Scribd Logo
Importer

Bienvenue sur Scribd !

  • 38 vues

    Chapitre 1 Resumé

    Transféré par

    yosraayadi26

    Droits d'auteur :

    © All Rights Reserved
    Téléchargez comme DOCX, PDF, TXT ou lisez en ligne sur Scribd

    Chapitre 1 Resumé

    Transféré par

    yosraayadi26
    38 vues5 pages

    Copyright

    © © All Rights Reserved

    Formats disponibles

    DOCX, PDF, TXT ou lisez en ligne sur Scribd

    Avez-vous trouvé ce document utile ?

    Ce contenu est-il inapproprié ?

    Droits d'auteur :

    © All Rights Reserved
    Téléchargez comme DOCX, PDF, TXT ou lisez en ligne sur Scribd
    Télécharger au format docx, pdf ou txt
    38 vues5 pages

    Chapitre 1 Resumé

    Transféré par

    yosraayadi26

    Droits d'auteur :

    © All Rights Reserved
    Téléchargez comme DOCX, PDF, TXT ou lisez en ligne sur Scribd
    Télécharger au format docx, pdf ou txt
    Vous êtes sur la page 1sur 5

    Cybersécurité et cryptographie

    Chapitre 1 : introduction générale:

    Partie 1 : SI ET ENJEUX :

    Système d’information: (SI) est un ensemble organisé de ressources qui permet de collecter, stocker,
    traiter et distribuer de l'information.

    Un actif : un actif est tout élément représentant de la valeur pour l’organisme qui nécessite une
    protection.

    Catégorie des actifs des S.I:

     Primaire/Primordiaux : processus métiers et informations


     Secondaire/Supports : tous les autres actifs comme notamment les personnes, machines,
    logiciels, réseau, sites, organisation
     Objectifs de la sécurité des S.I : assurer la sécurité de l'ensemble de ces biens.

    L’objectif de la sécurité :

     Réduire les risques pesant sur le S.I, pour limiter leurs impacts sur le fonctionnement et les
    activités métiers des organisations.

    Les enjeux

    Impacts Financier

     Perte financière, Le vol d'un secret de fabrication / Secret Industriel


     La perte de marchés
     Détenir les données de la société à des fins de rançon jusqu'à ce qu'ils soient payés.

    Impacts sur l’image et la réputation

     Dommage sur l’image de la marque


     Publicité négative faite autour d'une sécurité insuffisante
     Baisse de confiance du public dans une société
     Chute du cours de Bourse

    Impacts organisationnels

     Licenciement de la direction générale (Ikea France)


     Changement dans le fonctionnement interne de l'organisation (achat, production, comptabilité.)

    Impacts juridiques et réglementaires

     L'indisponibilité d'un systèmes d'informations peut mettre en défaut l'entité devant ses
    obligations légales et juridiques
     Vol de données personnelles
    Pourquoi les pirates s’intéressent-ils aux S.I. ?

    Gains financiers :(accès à de l’information, puis monétisation et revente)

    – Utilisateurs, courriels

    – Organisation interne de l’entreprise

    – Mots de passe, N° de comptes bancaire, cartes bancaires

    Chantage :

    – Déni de service

    – Modifications des données

    Utilisation de ressources :

    (Puis revente ou mise à disposition en tant que « service »)

    – Bande passante & espace de stockage (hébergement de musique, films et autres contenus)

    – Zombies (botnets)

    Espionnage : Industriel / concurrentiel, Étatique

    Les cybercriminels ?

    – Des mercenaires agissant pour le compte d’autrui (gouvernement, concurrents.)

    – Des hacktivistes agissant pour des raisons politiques/religieuses/...

    – Des blackhats attirés par l’apport du gain.

    – Des scriptkiddies (utilisent souvent des outils existants ou des instructions trouvées sur Internet pour
    lancer des attaques)

    La nouvelle économie de la cybercriminalité :

     Des groupes spécialisés dans le développement de programmes malveillants et virus


    informatiques
     Des groupes en charge de l’exploitation et de la commercialisation de services permettant de
    réaliser des attaques informatiques
     Un ou plusieurs hébergeurs qui stockent les contenus malveillants dont les serveurs sont
    contrôlés par des pirates
     Des groupes en charge de la vente des données volées, et principalement des données de carte
    bancaire
     Des intermédiaires financiers pour collecter l’argent qui s’appuient généralement sur des
    réseaux de mules

    Les impacts sur la vie privée :

     Divulgation d’informations personnelles


     Harcèlement (cyber-bullying ou Cyberharcèlement) : Chantage (divulgation

    de photos ou d’informations compromettantes si non-paiement d’une rançon)

     Usurpation d’identité : « Vol » et réutilisation de logins/mots de passe pour effectuer des


    actions au nom de la victime, N° carte bancaire usurpé et réutilisé pour des achats en ligne
     Perte définitive de données :

    – malware récents (rançongiciel) : données chiffrées contre rançon

    – connexion frauduleuse à un compte « cloud » et suppression malveillante de l’ensemble des données

    Les infrastructures critiques : est un terme utilisé par les États pour désigner un actif qui est

    Vital pour le fonctionnement d'une société ou de l'économie.

