Lattaquant recherche continuellement les vuln rabilit s et une fois quil est trouv ,

lattaquant acc de au r seau et au syst me.

Attaques informatives / destructives

Les attaques informatives:

w Elles visent obtenir des informations sur le syst me.

w Cesinformations seront ensuite utilisables pour d finir des failles

dans la s curit .

Les attaques de d ni de service (DoS : Denial of Service):

w Elles visent surcharger le syst me avec des requ tes inutiles.

w Elles permettent de remplir

les logs et de rendre

laudit ing rable.

w Elles peuvent aussi masquer dautres attaques.

Les attaques destructrices:

w Elles visent rendre inop rant soit les applications, soit

le

syst me.

Attaques directes / indirectes

Slide 57

Les attaques offensives peuvent tre regrouper en :

Attaques directes:

cest la plus simple des attaques,

le Hacker attaque directement sa victime partir de son

ordinateur.

Dans ce type dattaque,

il y a possibilit de pouvoir

remonter lorigine de lattaque et identifier lidentit du

Hacker

Attaques indirectes

(par

rebond):

passive, cette attaque

pr sente 2 avantages:

Masquer lidentit

(@ IP du Hacker)

ventuellement utiliser les ressources du PC interm diaire

Attaques : Auteurs

Slide 53

Il existe de nombreux types d'"attaquants" cat goris s selon leur

exp rience et selon leurs motivations :

Les white hat hackers, hacker au sens noble du terme, dont le but est

d'aider l'am lioration des syst mes et technologies informatiques,

sont g n ralement l'origine des principaux protocoles et outils

informatiques que nous utilisons aujourd'hui. Le courrier lectronique

en est un exemple

Les black hat hackers, plus couramment appel s pirates (ou appel s

galement crackers par extension du terme), c'est- -dire des personnes

s'introduisant dans les syst mes informatiques dans un but nuisible

Les Script Kiddies: ce sont de jeunes utilisateurs du r seau

utilisant des programmes trouv s sur Internet, g n ralement de

fa on maladroite, pour vandaliser des syst mes informatiques afin

de s'amuser. dans les r ponses.

Attaques : Auteurs

Slide 53

Les phreakers: ce sont des pirates s'int ressant au r seau

t l phonique commut (RTC) afin de t l phoner gratuitement

gr ce des circuits l ctroniques (qualifi es de box, comme la blue

box, la violet box, ...) connect s la ligne t l phonique dans le but

d'en falsifier le fonctionnement. On appelle ainsi phreaking le

piratage de ligne t l phonique.

Les carders: s'attaquent principalement aux syst mes de cartes

puces (en particulier les cartes bancaires) pour en comprendre le

fonctionnement et en exploiter les failles. Le terme carding d signe

le piratage de cartes puce.

Les crackers: leur but est de cr er des outils logiciels permettant

d'attaquer des syst mes informatiques ou de casser les protections

contre la copie des logiciels payants. Un crack" est ainsi un

programme cr ex cutable charg de modifier (patcher) le logiciel

original afin d'en supprimer les protections..

Attaques : Auteurs

Slide 53

Les hacktivistes (contraction de hackers et activistes que l'on peut

traduire en cybermilitant ou cyberr sistant), sont des hackers dont la

motivation est principalement id ologique. Ce terme a t largement

port par la presse, aimant v hiculer l'id e d'une communaut

parall le (qualifi e g n ralement de underground, par analogie aux

populations souterraines des films de science-fiction.

Dans la r alit ce type de distinction n'est bien videmment pas aussi

nette, dans la mesure o certains white hat hackers ont parfois t

crackers black hat hackers auparavant et parfois inversement. Les

habitu s des listes de diffusion et des forums voient souvent des sujets

propos de la diff rence qu'il convient de faire entre pirate et hacker.

