Résumé CyberSécurité:
Chapitre1 : Introduction à la C.S:
Données personelles :
La Cybersécurité protège un système en réseau et de données contre une utilisation
non autorisée, ainsi qu'il protège votre identité, soit offline avec laquelle on interagit
à la maison ou à l'école, ou online qui est utilisé dans les cyberspaces et ne doit
révéler qu'une quantité limitée d'informations (exemple le nom d'utilisateur ne doit
pas inclure des infos privée et ne doit pas attirer une attention indésirable)
Données d'entreprise :
Données traditionnelles
Internet of Things (IoT) et Big Data
Les objectifs de la CS sont la confidentialité, intégrité et la disponibilité.
Les conséquences d'une brèche de sécurité :
Réputation ruinée
Vol de données
Porte de chiffre d'affaire, etc.
Exemple : LastPass (Gestionnaire de mots de passe)
Guerre cybernétique :
Conflits liés à l'utilisation de l'espace cybernétique
Exemple : Stuxnet (Conçu pour endommager l'usine d'enrichissement
nucléaire de l'Iran)
Objectifs de guerre cybernétique :
Gagner l'avantage sur les adversaires
Ébranler la confiance des citoyens en leurs gouvernements.
Chapitre2 : Univers de la C.S:
Monde de la CS :
Sites web et puissances de données: La collecte et l'exploitation des données
et leur analyse ont contribués à la création de grandes entreprises (il faut
protéger ces données contre les utilisations frauduleuses)
Entreprises puissantes: comme Google, Apple et Facebook, elles
reconnaissent la puissances du Big Data et de l'analyse de données (il faut
donc prendre les précautions pour protéger les données sensible)
Criminels vs Professionnels:
Hackers (Criminels) : Groupe de criminels qui s'introduit dans les ordinateurs
et les réseaux afin d'accéder aux données
- Chapeau Blanc : détecter et aider les victimes
- Chapeau gris : détecter les failles afin d'agir parfois avec éthique, et
parfois non (Script-Kidding, Hacktivists, Testeur de vulnérabilités)
- Chapeau Noir : détecter pour avoir des profits personnel ou des intérêts
malveillantes (Cybercriminals, Hackers financés pour les
gouvernements..)
Spécialistes de la cybersécurité (Professionnels) : Les professionnels
(cybermagicians) sont des innovateurs et visionnaires qui connaissent
l'importance des données et sont contre les plans des cybercriminels et
coordonnent leurs actions à travers des BD des vulnérabilités, Système
d'alerte et le partage de l'information
Menaces de la CS:
Vulnérabilités : est une faiblesse qui rend une cible susceptible aux
attaques, et il existe plusieurs types de vulnérabilités comme :
- De configuration : comme le partage de fichiers non sécurisé, mots de
passe par défaut non modifiés ou absence de pare-feu et d'antivirus
- De logiciels : comme le Buffer overflow(dépassement de tampons) ou le
déploiement de logiciels non testés
- De matériels : comme les accès physiques non sécurisés ou les cartes à
puces, téléphones et les dispositifs IoT
- De l'utilisateur : comme l'usage d'un mot de passe faible ou de logiciels
et courriels non sécurisés
- Des réseaux : mauvaises configuration des équipements réseaux comme
le router
- Du protocole IP : comme le IP Spoofing
- Des applications : liées aux faiblesses des applications web et mobiles le
SQL Injection et Cross-site Scripting
Responsabilités :
- Au niveau personnel : tout le monde doit protéger son identité, ses
données et ses appareils informatiques
- Au niveau professionnel : chaque collaborateur est responsable de la
réputation, des données et les clients de l'entreprise
- Au niveau national, la sécurité nationale assure la sécurité et le bien-
être des citoyens (exemple : aux USA il y a la NSA, et aux Maroc la DGSSI
ou ADN)
Facteurs de croissance de la cybercriminalité:
Les attaques peuvent parvenir de l'extérieur comme de l'intérieur de l'entreprise
(Menaces Externes ou Internes)
Les vulnérabilités peuvent provenir des terminaux mobiles, l'émergence de l'IoT ou
l'impact du Big Data(conséquence de grands ensembles de données complexes)
Augmentation du nombre de professionnels :
Gérer le manque de spécialiste au CS:
Aux Usa, le NIST a créé un cadre pour les entreprises et les organisations
Catégories de magiciens de la CS:
- Exploiter et maintenir
- Protéger et défendre
- Enquêter et analyser
- Surveiller et développer
Organisations professionnelles :
- Maitre
- CERT
- FIRST
- ISC
- SANS ..
