Document sur les moyens de sécurisation

Cette conférence aborde les différents moyens de sécurisation des réseaux informatiques, en particulier dans le cadre d’un cours sur la sécurité des systèmes d’information. Elle présente les dispositifs essentiels tels que les pare-feux, les systèmes de détection et de prévention d’intrusion, les VPN, ainsi que la sauvegarde des données.

Les pare-feux : protection des réseaux locaux et échanges Internet

Dans un réseau local, le partage de données est courant, mais l’ouverture vers Internet expose le réseau à des attaques potentielles. Pour se protéger des menaces externes et internes, il est nécessaire d’utiliser un pare-feu (firewall). Ce dispositif agit comme une barrière de sécurité, filtrant le trafic réseau afin d’empêcher les intrusions.

Exemple d’application : la DMZ

Une DMZ (DeMilitarized Zone) est une zone réseau intermédiaire qui contient des serveurs accessibles à la fois depuis Internet et le réseau local (LAN). On y trouve généralement des serveurs Web (HTTP), de messagerie (SMTP), FTP, et d’autres serveurs d’échange de données. La DMZ permet d’isoler ces serveurs pour limiter les risques d’attaques directes sur le réseau interne.

Les différentes catégories de pare-feux

• Firewall stateless : contrôle les paquets un par un, filtrant selon les adresses IP et les ports, basé sur des listes de contrôle d’accès (ACL). Ses limites incluent l’obligation d’ouvrir les ports supérieurs à 1024 pour les connexions sortantes, et il ne protège pas contre les attaques IP Spoofing et SYN flood.
• Firewall stateful : prend en charge l’état des connexions TCP, vérifie la validité des paquets et accepte les connexions légitimes. Il protège contre les attaques IP Spoofing et SYN flood, mais nécessite plus de ressources.
• Firewall applicatif (proxy) : analyse les protocoles au niveau de la couche 7 en fonction du contenu des paquets, vérifiant leur validité. Chaque protocole nécessite un module dédié, ce qui rend ce type de firewall très gourmand en ressources.

Types de pare-feux

Les pare-feux peuvent être matériels, comme le Cisco Pix, ou logiciels, tels que Netfilter, Ipcop ou Zonealarm.

Les systèmes IDS et IPS : détection et prévention des intrusions

Les IDS (Intrusion Detection Systems) et IPS (Intrusion Prevention Systems) sont des éléments essentiels de l’infrastructure réseau. Ils comparent les paquets réseau à une base de données de signatures de cybermenaces connues pour détecter ou bloquer les attaques.

• IDS : analysent et surveillent le trafic réseau pour détecter des signes d’intrusion ou de comportements suspects, comme des violations de politique de sécurité, des malwares ou des scans de ports. Ils fonctionnent comme des systèmes de surveillance.
• IPS : agissent de manière proactive en rejetant les paquets réseau considérés comme dangereux selon un profil de sécurité. Ils se situent généralement entre le réseau externe et interne, jouant un rôle de contrôle actif.

Les VPN : réseaux privés virtuels

Un VPN (Virtual Private Network) permet d’interconnecter des sites distants via un réseau partagé, souvent Internet, tout en assurant la confidentialité et la sécurité des échanges. Le VPN est réservé à un groupe d’utilisateurs authentifiés, et les données échangées sont cryptées pour être masquées aux yeux des tiers.

Le terme « virtual » indique que le réseau privé est construit au-dessus d’un réseau public, sans infrastructure dédiée, ce qui rend le VPN flexible et économique.

Les protocoles de tunneling

• PPTP (Point to Point Tunneling Protocol)
• L2TP (Layer Two Tunneling Protocol)
• IPSec (IP Secure)

Le protocole IPSec

IPSec est une suite de protocoles standardisés par l’IETF qui sécurise les données au niveau de la couche réseau. Il est compatible avec les normes IPv4 et IPv6.

IPSec assure plusieurs services :

• Confidentialité : par chiffrement, les données deviennent inintelligibles pour toute personne non autorisée.
• Authentification : garantit que les données proviennent bien de leur source légitime.
• Intégrité : assure que les données n’ont pas été modifiées accidentellement ou frauduleusement.
• Protection contre le rejeu : empêche la réutilisation frauduleuse de paquets valides interceptés, grâce à un numéro de séquence.
• Gestion des clés : négocie la longueur et l’échange des clés de chiffrement entre les éléments IPSec via le protocole IKE (Internet Key Exchange).

IPSec utilise deux mécanismes de sécurité pour le trafic IP :

AH (Authentification Header)
ESP (Encapsulation Security Payload)

AH : assure l’intégrité des données et l’authentification de l’origine sans chiffrer les données. Il ajoute un bloc au datagramme IP contenant une partie pour l’authentification et une autre avec un numéro de séquence pour la protection contre le rejeu. AH est utilisé lorsque la confidentialité n’est pas requise.

ESP : fournit, en plus des fonctions d’AH, la confidentialité des données par chiffrement et une protection partielle contre l’analyse du trafic, notamment en mode tunnel. ESP encapsule et chiffre les données, ce qui en fait le protocole le plus utilisé.

Modes de fonctionnement d’IPSec

IPSec fonctionne selon deux modes :

• Mode transport : les données de la couche transport (couche 4 OSI) sont chiffrées et signées avant d’être transmises à la couche IP. Seule la charge utile est traitée, l’en-tête IP restant intact pour permettre le routage. Ce mode est simple à mettre en œuvre mais ne masque pas les adresses IP.
• Mode tunnel : toute la trame IP (en-tête + charge utile) est encapsulée dans un nouveau paquet IP avec un nouvel en-tête. Ce mode masque les adresses IP d’origine et sécurise les échanges de réseau à réseau.

La sauvegarde des données

La sauvegarde consiste à copier les données stockées sur un ordinateur vers des supports amovibles, qui sont ensuite conservés dans un lieu sûr. C’est un moyen efficace de protection contre la perte de données, notamment en cas de panne matérielle. Après réparation, les données peuvent être restaurées à partir des sauvegardes.

La politique de sécurité d’une entreprise doit inclure des sauvegardes régulières, effectuées par les utilisateurs eux-mêmes.

Points clés

• Le pare-feu protège le réseau local des attaques externes et internes, avec différents types adaptés selon le niveau de filtrage et les ressources disponibles.
• La DMZ isole les serveurs accessibles depuis Internet pour limiter les risques sur le réseau interne.
• Les IDS détectent les intrusions en surveillant le trafic, tandis que les IPS bloquent activement les paquets dangereux.
• Le VPN crée un réseau privé sécurisé sur un réseau public, grâce au cryptage et à l’authentification.
• IPSec assure la sécurité des échanges IP via les protocoles AH et ESP, avec deux modes de fonctionnement : transport et tunnel.
• La sauvegarde régulière des données est essentielle pour garantir la continuité en cas de défaillance.