Attaques : Etapes

Effacer les traces

Maintien dacc s

Gain dacc s

Reconnaissance active

Reconnaissance passive

Attaques : Etapes

Effacer les traces

Maintien dacc s

Gain dacc s

Reconnaissance active

Reconnaissance passive

Etapes: Collecte dinformation-Information Gathering

La prise dempreinte ou foot printing

est une tape pr alable toute attaque.

Consiste rassembler le maximum

dinformation sur la cible:

-Adressage r seau.

-Noms de domaine.

-Protocoles de r seaux.

-Syst mes.

-Services.

-Architectures des serveurs.

-Utilisateurs.

-&

Etapes: Collecte dinformation-Information Gathering

Ing nieriesociale- SocialEngineering

Cest une m thode qui a pour but

informations

dextirper

confidentielles des personnes.

des

Il ya 4 m thodes:

Par t l phone.

Par Internet.

Par lettre.

contact direct

Etapes: Balayage du r seau

Lorsque la topologie du r seau est

connue, le pirate peut scanner :

adresses

actives

du

Les

r seaux.

Les ports ouverts.

Les types des OS.

Les services.

&

Etapes: Rep rage des failles -Vulnerability Assessment

Apr s avoir tabli

linventaire du parc

logiciel, mat riel, syst me, personnel& Il

reste au hacker de d terminer si des

failles existent.

CERT

Nessus.

Snort.

Metasploit

-&

Etapes: Intrusion Exploitation tools

Lorsque le pirate a dress une

cartographie des ressources, il est en

mesure de pr parer son intrusion:

Acc der des comptes valides.

Injection de codes.

Metasploit.

&

Etapes: Extension de privil ges Privilege escalation

Lorsque le pirate a obtenu un ou

plusieurs acc s sur le r seau, celui-ci va

chercher augmenter ses privil ge en

obtenant lacc s root.

Etapes: Compromission

Une fois le pirate a pu dresser

une cartographie de r seau, des

machines, des failles, poss de un

possible

acc s root,

d tendre son action en exploitant

les relations dapprobation.

lui est

il

Etapes: Portes d rob es - Backdoors

Lorsquun pirate infiltr un r seau

quil

arriver

peut

il

dentreprise,

une

Il va installer

souhaite revenir.

application afin de cr er artificiellement

une faille de s curit .

Etapes: Nettoyage des traces

Il reste au pirate deffacer les traces

de son passage

Exemples dattaques r seau

Attaques R seau

Exemples d'attaques r seaux

Niveau liaison :

Inondation de la table de commutation (CAM : Content addressable

memory)

Usurpation de ladresse MAC (MAC spoofing)

Niveau r seau

IP spoofing

ARP spoofing

Niveau transport

TCP syn flooding

Niveau application

DHCP starvation

Faux serveurs DHCP

Attaques R seau

Falsification (Tampering)

Spoofing

Ecoute (Eavesdropping and Packet Sniffing)

Password Guessing

D ni de service (DoS/DDoS)

Ping flooding, Smurf

TCP SYN Flooding

UDP Flooding

Web spoofing

Cheval de Troie

Ver

38

Falsification (Tampering)

Description : Modification ou la destruction des donn es.

Moyens : mauvaise utilisation des

internes, ou acc s non autoris par des agents externes.

privil ges

par

les

utilisateurs

Menaces :

• Introductiondes modifications sur des enregistrements (statut, salaire,

inscription, etc.)

• Effacement des logs par un intrus pour emp cher la r paration

pannes et la r solution des conflits.

des

• Installer des chevaux de Troie pour la collecte des mots de passe, ou

pour dautres intrusions.

39

usurpation d'identit (Spoofing)

Description : technique consistant prendre l'identit d'une autre personne ou

d'une autre machine. Elle est g n ralement utilis e pour

r cup rer des

informations sensibles.

Moyens :

Vol de comptes, deviner des mots de passe (password guessing),

social

engeneering.

Menaces :

Des messages erron s.

