l’entreprise
spécialisés (organisme d’assurance crédit), ...
− valider l’existence du contact au sein même de
4.5.2 Identification des personnes et habilitations
l’entreprise qu’il est censé représenter.
Malgré les informations intéressantes à obtenir via les Le chef d’entreprise doit identifier les personnes qui
sources électroniques, il est important de noter que tous les peuvent avoir accès aux différentes informations afin de
éléments utilisés ne peuvent pas être validés uniquement les valoriser au mieux. Cependant, pour éviter certaines
via Internet mais nécessitent le recours à d’autres sources, dérives, l’accès aux différents types d’information doit être
notamment humaines. Il devient donc de plus en plus préalablement défini. Il faut veiller à éviter la surprotection
important pour une organisation de disposer d’outils pour des informations en les sur-qualifiant, ce qui pourrait en
piloter sa communication en ligne et son e-réputation et de effet instaurer un climat de méfiance au sein de
définir une politique afin d’identifier les informations à l’entreprise.
obtenir, à diffuser et à protéger. Ce type de restriction en matière d’information existe
déjà dans nombre d’entreprises, notamment au niveau de la
gestion des systèmes d’information (Système RH à la 4.6 Synthèse
société Générale, système AGHORA en Gendarmerie). En Aujourd’hui, les risques auxquels sont confrontées les
effet, en fonction de son poste ou de sa fonction, de ses entreprises ne résultent pas uniquement de hackers
attributions, la personne aura plus ou moins de droits sur le aguerris, qui vont pénétrer les systèmes informatiques en
réseau ou pour accéder à des informations. raison de leur compétence, mais surtout du facteur humain
au sein de l’entreprise. Celui-ci peut se traduire par une
4.5.3 Définition des supports de diffusion mauvaise sécurisation des systèmes d’information, mais
Les supports utilisés au sein d’une entreprise sont également de certaines informations détenues par
nombreux et offrent un niveau de partage et de circulation l’entreprise. L’un des exemples les plus frappants est
de l’information plus ou moins large, tels que : l’exemple des Google Dork. Un Google Dork est une
− les réunions : il convient de définir précisément qui signature typique d’une technologie Web parmi tout ce qui
peut et doit y participer, préparer les documents qui y est indexé par Google. A l’aide d’une requête spécifique
seront diffusés et en préciser le statut et le format via ce moteur de recherche, il est possible de trouver
(papier ou numérique) : certaines informations, certaines failles : (1) l’accès à la
− les comptes-rendus de visites, rapports de mission : configuration des imprimantes non sécurisée en réseau
les destinataires, le degré de confidentialité les (intitle:"hp laserjet" inurl:info_configuration.htm), (2)
modalités de stockage (rapport de stage des l’accès à des données ne devant pas être diffusées
étudiants) ; (filetype:pdf inurl:[Link] "ne pas diffuser) ou (3) l’accès
− les lettres d’information régulières (newsletters) et les des informations sur des serveurs (inurl:[Link]).
journaux internes (blogs) : la politique éditoriale doit En s’appuyant sur ces simples requêtes, un internaute
être définie préalablement et préciser notamment ce mal intentionné aura accès à des informations.
que l’on peut écrire ;
− la messagerie électronique est un support de diffusion
de l’information très utilisé ;
5. Conclusion
− l’intranet est un outil qui permet de diffuser et de Cet article nous a permis de voir les différentes formes
partager de l’information au sein de l’entreprise, mais que peux prendre la cybercriminalité. Les citoyens, les
également Internet qui permet de cibler des collaborateurs d’une entreprise tout comme les systèmes
informations nominatives. ou équipements informatiques (des smartphones aux
systèmes industriels de type Scada) sont concernés. De très
4.5.4 Identifier l’information nombreuses solutions de sécurité existent. Celles-ci
interviennent à différents niveaux : utilisateurs avec leurs
Il est nécessaire pour les entreprises d’identifier la valeur et
équipements personnels et terminaux mobiles, entreprises
la sensibilité des informations via des marqueurs visuels
sur les documents papiers et numériques tels que les en- publiques et privées avec leur système d’information
têtes, pieds de page, filigranes, signatures numériques complexe et mouvant et l’obligation de respecter des
incrustées. Cela permettra d’informer les salariés du niveau contraintes juridiques et enfin au niveau des organismes de
de sensibilité de cette information et de prendre toutes les l’état (police et gendarmerie) qui dispose des méthodes et
mesures adéquates pour les sécuriser, si cette information les moyens pour mener à bien les enquêtes.
