YT YouTube2Text

YouTube2Text → Transcripts → 03d - Mesures de securite

03d - Mesures de securite — Transcript

by CNAM RSX112 · 5,474 words · 917 segments · language en · Watch on YouTube

Open in transcriber Summarize with AI Download SRT/VTT

Full transcript

0:01parlons maintenant de quelques exemples
0:04d'attac
0:08la première attaque c'est évidemment la
0:11capture et leur jeu des mots de passe
0:12donc ça peut être une capture visuels en
0:14quelqu'un qui regarde par dessus votre
0:16épaule ou kim est une micro caméra qui
0:18filme le clavier qui repasse le film au
0:20ralenti qu'ils regardent sur quelque
0:22chose avait appuyé pour taper votre mot
0:23de passe ça peut être une capture
0:25électronique via un sniffeur réseau une
0:28ça peut être une attaque par force brute
0:30en prenant un dictionnaire ou une liste
0:33de prénoms etc et en essayant toutes les
0:35combinaisons possibles
0:36on peut deviner quelques fois le mot de
0:39passe que les gens vont utiliser le
0:40prénom de leurs enfants de leur animal
0:42domestique et cetera de leur conjoint on
0:45peut également utiliser des techniques
0:46d'ingénierie sociale pour essayer de
0:48convaincre la l'utilisateur de de vous
0:52livrer votre mot de passe par exemple de
0:54lui téléphoner en se faisant passer pour
0:55un technicien ne support informatique et
0:57en prétendant qu'on a besoin de son mot
0:58de passe pour ray pour l'aider ou pour
1:01régler un problème urgent
1:06voici deux citations intéressantes
1:09concernant les mots de passe et les
1:11problèmes de sécurité qu'ils engendrent
1:12alors tout d'abord une citation de ross
1:14anderson un chercheur bien connue de
1:15cambridge ans qui est l'auteur d'un
1:17livre security engineering un guide pour
1:21construire des systèmes distribués
1:22fiable
1:24livre qui alerté les charges à bhl sur
1:26sa page web à l'université de cambridge
1:28dans l'url est mentionné dans est donc
1:30selon ross anderson les mots de passe
1:32constitue l'un des principaux problèmes
1:34pratiques auxquelles les ingénieurs en
1:36sécurité sont actuellement confrontés
1:38et on peut regrouper ça avec
1:43un rapport de sécurité de verizon le ver
1:47iron data breach investigations report
1:48en 2010 7 ans et d'ailleurs il ya eu le
1:51même les mêmes statistiques en 2019 et
1:54donc vers une zone qui publie un rapport
1:56annuel sur les incidents de sécurité au
1:58niveau mondial estime que les mots de
2:01passe faibles ou volés sont responsables
2:04de plus de 80% des incidents de sécurité
2:22autre attaque le vol de connexion donc
2:25c'est ce qu'on appelle la tacv
2:26intercepteurs actifs ou l'attaquent man
2:28in the middle donc quand un utilisateur
2:30va se connecter à un serveur typiquement
2:33on va lui demander de taper son login et
2:35son mot de passe et donc ainsi en
2:38pirates arrivent à se greffer ici au
2:40milieu de la connexion et à se faire
2:41passer pour le serveur auprès du client
2:43et pour le client auprès du serveur donc
2:46quand le client va se connecter il va
2:47réellement se connecter aux pirates et
2:49le pirate va ouvrir une connexion au
2:51serveur le serveur va demander login de
2:52points donc le pirate demande aux
2:55clients login de poing le client envoie
2:57son login le pirate le relais ya tel
2:59quel sur le serveur le savent a demandé
3:02password de points donc on demande pas
3:04soit deux points aux clients qui va
3:05envoyer son mot de passe et ainsi de
3:07suite donc on va rejouer comme ça les
3:10octet le pirate va rejouer les octets
3:11qui arrive de gauche vers la droite et
3:14les octets qui arrive de droite vers la
3:16gauche donc c'est la tacc de
3:17l'intercepteur actifs l'attaquent man in
3:19the middle et c'est une des attaques
3:21classiques il ya un nombre considérable
3:23de systèmes qui sont vulnérables à ça
3:25c'est qu'à part amp on verra de
3:26l'algorithme est récent
3:33autre problématique de sécurité les
3:35écoutes clandestines sur les réseaux et
3:38notamment internet donc son réseau
3:41internet câblé à l'origine n'importe qui
3:44qui se branche sur le réseau peut
3:45écouter tout trafic qui circula travail
3:48réseau entre les différentes machines
3:49alors c'est évidemment un trivial à
3:51faire si on est câblé avec des répéteurs
3:53avec des robes donc à l'époque actuelle
3:55on est plutôt au câble avec des
3:56commutateurs des switchs à l'entreprise
3:58mais il ya tout de même des techniques
4:00d'attaqué basé sur le protocole rp qui
4:03permettent quand même de faire des
4:05choses encore à l'heure actuelle donc
4:08c'est tout ce qui signifie ni réseau
4:10c'est toujours un problème dont il faut
4:13se méfier actuellement
4:18autre problématique c'est l'usurpation
4:21d'adressé ip source donc quand une
4:23machine envoie un paquet ip à travers le
