# COURS DE SECURITE INFORMATIQUE Niveau
master

Djamba Tunda-Olembe

<figure><img src="image_1.png" /></figure>

## To cite this version:

Djamba Tunda-Olembe. COURS DE SECURITE INFORMATIQUE Niveau master. Master. Sécurité informatique avancée, Lubumbashi, Congo-Kinshasa. 2024, pp.292. hal-04858262

HAL Id: hal-04858262

https://hal.science/hal-04858262v1

Submitted on 29 Dec 2024

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_2.png" /></figure>
REPUBLIQUE DEMOCRATIQUE DU
CONGO
ENSEIGNEMENT SUPERIEUR ET UNIVERSITAIRE

# COURS DE SECURITE INFORMATIQUE

NIVEAU MASTER

PAR MASTER ING CIVIL TUNDA-OLEMBE DJAMBA

JUILLET 2018
# CHAP 1. LES FONDEMENTS DE LA SECURITE INFORMATIQUE

## I.1 PRINCIPE ET FAILLES

### I.1.1 GENERALITES

Nul ne peut aujourd'hui ignorer les dangers liés à l'utilisation d'Internet : virus, spam et pirates informatiques sont les maîtres mots utilisés par les médias. Mais que connaissez-vous exactement de ces risques ?

De plus en plus de sociétés ouvrent leur système d'information à leurs partenaires ou leurs fournisseurs et donnent l'accès à Internet à leurs employés. Quelles menaces les guettent ?

Avec le nomadisme et la multiplication des réseaux sans fil, les individus peuvent aujourd'hui se connecter à Internet à partir de n'importe quel endroit. Tout le monde s'accorde à dire qu'il existe un risque, mais quel est-il pour les particuliers et quelles peuvent en être les conséquences ?

Sur le plan professionnel, les employés sont amenés à « transporter » une partie du système d'information hors de l'infrastructure sécurisée de l'entreprise. Comment protéger les informations vitales de l'entreprise ?

Pour toutes ces raisons, à domicile comme au bureau, il est nécessaire de connaître les risques liés à l'utilisation d'Internet et les principales parades. Cet ouvrage se veut ainsi un concentré d'informations et de définitions sur tout ce qui touche à la sécurité informatique.
Les exigences de la sécurité de l'information au sein des organisations ont conduit à deux changements majeurs au cours des dernières décennies. Avant l'usage généralisé d'équipements informatiques, la sécurité de l'information était assurée par des moyens physiques (classeurs fermés par un cadenas) ou administratifs (examen systématique des candidats au cours de leur recrutement).

Avec l'introduction de l'ordinateur, le besoin d'outils automatisés pour protéger fichiers et autres informations stockées est devenu évident. Ce besoin est accentué pour un système accessible via un téléphone public ou un réseau de données. On donne à cette collection d'outils conçus pour protéger des données et contrecarrer les pirates le nom de **sécurité informatique**.

Le second changement majeur qui affecte la sécurité est l'introduction de systèmes distribués et l'utilisation de réseaux et dispositifs de communication pour transporter des données entre un terminal utilisateur et un ordinateur, et entre ordinateurs. Les mesures de sécurité des réseaux sont nécessaires pour protéger les données durant leur transmission. On parle alors de **sécurité des réseaux**.

Il n'existe pas de frontières claires entre ces deux formes de sécurité. Par exemple, un des types d'attaque de systèmes d'information les plus médiatisés est le **virus (informatique)**. Un virus peut être physiquement introduit dans un système via une disquette ou via Internet. Dans les deux cas, une fois le virus présent dans le système, des outils informatiques de sécurité sont nécessaires pour le détecter et le détruire.

La sécurité informatique c'est l'ensemble des moyens mis en œuvre pour réduire la vulnérabilité d'un système contre les menaces accidentelles ou intentionnelles. Il convient d'identifier les exigences fondamentales en sécurité informatique. Elles caractérisent ce à quoi s'attendent les utilisateurs de systèmes informatiques en regard de la sécurité :

1. **disponibilité** : demande que l'information sur le système soit disponible aux personnes autorisées.

2. **Confidentialité** : demande que l'information sur le système ne puisse être lue que par les personnes autorisées.

3. **Intégrité** : demande que l'information sur le système ne puisse être modifiée que par les personnes autorisées.
La sécurité recouvre ainsi plusieurs aspects :

* intégrité des informations (pas de modification ni destruction)

* confidentialité (pas de divulgation à des tiers non autorisés)

* authentification des interlocuteurs (signature)

* respect de la vie privée (informatique et liberté).

Du point de vue de la sécurité informatique, une menace est une violation potentielle de la sécurité. Cette menace peut-être accidentelle, intentionnelle (attaque), active ou passive.

### I.1.2 VULNERABILITE(FAILLE)

**Vulnérabilité** : erreur de conception (bug) dans un produit pouvant altérer la sécurité du système

Où peut-on trouver des vulnérabilités ?