Comment devenir un professionnel :
- Étudier
- Obtenir des certificats
- Faire des Stages
- Adhérer à des associations professionnelles
Chapitre3 : Piliers de la C.S:
Cube Magique de la CS :
Cube de McCumber contient trois dimensions :
- 1ère Dimension : Objectifs de la sécurité (Confidentialité, Intégrité et
Disponibilité)
- 2ème Dimension : Les données sont présentes sous trois états( Données
enregistrées ou stockées, Données en transit, et données en cours de
traitement)
- 3ème Dimension : Types d'outils utilisés ( Technologies, Politiques et
bonnes pratiques, Personnes)
Triade CID :
- Confidentialité : consiste à empêcher la divulgation d'infos à des
personnes, des ressources ou des processus non autorisés à travers des
méthodes de chiffrement, contrôle d'accès ou authentification
- Intégrité : représente l'exactitude, la cohérence et la fiabilité des données
pendant tout leur cycle de vie à travers des méthodes comme le Hashage,
Signature numérique ….
- Disponibilité : Principe selon lequel il est nécessaire d'assure une
disponibilité en continu des systèmes et services de données à travers des
méthodes de redondance et sauvegarde ….
Etats de données :
- Données stockées ou enregistrées : comme le DAS (Stockage à connexion
directe), RAID(utilise des disques associés en baie) et le SAN(terminaux
de stockage en réseau)
- Données en transit : Émises d'un appareil à un autre soit pas le
SneakerNet, Réseau filaire ou sans fil
- Données en cours de traitement : Fait référence aux données lors de la
saisie, la modification, le calcul et la sortie à travers des processus comme
le codage/décodage, compression/décompression et le
chiffrement/déchiffrement
Mesures de la CS:
- Protection Technologique : logicielles comme les antivirus, matérielles
comme IDS/IPS, basés sur le réseau comme VPN et NAC, et dans le cloud
comme le SAAS, IAAS et les apps virtuelles
- Politiques : ensemble d'objectifs incluant des règles de comportements
des users et Admin
- Personnes : à travers les formations et la sensibilisation
Cadre de gestion de la sécurité IT:
Les professionnels de la sécurité doivent protéger les données à tous les niveaux dans
l'entreprise comme ISO/IEC qui a developpé le modèle ISO27000 en 2005 contenant
deux dérivations 27001(sert comme une liste de contrôle d'objectifs et politiques) et
27002(direction technique de la sécurité des données)
Chapitre 4 : Mécanisme de la C.S(solution):
Les principes : Confidentialité , intégrité , disponibilité.
Les 5 services (fonctions de sécurité) :
- Authentification (vérifier l'identité)
- Contrôle d'accès (vérifier le droit d'accès privé)
- Intégrité
- confidentialité
- Non répudiation (empêcher l'émetteur et le récepteur de lier)
- Confidentialité →Crypto de clé publique.
Cryptographie : Domaine de création des code de chiffrement (cryptage) en une série
d'opérations et d'étapes bien définis selon une procédure permettant de rendre un texte non
compréhensible comme :
Transposition : les caractères du texte ne sont pas changés ,mais juste
réarrangés .
Exemples : code à base des rails
TYOCRP=CRYPTO
Substitution :
→ Caractères sont remplacées par d’autres :
→Exemple : code de César (X —> X+3 )
A—>D, B—>E .
Ahmed —> D J P h G.
autre code : code de Virginée.
Masquage : Le texte clair est chiffré en utilisant une clé.
Exemple : Masque jetable
Texte : H E L L O + Clé : W M C K L modulo 26 ⇒ D Q N V R
Plusieurs services à assurer l'authentification, le contrôle d'accès et confidentialité :
Cryptanalyse : C'est le domaine d'étudier et pratiquer les moyens de déchiffrer
(casser) les codes de chiffrement sans savoir les secrets. →méthodes utilises | -
Force brute.
| - Méthode de chiffrements.
| - A partir de textes chiffrés.
| - A partir de textes chiffrées + clairs.
L'analyse fréquentielle permet de trouver à partir d’un texte chiffré, le texte
clair en se basant sur la fréquence d’apparitions des caractères selon une langue
bien définie.
Cryptologie : c’est la science de créer et casser les codes de chiffrement
cryptologie = cryptographie + cryptanalyse.
—>Classique : secret basé sur la méthode.
—>Moderne : chiffrement à clé secrète basé sur des clés ou sur des
algorithmes. Exemples : AES / DES / 3DES.
Intégrité et Authentification :
Fonctions de Hashage : prend un texte en entrée de ta pour en produire un
message de taille fixe appelé hash, elle a un sens unique cela veut dire
qu'on ne peut jamais récupérer le texte clair en partant du hash.
Deux principe de la FH : →
MDS : hash de 128 bits.
SHA.X : hash de 128 bits (x : 128,160,256,…,512)
Inconvénient principale : collision (même hash pour deux msg différents)