ne l’était pas, car oubliée sur un bureau, par exemple. Une défense intégrant une stratégie de cyber-défense est
une révolution relativement récente dans de nombreux
4.5.5 Contrôle de la diffusion de l’information pays et les cyber-attaques contre l’Estonie en 2007 et l'Iran
en 2010 ont certainement facilité cette prise de conscience.
Pour faciliter la sécurisation des données, et notamment
Le Japon a annoncé début septembre 2012 la création
celles qui sont numériques, il est nécessaire de mettre en
d'une unité militaire de cyber-défense chargées de contrer
place certains dispositifs tels que les Rights Management
les cyber-attaques et que Tokyo se réserve le droit de
Services, la mise en place de signature numérique pour
répondre à des cyber-attaques par tous les moyens d'auto-
certains type de documents également appelés “Hash” ou
défense à sa disposition.
“Empreinte”. Les documents numériques devant être
Attention cependant à ne pas être trop confiant sur les
agrémentés de métadonnées. Ce type d’information facilite
problématiques techniques et technologiques. Un
ainsi les solutions d’archivage mais également de DLP
empilement de matériels et de logiciels aussi sophistiqué et
(Data Loss Prevention).
performant qu’il soit ne sera jamais une réponse adéquate
En effet, il est nécessaire de mettre en place un filtre de
aux problèmes de l’insécurité électronique. La ligne
contrôle de sortie des documents du système d’information
Maginot en est le parfait exemple. La mise en place de
de l’entreprise. La DLP est une solution basée sur des
solutions de sécurité reposent avant tout sur le bon sens, le
règles centralisées qui identifie, surveille et protège les
pragmatisme, une politique, une organisation et des
données qu’elles soient stockées, en cours d’utilisation ou
personnes sensibilisées et bien formées.
en mouvement, quel qu’en soit le support au moyen d’une
sonde (CERT-IST).
Références [19] A. Shabtai, R. Moskovitch, Y. Elovici, and C. Glezer.
[1] Ministère de l’intérieur. Detection of malicious code by applying machine
[Link] learning classifiers on static features: A state-of-the-
securite/Conseils-pratiques/Sur-internet/Qu-est-ce- art survey. Inf. Secur. Tech. Rep., 14(1):16– 29,
que-la-cybercriminalite). February 2009.
[2] Convention de Budapest [20] M. Christodorescu, S. Jha, and C. Kruegel. Mining
([Link] specifications of malicious behavior. In Proceedings
.htm) of the 6th joint meeting of the European software
[3] J. Godfrain. Loi n°88-19 du 5 janvier 1988 relative à engineering conference and the ACM SIGSOFT
la fraude informatique dite loi Godfrain. symposium on The foundations of software
[4] Article de du journal l’Est l’éclair. [Link] engineering, ESEC-FSE ’07, pages 5–14, New York,
[Link]/article/a-la-une/clinique-de-champagne-des- NY, USA, 2007. ACM.
centaines-de-dossiers-medicaux-sur-le-net [21] T. J Lee and J.J. Mody. Behavioral classification. In
[5] C. Altheide, H. Carvey. Digital Forensics with open In Proceedings of EICAR 2006, April 2006.
source Tools. Syngress / Elsevier. 2011. ISBN : 978- [22] K. Rieck, T. Holz, C. Willems, P. Dussel, and P.
1-59749-586-8. Laskov. Learning and classification of malware
[6] G. Palmer. A road map for digital forensic reseach. behavior. In Proceedings of the 5th international
Technical report. DFRWS. November 6, 2001. conference on Detection of Intrusions and Malware,
[Link] and Vulnerability Assessment, DIMVA ’08, pages
[7] T. Duval. Analyse informatique post-mortem : mise en 108–125, Berlin, Heidelberg, 2008. Springer-Verlag
œuvre et évaluation d’une approche bayésienne. [23] Cabir malware variants,
Thèse de doctorat en informatique de l’université de [Link]
Rennes. 16 décembre 2005. ml. December 2004.