* au niveau du système d'exploitation

* au niveau applicatif

* au niveau du réseau

On peut penser aux services de sécurité de l'information par analogie avec les types de fonctions associées aux documents physiques. La plupart des activités humaines, dans des domaines aussi divers que le commerce, la politique étrangère, les actions militaires, dépendent de l'utilisation de documents et de la confiance des deux partis en l'intégrité de ces documents. Les documents portent signatures et dates ; ils peuvent nécessiter une protection contre la divulgation, la falsification ou la destruction ; être attestés, enregistrés, etc. À mesure que les systèmes d'information deviennent plus diffus et essentiels à la conduite des affaires humaines, l'information électronique prend en charge bien des rôles traditionnellement dévolus aux documents papier. En conséquence, les fonctions associées aux documents papier doivent être accomplies sur des documents au format dématérialisé.
Plusieurs apsects propres aux documents électroniques font qu'assurer ces fonctions ou services est un défi :

* il est habituellement possible de distinguer entre un document papier original et sa photocopie. Cependant, un document électronique est purement une séquence de bits ; il n'y a pas de différence entre “ l'original ” et toutes ses copies ;

* une altération d'un document papier peut laisser des preuves physiques. Par exemple, un effacement peut laisser une tache ou une surface rugueuse. L'altération de bits dans une mémoire d'ordinateur ou un signal ne laisse a priori aucune trace ;

* tout processus de “ preuve ” associé à un document physique dépend des caractéristiques physiques du document (par exemple, la forme d'une signature manuelle ou un tampon de notaire). De telles preuves d'authenticité d'un document électronique doivent être basées sur des signes présents dans l'information elle-même.

Un seul mécanisme ne peut fournir tous les services de sécurité. On peut noter qu'un élément particulier sous-tend la plupart des mécanismes de sécurité en usage : les **techniques cryptographiques**. Le chiffrement - ou des transformations similaires - de l'information est le moyen le plus courant pour fournir une sécurité. Ainsi, dans ce cours on insistera sur le développement, l'utilisation et la gestion de ces techniques.

### I.1.3 INTRODUCTION AUX ATTAQUES INFORMATIQUES

Tout ordinateur connecté à un réseau est potentiellement vulnerable aux attaques.
La sécurité de l'information traite de la prévention de la fraude, ou, à défaut, de sa détection dans des systèmes d'information à l'intérieur desquels l'information elle-même n'a pas d'existence physique significative. On verra dans les transparents suivants une liste d'exemples évidents de tricherie, qui se sont produits dans des cas réels. Ce sont des exemples d'attaques spécifiques qu'une organisation ou un individu peut avoir à affronter. La nature de l'attaque varie considérablement selon les circonstances.
Heureusement, il est possible d'approcher le problème en examinant les types génériques d'attaques pouvant être rencontrées. Ce sera le sujet de la prochaine section.

* Obtenir un accès non autorisé à l'information (c'est-à-dire, violer secret ou confidentialité);

* Usurper l'identité d'un autre utilisateur pour modifier ses attributs de responsabilité ou pour utiliser les droits de ce dernier dans le but de

* diffuser une information frauduleuse;

* modifier une information légitime;

* utiliser une identité frauduleuse pour obtenir un accès non autorisé;

* faciliter des transactions frauduleuses ou en tirer partie.

* Refuser la responsabilité d'une information que le fraudeur a diffusée;

* Prétendre avoir reçu de la part d'un autre utilisateur une information en fait créée par le fraudeur (par exemple, de fausses attributions de responsabilité ou de confiance).
* Prétendre avoir envoyé (à un moment donné) une information qui soit n'a pas été envoyée, soit l'a été à un autre moment ;

* Nier avoir reçu une information ou prétendre qu'elle a été reçue à un autre moment ;

* Étendre des droits d'un fraudeur (pour un accès à des informations) ;

* Modifier (sans autorisation) les droits d'autrui (les inscrire, restreindre ou élargir leurs droits, etc.) ;

* Dissimuler la présence d'information (la communication cachée) dans une autre information (la communication déclarée) ;

* S'insérer dans un lien de communication entre d'autres utilisateurs en tant que point de relai actif (et indétecté) ;

* Apprendre qui a accès à une information donnée (fichiers, etc.) et quand les accès sont réalisés, même si l'information elle-même reste cachée (par exemple, la généralisation de l'analyse de traffic de canaux de communication à des bases de données, des logiciels etc.).

* Mettre en cause l'intégrité d'un protocole en révélant une information que le fraudeur est censé (selon les termes du protocole) garder secrète ;

* Pervertir la fonction d'un logiciel, en général par l'ajout d'une fonction cachée ;

* Faire qu'autrui viole un protocole en introduisant une information incorrecte ;

* Saper la confiance en un protocole en causant des défaillances visibles dans le système ;

* Empêcher la communication entre d'autres utilisateurs, en particulier par des interférences afin que la communication authentique soit rejetée comme non authentique.

Les menaces se multipliant ces derniers temps (virus, vers, spyware, intrusions), il est primordial de savoir quelles attitudes et actions adopter pour se prémunir et réagir aux problèmes de sécurité. A côté de ça un autre problème (le spam) augmente aussi de manière inquiétante...
Une **menace** (*threat*) représente une action susceptible de nuire, tandis qu'une **vulnérabilité** (*vulnerability*, appelée parfois faille ou brèche) représente le niveau d'exposition face à la menace dans un contexte particulier. La **contre-mesure** (ou parade), elle, représente l'ensemble des actions mises en œuvre en prévention de la menace.

Les contre-mesures ne sont généralement pas uniquement des solutions techniques mais également des mesures de formation et de sensibilisation à l'attention des utilisateurs, ainsi qu'un ensemble de règles clairement définies.

