Esisar rubrique Formation 2022

Sécurité des systèmes - 5AMSE501

  • Volumes horaires

    • CM 36.0
    • Projet -
    • TD -
    • Stage -
    • TP 18.0
    • DS -

    Crédits ECTS

    Crédits ECTS 6.0

Objectif(s)

Concevoir/déployer/gérer une infrastructure sécurisée de SI

Responsable(s)

Yves GUIDO

Contenu(s)

cours

  • Gestion des services
  • Le Maintien en Conditions Opérationnelles (MCO)
    • La supervision des systèmes
      • Principes
      • Protocoles, outils (SNMP, Nagios)
      • Méthodes (ITIl, Ebios, ISO27xxx, Mehari, Marion…)
    • L'intégrité des infrastructures
      • L'intégrité physique (salles serveurs, réseaux)
      • L'intégrité logique (sauvegardes, signatures)

Principe et approche de la sécurité des systèmes

  • Sureté et sécurité
  • Menaces, risques, impacts
  • La sécurité offensive :
    • Principes
    • Méthodes de hacking
    • Reconnaissance de la cible
    • Ingénierie sociale
    • Investigations numériques
    • Analyses inforensiques
    • Prise d’empreintes
    • Cartographie de système
    • Recherche de failles techniques : vulnérabilités full disclosure, zero day
    • Attaques et exploitations
  • La sécurité défensive
    • Introduction : PSSI et PMSI, gestion des risques
    • Principes de défense : C.I.A. et Triple A

L’implémentation de la sécurité

  • Classification, protection des données
    • Classification des données
    • Cryptographie : rappels, implémentation, robustesse et gestion des clés
  • Implémentation du Triple A
    • Authentifications
      • Terminologie : Le triple A : « AAA », Authentifications par facteurs, forte, unique
      • Authentification par mots de passe, passwords jetables (OTP)
      • Authentifications par clés publiques
      • Comptes multiples et systèmes d'autorisations : Kerberos, Radius, Ldap
      • Authentifications personnalisées (PAM)
      • Synthèse, bonnes pratiques
    • Autorisations
      • Cas d’Unix : Utilisateurs et groupes
      • Root
      • Délégations (sticky bits, mécanismes suxx)
      • Autorisations sur les données, cas de Windows
      • Access Control Lists (A.C.L.) et attributs étendus
      • Modèles de gestion des droits : RBAC, DAC, MAC, types de gestion spécifiques
      • Accès aux données protégés par encryptages et signatures
      • Autorisations sur les périphériques
      • Autorisations sur les services
    • Accounting (gestion des logs), Architectures sécurisées (Traités dans le cours NE570)

La gestion de la sécurité

  • Principes généraux
    • Gouvernance
    • Politiques, Gestion des risques (Plan)
    • Audit & Administration (Do-Check)
    • Assurance qualité, conformité (Act)
    • Bonnes pratiques, normes
  • Points sensibles
    • Conception : L’analyse des risques
    • Concepts, Processus, Méthodes
    • Implémentation : La gestion des incidents
    • Concepts, Processus, Méthodes


Travaux pratiques
Quelques exemples:

  • Implémentation de Kerberos
  • Systèmes de fichiers encryptés
  • Outils de scellement tripwire


Présentations, Focus (exemples 2017) :

Les étudiants réalisent aussi diverses présentations à l'ensemble de la promotion, quelques exemples:

  • TOR et les autres systèmes d'anonymisation
  • La cyber-attaque 10.21
  • Les anti-cookies et anti-trakker
  • Les WAF, et autres firewall applicatifs
  • Le projet OWASP.
  • Blockchain. Applications et implémentations.
  • Démonstration du scanner de vulnérabilité Nessus (OpenVas)
  • Démonstration d’outils de rétro-ingénierie : IDA, OllyDbg.
  • Outils pour la recherche d'origine source ouverte.
  • L'empoisonneur "Responder". Ex. d'utilisation avec une USB SoC-based device, ou comment cracker Windows en 13s.
  • Gestion des permissions sur les devices Linux.
  • IOT security
  • Le protocole SOCKS.
  • Frequent Password Changes Is a Bad Security Idea. (B. Schneier)
  • Exploitation de la vulnérabilité CVE-2015-6409 Downgrade StartTLS pour le client Cisco Jabber (Misc#84)


Mots clés:

