Introduction

L’information et le système d’information

• L’information

– "L’information est un actif qui a une valeur pour une

organisation et qui, par conséquent, doit être protégée de
manière appropriée". ISO/IEC 27002:2005
 L’information et le système d’information

• Système d'information
– Le système d'information est l'ensemble des ressources (le
personnel, le matériel, les logiciels, les procédures) organisées
pour collecter, stocker, traiter et communiquer les
informations.
 L’information et le système d’information

• Système d'information
 Les systèmes informatiques

• Un des moyens techniques pour faire fonctionner un

système d’information est d’utiliser un Système
Informatique

• Les systèmes informatiques sont au cœur des systèmes

d'information.
 La sécurité des systèmes informatiques

• Les systèmes informatiques sont logiquement la cible de

ceux qui convoitent l'information.

Assurer la sécurité de l'information  Assurer la sécurité

des systèmes informatiques.
Quels sont les risques?
 Aspects de la sécurité

• Vulnérabilité:
– Faiblesse dans le système, qui peut être exploitée par une
menace.
• Menace:
– Evénement, d’origine accidentelle ou délibérée, capable s’il se
réalise de causer un dommage au sujet étudié.
• Risque:
– Association d’une menace aux vulnérabilités qui permettent sa
réalisation.
 Aspects de la sécurité
Actions exécutées pour casser les
services de la sécurité en
détournant les mécanismes

Fonctionnalités Moyens utilisés pour

requises pour assurer assurer les services de
un environnement la sécurité en luttant
sécurisé en faisant contre les attaques
appel aux mécanismes
 Qu'est-ce que la sécurité informatique ?
Aspects de la sécurité: services
• La sécurité informatique
consiste en la protection
– des systèmes,
– de l'information et
– des services
Confidentialité
• contre les menaces
– accidentelles ou
– délibérées
Intégrité BD
• atteignant leur BD
– confidentialité
– intégrité
Disponibilité
– Disponibilité
– …

10
 La sécurité informatique: Définition

• La sécurité informatique, est l’ensemble des moyens

techniques, organisationnels, juridiques et humains
nécessaires à la mise en place de moyens visant à
empêcher l'utilisation non-autorisée, le mauvais usage,
la modification ou le détournement du système
d'information.
 Objectifs de la sécurité

• la confidentialité des données,

• l’intégrité des données,
• la disponibilité des données,
• la non répudiation des transactions,
• l’authentification des utilisateurs,
• l’authentification de l’origine des données,
• le contrôle des accès.
 Objectifs de la sécurité
 Confidentialité
 La confidentialité identifie la sensibilité de l'information ou
des biens à une divulgation non autorisée.

• Menaces : • Contre-mesures :
– Ecoute du réseau – Chiffrement
• Interne • Des données
• Externe • Des communications
– Vol de fichiers – Contrôle d'accès
• Données • Logique (mot de passe)
• Mots de passe • Physique (biometrie)
– Espionnage – Classification des actifs
– Ingénierie sociale – Formation du personnel
 Objectifs de la sécurité
 Intégrité des données
 L’intégrité est l'exactitude et l'intégralité des renseignements et
des biens ainsi que l'authenticité des transactions.

• Menaces : • Contre-mesures :
– Attaques malicieuses – Cryptographie
• Vers, virus • hachage
– Désinformation – Systèmes de détection
• Erreurs humaines • Antivirus, systèmes de
détection d'intrusion
(IDS)
– Politique de sauvegarde
 Objectifs de la sécurité
Disponibilité des données
La disponibilité est l'accessibilité d’un système d’information ou
des données qu’il contient, au moment opportun, pour exécuter
certains processus.
• Menaces : • Contre-mesures :
– Attaques malicieuses – Pare-feu
• Denis de services – Systèmes de détection
• SPAM d'intrusions
– Attaques accidentelles – Clustering
• Le "Slashdot effect" – Formation des administrateurs
• Pannes
 Objectifs de la sécurité

• Non répudiation des transactions

– Qualité d’un système qui permet d‘imputer de façon certaine une
opération à un utilisateur à un moment donné
• Impossibilité pour un correspondant de nier avoir reçu ou émis un
message : signature électronique
• Les solutions s’appuient sur le chiffrement à clés publiques

• Authentification des utilisateurs

– L’authentification des utilisateurs définit des mécanismes et des
processus qui sont utilisés pour identifier, avec un niveau de
certitude déterminé, l’identité d’un utilisateur d’un système
d’information.
 Objectifs de la sécurité

• Authentification de l’origine des données

– L’authentification de l’origine des données définit des
mécanismes et des processus qui sont utilisés pour identifier,
avec un niveau de certitude déterminé, la source d’une donnée
stockée dans un système d’information.
• Contrôle des accès
– Le contrôle des accès aux informations contenues dans un
système d’information d’une organisation devrait être établi en
fonction de ses objectifs et de ses obligations.
 Types d’attaque

• Les attaques ne viennent pas seulement de l’extérieur!

