Dans le dictionnaire, le terme a plusieurs sens :

• Intimidation => Hostilité avérée,
• Signe plus ou moins pregnant de quelque chose que l’on doit craindre => risque, voire danger

Le risque est défini par plusieurs composantes :

1. la cible ou l’actif (asset en anglais) ayant — par définition — de la valeur,
2. une vulnérabilité de cet actif,
3. une menace
   • exploitant cette vulnérabilité, et donc
   • portant atteinte à la valeur de l’actif

L’occurrence d’un risque est caractérisée par

1. sa probabilité,
2. les conséquences qu’elle entraîne

La sécurité de l’information est définie par la préservation de trois qualités, abrégées CID :

• la confidentialité,
• la disponibilité,
• l’intégrité

Les moyens mis en œuvre pour garantir ces qualités permettent également d’assurer l’authentification et la capacité de faire preuve, appelée aussi non-répudiation (ou traçabilité => DICT).

L’information est un capital, un bien immatériel, un actif essentiel dans toute entreprise ou organisation. Sa valeur est intrinsèquement liée aux qualités CID qui sont à préserver.

Aujourd’hui, l’information est produite, traitée, transportée et exploitée par des systèmes et sur des réseaux qui présentent des vulnérabilités.

Les menaces sont très nombreuses, diverses et variées. Elles sont l’objet de la suite de ce document. La probabilité d’occurrence du risque d’atteinte aux qualités de l’information, à la valeur de l’actif dépend largement de la menace

La nature capitale de l’information est intrinsèquement liée aux qualités CID. Suivant la nature de l’information, la menace peut porter sur l’une ou l’autre de ces qualités.

La confidentialité de l’information peut être visée à des fins d’espionnage (industriel, stratégique ou politique) ou d’usurpation d’identité (vol d’information bancaires, exploitation des données personnelles, détournement de ressources, …).

L’atteinte à la disponibilité de l’information affecte l’activité économique, voire la réputation et la capacité de non-répudiation (faire la preuve). Une menace typique portant sur la disponibilité, l’attaque par déni de service (DoS), est à la fois – relativement – simple à mettre en œuvre et difficile à éviter (contre-mesures complexes).

L’intégrité de l’information est essentiellement visée à des fins de désinformation. L’occurrence de risques non-intentionnels sur l’intégrité de l’information engendrent généralement une indisponibilité, même temporaire.

La vulnérabilité des actifs informationnels et les menaces qui pèsent sur ces actifs ne sont pas nécessairement de nature informatique. Les menaces ne sont pas non plus toutes de nature intentionnelles.

La suite de ce document n’aborde que les menaces et vulnérabilités délibérées (D). Toutefois, l’examen de l’annexe C de la norme ISO 27005 donne une liste d’exemples de menaces accidentelles (A) et environnementales (E):

Si l’impact des conséquences de l’occurence d’un risque peut être d’ordre économique, il existe aussi certains cas où les conséquences peuvent présenter un facteur humain.

En 2013, une attaque – probablement par phishing – ayant pour cible la chaîne d’information Al-Jazeera a permis à des membres de la Syrian Electronic Army, organisation gouvernementale, d’obtenir des informations confidentielles issues d’emails de ses journalistes révélant l’identité de certaines sources.

Des faits avérés tel que celui-ci, de l’ordre de la criminalité, tendent à généraliser l’utilisation du terme de cybercriminalité. Il est toutefois essentiel de bien différencier les crimes des délits. Le contexte actuel y est cependant défavorable ; ainsi par exemple, le principe de la désobéissance civile (cf opération payback) n’est pas reconnu par la loi et assimilé à un crime dès lors qu’il s’agit d’attaques informatiques.

Par contre, l’exploitation par les grandes entreprises (GAFA) du numérique des données personnelles de leurs usagers (légalement du fait de l’approbation des CGU par l’usager : TL;DR ou « Si c’est gratuit, c’est que vous êtes le produit ») à des fins lucratives ne semble poser aucun problème. La tendance est même plutôt à la généralisation de l’exploitation de ces données à des fins de surveillance.

Ces conséquences, réellement graves, sont virtuellement exclues de la suite de ce document.

« La sécurité informatique coûte cher mais elle ne rapporte rien. »

Outre la perte d’activité, à laquelle le profit est généralement directement lié, la plus grave conséquence d’une atteinte à la sécurité de l’information est la perte de confiance car c’est la confiance qui permet de générer des profits.