  • Chapitre 1 : SCADA, Menaces, Risques, Actifs, PSSI, ISO 27001- SMSI, ANSSI, NIST, Vulnérabilités, Exploit, Pentest, Elicitation, CVE, CERT, CIA, AAA
  • Chapitre 2 : Cryptographie à clés secrètes, à clés publiques ; Cryptographie symétrique, asymétrique ; DES, AES, Blowfish, RC4, A5, RSA, DSA-DH, ElGamal, courbes elliptiques, réseaux Euclidiens, systèmes homomorphiques, MD4, MD5, SHAxx, PKI, PGP, Entropie, crypt(), salt, dictionnaires, tables arc-en-ciel, keylogger, shoulder surfing, One Time Passwords, Token, Secure-Id, JTR, Ophcrack, Kerberos, TGS, TGT, Radius, NAS, supplicant, EAP, Chap, Pap, 802.1x, Diameter, portail captif, Ldap, X400, X500, BER, ASN1, PAM, Gina, Credential providers, Capabilities, endossement, Setuid, Suid, Sticky bit, Sudo, Runas, ACL, attributs étendus, RBAC, DAC, MAC, XACML, Truecrypt, Bitlocker, Cryptfs, Microsoft EFS, TCP-wrappers, SOCKS, IDS, NIDS, HIDS, SIEM, Ossim, Snort, Suricata, Chekpoint, Ossec, Tripwire
  • Chapitre 3 : PDCA, ISO/CEI 27001:2013, ISO/CEI 27005:2008, PSSI, SMSI, Ebios, Feros, Octave, Mehari, Critères Communs, ITIL v3

Prérequis

Architecture et administration des systèmes
Réseaux
Programmation
Crypto

Contrôle des connaissances

CC = Contrôle continu (30% de la note) : Devoirs surveillés et/ou Devoirs à la maison et/ou Travaux en ateliers thématiques par groupes de 2 à 4 élèves.
TP = Travaux Pratiques (20% de la note) : Exercices en binômes, rédaction de rapports.
E1 = Examen de session 1 (50% de la note) : Épreuve écrite individuelle d'une durée de 1h30, portant sur l'ensemble des notions abordées dans l'année, document non autorisé
E2 = Examen de session 2 (remplace CC et E1) : Épreuve écrite individuelle d'une durée de 1h30 ou 30 minutes à l'oral, document non autorisé

Calendrier

Le cours est programmé dans ces filières :

cf. l'emploi du temps 2022/2023

Informations complémentaires

Code de l'enseignement : 5AMSE501
Langue(s) d'enseignement : FR

Le cours est rattaché aux structures d'enseignement suivantes :

Vous pouvez retrouver ce cours dans la liste de tous les cours.

Bibliographie

  • Computer Security [Paperback] by Dieter Gollmann
    • Paperback: 456 pages
    • Publisher: Wiley; 3 edition (February 28, 2011)
    • Language: English
    • ISBN-10: 0470741155
    • ISBN-13: 978-0470741153
  • Essential Computer Security: Everyone's Guide to Email, Internet, and Wireless Security by T. Bradley (Jan 14, 2007)
    ** Paperback: 279 pages
    • Publisher: Syngress; 1 edition (January 14, 2007)
    • Language: English
    • ISBN-10: 1597491144
    • ISBN-13: 978-1597491143
  • Security Engineering: A Guide to Building Dependable Distributed Systems by Ross J. Anderson (Apr 14, 2008)
    • Hardcover: 1080 pages
    • Publisher: Wiley; 2 edition (April 14, 2008)
    • Language: English
    • ISBN-10: 0470068523
    • ISBN-13: 978-0470068526
  • The Art of Software Security Assessment: Identifying and Preventing Software Vulnerabilities by Mark Dowd, John McDonald and Justin Schuh (Nov 30, 2006)
    • Paperback: 1200 pages
    • Publisher: Addison-Wesley Professional; 1 edition (November 30, 2006)
    • Language: English
    • ISBN-10: 0321444426
    • ISBN-13: 978-0321444424
  • Applied Information Security: A Hands-On Guide to Information Security Software (2nd Edition) by Randall J. Boyle and Jeffrey G. Proudfoot (Nov 23, 2013)
    • Paperback: 512 pages
    • Publisher: Prentice Hall; 2 edition (November 23, 2013)
    • Language: English
    • ISBN-10: 0133547434
    • ISBN-13: 978-0133547436
  • Secrets et mensonges. securite numerique dans un monde en réseau by Bruce Schneier (Jun 22, 2001)
    • Publisher: Vuibert (June 22, 2001)
    • Language: French
    • ISBN-10: 2711786846
    • ISBN-13: 978-2711786848
  • Metasploit Sécurité & hacking - Le guide du pentesteur de David Kennedy, Jim O'Gorman, Devon Kearns et Mati Aharoni
    • Broché: 332 pages
    • Editeur : Pearson (30 août 2013)
    • Collection : Référence
    • Langue : Français
    • ISBN-10: 2744025976
    • ISBN-13: 978-2744025976
  • Sécurité informatique : Principes et méthodes à l'usage des DSI, RSSI et administrateurs de Laurent Bloch, Christophe Wolfhugel, Nat Makarévitch et Christian Queinnec
    • Broché: 349 pages
    • Editeur : Eyrolles; Édition : 4e édition (15 mai 2013)
    • Langue : Français
    • ISBN-10: 2212137370
    • ISBN-13: 978-2212137378