Sécurité des réseaux informatiques

SÉCURITÉ INFORMATIQUE (sécurité des réseaux informatiques)

Exigence fondamentale à la sécurité

La sécurité du réseau informatique d’une entreprise a pour objectif de faire des actions contre les menaces intentionnelles ou accidentelles. Le système informatique est souvent établi par la totalité des informations et des ressources matérielles et logicielles de la société permettant de les stocker ou de les faire transiter. Il représente un patrimoine important de la société, qu’il est nécessaire de sécuriser.
La sécurité de l’information protège l’information d’une multitude de intimidations afin de garantir la continuité de l’organisme, restreindre les dommages et participer le plus que possible à avoir le degré de protection désiré.
La sécurité de l’information vise la confidentialité, de l’intégrité et de disponibilité de l’information :

▪ Confidentialité : Assure le secret de l’information. Au moment où la confidentialité est convenablement garantie, elle permet l’accessibilité à l’information aux seuls utilisateurs autorisés. Il est ici question d’endiguer toute révélation non admis des dispositifs et information, ▪ Intégrité : Garantit la conformité de l’information. Elle permet aux utilisateurs d’avoir l’assurance que l’information est exacte et qu’elle n’a pas été changée par une personne non autorisé. Il est ici question d’endiguer toute altération non admis des dispositifs et informations,

▪ Disponibilité : Assure que l’information parvienne à être utilisable. Elle permet aux utilisateurs de pouvoir accéder aux applications qui traitent ces informations. Il est ici question de contrarier toute arrêt de prestation et de productivité.

Attaque et contre-attaque

Le virus
Un virus informatique est un type de code ou programme malveillant qui vise à modifier le fonctionnement d’un ordinateur et à se répandre d’une machine à une autre. Le virus informatique est intégré dans un programme ou joint à un document légitime qui prend en charge les macros afin d’exécuter son code. Il peut ainsi avoir des effets inattendus ou causer des dégâts : il endommagera par exemple un logiciel système en altérant ou détruisant des données.
L’excellente solution est l’emploi d’un logiciel de sécurité à jour et de faire les patches des applications afin de fuir l’utilisation des bugs.

L’écoute du réseau (Sniffer)
Il existe des logiciels qui, à l’image des analyseurs de réseau, permettent d’intercepter certaines informations qui transitent sur un réseau local, en retranscrivant les trames dans un format plus lisible (Network packet sniffing).
La meilleure solution contre cette attaque est l’utilisation d’une carte SIM ou d’une calculette à mot de passe.

Le cheval de Troie
Suite l’accès au système cible, les pirates utilisent la cridibilité en installant un logiciel qui permet de transmettre les données par web. La meilleure solution est de contrôler l’accès des utilisateurs à l’ordinateur et d’installer et mettre à jour des antivirus.

Le Déni de service (DDoS)
Le « Distributed denial-of-service » ou déni de service distribué est un type d’attaque très évolué visant à faire planter ou à rendre muette une machine en la submergeant de trafic inutile (voir fiche DoS). Plusieurs machines à la fois sont à l’origine de cette attaque (c’est une attaque distribuée) qui vise à anéantir des serveurs, des sous-réseaux, etc.

D’autre part, elle reste très difficile à contrer ou à éviter. C’est pour cela que cette attaque représente une menace que beaucoup craignent. La meilleure solution contre cette attaque est le firewall ou la répartition des machines sur un réseau sécurisé.

Le contrôle d’accès au réseau

C’est un mécanisme permettant de sécuriser les actifs de la société des intimidations et des faiblesses en bridant l’usage d’une ressource (physique : Serveur, Point d’Accès, Routeur, ou rationnel : Application, Système d’informations, Processus) du si aux seules structures autorisées.

Le principe de fonctionnement
Le principe de fonctionnement du processus de contrôle d’accès au réseau :
• Indiquer quels utilisateurs peuvent avoir accès au système, • Indiquer les ressources auxquelles ils peuvent avoir accès, • Indiquer les opérations qu’ils peuvent réaliser, • Donner la responsabilisation de chacun.

Les différents types
On distingue trois types de contrôle d’accès à savoir :
• Technique: ce genre de contrôle d’accès touche l’ensemble des accès logiques aux ressources du si. Il est intégré avec des règlements logicielles et matérielles se basant sur des technologies,
• Physique : Il touche l’ensemble des accès physiques aux bâtiments et ressources
matérielles,
• Administratif : ce type de contrôle d’accès est opéré via des documents exposant les stratégiques, les responsabilités et les fonctions administratives requis pour gérer l’environnement de contrôle.

Les méthodes de contrôle d’accès
Après la présentation des concepts essentiels dans la sécurité informatique et l’obligation de contrôle d’accès pour la protection des actifs de la société, au cours de cette section nous allons dévoiler les dispositions de sécurité qui peuvent ne pas se heurter au les dangers qui menacent la sécurité informatique des réseaux locaux au sein des entreprises.