4:25réseau que ce soit un paquets ipv4 ou v6
4:27c'est la machine source qui remplit le
4:29champ adresse ip source et donc comme
4:32c'est la machine source qui renseigne ce
4:34champ par définition c'est du déclaratif
4:36et vous pouvez mettre ce que vous voulez
4:37dedans donc vous pouvez mettre n'importe
4:38quelle adresse ip comme adresse ip
4:40source quand vous envoyez un paquet ip
4:42quand vous injecter un paquet ip sur le
4:44réseau et même en latin grammy d'une
4:45épée puisqu'un intègre amis des pays il
4:47n'y a pas d'actifs mandant du dp est
4:49donc encore une fois la machine qui
4:51fabrique et qui injecte datagram dans le
4:54réseau peu mais ce qu'elle veut au
4:55niveau du champ adresse ip source et
4:57donc ça c'est un vrai problème parce que
4:59ben il n'y a pas de ya pas de fiabilité
5:02au niveau de ce chant et quant aux
5:04particuliers quelqu'un utilise ça pour
5:05mener une attaque par déni de service
5:06pour faire saturer un système évidemment
5:09si vous regardez les paquets ip qui vont
5:11causer la saturation et vous essayer de
5:12déterminer leurs sources vous pouvez pas
5:14vraiment vous fier avec l'adresse ip
5:16source puisque par définition c'est du
5:18déclaratif
5:18donc il n'y a aucune fiabilité car en
5:21aucune garantie de fiabilité de ce champ
5:25est donc dans l'équipe la taxe
5:27évidemment les attaques par déni de
5:29service qui consistent à faire saturer
5:30un service un pas forcément pour en
5:32prendre le contrôle mais en tout cas
5:34pour l'occuper notamment organiser un
5:36déni de service sur les sous systèmes de
5:38sécurité par exemple le système simple
5:42qui va collecter des événements de
5:43sécurité donc l'idée celle de faire
5:44saturer de façon à ce qu'ils puissent
5:46plus fonctionner normalement et plus
5:49assurer les fonctions qu'il est supposé
5:50être à assurer les supposés assurer donc
5:52par exemple la collecte des éléments de
5:53sécurité ou le traitement des événements
5:55de sécurité et donc quand le déni de
5:57service en tant que tel ça paraît pas de
5:59faire quelque chose directement mais ça
6:00permet souvent de masquer une autre
6:02activité qui est fait par ailleurs
6:07pour pouvoir définir et de mettre en
6:10place une politique de sécurité efficace
6:12il est important d'inventorier la
6:14surface d'attac qui est souvent beaucoup
6:16plus large que celle qu'on croit il ya
6:19les accès physique aux locaux de
6:20l'entreprise au datacenter les problèmes
6:23de perte ou de vol d'appareils ou
6:25d'équipements connectables aux réseaux
6:26d'entreprise la chaîne de production en
6:30ce qui concerne les appareils il ya bien
6:32sûr les postes de travail a mis à
6:34disposition des employés des
6:35prestataires mais aussi les objets
6:37connectés sur le réseau les imprimantes
6:39les caméras les téléphones ip les
6:42panneaux d'affichage les distributeurs
6:44automatiques qui quelquefois pour
6:46pour tout ce qui est paiement et cetera
6:47les machines à café sont quelquefois
6:49directement branchés sur le réseau
6:51interne de l'entreprise de façon à avoir
6:53accès il ya le réseau à internet et à un
6:56système bancaire
6:57les enregistrements dns et les adresses
7:00ip qui sont enregistrés là dehors
7:02notamment dans les bases ruiz au niveau
7:04des registres arts et aux adresses ip et
7:07de noms de domaine
7:11au niveau du réseau tout le souss qui
7:14est parfait firewall routeurs
7:15commutateurs proxy cache web etc
7:19permettant d'accéder à l'extérieur
7:22la segmentation réseau que ce soit avec
7:24des villas anneaux ou des réseaux privés
7:26de type vx lan sur l'environnement cloud
7:28interne
7:29les ports ouverts par exemple les ports
7:33d'accès à distance à une machine que ce
7:36soit le port assez sage pour accéder à
7:37un système unix ou les ports remote
7:40desktop protocol en environnement
7:41microsoft
7:44les protocoles utilisés les adresses ip
7:47il faut également prêter une attention
7:49toute particulière aux connexions avec
7:51des partenaires extérieurs là les
7:53fournisseurs les prestataires les
7:54clients
7:56en interne pour tous qui développement
7:58logiciel faire attention aux dépôts de
8:00code dépôt de code source type dit là
8:03bas qui a une sorte de github en interne
8:05tout ce qui est repositories de code
8:07source ou d'exécutables comme par
8:09exemple ripoux man party factory etc
8:14il faut également identifier les
8:16serveurs et les services qui sont
8:18installés les systèmes d'exploitation
8:20par exemple les linux server windows
8:22server ou autres les bases données qui
8:25sont utilisés oracle postgresql ou autre
8:28système les technologies et les
8:31protocoles utilisés pour communiquer
8:32notamment entre entre machines entre
8:34serveurs ou des postes clients vers les
8:37serveurs
8:38si vous utilisez du stockage cloud là
