Soutenance mémoire
Quelques notions de sécurité
De nos jours, le commerce électronique, les opérations bancaires en ligne et une connectivité globale sont les composants essentiels de toute stratégie commerciale gagnante. Pour cette raison, les entreprises ont adopté des processus et pratiques de sécurité afin de protéger leurs informations clés. La plupart des sociétés prennent un soin particulier à maintenir une stratégie de sécurité performante en implémentant les tout derniers produits et services pour prévenir les fraudes, les actes de vandalisme ou de sabotage et les attaques par déni de service. Un grand nombre d’entre elles négligent toutefois l’un des principaux éléments d’une stratégie de sécurité réussi qui consiste à définir une bonne politique de sécurité. Une bonne politique de sécurité doit préserver les aspects de :
–Disponibilité : c’est-à-dire fournir l’accès à l’information pour que les utilisateurs autorisés puissent la lire ou la modifier, faire en sorte qu’aucune personne ne puisse empêcher les utilisateurs autorisés d’accéder à l’information. La disponibilité repose la plus part du temps sur la création d’une redondance entre équipement, sur la mise en œuvre de fonctions de reprise dans les logiciels et sur des procédure de sauvegarde/restitution des données fiable et régulièrement testées.
– Confidentialité : c’est-à-dire empêcher les utilisateurs de lire une information confidentielle (sauf s’ils y sont autorisés), empêcher les utilisateurs autorisés à lire une information, de la divulguer à d’autres utilisateurs sans autorisation.
– Intégrité : c’est-à-dire empêcher une modification (création, mise à jour, ou destruction) indue de l’information. Ou encore faire en sorte qu’aucun utilisateur ne puisse empêcher la modification légitime de l’information. Il est important de s’assurer que la totalité des données à échanger a réellement été échangé, que les données reçues sont bien identiques aux données émises, qu’elles n’ont pas été modifiées lors d’un stockage .Des mécanismes de signature seront alors mis en œuvre ils permettent de mémoriser un état donné et de vérifier que l’état actuel est toujours identique à l’état signé.
– Authentification des utilisateurs et des ressources : pour protéger les informations sensible il convient de savoir qui a le droit d’accéder aux données et quels sont les privilèges associés à ces droits. En l’absence d’une gestion correcte des droits d’accès à l’information, l’entreprise prend le risque de voir des informations confidentielles divulguées, avec toutes les conséquences imaginables. La détermination des privilèges passe par un mécanisme d’identification et d’authentification qui va permettre de s’assurer que l’utilisateur ou la ressource est bien celui qu’il prétend être ,et qu’il a bien le droit d’accéder au système .le mécanisme peut être simple(login mot de passe) ou fort(certificats , biométrique ).
– La non répudiation des transactions : lorsque l’on met en place un service de commerce électronique ou une application transactionnelle sensible il est essentiel de fournir aux deux partenaires qui communiquent le moyen de prouver que l’autre a bien effectué une transaction, de manière à pouvoir réagir si l’interlocuteur prétend ne pas avoir effectué la dite transaction .c’est ce qu’on appelle la non répudiation. Elle repose sur les mécanismes d’authentification et de signature .Elle introduit aussi les notions de tiers de confiance.
Les IDS ou Systèmes de Détection d’Intrusion
Problématique
La détection d’intrusion a pour objectif de détecter toute violation de la politique de sécurité sur un système informatique. Elle permet ainsi de signaler les attaques (en temps réel ou en différé) portant atteinte à la sécurité de ce système, notamment les attaques qui visent des Firewalls ou autres dispositifs de sécurité.
– Par sécurité du système, nous considérons l’intégrité, la confidentialité et la disponibilité du système et des données.
– Par attaque, nous ne considérons pas seulement les intrusions ou tentatives d’intrusion mais aussi d’autres actions telles que les scans, dénis de service , utilisations non autorisées de systèmes/services, mauvaises utilisations de systèmes/services…
Pour mettre en oeuvre ce concept de détection d’intrusion, des outils spécifiques sont nécessaires : les IDS. Ils vont permettre de collecter de façon automatisée les données représentant l’activité des systèmes (serveurs, applications, systèmes, réseaux), de les analyser et d’avertir les administrateurs en cas de détection de signes d’attaques, ils peuvent aussi générer des contre attaques en bloquant certains ports ou en mettant fin a un trafic suspect. Dans ce mémoire nous allons dans un premier temps présenter une généralité sur la sécurités informatique et les systèmes de détection d’intrusions. Ensuite sous feront une études sur la base des études existant déjà des deux outils de détections notamment Snort et Prelude nous terminerons par la mise en place d’une plate forme de test .
Critères de classification des IDS
Les principaux critères de classifications sont les suivants :
– les méthodes d’analyses
– les sources de données à analyser (réseau/système/application),
– le comportement de l’IDS après intrusion (passif/actif),
– la fréquence d’utilisation (périodique/continue).
Le premier critère de classification des IDS reste la méthode d’analyse. Deux approches sont possibles:
L’approche par scénario
Cette approche consiste à rechercher dans l’activité de l’élément surveillé les empreintes (ou signatures) d’attaques connues. Ce type d’IDS est purement réactif ; il ne peut détecter que les attaques dont il possède la signature. De ce fait, il nécessite des mises à jour fréquentes. De plus, l’efficacité de ce système de détection dépend fortement de la précision de sa base de signature.
