YT YouTube2Text

YouTube2Text → Transcripts → 03c - Mesures de securite

03c - Mesures de securite — Transcript

by CNAM RSX112 · 7,711 words · 1,307 segments · language en · Watch on YouTube

Open in transcriber Summarize with AI Download SRT/VTT

Full transcript

0:01évoquons maintenant les impacts
0:05donc revenons sur la terminologie iso
0:0827000 donc les menaces exploite les
0:12vulnérabilités pour créer un impact qui
0:14cause un préjudice à l'organisme
0:18quelle est la définition de l'impact
0:21l'impact selon la norme iso 22000 300
0:24donc c'est le résultat d'une
0:26perturbations affectant les objectifs
0:29alors cette définition n'est pas dans la
0:33série no 27 mille parce qu'en fait elle
0:35fait partie de l est pas spécifique au
0:37domaine informatique elle fait partie de
0:40la série de normes iso iso 22000 300 qui
0:43traite de la continuité de l'activité
0:45donc les systèmes de management de la
0:47continuité d'activité et donc dans la
0:49première norme de cette série les
0:51exigences la norme 22300 c'est là qu'on
0:54va trouver la définition de
0:56l'impact
0:59exemple d'impact potentiel sur une
1:02entreprise une atteinte à la réputation
1:04une atteinte à l'image de l'entreprise
1:07donc ce qui peut être extrêmement grave
1:09pour les entreprises dont le métier est
1:11basée sur la réputation par exemple les
1:13banques
1:14un impact d'ordre juridique et
1:17réglementaire ou contractuels un impact
1:20potentiellement un impact financier
1:22perte de chiffre d'affaires des lits
1:24dans les commandes pénalités
1:25contractuelles
1:26ou bien des coûts supplémentaires
1:28engendrés
1:30un vol de données avec un impact au
1:32niveau du rgp dès
1:34la perte ou le mécontentement de clients
1:37et également des retards dans les
1:41objectifs ou dans la mise en oeuvre du
1:42plan stratégique de l'entreprise
1:48pour évaluer l'impact que pourra avoir
1:51une une attaque sur une entreprise on
1:54réalise ce qu'on appelle un pays à en
1:56anglais business impact analysis et donc
1:59qu'ils sont arrivés à garder le même
2:00acronyme en français en français ont
2:02traduit sa part bilan d'impact sur
2:04l'activité
2:05donc le bia la définition qui est
2:08toujours un norme iso 22000 300 sur la
2:10continuité d'activité lembeye as un
2:13processus d' analyse de l'impact dans le
2:16temps d'une perturbation sur un
2:18organisme le résultat du bea est un
2:21inventaire des exigences de continuité
2:22d'activité et leur justification
2:29le bia analyse la criticité des
2:32fonctions de l'organisme
2:33les menaces et les conséquences de la
2:35perte de ses fonctions et ses traités
2:38c'est abordé par les standards iso
2:41suivant le iso 22000 300 pour les
2:44exigences en termes de continuité
2:46d'activité est également le standard iso
2:4822000 317 qui contient les lignes
2:52directrices pour l'analyse d'impact sur
2:54l'activité
2:59quel est l'objectif d'un biya en
3:01entreprise l'objectif d'un beya c'est de
3:03rétablir les choses suivantes tout
3:06d'abord dressé un inventaire des
3:08personnes des processus des systèmes
3:10critiques et de leurs dépendances
3:12en déduire l'ordre de priorité de remise
3:15en service lorsqu'un problème majeur se
3:17produit comme par exemple la perte d'un
3:18bâtiment d'un data center etc
3:22ensuite les terminer l'objectif de temps
3:25de rétablissement des services qu'on
3:26appelle en anglais le rt au le recovery
3:29time objective
3:30et l'objectif du point de récupération
3:33ou recovery point objective
3:36le rpo c'est la quantité de données
3:38maximale qu'on a perdu lorsqu'on a
3:41rétabli le service donc la durée
3:43maximale de perdre de données
3:44admissibles une fois le service rétabli
3:47et enfin le temps maximum d'arrêt
3:51autorisé qu'on appelle en anglais le mât
3:53est made et le maximum la world in time
4:00donc dans ce schéma on voit la
4:02différence entre ert au rpo 1
4:05donc là on a un système qui fonctionne
4:07de manière nominale on a une sauvegarde
4:09la dernière sauvegarde qui est faite à
4:11ces instants là et puis on a un incident
4:13par exemple la perte d'un datacenter
4:14donc le système est arrêté le système
4:17critique est arrêté et au bout d'un
4:19moment on va pouvoir le redémarrer en
4:22mode dégradé
4:24et jusqu'au moment où il y aura une
4:26europe du service nominale donc cela
4:30durée d'interruption ici entre le moment
4:32où l'incidence déclenché le service est
4:33arrêté et le service air est
4:35complètement rétabli c'est le 1er théo
4:37l'objectif de temps de rétablissement et
4:39quand on a rétabli le service évidemment
4:41on a pas on a perdu une
4:44apparente restaurer une sauvegarde et
4:47donc on a perdu une certaine quantité de
4:48données puisqu'on à restaurer le système
4:50dans l'état du dernier point de
4:52sauvegarde donc on a perdu les données
4:54entre le dernier point de sauvegarde et
4:57le moment où l'incident se déclencher et
4:59donc ça c'est ce qu'on appelle le rpo
5:00c'est la quantité de données qu'on a
5:02perdu lorsqu'on a rétabli complètement
5:04le service pour certains services
5:06critiques on souhaite également que le
5:08rpo soit à zéro mais dans ce cas ça
5:11nécessite des techniques très
5:12particulière qu'on verra quand on
5:13étudiera les techniques de haute
5:15disponibilité
5:21en plus du business impact assessments
5:24il peut être nécessaire d'effectuer un
5:26privacy impact assessments appelé
5:29également pays et donc le privacy impact
5:32assessments on va voir que c'est quelque
5:34chose qui est d'ailleurs maintenant est
5:34obligatoire avec le gpd quand vous
5:36manipuler les données personnelles donc
5:38la définition du pays à qui est dans la
5:41norme iso 29990 4,7 un processus global
5:45visant à identifier analyser évaluer
5:48consulter communiqué est planifié le
5:51traitement des impacts potentiels sur la
5:53vie privée au regard du traitement des
5:55données à caractère personnel dans le
5:57cadre plus large du système de
5:58management des risques d'un organisme
6:04au sein d'un billard le paya doit être
6:07entreprise si l'application traitent des
6:09données à caractère personnel donc en
6:11anglais des personnalités identifiées
6:12vol d'informations donc des données
6:15sensibles liées à des personnes
6:17c'est-à-dire des personnes physiques
6:18donc par exemple des photos des
6:20informations sur les personnes leurs
6:22origines raciales ou ethniques leur
6:24casier judiciaire leur état de santé etc
6:31le pays est obligatoire a été rendue
6:34obligatoire par le hair gpd dans le r
6:37gpd il s'appelle pas payant mais des
6:38payants
6:39à ta protection impact assessments mais
6:41bon ça revient au même en ce qui nous
6:42concerne et c'est l'article 35 du rgp
6:45des qui rend obligatoire donc le pays a