Les contre-mesures ne sont généralement pas uniquement des solutions techniques mais également des mesures de formation et de sensibilisation à l'attention des utilisateurs, ainsi qu'un ensemble de règles clairement définies.

Afin de pouvoir sécuriser un système, il est nécessaire d'identifier les menaces potentielles, et donc de connaître et de prévoir la façon de procéder de l' « ennemi ». Le but de cet ouvrage est ainsi de donner un aperçu des menaces, des motivations éventuelles des pirates, de leur façon de procéder, afin de mieux comprendre comment il est possible de limiter les risques.

Une **attaque** est l'exploitation d'une faille d'un système informatique (système d'exploitation, logiciel ou bien même de l'utilisateur) à des fins non connues par l'exploitant du système et généralement préjudiciables.

Sur Internet des attaques ont lieu en permanence, à raison de plusieurs attaques par minute sur chaque machine connectée. Ces attaques sont pour la plupart lancées automatiquement à partir de machines infectées (par des virus, chevaux de Troie, vers, etc.), à l'insu de leur propriétaire. Plus rarement il s'agit de l'action de **pirates informatiques**.

Afin de contrer ces attaques, il est indispensable de connaître les principaux types d'attaques afin de mieux s'y préparer.
Les motivations des attaques sont de différentes sortes :

* obtenir un accès au système ;

* voler des informations, tels que des secrets industriels ou des propriétés intellectuelles ;

* glaner des informations personnelles sur un utilisateur ;

* récupérer des données bancaires ;

* s'informer sur l'organisation (entreprise de l'utilisateur, etc.) ;

* troubler le bon fonctionnement d'un service ;

* utiliser le système de l'utilisateur comme « rebond » pour une attaque ;

* utiliser les ressources du système de l'utilisateur, notamment lorsque le réseau sur lequel il est situé possède une bande passante élevée.

La sécurité de l'information traite de la prévention de la fraude, ou, à défaut, de sa détection dans des systèmes d'information à l'intérieur desquels l'information elle-même n'a pas d'existence physique significative. On verra dans les transparents suivants une liste d'exemples évidents de tricherie, qui se sont produits dans des cas réels. Ce sont des exemples d'attaques spécifiques qu'une organisation ou un individu peut avoir à affronter. La nature de l'attaque varie considérablement selon les circonstances.

Heureusement, il est possible d'approcher le problème en examinant les types génériques d'attaques pouvant être rencontrées. Ce sera le sujet de la prochaine section.

## ☐ Types d'attaques

Les systèmes informatiques mettent en œuvre différentes composantes, allant de l'électricité pour alimenter les machines au logiciel exécuté via le système d'exploitation et utilisant le réseau.

Les **attaques** peuvent intervenir à chaque maillon de cette chaîne, pour peu qu'il existe une vulnérabilité exploitable. Le schéma suivant rappelle très sommairement les différents niveaux pour lesquels un risque en matière de sécurité existe.
<figure><img src="image_3.png" /></figure>

Il est ainsi possible de catégoriser les risques de la manière suivante :

* **Accès physique** : il s'agit d'un cas où l'attaquant à accès aux locaux, éventuellement même aux machines :

* coupure de l'électricité ;

* extinction manuelle de l'ordinateur ;

* vandalisme ;

* ouverture du boîtier de l'ordinateur et vol de disque dur ;

* écoute du trafic sur le réseau ;

* ajout d'éléments (clé USB, point d'accès WiFi...).
► **Interception de communications** :

• vol de session (session hijacking) ;

• usurpation d'identité ;

• détournement ou altération de messages.

► **Dénis de service** : il s'agit d'attaques visant à perturber le bon fonctionnement d'un service. On distingue habituellement les types de déni de service suivant :

• exploitation de faiblesses des protocoles TCP/IP ;

• exploitation de vulnérabilité des logiciels serveurs.

► **Intrusions** :

• balayage de ports ;

• élévation de privilèges : ce type d'attaque consiste à exploiter une vulnérabilité d'une application en envoyant une requête spécifique, non prévue par son concepteur, ayant pour effet un comportement anormal conduisant parfois à un accès au système avec les droits de l'application. Les attaques par débordement de tampon (buffer overflow) utilisent ce principe.

• Maliciels (virus, vers et chevaux de Troie).

► **Ingénierie sociale** : dans la majeure partie des cas le maillon faible est l'utilisateur lui-même ! En effet, c'est souvent lui qui, par méconnaissance ou par duperie, va ouvrir une brèche dans le système, en donnant des informations (mot de passe par exemple) au pirate informatique ou en exécutant une pièce jointe. Ainsi, aucun dispositif de protection ne peut protéger l'utilisateur contre les arnaques, seuls le bon sens, la raison et un peu d'informations sur les différentes pratiques peuvent lui éviter de tomber dans le piège ! La montée en puissance des réseaux sociaux sur le Web a donné encore plus d'importance à ce type d'attaque (voir chap. 3, Attaque par ingéniérie sociale).