8:41dehors donc il faut également
8:43répertoriés ses serveurs et ses services
8:45utilisés enfin les services de
8:47messagerie que ce soit pour la
8:49messagerie des employés ou des messages
8:51échangés automatiquement entre serveur
8:55pour limiter les fuites de données
8:57également bien repérer les identifiants
8:59utilisés et les données qui sont
9:01exposées notamment à l'extérieur
9:07voici une liste non exhaustive de
9:10problèmes potentiels auxquels on peut
9:11être confrontés
9:12des matériels des logiciels des
9:15technologies ou des protocoles obsolète
9:17utilisez un terreau de l'entreprise le
9:19plus souvent pour des raisons
9:20historiques
9:21des erreurs de configuration
9:23des systèmes non conforme à la politique
9:26de sécurité définies
9:28des mots de passe par défaut qui sont
9:30laissés sur les appareils les
9:32équipements les logiciels
9:33des ports ouverts qui ne devrait pas
9:35l'être
9:36l'informatique parallèle en entreprise
9:38ce qu'on appelle en anglais le shadow
9:40haïti des gens qui développent des
9:41solutions des solutions d'en approuver
9:44officiellement pour faire leur travail
9:48les logiciels malveillants le
9:50hameçonnage notamment par email
9:52hameçonnage ciblées en particulier
9:54et l'existence de partenaires
9:57commerciaux vulnérables
10:01évoquons maintenant la problématique de
10:04la sensibilisation des utilisateurs à la
10:06sécurité informatique
10:09il est important de sensibiliser les
10:12utilisateurs à la sécurité en entreprise
10:14souvent l'utilisateur ne comprend pas le
10:16problème et il constate uniquement la
10:18gêne occasionnée par le fait qu'on lui
10:20demande de soutif y est d'utiliser
10:21d'authentification multi-facteurs une
10:23application sur son smartphone ou une
10:25carte à puce ou son empreinte digitale
10:27la plupart des portes dérobées sont
10:30ouvertes inconsciemment par les
10:31utilisateurs souvent en raison d'une
10:33politique de sécurité trop restrictive
10:34et il faut rester vigilant sur les
10:37changement inhabituel d'utilisation
10:49voici quelques exemples d'affiche 206
10:52informatique vous pouvez mettre la vidéo
10:54sur pause si vous souhaitez prendre plus
10:56de temps pour les examiner côté gauche
10:58on a une affiche qui concerne la fraude
11:00au président et côté droit les fausses
11:03notifications comme quoi vous avez un
11:04colis en attente et qui vous font
11:06remplir un formulaire et fournir vos
11:07détails personnels
11:13voici deux affiches sur le hameçonnage
11:15le phishing qui reprennent les codes de
11:18films bien connus
11:24une troisième âge le hameçonnage le côté
11:27droit et un côté gauche une affiche un
11:30peu plus original sur l'authentification
11:31multi facteurs
11:37enfin deux affiches incitant les
11:39utilisateurs à la vigilance lorsqu'ils
11:41cliquent sur un lien ou sur une pièce
11:44jointe dans un email
11:50lorsqu'on est fait
11:52civilisation à la sécurité informatique
11:54en entreprise on constate souvent que
11:56les utilisateurs applique les nouvelles
11:58consignes avec enthousiasme la première
12:00semaine un peu moins souvent la seconde
12:02est quasiment plus les suivantes
12:06en effet savoir ce qu'il faut faire ne
12:09garantit pas que ce sera réellement fait
12:12lorsqu'on interroge les utilisateurs en
12:15entreprise sur l'application des
12:16politiques de sécurité comme par exemple
12:19est-ce que vous verrouiller
12:19systématiquement votre poste de travail
12:21lorsque vous vous en éloignez on
12:23s'aperçoit que 10 à 30% des utilisateurs
12:25ne sont pas au courant de telles ou
12:28telles politiques de sécurité ça dépend
12:31bien sûr du niveau de communication et
12:33de sensibilisation qu'il ya eu 1 et donc
12:35ça signifie que 70 à 90% des
12:38utilisateurs sont au courant de la
12:40politique de sécurité et pourtant parmi
12:42ceux là on s'aperçoit que la moitié en
12:44général de ceux qui sont au courant ne
12:47les appliquent pas car ils trouvent cela
12:48trop contraignant et donc il faut bien
12:51comprendre que lorsqu'on fait de la
12:53communication sur les politiques de
12:54sécurité en entreprise
12:56en fait vous n'avez probablement agir
12:58que sur les 10 à 30 % des utilisateurs
13:00qui ignorent encore ces politiques de
13:03sécurité mais vous n'allez pas agir sur
13:06en gros le gros des troupes qui
13:09n'appliquent pas ces consignes
13:14donc c'est un chic landes ouvre les
13:17limites de la communication
13:21dans ce parc par exemple il ne sert à
13:24rien de multiplier les panneaux pour
13:26dire qu'il est interdit de marcher sur
13:27l'herbe les utilisateurs trouvent tout
13:29simplement trop contraignant de faire le
13:31tour par le coin pour rejoindre
13:33l'abribus et donc du coup ils préfèrent
13:37tout simplement traverser à tel point