6:48appelé des pays acp lorsque le
6:50traitement est susceptible d'engendrer
6:52un risque élevé pour les droits et la
6:54liberté des personnes donc dans les cas
6:56suivants une évaluation systématique
6:58approfondie des aspects personnels
6:59concernant une personne y compris son
7:02profil âge le traitement à grande
7:04échelle de données sensibles ou la
7:06surveillance systématique grande échelle
7:08deux ans accessible au public dans ce
7:09cas là il faut faire un pays où un des
7:12pires
7:16si vous souhaitez en savoir plus sur le
7:19pays à vous pouvez consulter ses
7:21différents guides donc le guide péi a dû
7:25de la sc le gendarme de la bourse
7:27américain le guide de la cnil qui a
7:30également qui met à disposition un outil
7:32pour réaliser un pays acp et des guides
7:35également qui explique comment le
7:36conduire
7:38il ya également un guide de lycées oki
7:41éléments de la cnil en grande bretagne
7:43l'information commissioner's office est
7:46également un guide du gouvernement
7:48australien qui est disponible à saturer
7:54évoquons maintenant le plan de
7:56continuité d'activité le pca en anglais
7:59le business continuity plan ou pcp alors
8:02cette fois ci j'ai pris une définition
8:03qui est pas dans une norme iso mais qui
8:05dans le règlement 97 02 du comité de la
8:08réglementation bancaire et financière
8:09français
8:11donc le bcp c'est l'ensemble des mesures
8:14qui visent à assurer selon divers
8:17scénarios de crise y compris face à des
8:19chocs extrêmes le maintien le cas
8:21échéant de façon temporaire selon un
8:22mode dégradé des prestations de service
8:25ou d'autres tâches opérationnelles
8:26essentielles ou importante de
8:28l'entreprise puis la reprise à planifier
8:31des activités
8:35la partie informatique du bcp est ce qu
8:39on appelle souvent le plan de reprise
8:41d'activité le paiera ou en anglais le
8:43disaster recovery plan ou des herbes et
8:45donc c'est une partie qui est le plus
8:48souvent focalisé sur le système
8:49d'information et qui décrit l'ensemble
8:51des processus de reprise après une
8:53interruption partielle ou totale suite à
8:56un sinistre important par exemple une
8:57catastrophe majeure un incendie un dégât
8:59des eaux une coupure de courant des
9:01accidents considérable de la
9:03cybercriminalité et c est donc dans lé
9:07dr p par exemple on va envisager la
9:09bascule de tout ou partie du système
9:10d'information sur un datacenter distant
9:12ou bien une réinstallation partielle ou
9:16complète en fonction des besoins dans le
9:18drp on va également documenté les
9:21procédures de sauvegarde de restauration
9:22et surtout comment on va tester les
9:25sauvegardes
9:35quelle différence entre un plan de
9:37continuité et un plan de reprise
9:39d'activité la différence n'est pas très
9:41clair pour tous les acteurs mais le plus
9:45souvent on considère que le plan de
9:46reprise d'activité qui explique comment
9:48réagir face à une catastrophe majeure et
9:50un plan qui est réactif en temps de
9:52crise et donc les plus opérationnelles
9:54que le pca qui lui est un peu plus
9:56préventif le pca c'est souvent un
9:59monument de 500 pages qui détaille
10:01comment améliorer la disponibilité des
10:03ressources critiques et en fait on
10:04hésite souvent l'entreprise a déclenché
10:07le pca parce que il ya vraiment des
10:10mesures assez drastiques dedans et donc
10:12le plus souvent on s'aperçoit que les
10:13entreprises déclenché des éléments du
10:15pca mais pas le pc à lens en intégralité
10:18parce que tout simplement c'est un peu
10:20trop lourd il n'y a pas besoin de tout
10:21ce qui est indiqué dedans donc du fait
10:25de cette ambivalence entre pca et paiera
10:28en france il a été décidé récemment de
10:31fusionner les deux termes dans une
10:32nouvelle définition qu'on appelle le
10:34plan d'urgence et de poursuite
10:36d'activité le pup a
10:38donc le plan d'urgence et de poursuite
10:40d'activité c'est un nouveau terme qui
10:42est spécifique à la france qui a été
10:44introduit dans un arrêté du 3 novembre
10:462014 relatif au contrôle interne des
10:48entreprises du secteur bancaire et qui
10:51transpose en droit français une
10:52directive de l'union européenne de 2013
10:54la directive crd 4 donc la définition du
10:59plus passer quasiment la même définition
11:00que que le pcp précédemment avec
11:04simplement une ligne ajoutée à la fin
11:06donc c'est l'ensemble des mesures visant
11:08à assurer selon divers scénarios de
11:10crise y compris face à des chocs
11:12extrêmes le maintien le cas échéant de
11:14façon temporaire selon un mode dégradé
11:16des prestations de service ou d'autres
11:18tâches opérationnelles essentielles ou
11:19important de l'entreprise assujettis
11:21puis la reprise planifier des activités
11:23et à limiter ses pertes
11:29une citation amusante du à darwin qui
11:32s'occupait de la sécurité chez dow
11:33chemical
11:34c'est le fait que pour intéresser le
11:37management à un plan de reprise
11:38d'activité la meilleure solution
11:40consiste à incendier le bâtiment qui se
11:42trouve en face
11:43de l'autre côté de la rue
11:45autre citation qui ont trouvé dans une
11:48étude garner de 1996 c'est le fait que
11:51deux entreprises sur cinq confronté à
11:53une catastrophe majeure sont incapables
11:55de s'en remettre et parmi les rescapés
11:56un tiers aux faillites dans les deux
11:58années qui suivent
12:03aller plus loin vous pouvez consulter
12:05ses différentes ressources d'abord des
12:08documents qui concernent les états unis
12:09au niveau du gouvernement fédéral sur le
12:12site ready point gov on trouve un
12:13ensemble de documents concernant le bcp
12:15le bia
12:16le dr p etc il ya également un stand
12:20harnist qui concerne ces sujets qui est
12:22la spéciale publication 834
12:25au niveau de la supervision bancaire
12:27américaine on trouve également des
12:29documents émis par le nc uhaina charles
12:31credit union l'administration
12:33est également donc des manuels
12:37d'instruction
12:38émis par le ffs est qui et qui
12:43est un organisme qui s'occupe également
12:45de l'instruction des institutions
12:47financières quant aux risques
12:48informatiques donc c'est un site est
12:51très bien fait il doit notre plainte a
12:52qui font tout un tas de manuel
12:54gratuitement sur les différents sujets
12:56relatifs en informatique et est donc il
13:00traite notamment de ses sujets il ya
13:01également une association
13:02professionnelle qui s'appelle dr sy
13:04point org qui traite également des
13:07problèmes de disaster recovery mais qui
13:09fournit également toutes sortes document
13:11sur ce sujet
13:14en france il ya un guide pca disponible
13:18sur le site du sgdsn secrétariat général
13:21de la défense et de la sécurité