► **Trappes** : il s'agit d'une porte dérobée (backdoor) dissimulée dans un logiciel, permettant un accès ultérieur à son concepteur.
I.1.4 RISQUES ET POLITIQUES DE SECURITE

Les coûts d'un problème informatique peuvent être élevés et ceux de la sécurité le sont
aussi. Il est nécessaire de réaliser une analyse de risque en prenant soin d'identifier les problèmes
potentiels avec les solutions avec les coûts associés. L'ensemble des solutions retenues doit être
organisé sous forme d'une politique de sécurité cohérente, fonction du niveau de tolérance au
risque. On obtient ainsi la liste de ce qui doit être protégé.

Il faut cependant prendre conscience que les principaux risques restent : « câble arraché », « coupure secteur », « crash disque », « mauvais profil utilisateur », « test du dernier CD Bonux »...

Voici quelques éléments pouvant servir de base à une étude de risque:

* Quelle est la valeur des équipements, des logiciels et surtout des informations ?

* Quel est le coût et le délai de remplacement ?

* Faire une analyse de vulnérabilité des informations contenues sur les ordinateurs en réseau (programmes d'analyse des paquets, logs...).

* Quel serait l'impact sur la clientèle d'une information publique concernant des intrusions sur les ordinateurs de la société ?

Suite à l'étude des risques et avant de mettre en place des mécanismes de protection, il faut préparer une politique à l'égard de la sécurité. C'est elle qui fixe les principaux paramètres, notamment les niveaux de tolérance et les coûts acceptable. Voici quelques éléments pouvant aider à définir une politique :

* Quels furent les coûts des incidents informatiques passés ?

* Quel degré de confiance pouvez vous avoir envers vos utilisateurs interne ?

* Qu'est-ce que les clients et les utilisateurs espèrent de la sécurité ?

* Quel sera l'impact sur la clientèle si la sécurité est insuffisante, ou tellement forte qu'elle devient contraignante ?

* Y a-t-il des informations importantes sur des ordinateurs en réseaux ? Sont-ils accessible de l'externe ?

* Quelle est la configuration du réseau et y a-t-il des services accessibles de l'extérieur ?

* Quelles sont les règles juridiques applicables à votre entreprise concernant la sécurité et la confidentialité des informations (ex: loi « informatique et liberté », archives comptables...) ?
Il ne faut pas perdre de vue que la sécurité est comme une chaîne, guère plus solide que son maillon le plus faible. En plus de la formation et de la sensibilisation permanente des utilisateurs, la politique de sécurité peut être découpée en plusieurs parties :

* **Défaillance matérielle** : Tout équipement physique est sujet à défaillance (usure, vieillissement, défaut...) L'achat d'équipements de qualité et standard accompagnés d'une bonne garantie avec support technique est essentiel pour minimiser les délais de remise en fonction. Seule une forme de sauvegarde peut cependant protéger les données.

* **Défaillance logicielle** : Tout programme informatique contient des bugs. La seule façon de se protéger efficacement contre ceux-ci est de faire des copies de l'information à risque. Une mise à jour régulière des logiciels et la visite des sites consacrés à ce type de problèmes peut contribuer à en diminuer la fréquence.

* **Accidents (pannes, incendies, inondations...)** : Une sauvegarde est indispensable pour protéger efficacement les données contre ces problèmes. Cette procédure de sauvegarde peut combiner plusieurs moyens fonctionnant à des échelles de temps différentes :

* disques RAID pour maintenir la disponibilité des serveurs.

* copie de sécurité via le réseau (quotidienne)

* copie de sécurité dans un autre bâtiment (hebdomadaire)

La disposition et l'infrastructure des locaux peut aussi fournir une protection intéressante.

Pour des sites particulièrement important (site informatique central d'une banque...) il sera nécessaire de prévoir la possibilité de basculer totalement et rapidement vers un site de secours (éventuellement assuré par un sous-traitant spécialisé). Ce site devra donc contenir une copie de tous les logiciels et matériels spécifiques à l'activité de la société.

* **Erreur humaine** : Outre les copies de sécurité, seule une formation adéquate du personnel peut limiter ce problème.

* **Vol via des dispositifs physique (disques et bandes)** : Contrôler l'accès à ces équipements : ne mettre des unités de disquette, bandes... que sur les ordinateurs où c'est essentiel. Mettre en place des dispositifs de surveillances.

* **Virus provenant de disquettes** : Ce risque peut-être réduit en limitant le nombre de lecteur de disquettes en service. L'installation de programmes antivirus peut s'avérer une protection efficace mais elle est coûteuse, diminue la productivité, et nécessite de fréquentes mises à jour.

* **Piratage et virus réseau** : Cette problématique est plus complexe et l'omniprésence des réseaux, notamment l'Internet, lui confère une importance particulière. Les problèmes
de sécurité de cette catégorie sont particulièrement dommageables et font l'objet de l'étude qui suit.

## Principaux défauts de sécurité

Les défauts de sécurité d'un système d'information les plus souvent constatés sont :

* Installation des logiciels et matériels par défaut.

* Mises à jours non effectuées.

* Mots de passe inexistantes ou par défaut.

* Services inutiles conservés (Netbios...).

* Traces inexploitées.

* Pas de séparation des flux opérationnels des flux d'administration des systèmes.

* Procédures de sécurité obsolètes.

* Eléments et outils de test laissés en place dans les configurations en production.

* Authentification faible.

* Télémaintenance sans contrôle fort.

# I.2. PROTECTION

## I.2.1 CAUSES DE VULNERABILITES ET SOLUTION

### Principales causes :

* les données transitent d'une machine à une autre dans un milieu non sécurisé/sécurisable (internet).