13:39que l'herbe a même complètement disparu
13:41et qu'un sentier s est artificiellement
13:42créée pour rejoindre l'arrêt bus
13:49la sensibilisation
13:51sécurité informatique n'agit que sur les
13:53connaissances des utilisateurs mais pour
13:55modifier durablement les comportements
13:57cela nécessite que ces derniers
13:59disposent à la fois des connaissances et
14:01des compétences pour savoir ce qui est
14:03attendu de leur part mais aussi de la
14:05motivation pour appliquer les consignes
14:07et enfin des outils pour pouvoir les
14:09appliquer en pratique et donc on peut
14:11résumer sa part la formule mathématique
14:13suivante le taux de comportements
14:15observés c'est le taux de connaissances
14:17x le taux de motivation x le taux
14:21d'utilisation des outils et donc on peut
14:23avoir une connaissance parfaite des
14:25consignes de sécurité en entreprise on
14:27peut avoir des outils appropriés pour
14:29les appliquer mais si seulement 10 % des
14:32utilisateurs sont motivés pour appliquer
14:34les consignes de sécurité et bien
14:35effectivement on voit qu'au final on
14:38aura que 8 % du des utilisateurs qui
14:41vont réellement les mettre en pratique
14:46on dise que la sécurité informatique est
14:49une combinaison de personnes de
14:51processus et de technologie et donc pour
14:55savoir ce qui coince lorsque des
14:56consignes de sécurité ne sont pas
14:57appliquées est-ce qu'il s'agit d'un
14:59problème avec des personnes ou plus
15:01probablement avec des processus
15:02inadaptés ou avec des outils qui sont
15:04inadaptés en général il suffit
15:07d'interroger 5 à 10 personnes
15:08l'entreprise pour pouvoir déterminer
15:10quels sont les barrières réel à la mise
15:12en pratique tels que par exemple des
15:14processus ou des outils inadaptés
15:20enfin n'oublions pas que les
15:22utilisateurs ne sont généralement pas
15:23des ingénieurs en informatique est tant
15:25mieux d'ailleurs parce que sinon c'est
15:26tout le monde était ingénieur en
15:27informatique on aura du mal à gagner
15:28notre vie
15:30donc on peut comprendre qu'ils ont du
15:33mal à s'y retrouver lorsqu'ils reçoivent
15:34un mail par exemple et qui communique
15:36avec une personne avec telle adresse
15:37mail la question c'est comment
15:40reconnaître qu est-ce qui est une
15:41adresse légitime et qu'est-ce qui n'en
15:43est pas donc ça peut vous sembler
15:45relativement simple vous pouvez penser
15:46campent les deux premières sont des
15:49adresses il adresse légitime et que les
15:51autres ne le sont pas et pourtant c'est
15:53pas aussi simple que ça puisque en fait
15:55si vous copiez collez la première
15:56adresse dans un traitement de texte et
15:58que vous changer la police de caractère
15:59vous allez vous apercevoir que le
16:01premier caractère ici de le cnam ce
16:03n'est pas elle mais c'est en fait henri
16:05majuscule donc en fait c'est bien en
16:08fait un faux domaine qui imite le
16:10domaine le cnom point est ici
16:16commander aux utilisateurs d'inspecter
16:19systématiquement les url et les adresses
16:21mail qui le manipule ça revient un peu à
16:24demander aux passants dans la rue
16:25d'inspecter le contenu de chaque
16:27véhicule qui croisent pour voir si par
16:29hasard il n'y aurait pas d élément
16:30suspect de temps
16:35ceci est résumé un article de recherche
16:37de microsoft research 2009 qui conclut
16:40sur le fait que les utilisateurs sont
16:42confrontés à des consignes de sécurité
16:44toujours plus longues toujours plus
16:46complexes et souvent vagues qui au final
16:49ne font que réduire le risque et qui
16:51quelquefois même sont contre-productives
16:58enfin il ne faut pas sous-estimer
17:00l'importance des valeurs par défaut
17:02ceci est illustré par un article de 2003
17:05un article médical qui s'intitule est ce
17:08que les valeurs par défaut sauvent des
17:09vies qui compare le pourcentage donneurs
17:12d'organes par pays en europe on
17:15s'aperçoit qu'il y à deux groupes de
17:16pays avec des caractéristiques très
17:18différentes
17:19ce en bleu ici qui ont des taux de dons
17:22d'organes extrêmement élevés qui sont
17:24évidemment les pays pour lesquels par
17:25défaut tout le monde est considéré comme
17:27un donneur d'organes et vous devez
17:29explicitement vous y opposer si vous
17:31n'êtes pas d'accord alors qu'au
17:33contraire les pays en jeunes sont les
17:35pays pour lesquels par défaut vous
17:37n'êtes pas donneur d'organes et il faut
17:39explicitement donné votre accord
17:41préalable si jamais vous êtes favorables
17:44au don d'organes
17:48et pourquoi maintenant les éléments
17:51d'une politique de sécurité
17:56on a déjà parlé de la nécessité
17:59d'assurer la continuité des services la
18:01reprise est la continuité en cas de
18:03catastrophe d'invasion virale etc on a
18:06également parlé de comment détecter et