    Partie 2 : Les besoins de sécurité / Introduction aux critères DIC (CIA):

    Comment définir le niveau de sécurité d’un actif du S.I ?

    Comment évaluer si cet actif est correctement sécurisé ?

    Trois critères sont retenus pour répondre à cette problématique, connus sous le nom de D.I.C.

     Disponibilité : Propriété d'accessibilité au moment voulu des actifs par les personnes autorisées
     Intégrité : Propriété d'exactitude et de complétude des biens et informations (i.e. une
    modification illégitime d’un bien doit pouvoir être détectée et corrigée)
     Confidentialité : Propriété des biens de n'être accessibles qu'aux personnes autorisées

    L’équivalent en anglais : CIA

    Confidentiality , Integrity , Availability

     Un critère complémentaire est souvent associé au D.I.C. → La Preuve : retrouver, avec une
    confiance suffisante, les circonstances dans lesquelles ce bien évolue.
     Cette propriété englobe notamment : La traçabilité des actions menées /
    L’authentification des utilisateurs /L’imputabilité du responsable de l’action effectuée.
    Différences entre sûreté et sécurité :

    Sûreté Sécurité
    Protection contre les dysfonctionnements et Protection contre les actions
    accidents involontaires malveillantes volontaires
    Exemple de risque : saturation d’un point Exemple de risque : blocage d’un service,
    d’accès, panne d’un disque, erreur d’exécution modification d’informations, vol d’information
    Quantifiable statistiquement (ex. la durée de vie Non quantifiable statistiquement, mais il est
    moyenne d’un disque est de X milliers d’heures) possible d’évaluer en amont le niveau du risque
    et les impacts
    Parades : sauvegarde, dimensionnement, Parades : contrôle d’accès, veille sécurité,
    redondance des équipements... correctifs, configuration renforcée, filtrage...

    Sûreté : ensemble de mécanismes mis en place pour assurer la continuité de fonctionnement du


    système dans les conditions requises.

    Sécurité : ensemble de mécanismes destinés à protéger l'information des utilisateurs ou processus


    n'ayant pas l'autorisation de la manipuler et d’assurer les accès autorisés.

    Pour évaluer si un bien/actif est correctement sécurisé, il faut auditer son niveau de Disponibilité,
    Intégrité, Confidentialité et de Preuve.

    L’évaluation de ces critères sur une échelle permet de déterminer si ce bien est correctement sécurisé.

    - L’expression du besoin attendu peut-être d’origine :

    – Interne : inhérente au métier de l’entreprise


    – Ou externe : issue des contraintes légales qui pèsent sur les biens de l’entreprise.

    - Tous les biens d’un S.I. n’ont pas nécessairement besoin d’atteindre les mêmes niveaux de DICP.

    Mécanisme de sécurité pour atteindre les besoins DICP :

    Un Système d’Information a besoin de mécanismes de sécurité qui ont pour objectif d’assurer de
    garantir les propriétés DICP sur les biens de ce S.I.

    Quelques exemples de mécanismes de sécurité participant à cette garantie :

    – Anti-Virus, Cryptographie, Pare-feu, Contrôle d’accès logique, Sécurité physique des équipements et
    locaux, Capacité d’audit, Clauses contractuelles avec les partenaires, Formations et sensibilisations

    Notions de vulnérabilité, menace et attaque :

    Vulnérabilité : Faiblesse au niveau d’un bien – au niveau de la conception, de la réalisation, de


    l’installation, de la configuration ou de l’utilisation du bien.

    Menace : Cause potentielle d’un incident, qui pourrait entraîner des dommages sur un bien si cette
    menace se concrétisait.
    Attaque : Action malveillante destinée à porter atteinte à la sécurité d’un bien. Une attaque représente
    la concrétisation d’une menace, et nécessite l’exploitation d’une vulnérabilité. : Une attaque ne peut
    donc avoir lieu (et réussir) que si le bien est affecté par une vulnérabilité

    Panorama de quelques menaces:

    L’hameçonnage (anglais : « phishing ») : constitue une « attaque de masse » qui vise à abuser de la «
    naïveté » des clients ou des employés pour récupérer leurs identifiants de banque en ligne ou leurs
    numéros de carte bancaire

    Exp : Réception d’un mail utilisant le logo et les couleurs de l’entreprise ,Demande pour effectuer une
    opération comme la mise-à-jour des données personnelles ou la confirmation du mot de
    passe ,Connexion à un faux-site identique à celui de l’entreprise et contrôlé par l’attaquant ,
    Récupération par l’attaquant des identifiants/mots de passe (ou tout autre donnée sensible) saisie par le
    client sur le faux site

    Vous aimerez peut-être aussi