• Qui peut être attaqué ? : N’importe qui présent sur le réseau !
• Qui attaque ?
  • gentils/méchants
  • intérieur/extérieur
  • humain/non-humain

• Quand doit-on se protéger ? : Avant de se connecter dans l’idéal, sinon maintenant, dès que possible au pire.
• Quand est-on attaqué ? :

  • hier : Un peu d’histoire

    

    • 1971 : phreaking de Cap’n Crunch
    • 1980 : Kevin Mitnick réalise son premier délit en pénétrant physiquement dans le central téléphonique de Pacific Bell
    • 1983 : Dark Dante (Kevin Poulsen) et Kevin Mitnick accèdent à l’ARPAnet, ancêtre d’internet sans autorisation
    • 1984 : Apparition des premiers virus. The Cracker s’introduit dans les serveurs de la NASA et du DoD
    • 1988 : Le ver de Morris paralyse internet, il est condamné à trois ans de mise à l’épreuve, 400 heures de TIG et une amende de 10000 dollars.
    • 1990 : Dark Dante gagne une Porsche 944 lors d’un concours radio après avoir piraté le système téléphonique. Finalement arrêté en 1994, il écope de 4 ans d’emprisonnement pour espionnage.
    • 1991 : le virus MichaelAnge est programmé pour s’exécuter le 6 mars
    • 1992 : Kevin Mitnick échappe de peu à la police (il avait mis sur écoute les fédéraux chargés de la traquer) et rentre en cavale pendant 3 ans. Il sera condamné à 5 ans de prison.
    • 1994 :
      • Datastream Cowboy, 16 ans est arrêté pour accès non autorisé à des données informatiques
      • Vladimir Levin, mathématicien russe, dérobe 10 millions de dollars à la CityBank
    • 1995 : Minor Threat est banni d’internet
    • 1996 : un virus à retardement de Tim Lloyd provoque 12 millions de dollars de perte pour la société Omega Engineering, il est condamné à 41 mois de prison.
    • 1998 :
      • Deux jumeaux chinois sont condamnés à mort pour avoir détourné 85000 dollars via le réseau informatique d’une banque
      • Le virus CIH efface la mémoire BIOS des ordinateurs vulnérables
    • 2000 : Mafiaboy fait tomber les sites de Yahoo, Ebay, Amazon et CNN par une attaque par déni de service (DoS). Mineur, il est condamné à huit mois de détention dans un centre de détention juvénile.
    • 2001 : Le virus CodeRed infecte une centaine de milliers d’ordinateurs en quelques heures.
    • 2002 : Gary McKinnon à la recherche d’informations sur la zone 51, pirate une centaine d’ordinateurs de la NASA, du DoD, du pentagone, … S’il était extradé aux USA, il purgerait 70 ans de prison.
    • …
  • aujourd’hui (cf Liens)
  • demain => veille !

• Où sont les attaquants ?
  • intérieur/extérieur
  • aspect géographique
• Où est ciblée l’attaque ? Sur n’importe quel dispositif (matériel, logiciel, réseau, personne, site, organisation) à partir du moment où il présente une vulnérabilité exploitable et une valeur convoitée

• Combien peut-on subir d’attaque ? Exercice : Essayer de laisser un service ouvert (vulnérable ou pas, ex : ssh) sur le réseau et superviser les connexions non autorisées.

On peut classer les attaquants suivant leur niveau technique, leur éthique, les moyens à leur disposition, leurs motivations…

« À l’école, on apprend à imiter. Pour avoir de bonnes notes, il faut imiter le professeur. À l’université, le procédé est un peu plus subtil : on est censé imiter le professeur, tout en le persuadant qu’on ne l’imite pas, mais qu’on a saisi la quintessence de son enseignement. »

— Robert M. Pirsig in Traité du zen et de l’entretien des motocyclettes

Selon le modèle initial de la kill chain une cyberattaque se compose de plusieurs phases, de la reconnaissance à l’exfiltration de données. Il existe de nombreux modèles alternatifs. Selon celui de MITRE, le plus détaillé, une attaque peut comprendre les phases suivantes :

Reconnaissance

Le recueil d’informations qui pourront être utilisées pour mener à bien l’attaque

Développement de ressources

Recueil et mise en place de ressources qui pourront être utilisées dans les autres phases du cycle