13:22nationale qui explique donc comment
13:25entreprendre comment rédiger un pca et
13:29il ya également un autre un autre guide
13:32qui est sur le site du ministère de
13:34l'économie
13:35sur entreprises point gouv.fr
13:38il ya un référentiel de bonnes pratiques
13:40de l'afnor pour le pca qui a également
13:43été rédigé et est disponible à cette url
13:46est également un plan de continuité
13:48d'activité pour les pme pmi de la région
13:50centre qui a été rédigé en 2010
13:53et si ça vous intéresse de vous
13:55renseigner sur ce qui se passe en
13:57belgique il ya également le superviseur
14:01bancaire donc la banque nationale de
14:02belgique a émis une circulaire à la
14:04circulaire ppb 2005 du 10 mars 2005
14:07concernant les saines pratiques de
14:08gestion visant à assurer la continuité
14:11des activités des institutions
14:12financières et vous trouverez donc les
14:15exigences en termes de régulations
14:18concernant les sujets de continuité et
14:20de reprise d'activité en belgique à ces
14:23url
14:29évoquons maintenant la gestion des
14:31risques informatiques
14:37qu'est ce qu'un risque
14:39définition d'un risque dans la norme iso
14:4127000 c'est l'effet de l'incertitude sur
14:44les objectifs un risque est souvent
14:46exprimé en termes de combinaisons des
14:48conséquences d'un événement et de sa
14:50vraisemblance
14:51le risque lié à la sécurité de
14:53l'information est associée à la
14:55possibilité que des menaces exploite des
14:57vulnérabilités de l'actif ou d'un groupe
14:59d' actifs informationnels et nuisent
15:01donc à un organisme
15:06dans la vie réelle la sécurité dépend de
15:09la valeur des objets protégés et des
15:11mesures de sécurité qui ont été prises
15:13pour protéger l'objet en question donc
15:15par exemple on va déployer des verrous
15:18des serrures multiples avec des
15:20temporisateurs des coffres va utiliser
15:22de l'acier du béton des systèmes d'armes
15:24dès que les multiples et c'est une
15:26protection parfaite coûte très cher et
15:28elle jeunes utilisateurs par ces
15:30inconvénients parce qu'il ne peut pas
15:31accéder à aux objets protégés aussi
15:34facilement que s'il est à disposition
15:35immédiatement en pratique le coût de la
15:39protection est comparé aux risques de
15:40pertes et donc la formule qu'on utilise
15:43pour souvent pour évaluer le risque
15:45c'est une pondération de l'impact on les
15:49répare la probabilité que l'incident de
15:51sécurité surviennent
15:55pour évaluer le risque on va donc
15:58prendre en compte la probabilité d'un
16:00incident et son impact alors cette cette
16:03gestion des risques est pas spécifique à
16:05l'informatique on peut avoir exactement
16:06les mêmes considérations quand on traite
16:09du risque sanitaire
16:10et de n'importe quels risques dans la
16:13vie mais on va voir ensuite comment on
16:14décline sa sur la sécurité informatique
16:18donc évidemment quand on a un
16:21un
16:22incident qui a un impact très élevé et
16:25une probabilité très élevée on a affaire
16:27aux risques critiques ou catastrophique
16:28et donc c'est pas une situation enviable
16:30et donc l'idée c'est de se rapprocher
16:31ici soit en diminuant la probabilité
16:34qu'un accident survienne soit en
16:36diminuant son impact
16:38donc on peut construire comme ça ce
16:40qu'on appelle une itt map en anglais une
16:42cartographie des zones de chaleur on va
16:44dire et on peut arriver ainsi à haute
16:47définition suivante du risque donc un
16:49risque critique par exemple en sécurité
16:51informatique ce serait un risque qui
16:53permet d'obtenir un accès privilégié sur
16:55un équipement ou un serveur
16:56d'exploitation facile sans avoir besoin
16:59d'une intervention manuelle d'un
17:00utilisateur
17:01à risque élevé c'est une vulnérabilité
17:03qui est plus difficile à exploiter
17:05pouvant aboutir à une élévation
17:06privilège un vol de données ou une
17:08interruption de service à risque moyen
17:10ce serait une vulnérabilité qui
17:12nécessite de manipuler une victime via
17:14l'ingénierie sociale dont deux lunes
17:16nécessite que que de faire faire quelque
17:19chose à l'utilisateur d'être sur le même
17:21réseau local que la victime qui
17:23nécessitent un accès privilégié où qui
17:25nous fournit qu'un accès limité ou un
17:26déni de service difficile à mettre en
17:28oeuvre un risque faible ce serait une
17:30vulnérabilité qui nécessitent un accès
17:32local ou physique au système sans impact
17:35significatif sur l'activité de
17:36l'entreprise et enfin il ya des des
17:40des améliorations qu'on peut faire au
17:42niveau de la sécurité qui ne sont pas
17:45forcément liés à un risque c'est ce sont
17:47des éléments pour information qui sont
17:48en fait des mauvaises pratiques sans
17:50impact sur la sécurité mais qui devrait
17:52être corrigé pour améliorer
17:53l'application
17:58voici une autre manière de représenter
18:01le risque en faisant un graphique en
18:04mettant son parent de son axe des ziks
18:05la probabilité d'occurrence
18:07elle son axe d y à l'impact est donc on
18:10va déterminer l'appétit d'une entreprise
18:13au risque puisque différentes
18:15entreprises peuvent prendre des risques
18:17différents
18:18en fonction de leur secteur d'activité
18:20de est le soin une start up ou est ce
18:22que c'est une entreprise plus établis
18:24qui fait attention à sa réputation et c
18:26est donc une manière de tourner cette
18:29formule c'est 2 de faire passer par
18:32exemple probabilité de l'autre côté de
18:34l'équation et on va regarder la risque
18:36constant comment évolue la courbe ici et
18:39donc ça veut dire qu'un pacte c'est égal
18:41à risque / probabilité donc si le risque
18:44constant à risque constant en fait on a
18:47affaire à une hyperbole c'est
18:49l'hyperbole 1 sur x et c'est pour ça que
18:50cette courbe à cette tête là donc on va
18:53dire que en deçà de cette courbe on a
18:56affaire à la zone de risque acceptable
18:57pour un organisme évidemment encore une
19:00fois ça dépend de l'activité de
19:01l'organisme en question donc différente
19:03du chant organismes différentes
19:05entreprises auront d appétit pour le
19:08risque différent et par contre si on est
19:11au dessus de cette courbe et bien on est
19:13dans une zone de risques inacceptables
19:14et donc il va falloir trouver d une
19:17technique pour diminuer le risque donc
19:20si on se trouve en zone inacceptable les
19:22deux techniques qu'on va pouvoir
19:23utiliser pour diminuer les risques sont
19:25soit de faire de la prévention de façon
19:28à réduire la probabilité d'occurrence
19:30de l'événement par exemple si vous savez
19:34que vous avez des disques durs qui tombe
19:36en panne au bout de trois quatre ans ce
19:38que vous pouvez faire pour prévenir les