* failles applicatives de certaines piles de protocoles TCP/IP.

* mécanisme d'authentification insuffisant (ex : rsh, rlogin).

### Principales solutions mises en oeuvre :

* utiliser des méthodes de chiffrement.

* corriger les failles applicatives de piles des protocoles.

* filtrer les accès aux différents services.

## I.2.2 PROTECTION
## Antivirus

* Principe de fonctionnement

* Détection des malwares

* Antivirus mais pas seulement

## Système pare-feu (firewall)

* Principe de fonctionnement

* Pare-feu personnel

* Zone démilitarisée (DMZ)

* Limites des systèmes pare-feu

* Honeypots

## Serveurs mandataires (proxy)

* Principe de fonctionnement

* Fonctionnalités d'un serveur proxy

* Translation d'adresses (NAT)

* Reverse-proxy
## Systèmes de détection d'intrusions

* Techniques de détection

* Méthodes d'alertes

* Enjeu

## Réseaux privés virtuels

* Fonctionnement d'un VPN

* Protocoles de tunnelisation

* Protocole PPTP

* Protocole L2TP

* Protocole SSTP

* Protocole IPSec

## IPv6 et la sécurité

* Les améliorations apportées par IPv6

* Des PC directement exposés

* Menaces sur la vie privée

* Rareté = danger

## Biométrie et carte à puce
## I.3 LES PROGRAMMES MALVEILLANTS (MALWARES)

On appelle **malware** (ou **programme malveillant, maliciel**) un programme ou une partie de programme destiné à perturber, altérer ou détruire tout ou partie des éléments logiciels indispensables au bon fonctionnement d'un système informatique.

On distingue principalement sept types de programmes malveillants : les virus informatiques, les bombes logiques, les vers, les chevaux de Troie, les *rootkits*, les *keyloggers* et les *spywares*.

### I.3.1 LES VIRUS

#### I.3.1.1 GENERALITES

Un virus est un petit programme informatique situé dans le corps d'un autre, qui, lorsqu'on le lance, se charge en mémoire et exécute les instructions que son auteur a programmées. La définition d'un virus pourrait être la suivante :

> « Tout programme d'ordinateur capable d'infecter un autre programme d'ordinateur en le modifiant de façon à ce qu'il puisse à son tour se reproduire. »

Le véritable nom donné aux virus est **CPA** (soit code auto-propriégeable), mais par analogie avec le domaine médical, le nom de **virus** leur a été donné.

Les **virus résidents** (appelés **TSR, Terminate and Stay Resident**) se chargent dans la mémoire vive de l'ordinateur afin d'infecter les fichiers exécutables lancés par l'utilisateur. Les virus non-résidents infectent les programmes présents sur le disque dur dès leur exécution.

Le champ d'application des virus va de la simple balle de ping-pong qui traverse l'écran au virus destructeur de données, ce dernier étant la forme de virus la plus dangereuse. Avec la « professionnalisation » de la création des virus, ces virus destructeurs ont pratiquement disparu : il ne rapporte rien de détruire des données. Par contre, des virus cryptant les fichiers existent : ces malwares servent à des maîtres chanteurs pour récupérer de l'argent de leur victime en échange de la clé pour décrypter leurs documents.
On distingue ainsi différents types de virus :

* Les **vers** sont des virus capables de se propager à travers un réseau.

* Les **troyens** (chevaux de Troie) sont des virus permettant de créer une faille dans un système (généralement pour permettre à son concepteur de s'introduire dans le système infecté afin d'en prendre le contrôle). Bon nombre de chevaux de Troie actuels ne sont pas considérés comme des virus car ils n'ont pas la capacité de se répliquer.

* Les **bombes logiques** sont des virus capables de se déclencher suite à un événement particulier (date système, activation distante...).

### I.3.2.2 TYPES DE VIRUS

#### Types de virus

##### ☐ Virus mutants

En réalité, la plupart des virus sont des clones, ou plus exactement des **virus mutants**, c'est-à-dire des virus ayant été réécrits par d'autres utilisateurs afin d'en modifier leur comportement ou leur signature.

Le fait qu'il existe plusieurs versions (on parle de **variantes**) d'un même virus le rend d'autant plus difficile à repérer dans la mesure où
les éditeurs d'antivirus doivent ajouter ces nouvelles signatures à leurs bases de données.

### ☐ Virus polymorphes

Dans la mesure où les antivirus détectent notamment les virus grâce à leur signature (la succession de bits qui les identifie), certains créateurs de virus ont pensé à leur donner la possibilité de modifier automatiquement leur apparence, tel un caméléon, en dotant les virus de fonction de chiffrement et de déchiffrement de leur signature, de façon à ce que seuls ces virus soient capables de reconnaître leur propre signature. Ce type de virus est appelé **virus polymorphe** (mot provenant du grec signifiant « qui peut prendre plusieurs formes »).

### ☐ Rétrovirus

On appelle **rétrovirus** ou **virus flibustier** (bounty hunter) un virus ayant la capacité de modifier les signatures des antivirus afin de les rendre inopérants.