• Le pourcentage n’est pas vraiment indicatif
 Types d’attaque
• Attaques passives :
– consistent à écouter ou copier des informations de manière
illicite
• Attaques actives :
– consistent à altérer des informations ou le bon fonctionnement
d’un service
• Attaques dues aux accidents :
– (<30% des causes) incendies, inondations, pannes
d’équipements, catastrophes naturelles. . .
• Attaques dues à la malveillance :
– (>60%, en croissance, souvent d’origine interne)
– Vols d’équipements, copies illicites, sabotage matériel, attaques
logiques, intrusion et écoute, actes de vengeance. . .
 Types d’attaque
Type Propriétés
d'attaque visées

interception confidentialité

interruption disponibilité

injection Intégrité

modification Confidentialité
Intégrité

fabrication authenticité
 Type des attaquants : par compétence

• Script Kiddy
– 90% playstation 9% clickomane 1% intelligence
– utilise ce que font les autres
• Amateur
– Failles connues
– Failles web
• Professionnel
– En équipe
– Avec beaucoup de moyens (financiers, techniques, parfois
– préparatoires)
– 0days possibles, voire courants.
 Type des attaquants : par compétence
(Professionnels)
• Elite Hackers
– Hacking: Accès sans autorisation
– “Cracking” versus “hacking” ?
– Expertise technique et persistance
– Utilisation de script pour automatiser les attaques
• White hat hackers
– Est illégal
– Pénètre les systèmes et informe les gestionnaires du trou de sécurité
• Black hat hackers
– N’informe pas les gestionnaires des trous de sécurité
• Gray hat hackers
– se promènent entre les deux
 Type des attaquants : par compétence
(Professionnels)
• Un cracker
– pirate informatique spécialisé dans le cassage des protections.
– RFC1392 définit un cracker comme un individu cherchant à
accéder à un ordinateur sans en avoir l'autorisation.
• Un carder
– un Hacker spécialisé dans le piratage des cartes de crédit et des
Guichets automatiques bancaires.
• Phreaker
– Le terme phreaker vient de phone freak
– Pirate informatique s'attaquant, via Internet, aux réseaux de
télécommunications.
– téléphoner gratuitement.
 Type des attaquants : par objectif

• L’argent
– piratage volumétrique
– cryptolocker/cryptominage
• Hacktiviste
– "Terroriste"
– Anonymous
• Espions
– Etatique
– Industriel
–…
 Évolution des attaquants

• Les meilleurs pirates sont bien meilleurs qu’avant

– plus psychologues (Social Engineering, virus)
– plus pragmatiques (Efficacité, Argent)
– Plus techniques.
• Les autres sont toujours faibles.
 Attaquant et connaissances

• Plus besoin d’être un expert pour lancer des attaques

• Les outils de sécurité permettent à des pirates de lancer des attaques avec
peu de connaissances techniques
 The world's largest cyberattacks

• April 2011, Sony’s PlayStation Network.

– the personal data of 77 million users which was leaked
• October 2013 Adobe.
– 2.9 million accounts was stolen (logins, passwords, names, credit card
numbers and expiration dates). (certains disent 150 millions)
• Jan 2014, South Korea
– data from 100 million credit cards had been stolen over several years.
– In addition, 20 million bank accounts had also been hacked
• Dec 2013, Target, the second-largest US discount retail chain
– Data from 110 million customers was hijacked between November 27
and December 15 including banking data of 40 million customers
– and personal data (names, postal addresses, telephone numbers, and
email addresses) of another 70 million customers.
 The world's largest cyberattacks

• Jul 2017 Equifax, an American credit company,

– personal data (names, birthdates, social insurance numbers, drivers
license numbers) of 143 million American, Canadian and British
customers
– 200,000 credit card numbers
– revealed (first six weeks after the fact),
• August 2014, the IT security company Hold Security revealed
– Russian hackers had stolen 1.2 billion logins and passwords on 420,000
websites around the world.
• 2014, Yahoo!
– 500 millions user accounts
 Les attaques : en temps réel
• [Link]
 Économie: quelques chiffres

• Phreaking téléphonique :
– 2 000 - 70 000 € par attaque réussie
• Vol d’identité
– Perte estimée pour le vol d’une identité : 400 € (bénéfice pour le
pirate : entre 50 et 100 €))
• En 2007, l’estimation des pertes dues à la cybercriminalité
était de plus de 1 milliard par an.
• Depuis 2007 C.A. cybercriminalité > C.A. drogue. 2018 : 600
milliards $
• 30% des américains ont acheté après un spam
 Pirates célèbres