19:40pannes c'est de l'échangé à la moitié ou
19:43à deux tiers de leur durée de vie
19:44moyenne donc là de la maintenance
19:46préventive de façon à ne pas attendre la
19:48panne et procéder à l' avance un
19:52remplacement par de nouveaux disques
19:54donc ça c'est l'aspect prévention
19:56diminuer la probabilité d'occurrence de
19:58l'incident autre technique c'est de
20:02réparer plus vite donc là on a toujours
20:04autant d'incidents mais lorsqu'on a un
20:07incident on est capable de réparer plus
20:10vite
20:10deux fois plus vite et donc du coup
20:12l'impact est divisé par deux parce que
20:13le temps d'arrêt du système le temps
20:15d'immobilisation a été divisé par deux
20:22donc première stratégie pour réduire le
20:25risque c'est réparé pour réduire
20:27l'impact est donc la technique la plus
20:30classique c'est les sauvegardes donc il
20:32faut faire des sauvegardes évidemment
20:34alors à définir en fonction de la
20:36criticité des données et ça c'est le bia
20:38qui va vous l'indiquez donc vous allez
20:41déterminer si vous devez faire des
20:42sauvegardes e hebdomadaire quotidienne
20:45et c est le plus important ce n'est pas
20:48tellement de faire des sauvegardes mais
20:49surtout de tester régulièrement la
20:51capacité de restaurer une donnée parce
20:53que comme on dit toujours en entreprise
20:54le backup fonctionne toujours c'est le
20:56restaure qui ne marche jamais on appelle
20:57ça également le back up de schrödinger
20:59l'état d'un backup est inconnu jusqu'à
21:01ce qu'on restaure soit tentée mais c'est
21:03à ce moment là qu'on découvre si
21:05réellement ça fonctionne pas
21:09dans les tests de restauration c'est
21:11d'ailleurs une exigence sox donc si vous
21:14allez dans une entreprise cotée sur les
21:16marchés américains dans le processus
21:18d'audit sox vous avez un test de baca
21:20presstore annuel qui est obligatoire
21:22pour chaque application qui est soumise
21:25à un audit et au contrôle source donc il
21:29faut pouvoir restaurer une machine
21:31entière un serveur physique ou une
21:33machine virtuelle mais aussi des
21:35fichiers ou des dossiers au sein du
21:37système de fichiers donc c'est facile à
21:39tester sein par exemple il faut regarder
21:42la fréquence des paca parce que c'est
21:43fait quotidiennement ou de manière
21:44hebdomadaire et si ces faits par amp une
21:47fois par semaine suffit de créer un
21:49fichier de tests de le laisser sur le
21:51serveur pendant une dizaine quinzaine de
21:53jours puis après dans quoi vous vous
21:55prenez une empreinte et sasha 2 par
21:57exemple du fichier puis au bout de 15
21:59jours vous effacer les fichiers et et
22:00vous demander à ce que le fichier soit
22:02restaurée et quand il a restauré vous
22:04calculer l'empreinte cryptographique et
22:05sasha de et ça vous dit si c'est les
22:07mêmes données ou pas qui ont été remises
22:08en place sur le serveur donc un test
22:11relativement facile à faire qu'on est
22:12obligé de faire au moins une fois par an
22:14pour les systèmes d'information qui font
22:17partie du périmètre sox donc du
22:19reporting financier
22:20ça c'est pour les fans système mais il
22:23faut également être capable de pâques au
22:25pays de restaurer les bases de données
22:27et donc quand on fait un back up d'une
22:29base on est en production la base
22:30données évoluent dans le temps et donc
22:32quand une semaine après ou deux semaines
22:34après on va demander un restaurent de
22:36l'état de la base de données deux
22:37semaines auparavant
22:38alors pas forcément on va restaurer
22:40évidemment la base au nez de production
22:42mais pas forcément sur un système de
22:43production pour pas perturber la
22:45production on va le restaurer sur un
22:46autre système est en plein développement
22:48et puis va falloir être capable de
22:49justifier les différences qu'on a entre
22:52la production à l'heure actuelle et le
22:54restaure qui date d'il ya deux semaines
22:56et donc une astuce si jamais vous avez à
23:00faire ça un jour c'est évidemment
23:02beaucoup plus facile de justifier les
23:03changements si la base de données est
23:04partitionné par jour puisque là vous
23:06verrez simplement les nouvelles
23:07partitions qui ont été ajoutés depuis la
23:09date du backup
23:14quelle mesure de sécurité prendre pour
23:17protéger les sauvegardes les sauvegardes
23:19doit être stockés hors site parce que si
23:22un incendie se déclare dans le
23:23datacenter et que vous avez tout face à
23:25une machine qui brûle si vous avez vos
23:27bandes de sauvegarde qui sont stockés à
23:28côté des serveurs ça va pas vous servir
23:30à grand chose donc il faut évidemment
23:32stocker sa hors site et les sauvegardes
23:35doivent être chiffrés parce que les
23:37bandes sont parfois confié à des
23:39prestataires extérieurs pour stockage
23:40hors site pour archivage les bandes
23:43peuvent être égarée ou tomber entre de
23:44mauvaises mains et donc il faut
23:47absolument assurer le même niveau de
23:49sécurité pour les banques de backup que
23:51pour les données d'origine
23:57au niveau de la gestion des risques
24:00telle qu'on la trouve dans les normes
24:01iso les lignes directrices donc les
24:04guidelines en anglais concernant la
24:05gestion des risques sont fournies par la
24:07série iso 31000 qui n'est pas spécifique
24:10une industrie où un secteur d'activités
24:12particulières elles sont pas spécifiques
24:14aux technologies de l'information
24:15en fait la déclinaison de ces normes
24:17spécifiques pour les technologies de
24:19l'information est couverte par l'iso
24:2227005 qui s'appelle technologies de
24:25l'information technique de sécurité
24:27gestion des risques liés à la sécurité
24:28de l'information
24:29alors iso 27005 ça indique ce qu'il faut
24:33faire pour gérer les risques mais ça ne
24:37fournit pas de méthodologie pour
24:39réaliser ce qui est demandé
24:44on a également au niveau du nist
24:46américain donc du c15 c'est le computer
24:50security risk center d'une liste une
24:52série de documents sur la gestion des
24:54risques informatiques
24:56donc ce sont les spéciales publication
24:58de la série 800 il ya notamment la
25:00numéro 8 sentir et 39,8 sentir et 30 800
25:04tiré 37 et 800 tirer 53 donc
25:07respectivement la 800-2 france c'est la
25:11gestion des risques de sécurité de
25:14l'information l'organisation la mission
25:16et la vue la vue du système informatique
25:20la spéciale publication 800 tiré 30
25:24c'est le guide pour effectuer une
25:26évaluation des risques l'a8 sentir et 37
25:30c'est un framework donc une méthode pour
25:34la gestion des risques dans un système
25:36informatique est une organisation
25:38est hélas la spéciale publication 800
25:42tirer 53 ce sont les mesures de sécurité
