Sécurité des systèmes - 5AMSE501

Objectif(s)

Concevoir/déployer/gérer une infrastructure sécurisée de SI

Contenu(s)

cours

• Gestion des services

• Le Maintien en Conditions Opérationnelles (MCO)
  • La supervision des systèmes
    • Principes
    • Protocoles, outils (SNMP, Nagios)
    • Méthodes (ITIl, Ebios, ISO27xxx, Mehari, Marion…)
  • L'intégrité des infrastructures
    • L'intégrité physique (salles serveurs, réseaux)
    • L'intégrité logique (sauvegardes, signatures)

Principe et approche de la sécurité des systèmes

• Sureté et sécurité
• Menaces, risques, impacts
• La sécurité offensive :
  • Principes
  • Méthodes de hacking
  • Reconnaissance de la cible
  • Ingénierie sociale
  • Investigations numériques
  • Analyses inforensiques
  • Prise d’empreintes
  • Cartographie de système
  • Recherche de failles techniques : vulnérabilités full disclosure, zero day
  • Attaques et exploitations
• La sécurité défensive
  • Introduction : PSSI et PMSI, gestion des risques
  • Principes de défense : C.I.A. et Triple A

L’implémentation de la sécurité

• Classification, protection des données
  • Classification des données
  • Cryptographie : rappels, implémentation, robustesse et gestion des clés
• Implémentation du Triple A
  • Authentifications
    • Terminologie : Le triple A : « AAA », Authentifications par facteurs, forte, unique
    • Authentification par mots de passe, passwords jetables (OTP)
    • Authentifications par clés publiques
    • Comptes multiples et systèmes d'autorisations : Kerberos, Radius, Ldap
    • Authentifications personnalisées (PAM)
    • Synthèse, bonnes pratiques
  • Autorisations
    • Cas d’Unix : Utilisateurs et groupes
    • Root
    • Délégations (sticky bits, mécanismes suxx)
    • Autorisations sur les données, cas de Windows
    • Access Control Lists (A.C.L.) et attributs étendus
    • Modèles de gestion des droits : RBAC, DAC, MAC, types de gestion spécifiques
    • Accès aux données protégés par encryptages et signatures
    • Autorisations sur les périphériques
    • Autorisations sur les services
  • Accounting (gestion des logs), Architectures sécurisées (Traités dans le cours NE570)

La gestion de la sécurité

• Principes généraux
  • Gouvernance
  • Politiques, Gestion des risques (Plan)
  • Audit & Administration (Do-Check)
  • Assurance qualité, conformité (Act)
  • Bonnes pratiques, normes
• Points sensibles
  • Conception : L’analyse des risques
  • Concepts, Processus, Méthodes
  • Implémentation : La gestion des incidents
  • Concepts, Processus, Méthodes

Travaux pratiques
Quelques exemples:

• Implémentation de Kerberos
• Systèmes de fichiers encryptés
• Outils de scellement tripwire

Présentations, Focus (exemples 2017) :

Les étudiants réalisent aussi diverses présentations à l'ensemble de la promotion, quelques exemples:

• TOR et les autres systèmes d'anonymisation
• La cyber-attaque 10.21
• Les anti-cookies et anti-trakker
• Les WAF, et autres firewall applicatifs
• Le projet OWASP.
• Blockchain. Applications et implémentations.
• Démonstration du scanner de vulnérabilité Nessus (OpenVas)
• Démonstration d’outils de rétro-ingénierie : IDA, OllyDbg.
• Outils pour la recherche d'origine source ouverte.
• L'empoisonneur "Responder". Ex. d'utilisation avec une USB SoC-based device, ou comment cracker Windows en 13s.
• Gestion des permissions sur les devices Linux.
• IOT security
• Le protocole SOCKS.
• Frequent Password Changes Is a Bad Security Idea. (B. Schneier)
• Exploitation de la vulnérabilité CVE-2015-6409 Downgrade StartTLS pour le client Cisco Jabber (Misc#84)

Mots clés:

• Chapitre 1 : SCADA, Menaces, Risques, Actifs, PSSI, ISO 27001- SMSI, ANSSI, NIST, Vulnérabilités, Exploit, Pentest, Elicitation, CVE, CERT, CIA, AAA

• Chapitre 2 : Cryptographie à clés secrètes, à clés publiques ; Cryptographie symétrique, asymétrique ; DES, AES, Blowfish, RC4, A5, RSA, DSA-DH, ElGamal, courbes elliptiques, réseaux Euclidiens, systèmes homomorphiques, MD4, MD5, SHAxx, PKI, PGP, Entropie, crypt(), salt, dictionnaires, tables arc-en-ciel, keylogger, shoulder surfing, One Time Passwords, Token, Secure-Id, JTR, Ophcrack, Kerberos, TGS, TGT, Radius, NAS, supplicant, EAP, Chap, Pap, 802.1x, Diameter, portail captif, Ldap, X400, X500, BER, ASN1, PAM, Gina, Credential providers, Capabilities, endossement, Setuid, Suid, Sticky bit, Sudo, Runas, ACL, attributs étendus, RBAC, DAC, MAC, XACML, Truecrypt, Bitlocker, Cryptfs, Microsoft EFS, TCP-wrappers, SOCKS, IDS, NIDS, HIDS, SIEM, Ossim, Snort, Suricata, Chekpoint, Ossec, Tripwire

• Chapitre 3 : PDCA, ISO/CEI 27001:2013, ISO/CEI 27005:2008, PSSI, SMSI, Ebios, Feros, Octave, Mehari, Critères Communs, ITIL v3

Architecture et administration des systèmes
Réseaux
Programmation
Crypto