La procédure d’identification et d’authentification
• L’identification : C’est une phase dans laquelle, l’utilisateur établit son identité unique.
Ainsi, on peut le connaître.
• L’authentification : C’est la méthode qui a pour objectif, pour un système
informatique, à contrôler l’identité d’une entité (personne, ordinateur,) afin de permettre
l’accessibilité de cette entité à des ressources (systèmes, réseaux, applications,)
• L’autorisation : permettre ou non l’accessibilité à la ressource donnée.

La fonction de hachage
Une fonction de hachage est aussi appelée fonction de hachage à sens unique ou « one-way hash function » en anglais. Ce type de fonction est très utilisé en cryptographie, principalement dans le but de réduire la taille des données à traiter par la fonction de cryptage. En effet, la caractéristique principale d’une fonction de hachage est de produire un haché des données, c’està-dire un condensé de ces données. Ce condensé est de taille fixe, dont la valeur diffère suivant la fonction utilisée : nous verrons plus loin les tailles habituelles et leur importance au niveau de la sécurité.

Le logiciel de protection (antivirus)
Un antivirus permet de détecter d’éradiquer logiciels malveillants ou les virus et empêcher l’attaque. Son fonctionnement consiste à analyser régulièrement les fichiers du système pour vérifier qu’ils ne contiennent pas de code malveillant en inspectant les disques durs, la mémoire et les volumes amovibles (CD, disque dur externe, clé USB, DVD…).

Le pare-feu
Un pare-feu (ou firewall en anglais), est un système (logiciel / matériel) servant d’interface entre un ou plusieurs réseaux et internet afin de contrôler et éventuellement bloquer la circulation des paquets de données, en analysant les informations.

Les systèmes de détection d’intrusion
Un système de détection d’intrusion IDS est un mécanisme écoutant le trafic du réseau pour localiser les activités inhabituelles et permet d’avoir une action préventive sur les menaces d’intrusion.

Les systèmes de prévention d’intrusion
L’IPS (Intrusion Prevention System) est un outil de prévention et protection contre les intrusions en prenant des mesures pour diminuer les impacts d’une attaque. Il peut bloquer immédiatement les attaques en utilisant la technique de filtrage de paquets et le blocage des ports automatiquement.

Les protocoles
Le protocole IEEE 802.1X
IEEE 802.1X est un standard de l’IEEE qui permet de contrôler d’accès au réseau en se basant sur les ports. Il fait partie du groupe de protocoles IEEE 802 (802.1). Il assure l’authentification aux équipements connectés à un port Ethernet. Ce standard peut être utilisé pour quelques points d’accès WiFi, 802.1X est une fonctionnalité disponible sur certains commutateurs réseau.

Les acteurs du 802.1x :
• Supplicant : C’est le système à authentifier (le client),
• Port Access Entity (PAE) : C’est le point d’accès au réseau,
• Authenticator System : C’est système authentificateur qui contrôle les ressources
disponibles via le PAE.

Le protocole Radius
Le protocole RADIUS (Remote Authentication Dial-In User Service) est un protocole de type AAA (Authentication Autorization Accounting) permettant de centraliser l’authentification et l’autorisation des accès distants.

Il repose essentiellement sur un serveur (RADIUS), connecté à une base d’identification (LDAP par exemple) et un client RADIUS, nommé NAS (Network Access Server), faisant office d’intermédiaire entre l’utilisateur final et le serveur. Les échanges entre le client RADIUS et le serveur RADIUS est chiffré et authentifié avec l’appui d’un secret partagé.

Le protocole EAP
Le protocole EAP (Extensible Authentication Protocol) assure les connexions à internet à distance et permet l’identification des utilisateurs sur le réseau. Il permet d’utiliser plusieurs choix d’authentification, citons-les parmi lesquelles :
• EAP-MD5 : Authentification avec un mot de passe,
• EAP-TLS : Authentification avec un certificat électronique,
• EAP-TTLS : Authentification avec n’importe quelle méthode d’authentification, au sein d’un tunnel TLS,
• EAP-PEAP : Authentification avec n’importe quelle méthode d’authentification EAP, au sein d’un tunnel TLS.

Les types de paquets de base :
• EAP Request : Envoyé par le contrôleur d’accès au client.
• EAP Response : Réponse du client au contrôleur d’accès.
• EAP Success : Paquet envoyé au client en fin d’authentification si elle est réussie.
• EAP Failure : Paquet envoyé au client en fin d’authentification si elle est ratée.