25:45pour les systèmes informatiques et les
25:48organisations
25:54en france l'anssi a développé depuis de
25:58nombreuses années déjà une méthode une
26:00méthodologie de gestion des risques qui
26:02s'appelle et bios et qui vient d'être
26:04nommé et bios risk managers à l'origine
26:07et bien ça veut dire expression des
26:09besoins et identification des objectifs
26:11de sécurité cette méthode repose sur
26:13cinq ateliers ayant chacun un objectif
26:16tout d'abord le cadrage est le socle de
26:18sécurité reposant sur les principes de
26:20base en termes de sécurité et le cadre
26:22réglementaire et normatif
26:24ensuite l'identification des sources de
26:27risque c'est-à-dire un élément une
26:28personne un groupe de personne ou une
26:30organisation susceptible d'engendrer un
26:33risque est caractérisé par sa motivation
26:35ses ressources ses compétences et ses
26:36modes opératoires
26:39troisième atelier la définition des
26:41scénarios stratégiques qui sont les
26:43chemins attaque allant d'une source de
26:45risques un objectif visé en passant par
26:46l'écosystème il va leur métier de
26:48l'objet et tu dire
26:49le quatrième atelier consiste à définir
26:52des scénarios opérationnels définis
26:54comme des enchaînements d'action
26:55élémentaire porté sur les biens support
26:58de l'objet étudié ou de son écosystème
27:00et enfin dernière étape le traitement du
27:03risque le recensement des mesures de
27:05sécurité appropriées dans un plan
27:06d'amélioration continue de la sécurité
27:08donc trouverez les détails de ces
27:11méthodes et différents guides pour
27:13effectuer les différents ateliers à
27:15l'eurl indiqué en bas du transport
27:22eh bien ce n'est pas la seule méthode
27:24qui était développée en france le clusif
27:27qui regroupe
27:29différentes entreprises intéressées par
27:31la sécurité informatique a développé une
27:32meilleure alternative qui s'appelle
27:34méhari méthode harmonisée dans la liste
27:36des risques et donc qui est également
27:38intéressante parce que sur leur site web
27:39on trouve une boîte à outils avec pas
27:40mal de doughty déjà disponibles qui
27:44permettent justement de d'évaluer les
27:47risques et donc ils s'intéressent
27:48également à évaluer la potentialité les
27:51risques et ont notamment les comment
27:53réduire cette potentialité par la
27:55dissuasion la prévention est également
27:57l'impact des
28:00impacts d'évaluation de l'impact qui
28:03peut être réduit par des mesures de
28:05confinement ou des mesures palliatives
28:09quelle que soit la méthode de gestion
28:11des risques qui va être utilisé les
28:14différentes étapes telles que documentée
28:16dans iso 27000 sont les suivantes
28:18l'étude du contexte
28:21l'identification des risques des menaces
28:23des vulnérabilités l'analyse des risques
28:26en étudiant leur vraisemblance et leur
28:28impact ensuite l'évaluation du risque
28:31via une métrique à à définir
28:33et puis après le traitement du risque
28:35donc on va voir les différentes
28:37stratégies de traitement possible la
28:38réduction du risque le transfert
28:40l'acceptation et après donc il reste les
28:43risques résiduels et puis après on va
28:45boucler sur une phase de surveillance de
28:47réévaluation et et recommencer comme ça
28:49ils tiraient de façon appliquée le
28:51processus d'amélioration continue des
28:53normes iso 27000
28:57donc la gestion des risques en anglais
29:00le risque l'assessment
29:01nécessite d'exprimer les besoins de
29:03sécurité de recenser les vulnérabilités
29:05les menaces et les impacts sur un
29:07organisme
29:08l'objectif étant d'identifier les
29:11mesures de sécurité qu'on appelle en
29:12anglais les contrôles us permettant
29:14d'atténuer le risque mais coûts associés
29:17et la tolérance au risque à savoir les
29:19risques accepté alors attention c'est un
29:21faux ami un contrôle ce en anglais dans
29:23l'est dans le document en anglais de
29:25gestion des risques c'est pas du tout
29:27contrôler c'est ça veut dire en fait
29:29mesures de sécurité
29:34lorsqu'un risque a été identifié il va
29:37falloir le traité et donc les solutions
29:39possibles pour le faire sont
29:42premièrement la réduction du risque en
29:44corrigeant le problème tout en
29:46conservant la fonctionnalité par exemple
29:47en déployant un correctif en appliquant
29:50un durcissement de la configuration et
29:51cetera
29:52on peut aussi accepter le risque en
29:55particulier si le coût de la correction
29:56dépasse les pertes susceptibles d'être
29:59engendrées
30:00mais dans ce cas la décision doit être
30:02documenté elle doit être validée par une
30:05autorité compétente elle doit être
30:07enregistrée airs évaluer périodiquement
30:09par exemple tous les trois mois où tous
30:11les six mois pour vérifier que les
30:12conditions n'ont pas évolué entre temps
30:14et donc que le risque demeure toujours
30:17acceptable on peut aussi éviter le
30:20risque en désactivant la fonctionnalité
30:23en désinstallant un logiciel en
30:25abandonnant un projet on dé
30:26commissionnement des serveurs
30:27étonnamment ça arrive plus souvent qu'on
30:30ne le croit en entreprise souvent en
30:32fait les généralités où les problèmes de
30:34sécurité se trouvent dans des parties du
30:35logiciel qu'on n'utilise pas en fait et
30:37donc aussi étonnant que cela puisse
30:38paraître dans ce cas là la solution la
30:40plus simple c'est tout simplement de
30:42désactiver ou désinstaller cette partie
30:44qui de toute façon le serpent
30:46enfin une solution qui est souvent
30:49hypothétique est pas facile pas évidente
30:52à mettre en oeuvre c'est de transférer
30:54le risque à quelqu'un d'autre un sous
30:57traitant à une compagnie d'assurance
31:00mais c'est une méthode qui est difficile
31:03et qui marche pas à tous les coups par
31:05exemple dans le cas du rgp des même si
31:07vous sous traité vous êtes quand même
31:09responsable de ce que fait votre sous
31:12traitant avec les données personnelles
31:13de vos utilisateurs
31:15donc à mon sens c'est assez théorique et
31:18toute façon il faut bien voir que si
31:20vous voulez transférer le risque en vous
31:22assurant auprès de l'assureur l'assureur
31:24va devoir estimer le risque qui prend
31:28lui à sa charge donc il va devoir
31:30audités votre système pour déterminer le
31:33montant des primes que vous allez devoir
31:34lui verser annuellement et plus il va
31:36trouver deux problèmes de sécurité plus
31:38les primes vont être élevé en fait de
31:40toute façon vous avez intérêt à diminuer
31:42à maîtriser le risque en interne ne
31:45serait ce que pour faire baisser vos
31:46prix mutation donc au final vous voyez
31:48que la s'assurer c'est pas une solution
31:51c'est pas une solution comment dire