Accès initial

Intrusion dans le réseau attaqué

Exécution

Exécution de code sur un système attaqué, local ou distant

Persistance

Maintien dans la durée d’une présence sur le système attaqué

Élévation des privilèges

Obtention d’un niveau de privilège plus élevé

Évasion de la défense

Échapper à la détection ou aux systèmes de sécurité

Accès authentifié

Utilisation d’informations d’identification légitimes pour accéder au système

Découverte

Acquisition post-compromission d’une connaissance interne du système

Mouvement latéral

Mouvement d’un système à un autre au sein du réseau cible

Collecte

Processus de collecte d’informations d’intérêt pour l’attaquant, telles que des fichiers, avant exfiltration

Commandement et contrôle

Communication avec les systèmes contrôlés par l’attaquant au sein du réseau cible

Exfiltration

Extraction des informations collectées, d’intérêt pour l’attaquant et sensibles pour le système cible

Impact

Perturbation des processus du système cible

Cf https://attack.mitre.org/, base de connaissances globale des techniques et tactiques de piratage utilisée pour spécifier des modèles de menaces particuliers et faciliter leur identification.

« When people attempt to formalize (and, often, brand & market) common sense, it tends to substitute checklists for thought »

— silentbicycle

• Kali Linux : Distribution Linux qui regroupent un nombre impressionnant d’outils liés à la sécurité
• Damn Vulnerable Linux :
  • Distribution Linux conçue pour être aussi vulnérable que possible
  • Collection d’outils pro et anti sécurité
  • Inclut des leçons complètes et leur environnement de test

« Dès lors que vous avez accepté comme une faveur la demande qu’on vous a faite, vous devez prendre sur vous pour vous en acquitter, quoi qu’il vous en coûte. »

— Bushidō Shoshinshû, Taïra Shigésuké (~1700)

1. Prévenir : multiplier les barrières
2. Bloquer (ou dégrader) : exclure (ou ralentir) les indésirables
3. Limiter : sauvegarder, chiffrer
4. Détecter : pour bloquer ce qui arrive à passer
5. Réagir : être prêt en cas d’intrusion

L’annexe A de la norme ISO27001 présente une classification non exhaustive des objectifs de sécurité qui peuvent être mis en œuvre.

Par exemple, au point 6.8, on trouve une mesure relative aux emails qui recommande : « Les informations liées à la messagerie électronique doivent être protégée de manière adéquate ».

Ces objectifs sont très détaillés et les mesures pratiques afférentes sont proposées dans la norme ISO 27012.

La différence entre la NSA et une PME locale réside :

• dans la nature du risque (valeur de l’information, probabilité d’une attaque, type d’attaque potentiel, impact possible)
• dans l’appréciation de ce risque (acceptation ou non)

L’analyse du risque permet de définir une politique de la sécurité de l’information dont découlent les mesures techniques et organisationnelles qui constituent la politique de sécurité du système d’information.

• Humain
• Accès physique
• Systèmes
• Réseau
• Éviter l’alignement des vulnérabilités, multiplier les barrières

• Journalisation + corrélation (8pussy, Splunk, Graylo, ELK, …)
• Métrologie
• Pot de miel (Honey Pot), à interaction haute ou basse
• Jamais un mot de passe par défaut !

• Serveur d’authentification, SSO
• Autopsie (Forensics) et CERT

Dresser un bilan des tentatives de connexion aux deux ports d’accès au service SSH de votre VM (grep, cut, sed, sort, wc, …)

Fournir par mail le fichier pcap d’un handshake TCP

https://fr.wikipedia.org/wiki/Transmission_Control_Protocol#%C3%89tablissement_d'une_connexion

Fournir par mail le fichier pcap de l’établissement d’une connexion TLS (ex : HTTPS)

https://fr.wikipedia.org/wiki/Transport_Layer_Security#D%C3%A9tails_du_protocole

• Tester nmap :
  • en binôme, l’ataquant lance des scans nmap sur la cible qui doit deviner le type de scan en utilisant tshark
  • sur le LAN
  • sur la machine 192.168.1.212
• Dans chaque cas, réaliser une synthèse présentant les tests réalisés et les résultats constatés.

La détection d’intrusion requiert d’analyser le trafic réseau aux différents niveaux du modèle de communication TCP/IP, notamment aux couches réseau (IP et ICMP) et transport (TCP).