D ni de service

(IP attacks, SYN attacks, Ping-of-Death)

40

arp spoofing ou arp poisoning

Technique utilis e en informatique pour attaquer tout r seau local

utilisant le protocole de r solution d'adresse ARP, les cas les plus

r pandus tant les r seaux Ethernet et Wifi.

Pollution des caches arp avec de fausses associations adresse

mac/adresse IP.

Permet l'attaquant de d tourner des flux de communications

transitant entre une machine cible et une passerelle : routeur,

serveur, etc.

L'attaquant peut ensuite couter, modifier ou encore bloquer les

paquets r seaux.

Permet des attaques de type "man in the middle", D ni de service.

41

arp spoofing ou arp poisoning

R seau local :

192.168.1.1 : passerelle.

192.168.1.10 : machine cible.

192.168.1.17 : attaquant.

L'attaquant va envoyer un paquet ARP qu'il aura lui-m me

forg l'aide d'outils comme Scapy.

Paquet ARP :

ip_source= 192.168.1.1

mac_source= <adresse_mac attaquant>

ip_destination= 192.168.1.10

type= is-at

l'adresse ip 192.168.1.1 correspond l'adresse MAC <adresse_mac attaquant>

42

arp spoofing ou arp poisoning

Gratuitous ARP

Surveiller les changements d'association:

arpwatch (unix)

WinARP Watch (Windows)

43

arp spoofing ou arp poisoning

Cours S curit des r seaux

44

arp spoofing ou arp poisoning

Cours S curit des r seaux

45

Web spoofing

46

Ecoute (Eavesdropping and Packet Sniffing)

Description:

Analyser le trafic r seau pour collecter des informations sans introduire des

modifications.

Moyens:

Sniffers, analyseur de trafic, les routeurs, les passerelles, capture et filtrage

des paquets.

Menaces:

ensemble

dinformations

L coute peut tre utilis e pour collecter un

envoy es travers le r seau.

Login + mot de passe.

Num ros des cartes de cr dit.

E-mails et dautres messages

Analyse du trafic du r seau (estimation de la bande passante, divulgation des adresses

IP utilis es&).

D ni de service (DoS/DDoS)

Attaques les plus populaires.

Lobjectif de ces attaques est de cr er une situation o la

victime est incapable de fournir un service ses clients.

R alis g n ralement suite l puisement physique ou logique

des ressources au niveau des serveurs ou des r seaux de la

victime ou travers le lien de communication liant la victime

au FSI.

Attaques de D ni de Service Distribu

" Utilisation des esclaves: machines disposant des vuln rabilit s

qui seront exploit es par un intrus.

" Utilisation des r flecteurs: envoient des r ponses des paquets

spoof s (destination : victime)

48

D ni de service (DoS/DDoS)

DDOS

" Plusieurs machines sont impliqu es dans ce type dattaque

" Lattaquant prend le contr le dun certain nombre de machines

afin quelles attaquent toutes la m me cible

DOS local ( puisement des ressources)

" Saturation de l'espace disque

" r pertoires r cursifs

DOS par le r seau (consommation de la bande passante)

" ping of the death; SYN flood

49

D ni de service (DoS/DDoS)

50

Attaques de d ni de service Smurf - Ping flooding

Principe : Inonder la cible avec un flux maximal de ping

Ping (echo request, echo reply)

Le smurf est une variante du ping flooding

Principe du Smurf:

Tous les h tes du r seau

ladresse

r pondent

r elle

Lattaquant envoie une requ te ICMP echo:

adresse source : celle de lh te victime

adresse destination : broadcast

Victim

e

51

Attaques de d ni de service Smurf - Ping flooding

Slide 67

Une attaque smurf inclus trois acteurs : la cible, le pirate et le r seau

amplificateur.

Le pirate envoie au r seau amplificateur une requ te demandant une

r ponse (type ICMP ECHO ou UDP ECHO). Cette requ te est fabriqu e

pour sembler provenir de la cible.

du r seau

amplificateur va donc r pondre la machine source (la cible).

Chaque machine

La cible va donc tre submerg e.