31:55c'est pas une panacée puisqu'en fait
31:57toute façon il va falloir réellement
32:00arriver à diminuer le risque ne serait
32:03ce que pour faire baisser les primes
32:04d'assurance que vous allez devoir verser
32:21évoquons maintenant l'organisation de la
32:24sécurité
32:28en sécurité informatique quand on
32:30utilise un vocabulaire qui n'est pas le
32:32vocabulaire standard en informatique
32:34donc en sécurité quand on parle de
32:36politique de sécurité ou en anglais
32:38security policy en informatique normal
32:41en fait ça correspondrait à ce qu'on
32:42appellerait la spécification
32:43fonctionnelle autrement dit qu'est ce
32:44que le système est supposé faire donc ce
32:47sont les grands principes par exemple le
32:49fait que pour accéder à telle ou telle
32:51application dans la sécurité est
32:53critique on exige d'authentification
32:55multi-facteurs par exemple donc ce sont
32:58les grands principes qui y sont énoncés
32:59voilà après par contre il va falloir
33:01déployer ce qu'on appelle les mécanismes
33:03en sécurité qui est tout simplement
33:04l'implémentation des spécifications par
33:07exemple pour pour implémenter
33:10l'authentification multi-facteurs on va
33:12demander à l'utilisateur de saisir son
33:13mot de passe et en plus
33:15d'insérer une carte à puce ou d'utiliser
33:18un token d'authentification sur une
33:20application sur son smartphone ou etc
33:22ou peut-être la biométrie lecteur
33:25d'empreintes digitales etc donc les
33:27mécanismes c'est l'implémentation des
33:30spécifications de la sécurité policiers
33:32et 5 du code et la configuration
33:35associés
33:36enfin on parle de contrôle ou
33:38d'assurance qui en fait la vérification
33:40de la conformité de l'implémentation
33:47détail ont maintenant l'organisation de
33:49la sécurité dans les grandes entreprises
33:51donc évidemment ça concerne que les très
33:53grandes entreprises si vous êtes une
33:54start up avec cinq personnes il est
33:55clair que vous avez pas différentes
33:57équipes pour faire tout ça
33:58mais dans les très grandes entreprises
34:01on va avoir tout d'abord un niveau
34:03stratégique avec les cisailles aux
34:05ciseaux donc sifflé information officer
34:08et et chief information security officer
34:11qui vont définir les objectifs de
34:14sécurité effectués le pilotage de la
34:16sécurité est explicité les choix et les
34:19principes organisationnels
34:20et ensuite dessous on va avoir
34:22différents niveaux qui correspondent à à
34:24la méthode de pdc a plein de doutes
34:27check act de iso 27001 9000 donc au
34:32niveau organisationnel cela on va
34:34planifier la sécurité on va organiser
34:36donc la prévention des incidents on va
34:38édicter les normes des règles des
34:40procédures des recommandations mettre en
34:42place des outils et uniformiser les
34:44techniques et les méthodes utilisées
34:46ensuite au niveau exploitation donc la
34:49partie 12 de déploiement de pda on va
34:53mettre en place les protections des
34:55outils de contrôle et d'audit et
34:56effectuer l'administration système et
34:58réseaux
34:59dans la partie tchèque 2 pdc a donc là
35:03la partie vérification surveillance
35:05c'est là où enfin on va faire le
35:07contrôle et la maintenance du système
35:08d'information et c'est là devant
35:10apparaître tout ce qui est security
35:12event monitoring tsm technique halstead
35:15compliance monitoring dont la
35:16vérification de la conformité technique
35:18des équipements par rapport à ce qu'ils
35:21sont supposés être on va avoir également
35:23les scan de vulnérabilités on en a déjà
35:25parlé tout ce qui est en test un
35:27pénétration testing est également
35:29l'exercice red team et enfin dans la
35:33partie acte on va trouver la gestion des
35:36incidents et l'analyse incidents et donc
35:39c'est la partie réactive sur incident
35:46dans les grandes entreprises on va
35:48également trouver un soc donc security
35:50operations center c'est l'équivalent au
35:53niveau de la sécurité d'un orque d'un
35:55network operations center qui va donc en
35:57l'occurrence se surveiller la sécurité
35:59du réseau de l'entreprise
36:0124 heures sur 24 alors si vous êtes une
36:04entreprise plus petite vous pouvez sous
36:06traiter ça à un prestataire de services
36:09par exemple un opérateur télécom qui
36:10peuvent vous fournir
36:11des services de sécurité managés mais en
36:15tout cas donc il faut être une
36:16entreprise suffisamment grande pour
36:17pouvoir avoir une équipe avec une équipe
36:19staff et 24 heures sur 24 pour pouvoir
36:22surveiller en temps réel les différents
36:23équipements de l'entreprise et surtout
36:25réagir aux alertes de sécurité remonté
36:28par l'oti de security event monitoring
36:34pour être capable détecté une attaque
36:37encore faut-il enregistrer les
36:40événements et en particulier les
36:41événements de sécurité or justement des
36:43enregistrements insuffisant et une
36:45surveillance du coup insuffisante ça
36:48fait partie des dix problèmes les plus
36:49fréquents de sécurité remonté par l'oas
36:53l'open web application security project
36:55donc dans le top ten la dernière édition
36:58et à 2017 c'est le problème numéro 10
37:01donc à savoir une journalisation donc
37:04des log et une surveillance insuffisante
37:09le tout associé à une absence
37:10d'intégration avec le processus de
37:11répondre aux incidents ou bien une
37:13intégration déficiente donc c'est
37:16l'absence de d'enregistrement et le
37:18système de surveillance centralisée qui
37:19permet aux pirates d'attaquer les
37:21systèmes dits persister depuis voter
37:24latéralement dans les entreprises puis
37:26d'altérer d'extraire ou détruire les
37:28données
37:29la plupart des intrusions sont détectés
37:31à près de 100 jours et souvent par des
37:33tiers plutôt par la surveillance et des
37:34processus internes
37:39quels sont les symptômes d'une
37:41insuffisance de journalisation et de
37:43surveillance
37:44l'absence d'enregistrement des
37:45événements auditables tels que des
37:47connexions réussi ou des essais de
37:49quantification
37:50des transactions à forte valeur ajoutée
37:52les erreurs et avertissements ou bien
37:55lorsqu'ils sont enregistrées s'ils le
37:58sont de façon compréhensible
38:00l'absence de surveillance des activités
38:02suspectes dans les journaux d'événements
38:04des applications et des api un stockage
38:07uniquement local des journaux
38:08d'événements
38:11une absence ou une inefficacité des
38:14seuils d'alert des processus de réponse
38:16aux incidents et des escalades
38:18le fait qu'il n'y ait pas d' alerte
38:20généré lorsqu'on effectue un scan de
38:22vulnérabilités
38:23le fait que l'application soit incapable
38:25de détecter et d'alertés en temps réel
38:27en cas d' attaque