[8] J. Polewczyk, P. Testuz, M. Lemercier, A. Corpel. [24] T. K. Buennemeyer, T. M. Nelson, L. M. Clagett, J.
Cybercriminalité : stratégies d’investigation P. Dunning, R. C. Marchany, and J. G. Tront. Mobile
numérique appliquées à l’iPhone. Workshop device profiling and intrusion detection using smart
Interdisciplinaire sur la Sécurité Globale (WISG batteries. In Proceedings of the Proceedings of the
2010), janvier 2010. 41st Annual Hawaii International Conference on
[9] S. Morrissey. IOS Forensic Analysis for iPhone, iPad System Sciences, HICSS ’08, pages 296–,
and iPod touch. Apress. 23 décembre 2010. Washington, DC, USA, 2008. IEEE Computer
[10] A. Hoog. Android Forensics – investigation, Analysis Society.
and Mobile Security for Google Android. Syngress / [25] H. Kim, J. Smith, and K. G. Shin. Detecting
Elsevier. 2011. ISBN : 978-1-59749-651-3. energygreedy anomalies and mobile malware
[11] T. Vidas, C. Chengye and N. Christin. Toward a variants. In Proceedings of the 6th international
general collection methodology for Android devices. conference on Mobile systems, applications, and
DFRWS 2011. services, MobiSys ’08, pages 239–252, New York,
[12] J. Dykstra and A. Sherman. Acquiring forensic NY, USA, 2008. ACM.
évidence from infrastructure-as-a-service cloud [26] G. A. Jacoby and N. J. Davis IV. Battery-based
computing ; Exploiring and evaluationg tools, trust, intrusion detection. In GLOBECOM, pages 2250–
and techniques. DFRWS 2012. 2255, 2004.
[13] E. Freyssinet. Wiki de discussion et de recherche sur [27] A-D Schmidt, H-G Schmidt, J. Clausen, K. Ali
la lutte contre les bootnets. [Link]. Yuksel, O. Kiraz, A. Camtepe, and S. Albayrak.
[14] N. C. Rowe. Testing the National Software Reference Enhancing security of linux-based android devices. In
Library. DFRWS 2012. Proceedings of 15th International Linux Kongress.
[15] R. D. Brown. Finding and identifying text in 900+ Lehmann, October 2008.
languages. DFRWS 2012. [28] A. Porter Felt, E. Chin, S. Hanna, D. Song, and D.
[16] M. Suenaga. [Link] in-depth. Technical Wagner. Android permissions demystified. In
report, Symantec Corporation, 2012. Proceedings of the 18th ACM conference on
[17] F-Secure Labs. Mobile threat report Q1 2012. Computer and communications security, CCS ’11,
Technical report, 2012. pages 627–638, New York, NY, USA, 2011. ACM.
[18] M. Christodorescu and S. Jha. Static analysis of [29] M. Ongtang, S. McLaughlin, W. Enck, and P.
executables to detect malicious patterns. In McDaniel. Semantically rich application-centric
Proceedings of the 12th conference on USENIX security in android. In Proceedings of the 2009
Security Symposium - Volume 12, SSYM’03, pages Annual Computer Security Applications Conference,
12–12, Berkeley, CA, USA, 2003. USENIX ACSAC ’09, pages 340–349, Washington, DC, USA,
Association. 2009. IEEE Computer Society.
[30] W. Shin, S. Kiyomoto, K. Fukushima, and T. Tanaka. [41] J. Kleinberg. The small-world phenomenon: an
Towards formal analysis of the permission-based algorithm perspective. Proceedings of the thirty-
security model for android. In Proceedings of the second annual ACM symposium on Theory of
2009 Fifth International Conference on Wireless and computing, New York, NY, USA, 2000, pp. 163–170.
Mobile Communications, ICWMC ’09, pages 87–92, [42] S. Abu-Nimeh, T. M. Chen, and O. Alzubi.