18:08surveiller la sécurité des installations
18:11via les outils cmts et m le scan de
18:15vulnérabilités le pentest les exercices
18:20sera team etc et vous comptez désormais
18:23les derniers aspects à savoir gérer les
18:26identités et les accès sécurisés les
18:28systèmes sécurisés les réseaux et les
18:30communications
18:34pour la sécurité des identités et des
18:37accès donc la première chose c'est
18:39s'assurer qu'on est capable
18:41d'authentifier correctement en
18:43particulier les utilisateurs donc
18:45l'authentification s'est basé sur trois
18:48catégories de preuve ce que vous êtes
18:50line errance à savoir la biométrie ce
18:53que vous connaissez les mots de passe et
18:56ce que vous transportez ce qui est en
18:57votre possession une carte à puce ou une
18:59clé usb un smartphone un jeton
19:01d'authentification théo tp1 sous forme
19:03d'applications qui tourne sur votre
19:04smartphone par exemple etc
19:07donc quand on met en oeuvre une seule
19:09des trois catégories comme tarbes les
19:12mots de passe on parle de notification
19:14simple mais pour renforcer la sécurité
19:16vu qu'on vient de voir que les mots de
19:18passe ses problèmes de mot de passe
19:19qu'on se constitue 80% est à la source
19:21de 80 % des incidents de sécurité
19:23informatique donc à l'époque actuelle on
19:27incite vivement à l'utilisation de
19:29l'authentification forte appelé
19:31également m f à multi factor autant
19:33détection donc l'idée derrière
19:35multi-facteurs l'authentification
19:37multi-facteurs celle utilisée deux voire
19:39trois des trois catégories
19:41d'authentification convient de citer
19:44donc l'idée c'est utiliser deux ou trois
19:47éléments indépendants on appelle ça la
19:49toux factor authentication tri factor
19:51authentication donc authentification à
19:54deux facteurs ou à trois facteurs et
19:56évidemment il faut que ces facteurs soit
19:57indépendant c'est à dire que la
19:59compromission de l'un de ces facteurs ne
20:02remet pas en question la stabilité
20:04autre pardon si vous utilisez les mots
20:05de passe plus l'empreinte digitale ou
20:08les mots de passe plus une carte à puce
20:09donc l'idée c'est que si le mot de passe
20:12de l'utilisateur venait à être compromis
20:13l' avantage c'est que il faut encore que
20:17le pirate lui vole son empreinte
20:20digitale ou sa carte à puce pour pouvoir
20:22franchir la barrière d'authentification
20:25voilà cette définition
20:26d'authentification forte est tiré de la
20:29directive européenne psd 2 1 sur les
20:32services de paiement européen
20:33article 4 sections 30
20:40voici comment on modélise le contrôle
20:42d'accès donc on a un sujet en
20:45terminologie carburant ce qu'on appelle
20:47ça un principal donc un sujet qui veut
20:49accéder à un objet à des ressources et
20:53donc pour pouvoir appliquer le contrôle
20:55d'accès évidemment il faut parties
20:56puissent y accéder directement mais on
20:57va l'obliger à passer par un guichet
20:59unique un guichet de contrôle d accès
21:02qui s'appelle la en sécurité le moniteur
21:05de référence qu'on peut appeler
21:06également le médiateur ou le gardien est
21:09donc le moniteur de référence il va
21:11commencer par authentifier le demandeur
21:13pour être sûr de savoir à qui il a à
21:15faire et quand l'authentification aura
21:18abouti quand le moniteur de référence
21:20sera sûr et certain de savoir à qui il a
21:22affaire à quel sujet il va pouvoir
21:24procéder à la phase d'autorisation est
21:26appliquée donc le contrôle d'accès
21:29sachant que c'est le propriétaire le
21:33responsable de l'actif informationnel là
21:35cet honneur en anglais qui a déterminé
21:37les règles de contrôle d'accès et donc
21:39qui peut accéder à ces objets à ses
21:42ressources
21:43donc le moniteur de référence c'est le
21:46gardien c'est lui qui va prendre les
21:47décisions de sécurité est évidemment
21:49comme toujours le gardien surveille un
21:52mets qui surveille le gardien et donc
21:54pour pouvoir auditer le gardien il est
21:56important qu'il enregistre ses décisions
21:57dans des journaux d'événements des
21:59fichiers log qui permettront de l'it et
22:02ultérieurement les décisions prises par
22:03le garde
22:08le moniteur de référence le gardien où
22:10on appelle ça également la tcb la trust
22:13de compétences baez c'est ce qui
22:15regroupe tous les éléments considérés
22:16comme deux confiance dans un système
22:18informatique
22:19donc ça peut être du logiciel du
22:21matériel mais aussi la configuration
22:23associer les limites de la tcb sont
22:26souvent difficiles à cerner et les
22:28propriétés recherchées pour l'atc b on
22:30souhaite que le elle soit inviolable
22:33qu'elle soit incontournable et
22:36idéalement qu'elles soient vérifiables y
22:38compris mathématiquement en fait donc