Lattaque UDP echo sappelle :

w Fraggle

Ipsrc B Ipdst

192.168.203.255

Attaques de d ni de service Smurf - Ping flooding

Slide 69

LAB:

Outil : Scapy

Lancement de scapy via le terminal

scapy

>>> i = IP() # Cr ation d'un paquet

IP >>> i.display() # Visualiser le paquet i

>>> i.dst = 192.168.203.255' # ajouter en destination du

Paquet l'adresse ip de broadcat du r seau cible

>>> i.display() # Visualiser le paquet i

>>> ping = ICMP() # Cr ation d'un paquet ICMP

>>> ping.display()

>>> requete = (i/ping)

concatenant les deux paquets

Lancer wireshark avant de lancer la requ te pour visualiser

se qui ce passe sur le r seau

>>> send(requete) # envoie de la requ te

Envoeyr 1000 paquets En une seule requ te scapy

>>>send(IP(dst="@IP_broadcast",src="@IP_flood")/ICMP()

,count=10000,verbose=1)

Visualisationdu paquet ping

Cr ation de la requ te en

Attaques de d ni de service Inondation Syn - TCP SYN Flooding

Fonctionnement normal dune connexion TCP

TCP

Orient connexion;

Acquittement de remise des paquets;

Connexion TCP

Connexion par Three Way Handshake ;

change entre deux processus;

Fermeture

" Friendly close : flag ;

" Lors dun erreur (par exemple interruption dun des process).

54

Attaques de d ni de service Inondation Syn - TCP SYN Flooding

Lattaque en SYN-flooding sappuie sur le m canisme d tablissement

de connexion r seau.

Ce m canisme est le suivant :

Demande de connexion (Syn)

Confirmation r ception (Syn/Ack)

Confirmation (Ack)

Attaques de d ni de service Inondation Syn - TCP SYN Flooding

Pour emp cher l tablissement de connexions TCP, lattaquant envoie un

grand nombre de paquets TCP-SYN avec une adresse source usurp e

(spoof e) et inaccessible

Attaques de d ni de service Inondation Syn - TCP SYN Flooding

Slide 69

Comme la machine qui a mis le paquet de demande de

connexion la fait avec une adresse source correspondant une

machine inexistante;

La machine contact e r pondra cette demande et enverra la

r ponse la machine qui a demand la connexion; donc vers nulle

part.

Comme personne ne r pond, la machine restera en attente (de 75

secondes 23 minutes).

les machines acceptent des centaines de connexions

Si

simultan es, elles ne supportent que quelques demandes.

Attaques de d ni de service Inondation Syn - TCP SYN Flooding

TCP connection, please.

TCP connection, please.

O.K. Please send ack.

O.K. Please send ack.

Buffer

Attaques de d ni de service Inondation Syn - TCP SYN Flooding

Les attaques SYN-flooding sont toujours couronn es de succ s

aujourd'hui pour trois raisons:

1) Les paquets SYN font partie du trafic normal et quotidien, il est

donc difficile pour les appareils de filtrer ce type d'attaque.

2) Les paquets SYN ne n cessitent pas beaucoup de bande

passante pour lancer une attaque car ils sont relativement petits.

3) Les paquets SYN peuvent tre usurp s car aucune r ponse ne

doit tre renvoy e la cible. En cons quence, vous pouvez

choisir des adresses IP al atoires pour lancer l'attaque, ce qui

rend le filtrage difficile pour les administrateurs de la s curit .