L’approche comportementale
Elle consiste à détecter des anomalies. La mise en oeuvre comprend toujours une phase d’apprentissage au cours de laquelle les IDS vont « découvrir » le fonctionnement « normal » des éléments surveillés. Ils sont ainsi en mesure de signaler les divergences par rapport au fonctionnement de référence. Les modèles comportementaux peuvent être élaborés à partir d’analyses statistiques. Ils présentent l’avantage de détecter des nouveaux types d’attaques. Cependant, de fréquents ajustements sont nécessaires afin de faire évoluer le modèle de référence de sorte qu’il reflète l’activité normale des utilisateurs et réduire le nombre de fausses alertes générées. Chacune de ces deux approches peut conduire à des faux positifs (détection d’attaque en absence d’attaque) ou à des faux négatifs (absence de détection en présence d’attaque).
Les différents types d’IDS
Un IDS est une machine (sonde) dont la carte est configurée en mode « espion » il a pour fonction d’analyser en temps réel les évènements en provenance des différents systèmes, de détecter et de prévenir en cas d’attaque. Les buts sont nombreux :
– collecter des informations sur les intrusions,
– gestion centralisée des alertes,
– effectuer un premier diagnostic sur la nature de l’attaque permettant une réponse rapide et efficace,
– réagir activement à l’attaque pour la ralentir ou la stopper. Les systèmes de détection d’intrusion ou IDS peuvent se classer selon trois catégories majeures selon qu’ils s’attachent à surveiller :
– le trafic réseau : on parle d’IDS réseau ou NIDS (Network based IDS)
– l’activité des machines : on parle d’IDS Système ou HIDS (Host based IDS)
– une application particulière sur la machine : on parle d’IDS Application (Application based IDS). Contrairement aux deux IDS précédents, ils sont rares. Nous ne les traiterons donc pas.
|
Table des matières
Introduction
Première partie Généralités
1. Quelques notions de sécurité
2. Les IDS Système de Détection d’Intrusions
2.1. Problématique
2.2. Critères de classification des IDS
2.2.1. L’approche par scénario
2.2.2. L’approche comportementale
2.3. Les différents types d’IDS
2.3.1 Les NIDS…
2.3.2. Les HIDS
2.3.3. Les IDS hybrides (NIDS+HIDS)
3. Utilisation des sondes dans une d’architectures réseaux
3.1. IDS et DMZ
3.2. IDS et LAN
3.3. IDS et MAN
3.4. IDS et WAN
4. Suivi des attaques
4.1. Surveillance globale
4.2. Surveillance simple
4.3. Surveillance ciblée
4.4. Surveillance multi-sites, multi-responsabilités
5. Points faibles de cette méthode de protection par IDS
5.1 Connaissances en sécurité
5.2 Problème de positionnement des sondes…
5.3 Vulnérabilités des sondes NIDS
5.4 Un DoS explose les fichiers de logs
5.5 Réponse active non contrôlée
5.6 Problèmes de IPv4
5.7 Problèmes intrinsèques à la plateforme
5.8 Gestion de plusieurs managers
5.9 Coût matériel
6. Méthodes de contournement des IDS
6.1 Quelques techniques
6.2 Exemples d’attaques
7. Conclusion
Deuxième partie Etude comparative
1. Snort et Prelude-IDS
1.1 Snort
1.1.1 Caractéristiques
1.1.2 Les codes source des scripts
1.2 Prelude NIDS
1.2.1 Caractéristiques
1.3 Comparaison de Prelude-IDS et Snort
2. Conclusion
Troisième partie Mise en place de la plate forme de test
1. Mise en place
1.1. Architecture du réseau de test
1.2. Mise en place de Snort
1.2.1 Plan d’adressage
1.2.2 Point d’écoutes
1.2.3. Système d’exploitation
1.2.4. Méthode d’installation des logiciels
1.2.5. Les sondes
1.2.6. Le réseau dédié à l’IDS
1.2.7. Serveur SGBD
1.2.8. Console
1.2.9. Administration
1.2.10.Installation du serveur SGBD
1.2.11.Sécurisation
1.2.12.Installation de la snort
1.2.13.Installation de la console
1.2.. Démarche de mise en place de Prelude
1.2.1 Paquetages nécessaires
1.2.2 Installation de paquetages au préalable
1.2.3. Paquetages nécessaires à Prelude-IDS
1.2.4 Installation de ces paquetages
1.2.5 Installation de libprelude
1.2.6 Installation du manager
1.2.7 Installation de la sonde réseau (nids)
1.2.8 Installation de la sonde hôte (lml)
1.2.9 Configuration
1.2.10 Configuration de MySQL
1.2.11 Configuration du manager
1.2.12 Configuration de la sonde réseau (nids)
1.2.13 Configuration de la sonde hôte (lml)
1.2.14 Lancement de l’écoute
1.2.15 Installation et configuration du prelude-php-frontend
1.2.16 Configuration
1.2.17 Installation et configuration du prelude-perl-frontend
1.2.18 Installation préalable de paquetages
1.2.19 Installation de prelude-perl-frontend
1.2.20 Configuration d’Apache
3. Conclusion
4. Webographie
5. Glossaire