22:41pour pouvoir la vérifier pour qu'ils
22:44aient le moins de bugs possible dans le
22:46moniteur de sécurité il faut évidemment
22:48que le code soit le plus petit possible
22:49pour pouvoir être testées offrir une
22:52surface d'attac plus faibles et
22:54idéalement pouvoir être démontré
22:55formellement comme étant correct via une
22:58technique mater m de prof de
22:59mathématiques
23:05les questions clés quand on s'intéresse
23:07à la sécurité des systèmes c'est de
23:10savoir ce que l'on protège est-ce qu'on
23:11protège l'accès aux données les données
23:13elles mêmes à l'intégrité des
23:15transactions ou autre chose
23:17et de quelle menace de menaces externes
23:18ou de menaces internes et quelles
23:21contraintes de sécurité on peut tolérer
23:28voici quelques exemples de stratégies de
23:30sécurité volontairement caricaturale
23:33première solution l'isolation le fait de
23:35ne pas être connecté par exemple ne pas
23:36être connecté à internet c'est peu
23:38pratique sauf cas exceptionnel et en
23:40plus on a vu que c'est pas une sécurité
23:41absolue par exemple les centrales
23:43tarissement nucléaire iranienne
23:45notamment celle de nathan sont quand
23:47même été infectés par le ver stuxnet
23:48parce qu'il s'est propagée il ya des
23:50clés usb
23:52autre stratégie de sécurité l'exclusion
23:54empêchaient tout accès non autorisé par
23:58exemple en déployant des pare-feu des
24:01techniques de signatures de codes donc
24:02seul du code qui étaient contre signé et
24:04approuvé peut s'exécuter et ses
24:09techniques de restriction empêcher les
24:11dégâts en exécutant le code dans des
24:14bacs à sable des machines virtuelles
24:15java dotnet etc donc c'est le cas par
24:19exemple de sur android les applications
24:21téléchargées du google docs les stores
24:23et s'exécute dans la machine virtuelle
24:25java fournies par google
24:28donc qui permet de les confiner à
24:30l'intérieur d'un espace protégé ne pas
24:32avoir accès directement au système
24:34d'exploitation qui est en fait un
24:36système linux qui tourne dessous
24:38autre stratégie de sécurité restaurer
24:41plus rapidement donc réparer les dégâts
24:43avec des sauvegardes par exemple ou avec
24:45des clichés instantanés
24:49enfin être capable d'auditer pour
24:54assurer la traçabilité et l'imputabilité
24:56des actions
25:00quelques exemples da propre char
25:02première approche tout interdit sauf ce
25:05qui est expressément autorisée et ça
25:07c'est très pénible pour les utilisateurs
25:08parce qu'ils peuvent rien faire par
25:10défaut et pour les administrateurs qui
25:12sont sollicités en permanence pour
25:14justement autorisé ce que les
25:16utilisateurs ont besoin de faire
25:18la proche inverse tout est autorisé sauf
25:21ce qui est expressément interdite et est
25:24plus agréable pour tout le monde mais il
25:26ya un risque d'être pris de court par
25:28les nouveaux protocoles et par leurs
25:30faiblesses et dont il faut être capable
25:32de réagir assez rapidement en cas de
25:33problème de sécurité avec les
25:36autres techniques la sécurité en
25:38profondeur c'est ce qu'on met en oeuvre
25:40dans les datacenter professionnels donc
25:43quand on déploie un serveur dans un
25:45secteur professionnel quasiment tous les
25:46porcs sont fermés et donc il faut
25:48demander d'aidé il faut faire des
25:49firewall request pour demander
25:51l'ouverture des ports un parent dont on
25:52a besoin pour faire tourner son serveur
25:54donc la sécurité en profondeur
25:56c'est très sur six est implémenté
25:59correctement mais c'est difficile à
26:01mettre en oeuvre sauf sur un nombre
26:02limité de systèmes ayant typiquement
26:04c'est ce qu'on va faire dans les data
26:05center
26:07sinon en entreprise pour tout ce qui est
26:09en bureautique par exemple on va plutôt
26:11utiliser ce qu'on appelle la défense
26:13périmétrique un bord croustillant avec
26:15un coeur moyeu donc on en sera protégée
26:19au niveau du périmètre un tout autour
26:21mais par contre c'est vrai que c'est
26:24plus compliqué de de gérer l'intérieur
26:27de l'entreprise avec
26:29en tout cas la zone bureautique où il ya
26:30toutes sortes de machines
26:31plus ou moins contrôlés qui sont
26:33branchés
26:38les techniques utilisées pour assurer la
26:40sécurité des réseaux classiquement donc
26:42pour la sécurité périmétrique déployer
26:44des pare-feu des firewall des zones
26:47tampons qu'on appelle des dmz des zones
26:49démilitarisées dans lesquels on va
26:51mettre les services qui doivent être
26:52accessibles depuis l'extérieur et on va
26:55pouvoir déployer également des systèmes
26:56de détection et de prévention
26:57d'intrusion dont des idées s ou ip est
27:01ce donc intrusion detection system ou
27:03intrusion prevention system
27:05également on va segmenter les réseaux de