• Kevin Mitnick
– 3 livres et un film
– Il a commencé par pirater des réseaux téléphoniques, il a
attaqué les machines de Tsumotu Shimomura au San
Diego Supercomputing center.
– Il a pénétré les serveurs du Well et accédé au mails de
John Markoff, journaliste
– Il a été arrêté avec l’aide de Shimomura et à la
coopération du Well
– Il a fait 5 ans de prison, il est maintenant consultant
 Pirates célèbres

• Kevin Poulsen :
– L’actuel rédacteur en chef du magazine Wired
– Dès 1983, alors qu’il n’a que 17 ans, ses premières
intrusions dans différents réseaux lui causent quelques
problèmes avec la justice américaine.
– Il continue ses activités illégales jusqu’à son arrestation
par le FBI, en avril 1991.
– Il a été condamné en 1994 à près de 4 ans de prison
ferme.
 Pirates célèbres

• Adrian Lamo (1981-2018):

– On lui attribue toutes sortes d’intrusions et violations des
systèmes de sécurité dans les entreprises.
– Cet homme est certainement celui qui a rendu fou le plus
grand nombre d’administrateurs réseau. De Microsoft à
Yahoo en passant par Sun Microsystems, MacDonald’s,
Cingular, AOL ou encore le New York Times.
– En 2010, Adrian Lamo est impliqué dans le scandale
Wikileaks impliquant Bradley Manning qui a été arrêté
après que Lamo l'eut dénoncé aux autorités fédérales

Adrian Lamo, Kevin Mitnick et Kevin Poulsen

 Pirates célèbres

• Vladimir Levin
– En 1994, Levin s’est infiltré sur le réseau interne de la
banque américaine Citibank.
– Il est parvenu à transférer la somme de 10,7 millions de
dollars vers des comptes aux Etats-Unis, en Finlande, en
Allemagne, en Palestine et en Hollande.
– Trois complices, qui ont été chargés de récupérer l’argent
une fois dérobé
 Pirates célèbres

• C0mrade (Jonathan James) 1983-2008,

– Les 29 et 30 juin 1999 le jeune pirate (16 ans). a semé la
pagaille au sein de la NASA, le tout à partir d’un simple
ordinateur équipé d’un Pentium 266.
– Il s’est introduit en brisant le mot de passe d’un serveur de
l’agence gouvernementale situé en Alabama.
– Il parvient à dérober plusieurs fichiers, notamment le code
source de l’International Space Station(une base spatiale).
L’évolution des risques
L’évolution des risques
 Anonymous (collectif)

• Anonymous is a decentralized international hacktivist group that is

widely known for its various DDoS cyber attacks against
several governments, government institutions and government
agencies, corporations, and the Church of Scientology.
 Politique de sécurité

• Définition
– Les politiques de sécurité sont des énoncés généraux
dictées par les cadres supérieurs décrivant le rôle de la
sécurité au sein de l'entreprise pour assurer les objectifs
d'affaire.
– Pour mettre en œuvre ces politiques, une organisation doit
être mise en place.
– Définition des rôles, des responsabilités et des
imputabilités
 Politique de sécurité

• Compromis sécurité - fonctionnalité :

– Définir les besoins.
• Déterminer les actifs à protéger et leurs propriétaires
– Quelles sont leurs valeurs ? Quelles sont leurs criticités ? Quelles
sont leurs propriétés ?
• Déterminer les menaces représentant des risques
– Quels sont les acteurs ? attaqueurs ? Quels sont leurs moyens ?
• Déterminer les objectifs à atteindre
– Quelles sont les propriétés des actifs à protéger ?
– Proposer une solution.
• Déterminer les contre-mesures à mettre en place
– Evaluer les risques résiduels.
• Déterminer quelles sont les vulnérabilités toujours présentes
• Déterminer leurs impacts sur les objectifs initiaux
 Politique de sécurité

Comment rédiger une PSSI ?