Attaques de d ni de service Inondation Syn - TCP SYN Flooding

Slide 69

LAB:

Outil: Metasploit :

Utiliser l'exploit dos en tcp par synflood

use auxiliary/dos/tcp/synflood #

Visualiser les options

show options #

Renseigner l adresse IP de la victime

set RHOST 192.168.203.149

Lancer lattaque

>> exploit

Attaques MITM Man In The Middle

Lattaque la plus courante en entreprise

Simple mettre en place mais dangereuse

Tr s peu de moyens existent pour la contrer

Tr s peu dentreprises mettent en place des solutions contre

cette derni re

61

Attaques MITM Man In The Middle

Le protocole ARP: fonctionnement normal

62

Attaques MITM Man In The Middle

Lattaque

63

Attaques MITM Man In The Middle

LAB:

Outil: DriftNet

DriftNet permet de capturer des images du trafic r seau et

de les afficher dans une fen tre

Coupl un MITM (Ettercap-ng) cet outil vous permet de voir

toutes les images d'une cible donn e

Ping de la mort Ping of death

Cette technique d'attaque est d pass e, mais elle a fait ses preuves

l' poque.

lle exploitait une faiblesse dans l'impl mentation de la plupart des piles

IP en envoyant un paquet ICMP d'une taille non conforme (sup rieur 64

octets). Ceci avait pour effet de planter directement la pile IP attaqu e.

Cependant, comme pour l'attaque par fragmentation, cette technique

n'est plus viable du fait que les piles IP ont toutes volu es. Nous

pouvons donc discuter en datagramme ICMP de grande taille sans aucun

souci.

L'attaque Ping de la mort est souvent confondue en pensant qu'elle est

bas e sur le fait de saturer une bande passante en ICMP. Ce n'est pas le

cas, car ce principe est appliqu par l'attaque Ping Flood et non pas par le

Ping de la mort.

65

Ping de la mort Ping of death

Password Guessing

Une recherche exhaustive (Brute force)

• Essai de toutes les combinaisons possibles.

• aboutir un r sultat rapidement si la longueur du mot de passe est

faible.

Une recherche intelligente

• Recherche des mots de passe possibles dans un espace restreint.

• A partir dinformations relatives lutilisateur: son nom, son num ro

de t l phone, sa date de naissance, etc.

• G n rique : des mots ou des phrases significatives, attaque selon un

dictionnaire.

67

Introduction aux Malwares

1) D finition dun Malware

2) Exemples de Malwares

Infection dun Malware

3)

4) La distribution de Malwares

D finition dun logiciel malveillant

(Malware)

Programme/code qui vise :

Nuire un syst me informatique

Donner un contr le total lattaquant

Vol d'informations / fraude / espionnage

Exemples de Malwares

Trojan

Backdoor

Rootkit

Ransomware

Adware

Virus

Worms

Spyware

Botnet

Exemples de Malwares

Exemples de Malwares

Virus:

Une petite application ou un code qui infecte les applications.

Il se duplique automatiquement sur une machine. Il peut

les

endommager

performances d'une machine.

les donn es directement

ou d grader

Ver (worm):

Un programme ind pendant qui exploite la communication

r seau pour se reproduire en se copiant d'un syst me l'autre.

Exemples de Malwares

Un cheval de Troie (Trojan)

programme informatique apparence l gitime ou r ellement

utile, mais qui inclut aussi des capacit s malveillants cach s

pour exploiter une vuln rabilit et/ou l'acc s non autoris un

syst me sans l'autorisation de l'utilisateur .

Une porte d rob e (Backdoor ):

Un programme permettant d'ouvrir un acc s r seau un

syst me informatique. Ainsi la machine peut tre exploit e

distance.

Exemples de Malwares

Rootkit:

est un ensemble d'outils (techniques et

syst me compromis pour une utilisation future.

" Apr s qu'un syst me est compromis, un attaquant peut

logiciels) plac sur le

tenter d' lever ses privil ges (administration).

" Une fois que le niveau d'acc s root est atteint,

t l charge sur la machine victime un

l'attaquant

paquet d'outils, appel s collectivement rootkit.