### ☐ Virus trans-applicatifs (virus de macros)

Avec la multiplication des programmes utilisant des macros, Microsoft a mis au point un langage de script commun pouvant être inséré dans la plupart des documents pouvant contenir des macros, il s'agit de VBScript, un sous-ensemble de Visual Basic. Ces virus ont connu leurs heures de « gloire » avec notamment, les anciennes versions de la suite bureautique de Microsoft. De tel virus pouvaient être situé à l'intérieur d'un banal document Word ou Excel, et exécuter une portion de code à l'ouverture de celui-ci lui permettant d'une part de se propager dans les fichiers, mais aussi d'accéder au système d'exploitation (généralement Windows).

Le début du troisième millénaire a été marqué par l'apparition, à grande fréquence, de scripts Visual Basic diffusés par mail en fichier attaché (repérables grâce à leur extension .VBS) avec un titre de mail poussant à ouvrir le cadeau empoisonné. Ceux-ci avaient la possibilité,

Le début du troisième millénaire a été marqué par l'apparition, à grande fréquence, de scripts Visual Basic diffusés par mail en fichier attaché (repérables grâce à leur extension .VBS) avec un titre de mail poussant à ouvrir le cadeau empoisonné. Ceux-ci avaient la possibilité,

lorsqu'ils étaient lancés à partir d'un client de messagerie Microsoft, d'accéder à l'ensemble du carnet d'adresses et de s'autodiffuser par le réseau. Ce type de virus est appelé **ver (worm)**.
### I.3.2.3 EVITER LES VIRUS

Comme tous les programmes informatiques les virus sont des données interprétables par le système d'exploitation.

Ainsi, tous les fichiers exécutables ou interprétables par le système d'exploitation peuvent potentiellement infecter votre ordinateur. Les fichiers comportant notamment les extensions suivantes sont potentiellement susceptibles d'être infectés : exe, com, bat, pif, vbs, scr, doc, xls, msi, eml.

<figure><img src="image_4.png" /></figure>

**Attention !**

Sous Windows, il est conseillé de désactiver la fonction « masquer les extensions », car cette fonction peut tromper l'utilisateur sur la véritable extension d'un fichier. Ainsi un fichier dont l'extension est .jpg.vbs apparaîtra comme un fichier d'extension .jpg !

Cependant, n'importe quel fichier peut être susceptible d'embarquer un virus. Pour cela, il suffit que le programme qui ouvre ces données et les interprètent soit mal conçu. Par exemple, en ne fermant pas correctement des champs de données, il devient possible d'exploiter cette faille par un débordement de tampon (buffer overflow) et ajouter un code exécutable par l'ordinateur. Une autre faille peut provenir de l'inclusion d'appels à des éléments infectés se trouvant sur le Web. Les fichiers d'animations Flash (swf), le format d'archive pdf, les fichiers images au format WMF et d'autres ont été la cible de ce type de virus. Il faut donc garder à l'esprit que toutes les applications d'un ordinateur doivent être régulièrement mises à jour.

Ensuite, pour tous les fichiers interprétables directement par le système d'exploitation, seul un antivirus à jour est capable de dire si un programme ne comporte pas d'hôte indésirable. Les éditeurs de ces logiciels proposent des scanners en ligne accessible gratuitement sur http://www.bitdefender.fr/scanner/online/free.html ou encore sur http://www.virustotal.com/fr/ qui sollicite un très grand nombre de moteurs d'antivirus pour analyser un fichier.
## I.3.2 LES VERS RESEAU

### I.3.2.1 GENERALITES

Un ver est un programme qui peut se reproduire et se déplacer à travers un réseau en utilisant ses mécanismes, sans avoir réellement besoin d'un support physique ou logique (disque dur, programme hôte, fichier...) pour se propager ; un ver est donc un **virus réseau**. La plus célèbre anecdote à propos des vers date de 1988. Un étudiant (Robert T. MORRIS, de Cornell University) avait fabriqué un programme capable de se propager sur un réseau, il le lança et, 8 heures après l'avoir lâché, celui-ci avait déjà infecté plusieurs milliers d'ordinateurs. C'est ainsi que de nombreux ordinateurs sont tombés en pannes en quelques heures car le « ver » (car c'est bien d'un ver dont il s'agissait) se reproduisait trop vite pour qu'il puisse être effacé sur le réseau. De plus, tous ces vers ont créé une saturation au niveau de la bande passante, ce qui a obligé la NSA à arrêter les connexions pendant une journée.

### I.3.2.2 PRINCIPE DE FONCTIONNEMENT

Voici la façon dont le ver de Morris se propageait sur le réseau :

* il s'introduisait sur une machine de type Unix ;

* il dressait une liste des machines qui lui étaient connectées ;

* il forçait les mots de passe à partir d'une liste de mots ;

* il se faisait passer pour un utilisateur auprès des autres machines ;

* il créait un petit programme sur la machine pour pouvoir se reproduire ;

* il se dissimulait sur la machine infectée, et ainsi de suite.