•Quels sont les biens essentiels de l’organisme ?
•Quels sont les biens support de ces biens essentiels ?
•Quelles sont les vulnérabilités de ces biens support ?
•Quels sont les sources de menaces ?
•Quels sont les impacts ?
•Quelles sont les vraisemblances ?
•Quels sont les risques ?
 Politique de sécurité: Définitions
• Bien essentiel (Primary asset)
– Ressource ayant une valeur pour l’organisme, Elle peut être
matérielle (composant) ou immatérielle (données, processus)
– Elle est en général "portée" par un bien support
– par exemple : Liste de clients, Données, Capacité à fournir de
l’accès Internet, Fournir des diplômes.
• Bien support
– Bien sur lequel reposent les biens essentiels
– Il peut être matériel (serveurs informatiques, local, personne,
etc.) ou immatériel (organisation, système d’information,
programme)
– Il a des vulnérabilités par exemple (Prestataire, Administrateur
système, Réseau, Site web)
 Politique de sécurité: Définitions
• Source de menaces
– Entité physique qui rend possible la réalisation d’un risque. Cette
entité est dotée
• d’un type (humain ou environnemental)
• d’une expertise
• d’une motivation
• de ressources
– par exemple (un concurrent, un ancien expert du service
informatique licencié, un virus informatique.).
• Vulnérabilité
– fragilité d’un bien support pouvant entrainer la mise en défaut
d’un besoin de sécurité d’un bien essentiel.
– par exemple: (faille dans un serveur web, corruptibilité d’un
employé, inconscience technique d’un personnel, …)
 Politique de sécurité: Définitions
• Vraisemblance
– Probabilité de survenue d’un scenario de menace
– par exemple
• minime : ne devrait pas se produire
• significative : pourrait se produire
• forte : devrait se produire d’ici quelques temps
• maximale : devrait se produire bientôt
• Impact
– Conséquences d’un non respect des besoins de sécurité d’un
bien essentiel.
– Directes ou indirectes
– sur l’organisme ou son environnement (partenaires, etc.)
– par exemple
• perte de crédibilité internationale, perte d’un marché, perte d’un partenariat,
arrêt du processus de paye, inondation de la salle machine
 Les normes sécurité

• Pourquoi ?
– Besoin de définir des bonnes pratiques (pas de notion
d’absolu !)
– Besoin de parler de la même chose
– Besoin de certification (évaluation) commune
• Evaluation des hommes (pour le recrutement)
• Evaluation des entreprises (pour la publicité, ou les cercles de
confiance)
– Appliquer à la sécurité les principes de la qualité
 La norme ISO 27000

• S’occupe des définitions et du vocabulaire

• Publiée en 2009 et révisée en 2012
• Ne donne pas lieu à une certification
• Permet de parler de la même chose
– Risque ?
– Menace ?
– Vulnérabilité ?
 Normes ISO 27001

• Modèle cyclique « PDCA » en 4 étapes :

– Phase Plan : planification des actions à entreprendre en terme
de sécurité
– Phase Do : réalisation des actions planifiées
– Phase Check : vérification de l'adéquation entre les dires et les
faits
– Phase Act : mise en œuvre des actions correctives concernant
les écarts mis en évidence
 La norme ISO 27001

• Mise en place d’un SMSI (Système de Management de

la Sécurité de l’Information)
• Publiée en 2005, révisée en 2013
• Donne lieu à une certification d’organisme
• C’est quasiment une méta-norme qui référence les
autres
• La sécurité c’est "ni trop, ni trop peu"
• En aout 2007 : 5 certif françaises, 73 allemandes, 2280
japonaises
 La norme ISO 27002

• Ensemble de bonnes pratiques de la sécurité

– ex norme ISO 17799
– 133 mesures à prendre (mais pas toutes, car pas toujours
adaptées !)
– 11 chapitres
– 39 objectifs
Exemple ISO 17799
 La norme ISO 27005
• Tout ce qui tourne autour de la gestion du risque
informatique.
• Ne donne pas les solutions pour diminuer le risque (les
autres normes s’en chargent)
• Intégré dans la norme ISO31000 (gestion du risque
global).
• Donne lieu à une certification individuelle
• En concurrence avec les méthodes Mehari, Ebios
• Définition de mesures de risques
• Définition de scénarii de menaces
 Les principales méthodes "du marché"

• Méthodes Françaises
– MEHARI
– EBIOS
– Autres : MARION , MELISA, ...
• Méthodes Internationales
– OCTAVE (CERT)
– CRAMM
• Autres normes
– ISO 27001 : Gestion de la sécurité (BS 7799 partie2)
– ISO 15408 : Critères Communs (certification, TCSEC,
ITSEC)
– ISO 15947 : Projet de norme sur les détection d'intrusion
– ISO 19011 : Audit
 Les méthodes Françaises

• EBIOS (Expressions des Besoins et Identification des

Objectifs de Sécurité)
– [Link]
– Mise en place et maintenue par l'ANSSI (Agence Nationale de la
Sécurité des Systèmes d'Information)
– anciennement la DCSSI (Direction Centrale de la Sécurité des
Systèmes d'Information)
– [Link]
– [Link]
 Les méthodes Françaises

• MEHARI (MEthode Harmonisée d'Analyse de Risques)

– Mise en place par le CLUSIF (Club de la Sécurité de
l'Information Français)
– [Link]
– [Link]
%C3%A9e_d'analyse
– [Link]
%C3%A9thode_MEHARI
– Risicare : logiciel de modélisation du risque payant
mettant en œuvre la méthode Méhari
([Link]