Table des matières

Introduction Générale
Chapitre 1 : Contexte du Projet
Introduction
1. Cadre général
2. Organisme d’accueil
3. Problématique
4. Solution proposée
5. Démarche méthodologique
4.1. Formalisme utilisé
4.2. Démarche suivi
Conclusion
Chapitre 2 : Notions de bases et Etude technique
Introduction
1. Présentation des notions de base
4.3. La sécurité informatique
1.1.1. Exigence fondamentale à la sécurité
1.1.2. Attaque et contre-attaque
1.1.2.1. Le virus
1.1.2.2. L’écoute du réseau (Sniffer)
1.1.2.3. Le cheval de Troie
1.1.2.4. Le Déni de service (DDoS)
4.4. Le contrôle d’accès au réseau
1.1.3. Le principe de fonctionnement
1.1.4. Les différents types
1.1.5. Les méthodes de contrôle d’accès
1.1.5.1. La procédure d’identification et d’authentification
1.1.5.2. La fonction de hachage
1.1.5.3. Le logiciel de protection (antivirus)
1.1.5.4. Le pare-feu
1.1.5.5. Les systèmes de détection d’intrusion
1.1.5.6. Les systèmes de prévention d’intrusion
1.1.6. Les protocoles
1.1.6.1. Le protocole IEEE 802.1X
1.1.6.2. Le protocole Radius
1.1.6.3. Le protocole EAP
4.5. Présentation des solutions de contrôle d’accès au réseau (NAC)
1.1.7. Les solutions de contrôle d’accès commerciales
1.1.7.1. La solution Cisco ASA
1.1.7.2. La solution Palo Alto
1.1.7.3. La solution Sonic wall
1.1.7.4. La solution Stone soft
1.1.8. Les solutions de contrôle d’accès libres
1.1.8.1. La solution Netfilter
1.1.8.2. La solution Ipcop
1.1.8.3. La solution PFsense
1.1.8.4. La solution Endian firewall
2. Choix d’une solution de contrôle d’accès au réseau
2.1. Etude comparatives des solutions NAC commerciales et libres
2.2. Synthèse
2.2.1. Les critères de base pour le choix
2.2.2. La solution de contrôle d’accès choisie
3. Choix des outils de contrôle d’accès au réseau
3.1. Presentation des outils NAC
3.1.1. Le protocole Free Radius
3.1.2. L’annuaire OpenLDAP
3.1.3. Le proxy SQUID
3.1.4. Le système de détection d’intrusions Snort
3.1.5. Le portail captif
3.1.6. Le langage HTML
3.1.7. Le langage CSS
3.2. Synthèse
3.2.1. Description des fonctionnalités des outils
3.2.2. Interaction des outils NAC
Chapitre 3 : Analyse des besoins et Etude Conceptuelle
Introduction
1. Analyse des besoins
1.1. Etude de l’existant
1.1.1. Présentation de l’architecture du réseau local (CNOC)
1.1.2. Description des équipements existants
1.1.3. Présentation des utilisateurs
1.1.4. Critique de l’existant
1.2. Specification des besoins
1.2.1. Les besoins fonctionnels
1.2.1.1. La gestion d’authentification
1.2.1.2. La gestion d’accès
1.2.1.3. La supervision
1.2.1.4. L’administration
1.2.1.5. La gestion des ressources internet
1.2.2. Les besoins non fonctionnel
1.2.3. Modélisation des besoins fonctionnels
1.2.3.1. Identification des acteurs
1.2.3.2. Diagramme de cas d’utilisation global
4. Conception
4.1. Architecture physique de la solution proposée
4.2. Architecture de déploiement
4.3. Les diagrammes de séquences
4.3.1. Le Diagramme de séquence « Bloquer un site ou un domaine »
4.3.2. Le diagramme de séquence « configurer une interface réseau »
Conclusion
Chapitre 4 : Mise en place de la solution et Evaluation
Introduction
1. Environnement du travail
4.6. Environnement materiel
4.7. Environnement logiciel
2. Mise en place de la solution NAC
2.1. Infrastructure de déploiement
2.2. Etapes de déploiement
2.2.1. Préparation de l’infrastructure
2.2.1.1. La création des machines virtuelles
2.2.1.2. La connexion entre PFsense et les machines du LAN et WAN
2.2.2. Configuration de l’infrastructure
2.2.2.1. Paramétrage de base
2.2.2.2. Réglage de routage
2.2.2.3. Fixation de la politique de sécurité
2.2.3. Intégration des outils NAC
2.2.3.1. Installation et configuration de FreeRadius
2.2.3.2. Installation et configuration de Snort
2.2.3.3. Installation et configuration Squid Proxy
2.2.4. Synchronisation de l’annuaire LDAP
2.2.5. Gestion du contrôle d’accès à travers une interface Web
1. Evaluation
1.1. Interface d’authentification
1.2. Interface de supervision
1.3. Interface d’administration
1.4. Interface de gestion d’accès
1.5. Interface de gestion des ressources internet
2. Problèmes rencontrés
Conclusion
Bibliographie et Netographie
Liste des Abréviations
Annexe 1 : Configuration des outils de pf sensé
Annexe 2 : Configuration des interfaces réseau

Télécharger le rapport complet