Aujourd'hui les vers sont une espèce virale en voie d'extinction du point de vue des systèmes d'exploitation. Sur des machines non maintenues à jour, ils peuvent encore se propager grâce à la messagerie (et notamment par le client de messagerie Outlook) et sous la forme de code directement exécuté par le client de messagerie (JavaScript, VBS...). Mais les vers ont encore un avenir certain dans les applications web : des sites de réseaux sociaux (Facebook, Myspace) et des mondes virtuels (World of Warcraft, Second World) ont vu apparaître des scripts utilisant les langages de ces applications ou JavaScript et pouvant se répandre sur les comptes de tous les utilisateurs de ces services. Là aussi, on peut parler de vers réseau même si leur impact est limité.
### I.3.2.3 PARADES

Du point de vue d'un poste client, il est simple de se protéger d'une infection par ver. La meilleure méthode consiste à mettre à jour régulièrement le système d'exploitation de sa machine et ses applications surtout si elles communiquent via le réseau. L'utilisation d'un pare-feu est aussi indispensable pour empêcher l'accession à des services réseaux réservés normalement aux activités intranet. Il convient enfin de ne pas ouvrir « à l'aveugle » des fichiers récupérés par e-mail ou des téléchargements.

Quant à éviter la propagation des vers spécifiques à des applications web, le seul moyen est de ne pas utiliser ces services lors d'une attaque.

<figure><img src="image_5.png" /></figure>

**Attention !**

Lorsqu'on fait la liste des applications à surveiller, il ne faut pas se fier à la fonction principale d'une application pour savoir si elle communique ou non avec le réseau. Ainsi, un traitement de texte comme Microsoft Word, dans ses versions récentes (> 2000) peut avoir une activité réseau. Le logiciel de lecture multimédia Winamp comporte un navigateur web...

## I.3.3 Cheval de Troie (informatique)

Un **cheval de Troie** (Trojan horse en anglais) est un type de logiciel malveillant, qui ne doit pas être confondu avec les virus ou autres parasites. Le cheval de Troie est un logiciel en apparence légitime, mais qui contient une fonctionnalité malveillante. Le rôle du cheval de Troie est de faire entrer ce parasite sur l'ordinateur et de l'y installer à l'insu de l'utilisateur.

### I.3.3.1 Historique

#### L'origine du concept

Le terme « cheval de Troie » a été inventé en 1970 par Daniel J. Edwards¹, chercheur à la NSA. La terminologie a été par la suite utilisée en 1974 dans un rapport de l'US Air Force sur l'analyse de la vulnérabilité des systèmes informatiques², puis présentée en 1981 par David Jordan³ et enfin vraiment popularisée par Ken Thompson dans la conférence
Turing⁴ qu'il donna à la réception du prix Turing en 1983, prix qu'il avait reçu pour avoir créé UNIX. Sa conférence est sous-titrée:

> « To what extent should one trust a statement that a program is free of Trojan horses? Perhaps it is more important to trust: the people who wrote the software. »

autrement dit :

> « Dans quelle mesure peut-on croire qu'un programme est exempt de chevaux de Troie ? Il est probablement plus important de croire les gens qui ont écrit le logiciel. »

Il signale qu'il a eu connaissance de l'existence possibles de chevaux de Troie, à la manière de ceux qu'ils présentent, dans un rapport sur la sécurité de Multics dont malheureusement il ne peut pas trouver de référence, mais Paul Karger et Roger Schell⁵ sont en position d'affirmer qu'il s'agit du rapport cité plus haut ²,⁶.

## La légende du cheval de Troie dans l'Illiade

<figure><img src="image_6.png" /><figcaption>Le cheval de Troie</figcaption></figure>

Les chevaux de Troie informatiques (ou trojan horses en anglais) tirent leur nom d'une célèbre légende de la Grèce antique, racontée par Homère dans l'Iliade et reprise par Virgile dans l'Énéide. Le cheval de Troie est la méthode utilisée par les Grecs pour conquérir la ville de Troie : le héros Ulysse fit construire un immense étalon de bois qu'il plaça devant les portes de Troie et dans les flancs duquel il se cacha avec ses compagnons. Lorsque les Troyens découvrirent ce cheval, ils le firent entrer eux-mêmes dans leur cité. Ils s'endormirent sans méfiance tandis que le cheval se trouvait dans leurs murs. À la nuit tombée, Ulysse et ses compagnons sortirent de leur cachette et ouvrirent les portes de la ville au reste de l'armée, qui la détruisit et massacra ses habitants.
## Les chevaux de Troie aujourd'hui

Un cheval de Troie informatique est un programme d'apparence inoffensive, mais qui en contient un autre, malveillant celui-là et qui est installé par l'utilisateur lui-même, ignorant qu'il fait pénétrer un intrus malveillant sur son ordinateur. C'est par analogie, que ce type de programme a été baptisé « cheval de Troie », en référence à la ruse qu'Ulysse utilisa pour contourner les défenses adverses.

En 2014, une étude de l'Association of Internet Security Professionnals centrée sur les dangers du live streaming illégal révèle qu'un ordinateur sur trois est infecté par un logiciel malveillant et que 73 % de ces infections proviennent d'un cheval de Troie⁷.

### I.3.3.3 Quelques précisions terminologiques

Le programme contenu (ou téléchargé par la suite automatiquement) est appelé la "charge utile" [Par qui ?]. Il peut s'agir de n'importe quel type de parasite : virus, keylogger, logiciel espion... C'est ce parasite qui va exécuter des actions au sein de l'ordinateur victime⁸. Le cheval de Troie n'est rien d'autre que le véhicule, celui qui fait "entrer le loup dans la bergerie". Il n'est pas nuisible en lui-même car il n'exécute aucune action, si ce n'est celle de permettre l'installation du vrai parasite.