38:28et attention à ne pas permettre aux
38:31utilisateurs et aux attaquants d'accéder
38:33aux journaux d'événements et aux alertes
38:34en particulier aux journaux d'événements
38:35de sécurité peuvent contenir des détails
38:38confidentiels sur justement
38:40l'architecturé de sécurité du système
38:45le security event monitoring donc ce m
38:48ça fait partie de ce qu'on appelle siem
38:51donc security une formation event
38:53management le prérequis et de
38:56synchroniser les horloges pour être sûr
38:58que les événements qui vous sont
38:59remontés par les équipements les
39:01matériels etc sont à horodatées
39:03correctement
39:04ensuite il faut être capable pour
39:07générer des événements de sécurité de
39:09générer de ces événements à tous les
39:10niveaux en commençant par le matériel y
39:13compris les équipements réseau 1 mais
39:15aussi par exemple les journaux
39:17d'événements du bios des machines et
39:19c'est
39:20donc le matériel les systèmes
39:23d'information qui tourne dessus les
39:25services et des applications ainsi que
39:27tout l'outillage de sécurité qui peut
39:28être installé sur c'est sur ces
39:30appareils
39:32être capable de collecter les log de
39:35façon centralisée de les corréler pour
39:37générer des alertes utile définir des
39:40procédures de suivi d'incidents et
39:41l'escaladent enfin stocker tous ces
39:44événements pour analyses enquêtes
39:45ultérieures en cas de besoin on vient de
39:47dire que la plupart des incidents ou
39:49d'intrusion sont détectées au bout de
39:51200 jours et donc il faut être capable
39:52typiquement de remonter en tout cas on
39:55est en cours pour remonter à la tra les
39:58traces a jusqu à l'origine d'un incident
40:01de sécurité
40:05exemples d'événements de sécurité qu'il
40:07faut enregistrer par exemple sur un
40:09serveur linux il faut enregistrer la
40:12création de l'utilisateur ou d'un groupe
40:14lorsqu'elle se fait localement sur un
40:15serveur le passage des interfaces réseau
40:18en mode promiscuous donc à savoir
40:21quelqu'un qui est en train d'exécuter un
40:23sniffeur raison par exemple tcpdump pour
40:26écouter tout le trafic
40:28il faut être capable d'auditer le
40:30chargement et le déchargement d'un
40:32pilote de périphérique une connexion
40:34déconnexion d'un périphérique amovible
40:35un disque dur clé usb etc sur un serveur
40:39l'invocation des commandes privilégiez
40:42donc su pour passer route au sud nous
40:44pour exécuter une commande avec des
40:47droits root
40:48mes écritures dans les fichiers système
40:51de ce htc ce qui correspond à un
40:53changement de configuration du serveur
40:54enfin il faut être à également capable
40:57d'auditer toute modification ou toute
40:59suppression en toute altération des
41:01fichiers log
41:05que faut-il enregistrés chaque événement
41:08doit être adaptée à sa source en
41:11précisant le fuseau horaire
41:12explicitement on conseille en général
41:15utilisé le format d'horodatage la rfc 33
41:1939 à savoir la date un thé leur avec
41:24éventuellement le nombre de
41:26millisecondes ou de microsecondes si la
41:29résolution est pour est possible ce
41:30niveau et le fuseau horaire
41:34les horloges doivent être synchronisés
41:35pour être sûr que c'est ces estampes y
41:38temporel soit cohérente à travers
41:39l'entreprise je combatte on va te
41:41prêtera ses les intrusions à travers
41:43plusieurs équipements donc froid utilisé
41:45par exemple un protocole tels que ntp
41:47sous network protocole sous unix pour
41:50s'assurer que les périphériques les
41:52routeurs et les commutateurs les
41:54serveurs soient tous à la même heure
41:57pour chaque événement il faut indiquer
41:59l'origine et sa localisation dont la
42:02désignation du système évidemment qui
42:04génère l'événement pour que quand on les
42:06centralise on sache d'où provient telle
42:08entrée et s'il ya lieu les adresses
42:12d'origine et de destination donc par
42:15exemple s'il s'agit d'une d'une
42:16collection l'adresse ip d'origine par
42:18exemple pour être comme avant de tracer
42:21encore une fois le cheminement de la
42:23deûle attaque
42:25il faut enregistrer qui autrement dit
42:28l'utilisateur authentifié lorsqu'il et
42:30d'authentifier et si possible indiqué un
42:34identifiant unique de la connexion ou de
42:36la ces lyon ce qui permettra de retracer
42:38de regrouper toute la série d'événements
42:44tels événements enregistrés
42:46bien évidemment tous les événements de
42:49sécurité en particulier tous les échecs
42:51les événements de contrôle d'accès donc
42:54en particulier tous les échecs échec
42:56d'authentification d'autorisation ou
42:58usage des privilèges
43:00pour ce qui est des succès on peut à la
43:03limite choisir d'enregistrer ou pas les
43:06autorisations tout ce qui est autorisé à
43:07faire par contre pour tout ce qui est
43:10authentification usage des privilèges
43:11dans tous les cas il faut générer 1
43:14un événement de sécurité
43:17enfin enregistrer les événements
43:19applicatifs le démarrage l'arrêt d'une
43:22application d'un service d'un serveur
43:24tout changement de configuration
43:27les informations sur l'état de
43:29l'application et toute erreur de
43:31traitement ou de validation des données
43:37dans la mesure du possible utiliser un
43:40format standard pour générer les log par
43:42exemple sous unix le format 6 loeb bien
43:44connu documentée dans la rfc 54 24
43:47il ya également pour les serveurs web le
43:50commando file format qui est le format
43:53historique de 1 16 h ctpd le journal des
43:56événements windows et on peut utiliser
43:58également des format structuré par
44:01exemple j'ai zone xml
44:03s'assurer que le format soit uniforme
44:06que chaque entrée soit horodatées
44:08utilise un encodage utf-8 pour avoir des
44:12données cohérentes à travers
44:13l'entreprise et on peut utiliser par
44:15exemple le niveau de sécurité si ce look
44:17habituel
44:19voici la liste des niveaux de sécurité
44:21habituelles du syslog tels que définir
44:24la rfc 54 24 sections 6-2-1 donc
44:28priorité 0 emergency lorsque le système
44:31est totalement inutilisable le niveau 1
44:35alerte c'est lorsqu'une action est
44:37immédiatement requises
44:39niveau de critiques c'est lorsqu'on le
44:42système atteint une condition critique
44:44niveau 3 c'est un une erreur
44:47niveau 4 un avertissement niveau 5
44:50notice c'est lorsqu'une situation est
44:53normale mais qui a un événement
44:55significatif qui généré par exemple
44:58démarrage du système ou war et du
45:01système et ses
45:03niveaux 6 informationnel c'est pour
45:05information et un niveau 7 c'est le
45:08niveau des bugs lorsqu'on active le
45:10débogage
45:14ou enregistrer les jambes des événements
45:16on commence toujours par un