Washington, DC, USA, 2009. IEEE Computer Malicious and Spam Posts in Online Social Networks.
Society. Computer, vol. 44, no. 9, pp. 23–28, 2011.
[31] I. Burguera, U. Zurutuza, and S. N. Tehrani. [43] C. Patsakis, A. Asthenidis, and A. Chatzidimitriou.
Crowdroid: behavior-based malware detection system Social Networks as an Attack Platform: Facebook
for Android. In Proceedings of the 1st ACM Case Study. Networks, 2009. ICN '09. Eighth
workshop on Security and privacy in smartphones and International Conference on, 2009, pp. 245–247.
mobile devices, SPSM ’11, pages 15–26, New York, [44] C. Perez, M. Lemercier, B. Birregah, and A. Corpel.
NY, USA, October 2011. ACM. SPOT 1.0: Scoring Suspicious Profiles on Twitter.
[32] L. Mé. Audit de sécurité par algorithmes génétiques. presented at the Advances in Social Networks
Université de Rennes 1, RENNES, Thèse 1994. Analysis and Mining (ASONAM), 2011 International
[33] T.F. Lunt and R. Jagannathan. A prototype real-time Conference on, 2011, pp. 377–381.
intrusion-detection expert system," in Security and [45] J. Sabater and C. Sierra. Review on Computational
Privacy, 1988 IEEE Symposium, 1988, pp. 59 - 66. Trust and Reputation Models. Artificial Intelligence
[34] B. Morin. Corrélation d’alertes issues d'outils de Review, vol. 24, no. 1, Sep. 2005.
détection d'intrusions avec prise en compte [46] S. Hamdi, A. L. Gancarski, A. Bouzeghoub, and S.
d'informations sur le système surveillé. INSA, B. Yahia. IRIS: A Novel Method of Direct Trust
Rennes, Thèse 2004. Computation for Generating Trusted Social Networks.
[35] A. Debra, T. F. Lunt, H. Javitz, A. Tamaru, and A. presented at the Trust, Security and Privacy in
Valdes. Detecting Unusual Program Behavior Using Computing and Communications (TrustCom), 2012
the Statistical Components of NIDES. Computer IEEE 11th International Conference on, 2012, pp.
Science Laboratory, SRI International, 1995. 616–623.
[36] J. Zimmermann and L. Mé. Les systèmes de détection [47] C. Perez, B. Birregah, and M. Lemercier. The Multi-
d'intrusions : principes algorithmiques. layer imbrication for dataleakage prevention from
[Link] mobile devices. TrustCom'12, pp. 1–7, Jun. 2012.
_zimmermann_me.pdf. [48] D. Liben-Nowell and J. Kleinberg. The link-
[37] C. Jia and D. Chen. Performance Evaluation of a prediction problem for social networks. J. Am. Soc.
Collaborative Intrusion Detection System. In 2009 Inf. Sci. Technol., vol. 58, pp. 1019–1031, May 2007.
Fifth International Conference on Natural [49] E. Sutter. Pour une écologie de l'information.
Computation, Tianjin, 2009, pp. 409 - 413. Documentaliste - Sciences de l'information, vol. 35,
[38] L. Mé, Z. Marrakchi, C. Michel, H. Debar, and F. n°2, 1998, p. 83-86
CUPPENS. La détection d'intrusions : les outils [50] E. Sutter. Intelligence Economique et management de
doivent coopérer. Revue de l'électricité et de l’information. Paris, Editions Tec & Doc
l'électronique, no. 5, pp. 50 - 55, mai 2001. [51] L. François, 2004. Business sous influence. Paris,
[39] K. Julisch. Clustering Intrusion Detection Alarms to Editions d’Organisation
Support Root Cause Analysis. ACM Transactions on [52] E. Delbeque. L’intelligence Economique , Paris,
Information and System Security, vol. 6, pp. 443-471, 2006. Editions PUF
[40] J. Baltazar, J. Costoya, and R. Flores. The Real Face [53] Site web sur les Hoax. [Link]
of KOOBFACE: The Largest Web 2.0 Botnet
Explained. pp. 1–18, Jul. 2009.