27:08façon à cloisonner les infrastructures
27:10par exemple en créant des velan pour
27:13isoler les serveurs les autres
27:22donc voilà un exemple de chez marc
27:25architecture simpliste donc on a on a
27:29ici l'accès internet on a une patte ici
27:33du firewall la zone démilitarisée ici
27:35qui est accessible de l'internet est
27:37également des machines interne au réseau
27:40et on a également un autre firewall là
27:42donc on définit différentes zones on va
27:44voir une zone
27:45publique on va avoir la zone interne de
27:48l'entreprise
27:49on peut avoir une zone invités pour les
27:52salles de réunions pour que les
27:53visiteurs puissent se brancher dessus et
27:55on peut avoir également une zone
27:56spécifique pour le wifi
28:01la sécurité peut être améliorée par une
28:04stratégie de défense en profondeur en
28:06anglais ça s'appelle les gardes security
28:08donc on va avoir différentes couches de
28:11protection on va avoir un parfait au
28:13niveau du réseau on va avoir ensuite des
28:16machines virtuelles une solution de
28:18virtualisation par exemple après on va
28:20voir l' os avec son contrôle d'accès
28:23natif on peut aussi faire tourner des
28:25conteneurs pour isoler les processus on
28:28peut avoir après la machine virtuelle
28:30java ou dotnet qui va encore isolées les
28:33applications à l'intérieur de l'ampl de
28:36la jvm pour java et après on a les
28:38applications qui ont elles mêmes leurs
28:40recontre contrôle d'accès applicatifs
28:46historiquement la sécurité informatique
28:49est construite dans les années center
28:51sur le modèle du château fort
28:56le modèle de sécurité historique et donc
28:59celui du château fort médiéval donc on a
29:01déjà les douves qui sont défaussés large
29:04et profond rempli d'eau tout autour du
29:07château fort les douves ça empêche me
29:10d'approcher des engins de siège détour
29:13des veillées des mango naudé trébucher
29:14des catapultes etc mais surtout le plus
29:17important en fait c'est que ça empêcher
29:18l'ennemi de creuser des tunnels pour
29:20affaiblir et pour faire s'effondrer les
29:22murs d'enceinte ce qu'on appelait en
29:24fait le travail de sape donc là
29:26l'intérêt c'est que si l'ennemi et c'est
29:28de creuser un tunnel il est probable
29:30qu'il va s'effondrer et que l'eau va
29:32venir le remplir
29:33ensuite au début les châteaux forts
29:37avaient une seule enceinte et dès le
29:40xiiie siècle on s'est aperçu qu'en fait
29:41il valait mieux construire des
29:43fortifications concentriques avec donc
29:45une double enceinte un mur extérieur et
29:48un mur intérieur et et à l'intérieur
29:51encore un donjon circulaire ce qu'il en
29:53était de maximiser le l'aspect défensif
29:56de la chose vous pouvez dans le pire des
29:58cas se réfugier dans le donjon qui était
29:59le dernier endroit d'où l'on pouvait
30:01défendre le château fort
30:05le seul accès un château fort médiéval
30:08et par sa porte principale depuis
30:10l'extérieur qui est l'endroit problement
30:12le plus sécurisé ils disposent donc on
30:15le vit une ère sans faire et même si
30:17l'ennemi arrive à franchir
30:19la porte principale
30:21le plus souvent derrière ils se
30:23retrouvent dans une petite cour
30:24intérieure qui est surplombée de
30:26meurtrières truc marché qui pouvait
30:28comme ça décocher des flèches ou tir à
30:30l'arbalète et également cette cour
30:32intérieure et est surplombée de
30:33mâchicoulis permettant d'envoyer des
30:35projectiles sur les outils ou de l'eau
30:36bouillante si besoin
30:38gagner détail auquel on pensait les
30:41concepteurs de château haut moyen âge
30:43c'est le fait de le construire des cages
30:45d'escaliers qui spirale dans le sens du
30:47but montres et donc l'intérêt c'est que
30:49si on attaque en arriver jusqu'aux cage
30:51d'escalier et essayer de les gravir
30:54commis spirale est dans le champ aux
30:56aiguilles d'une montre la plupart des
30:58attaquants étant droitier en tenant
31:00leurs épées dans la main droite et ben
31:02il avait énormément de mal à combattre
31:03parce qu'il était gêné par le noyau
31:05cylindrique centrale de l'escalier
31:07puisque ça les gênait pour manier leur
31:09ip
31:17en entreprises pendant très longtemps
31:19donc on a construit les systèmes de
31:20sécurité basées sur le modèle du château
31:22fort et en fait on s'est aperçu que les
31:26les les menaces en fait résiduelles
31:29proviennent réellement de l'intérieur de
31:31l'entreprise parce qu'il est très
31:32difficile d'obtenir un accès depuis
31:34l'extérieur du réseau les portes
31:35d'entrée sont pr nombreuses et très
31:37contrôlé ce sont un peu les accès vpn et
31:39c est typiquement on va mettre des
31:41pare-feu des idées sdj ps et c'est donc
31:44au final quand un incident de sécurité