" Ces outils lui permet d'installer une porte d rob e, un

sniffeur et d'autres outils lui permettant d'attaquer d'autres

dans les

syst mes et d'effacer

journaux syst me.

les traces d'attaques

Exemples de Malwares

logiciel espion (Spyware):

secr tement install sur un ordinateur

un programme

cible afin de collecter des informations sensibles sur une

victime. Les donn es recueillies peuvent tre utilis es

activit s malveillantes: vol d'identit ,

pour

spamming, annonces publicitaires, &

des

Enregistreur de frappe (keylogger):

g n ralement

programme

invisible install sur une

charg d'enregistrer son insu ses frappes

machine

clavier; pour intercepter des mots de passe par exemple

Exemples de Malwares

Bombe logique (Logic bomb):

ex cute un

programme, ou un code, quand un certain

v nement se produit ou une date et heure pr cise.

Un exploit:

est un l ment de programme

informatique permettant

d'exploiter une faille de

s curit dans un syst me

d'exploitation ou dans un logiciel localement (local exploit)

ou a distance (remote exploit).

11

Exemples de Malwares

Botnets:

est un r seau de bots informatiques (robot IRC) connect s

Internet

qui

communiquent avec d'autres programmes

similaires pour effectuer des t ches nuisibles au

r seau.

Exemple: envoi massive d'email spam ou la participation a

une attaque de type Distributed-Denial of Service (DDos).

12

Infection dun Malware

Application de chat

IRC

USB

Mail

Netbios

Torrents

Distribution de Malwares

Blackhat Search

Engine Optimization

(SEO)

Social Engineered

Click-jacking

Malvertising

Spearphishing

Drive by Download

Injection de Scripts

Concept des Trojans

programme informatique apparence l gitime ou r ellement

utile, mais qui inclut aussi des capacit s malveillants cach s

pour exploiter une vuln rabilit et/ou l'acc s non autoris un

syst me sans l'autorisation de l'utilisateur .

Utilisation de Trojans

Supprimer ou remplacer des fichiers critiques

D sactiver le firewall et antivirus

R seau zombie

Spyware

Spamming

Ports Utilis s par les Trojans

Wrappers & Crypters

Wrappers

Crypters

D ploiement dun Trojan

Cr ation de Trojans

Sc narios

Envoi dun ex cutable pi g

Envoi dun apk pi g (Android)

Cryptage du trojan

Cr ation de Trojans

Meterpreter

Backdoor

Couteau-suisse

Persistance

Cr ation de Trojans

Les Virus

1) D finition et cycle de vie dun Virus

2) Fonctionnement dun Virus

3) Raison dun Virus

4) Ransomware

5) Types de Virus

6) Cr ation de Virus

D finition dun Virus

Sauto-r pliquer

Transmis via fichiers t l charg s,

USB ou pi ce jointe

Cycle de vie dun virus

Design

Replication

Launch

Detection

Incorporation

Elimination

Fonctionnement dun virus

Phase dinfection

Phase dattaque

Cr ation dun virus

Nuire un

concurrent

B n fice

Financier

Recherche

Vandalisme

Cyber

Terrorisme

Activisme

Hoax & Faux Antivirus

Des faux virus

Peuvent tre des Faux Positifs

Faux AV infect s par des

Malwares

Ransomware

Un logiciel malveillant qui prend en otage vos donn es

Les Vers

D finition dun Vers:

Reproduction, ex cution et propagation

Injection dun Payload contenant une Backdoor

Proc dure danalyse

Analyse de Malwares

D tection de Malwares

Analyse de :

ports

processus

registres

drivers

services

d marrage automatique

fichier et r pertoire

lactivit sur le r seau

Contre-mesures Malwares

Contremesures Trojan

Contremesures Backdoor

Contremesures Virus et Vers

Contre-mesures Trojan

Pi ce jointe = Danger

Filtrer/Bloquer les ports

Supervision

Applications de sources inconnues

Gestion dint grit

Contre-mesures Backdoor

Anti-virus jour

Sensibilisation

Bonne utilisation

Contre-mesures Virus et Vers

Effectuer des scans r guliers

Bloquer les Pop-up

V rifier les extensions

Configurer le Firewall

Faire des mises jour

Effectuer des Backups

Avoir une politique dexploitation