45:18enregistrement local c'est la
45:19configuration par défaut donc pensé à
45:22utiliser une partition séparée pour
45:23contenir la taille des log donc
45:25typiquement barlog shoes sur un serveur
45:28linux donc une partition séparée pour
45:31éviter que
45:32lorsque les log déborde lors d'une
45:34attaque et c'est que ça vienne remplir
45:36la partition système par exemple
45:39restreindre à l'accès aux log les plus
45:41sensibles notamment ceux de sécurité aux
45:43administrateurs et le problème
45:46évidemment des et des log en local c'est
45:47qu'ils sont susceptibles d'être effacées
45:50ou manipulé par un attaquant qui
45:52prendrait le contrôle du système local
45:54d'où l'intérêt est évidemment de
45:56centraliser les log en temps réel vers
45:59un système de surveillance centrale sem
46:02penser à chiffrer leur acheminement à
46:04travers leur réseau prévoir de quoi les
46:06stocker les sauvegarder et les archiver
46:08et contrôler les accès évidemment au
46:10système central
46:14il y a des limites la journalisation on
46:17ne peut pas tout enregistré il ya
46:19d'abord les limites juridiques donc la
46:22conformité rgp dgpr la confidentialité
46:26attention à ne pas enregistrer les mots
46:28de passe des utilisateurs des
46:29informations de paiement des données à
46:31caractère personnel donc tout ce qui est
46:33personnel ils identifient ball in
46:34formation et les informations sensibles
46:38attention aux enregistrements excessif
46:40trop enregistré par exemple tourné en
46:43production avec les log en mode debug ça
46:46va ralentir les performances encombré
46:48l'infrastructure le stockage local le
46:50réseau le stockage central augmenter les
46:53coûts de traitement et ça peut noyer les
46:55événements importants dans la masse
47:00ils sont les propriétés recherchées
47:02quand on met en place un système de
47:04monitoring des événements de sécurité
47:07tout d'abord on essaie d'utiliser des
47:09scénarios pour identifier les risques et
47:11les menaces actuelles
47:13on essaie également de minimiser
47:14l'impact sur les performances des
47:16systèmes et les applications parce que
47:18si vous invitez tous sur un serveur
47:20potentiellement ça va énormément
47:22ralentir les applications la performance
47:25du cerveau lui même donc il faut trouver
47:27le bon compromis entre surveiller
47:30suffisamment de choses mais pas trop
47:31plomber les performances en exploitation
47:34des serveurs
47:35on veut que le système de sem soient
47:38intégrés pour corréler les événements et
47:41qui s'améliore continuellement avec du
47:43personnel formé capables d'affiner
47:45l'implémentation de manière contrôlée et
47:47on veut également que qu'ils soient
47:48réactifs sur les incidents de sécurité
47:50avec des procédures d'escaladé clair
47:57voici quelques rêves intéressante au
48:00sujet de la surveillance des événements
48:01de sécurité tout d'abord le guide du
48:03nist spécial publication 861 révision 2
48:07sur la gestion des incidents de sécurité
48:09comment organiser la réponse à des
48:12incidents de sécurité que faire en cas
48:13d'incident
48:15il ya une application de l'owasp qui
48:18s'appelle app store qui est à la fois
48:20une méthodologie est un outil open
48:22source permettant d'implémenter la
48:24détection d'intrusion l'analyse et la
48:26réponse en temps réel dans une
48:27application
48:30l'outil mode security pour les tout ce
48:33qui est web application firewall
48:35disponible sur notre sécurité point org
48:38et enfin le stack élastique donc
48:40élastique search qui banal hawks tâche
48:43beats etc qui permet d'avoir une
48:46solution open source pour centraliser
48:48consolidé est recherché dans les logs
48:55au niveau sèment et sm on va définir ces
48:58éléments sur l'infrastructure
49:00donc ça c'est la partie qui est commune
49:02quand on va livrer par exemple une
49:04machine virtuelle windows server ou
49:06linux il y aura sept partis qui sera
49:10automatiquement défini qui est commune à
49:13tous les serveurs de l'entreprise
49:14mais par contre pour chaque application
49:17spécifique qui va être installée chaque
49:20équipe a applicative devra définir ces
49:22événements sem applicatifs et sa
49:25configuration tsm applicative qu'elle
49:27souhaite surveiller par exemple pour une
49:30application imaginons que ce soit un
49:31serveur web qui a des log et il ya des
49:34pieds de config à minima ce qu'on veut
49:37surveiller c'est par exemple les
49:38modifications dans les fichiers de
49:40configuration par exemple donc si jamais
49:42quelqu'un modifie la config
49:44automatiquement déclenché une alerte de
49:46sécurité de façon à ce qu'on puisse
49:47vérifier que ça a été fait de manière
49:49contrôlée avec un challenge validé en
49:51production par exemple et que donc la
49:53modification est légitime là il suffit
49:56pas de définir ces événements scène et
50:01les objets tsm qu'on soit surveillée il
50:04faut également vérifier régulièrement
50:05que l'implémentation continue à générer
50:08de la leyre corps acte est utile donc
50:11par exemple une fois par an
50:12on va par exemple volontairement allait
50:15déclencher toutes les alertes et
50:18vérifier qu'il ya autant d'incidents de
50:19sécurité qui sont bien générer et qui
50:21sont remontés parce que sinon au fur et
50:23à mesure que le temps s'écoule il est
50:25tout à fait possible que lié à des
50:27changements dans les applications par
50:29exemple peut-être que les figues
50:30confites ou les logs sont plus haut à
50:32exactement stockés au même endroit et
50:33donc du coup s'il échappe à la
50:35surveillance c'est pour ça qu'il faut
50:36régulièrement vérifié que tous ces
50:38outils de surveillance continue à
50:39fonctionner comme ils sont supposés le
50:41faire

About this transcript

This page contains the full transcript of 03c - Mesures de securite by CNAM RSX112, generated from the public captions YouTube serves with the video. The transcript has 7,711 words across 1,307 segments, with the original timestamps preserved so you can click any line to jump to that moment in the embedded player.

What you can do with it

Use the transcript to take notes, quote the speaker, build a study guide, generate a summary with ChatGPT or Claude via the YouTube Summary tool, or export it as a timed subtitle file with YouTube to SRT. You can also re-open it in the transcriber to choose a caption track available on the video.

Free YouTube transcript tool

YouTube2Text is a free YouTube transcript generator — no signup, no daily limit. Paste any YouTube link and get the full transcript instantly, with timestamps, click-to-jump, caption language selection, AI prompts for ChatGPT, Claude, and Gemini, and exports to TXT, SRT, VTT, or Markdown.