31:46l'immense majorité des incidents de
31:47sécurité provient de gens qui sont des
31:51tas de gens qui ont déjà un accès à
31:52l'intérieur de l'entreprise parce que
31:54une fois qu'il a pénétré à l'intérieur
31:55un attaquant a souvent beaucoup trop
31:57d'accès et donc peut se déplacer
31:59latéralement sans trop de résistance
32:02entre les systèmes informatiques d'où la
32:05question à l'époque actuelle comment
32:07améliorer la sécurité si on considère
32:08que l'attaquant est déjà à l'intérieur
32:10de l'entreprise
32:15le problème est également exacerbé par
32:18le fait que désormais les entreprises ne
32:20concentrent plus leur donnait en hausse
32:21en droit les applications peuvent être
32:24toujours hébergeurs interne on appelle
32:26ça une prime en anglais donc datacenter
32:30historiques ou parfois dans un cloud
32:32privé mais désormais est de plus en plus
32:34souvent ils entreprises pas vu répartir
32:37leurs systèmes informatiques entre
32:40plusieurs fournisseurs de cloud public
32:41par exemple amazon web services
32:43microsoft azur google cloud platform etc
32:47et en plus de ça les applications les
32:50entreprises peuvent se
32:52se mettre à utiliser les applications
32:53fournies sous forme de software as a
32:55service
32:56donc dans ce cas là ce sont des
32:58applications hébergées directement par
32:59l'éditeur par exemple salesforce service
33:02nains microsoft 365 et c est donc un
33:07contrôle de sécurité unique et
33:08centralisé pour l'accès à un réseau
33:10entier ne suffit plus du fait que le
33:12système d'information se retrouvent
33:14éparpillés entre différents fournisseurs
33:16et des partis qui sont toujours à
33:19l'intérieur de l'entreprise
33:24on aboutit à ce qu'on appelle la
33:27dépérimétrisation de l'infrastructure de
33:29l'entreprise
33:30donc les architectures 0 trust networks
33:33donc les réseaux 0 trust dont qui
33:37nécessite de faire de la micro
33:38segmentation réseau pour granulats risée
33:41les surfaces d'attac par applications
33:43comme les applications métiers sont
33:46répartis encore une fois entre des
33:48clouds publics en interne et des
33:50applications qui sont restés chez eux
33:53chez votre fournisseur
33:54il faut être capable de faire
33:57implémenter une authentification
33:58mutuelle partout d'être sûr de se
34:00connecter à la bonne application et
34:02d'être sûr d'avoir affaire à la bonne
34:04personne donc personne ne doit être
34:07approuvée par défaut à l'intérieur ou à
34:08l'extérieur du réseau ce qu'on appelle
34:10en anglais un never trust a loué verify
34:12et pour limiter la fatigue du mot de
34:15passe évidemment il faut mettre en
34:16oeuvre pour qu'ils fonctionnent
34:17correctement un système
34:19d'authentification single sign-on avec
34:22une signature unique ou en fait on
34:24s'identifie une fois pour toutes et
34:26après on est automatiquement reconnus et
34:28authentifié par les différentes
34:29applications ceci pour éviter les
34:31authentifications multiples et donc la
34:33fatigue du mot de passe et également
34:35pour améliorer la sécurité évidemment
34:37idéalement déployer d'authentification
34:39multi-facteurs un effort enfin il faut
34:42également appliquer le principe du
34:43moindre privilège de façon à ce que les
34:45utilisateurs disposent uniquement des
34:47privilèges dont ils ont besoin pour
34:48travailler
34:53pour améliorer la sécurité il faut se
34:57mettre dans la peau de l'attaquant est
34:58donc pensé comme un attaquant et paul
35:01vickers qui travaillent à la sécurité de
35:03la banque barclays
35:05indiquez bien sûr je suis parano mais
35:06est-ce que je suis suffisamment parade
35:14enfin le dernier élément d'une politique
35:16de sécurité c'est la sécurité des
35:18communications et ça ça on fera ça
35:20n'irait cryptographie c'est le but du
35:21prochain chapitre

About this transcript

This page contains the full transcript of 03d - Mesures de securite by CNAM RSX112, generated from the public captions YouTube serves with the video. The transcript has 5,474 words across 917 segments, with the original timestamps preserved so you can click any line to jump to that moment in the embedded player.

What you can do with it

Use the transcript to take notes, quote the speaker, build a study guide, generate a summary with ChatGPT or Claude via the YouTube Summary tool, or export it as a timed subtitle file with YouTube to SRT. You can also re-open it in the transcriber to choose a caption track available on the video.

Free YouTube transcript tool

YouTube2Text is a free YouTube transcript generator — no signup, no daily limit. Paste any YouTube link and get the full transcript instantly, with timestamps, click-to-jump, caption language selection, AI prompts for ChatGPT, Claude, and Gemini, and exports to TXT, SRT, VTT, or Markdown.