Dans le langage courant, par métonymie on nomme souvent "cheval de Troie" le parasite contenu à l'intérieur. Cette confusion est en partie alimentée par les éditeurs d'antivirus, qui utilisent "trojan" comme nom générique pour désigner différents types de programmes malveillants qui n'ont rien à voir avec des trojans⁹.

### I.3.3.4 Vecteurs d'infection

Le cheval de Troie prend l'apparence d'un logiciel existant, légitime et parfois même réputé, mais qui aura été modifié pour y dissimuler un parasite. La subtilité avec laquelle l'installation est faite est expliquée par Ken Thompson dans sa conférence Turing. Berné, l'utilisateur va télécharger et installer le programme, pensant avoir affaire à une version saine. En réalité, le logiciel véhicule un parasite qui va pouvoir s'exécuter sur son ordinateur. Les logiciels crackés peuvent être des chevaux de Troie qui vont allécher l'internaute qui cherche à obtenir gratuitement¹⁰ un logiciel normalement payant (Adobe Acrobat pro, Photoshop, Microsoft Office..).
### I.3.3.5 Origines fréquentes des chevaux de Troie

* Téléchargement de versions trafiquées sur des sites non officiels ou des plateformes peu sûres (P2P). Télécharger les logiciels sur le site officiel de l'auteur ou du distributeur évite normalement d'avoir affaire à une version infectée par un cheval de trois. Cela n'est évidemment pas possible pour se procurer des versions crackées, mais faisable pour tous les logiciels gratuits. [pas clair]

* Téléchargement de programmes P2P.

* Visite de sites Web contenant un exécutable (par exemple les contrôles ActiveX ou des applications Java).

* Exploitation de failles dans des applications obsolètes (navigateurs, lecteurs multimédias, clients de messagerie instantanée) et notamment les Web Exploit.

* Ingénierie sociale (par exemple, un pirate envoie directement le cheval de Troie à la victime par messagerie instantanée).

* Pièces jointes et fichiers envoyés par messagerie instantanée.

* Connexion d'un ordinateur à un périphérique externe infecté.

* Mise à jour de logiciel.

* Absence de logiciel de protection.

### I.3.3.5 Notions voisines du cheval de Troie

Le cheval de Troie ne doit pas être confondu avec d'autres notions proches :

* **L'injecteur** (ou dropper, en anglais) est quasiment identique au cheval, car il sert lui aussi de véhicule pour une malveillance. Mais l'injecteur est un programme spécialement fabriqué pour propager des parasites, alors que le cheval est une version modifiée d'un programme existant et légitime.

* **La porte dérobée (backdoor)** est un programme qui va s'exécuter discrètement sur l'ordinateur où il est installé pour y créer une faille de sécurité. Le backdoor ouvre un ou plusieurs ports sur la machine, ce qui lui permet d'accéder à internet librement et de télécharger, à l'insu de l'utilisateur, un parasite. Le backdoor n'est donc pas un cheval de Troie : il ne véhicule pas le parasite en lui, il va simplement ouvrir l'accès et récupérer, via internet, le programme malveillant qui se trouve sur un serveur distant.
* Le RAT (Remote administration tool) est un logiciel de prise de contrôle à distance d'un ordinateur. Un RAT peut être un outil légitime (par exemple pour le dépannage à distance), mais il peut aussi être utilisé par un pirate pour s'emparer d'une machine. Dans ce cas, l'introduction du RAT sur la machine à contrôler se fait à l'insu de l'utilisateur. Par exemple, par un cheval de Troie qui contient le RAT, mais le RAT n'est pas le cheval. Contrairement à ce qu'on lit parfois, le T de RAT ne signifie pas Trojan mais Tool (outil).

* Les **bombes de décompression** ne transportent pas de parasite, mais elles peuvent être confondues avec les chevaux de Troie car la notion de conteneur entre aussi en jeu. Il s'agit d'un fichier compressé, par exemple un fichier zip, de taille raisonnable tant qu'il n'est pas ouvert. Mais lorsque l'utilisateur va tenter de la décompresser, elle va générer un fichier d'une taille gigantesque. Cette "explosion" entraîne le ralentissement ou le plantage de l'ordinateur, et sature le disque dur avec des données inutiles. Bien qu'il s'agisse de conteneurs malveillants, le fonctionnement des bombes de décompression n'a donc rien à voir avec celui des chevaux de Troie. En effet, elles ne transportent aucun parasite indépendant, elles saturent la machine de données aléatoires.

* Le Trojan Stealer, plutôt spécialisé dans le vol de données et notamment les comptes en ligne (Mail, Réseaux sociaux ou encore bancaire). Le préfixe utilisé par les antivirus peut alors être Trojan.PWD où PWD signifie password pour mot de passe.

### I.3.3.6 Symptômes possibles d'une infection

* Activité anormale de la carte réseau ou du disque dur (des données sont chargées en l'absence d'activité de la part de l'utilisateur) ou du modem

* Réactions curieuses de la souris

* Ouvertures impromptues de programmes, du lecteur CD/DVD

* Plantages répétés

* Redémarrage répété du système

* Écran ou fenêtres avec des messages inhabituels.

* Un comportement inhabituel dans le fonctionnement de l'ordinateur, tels que: changements d'économiseur d'écran de bureau, modification du rôle des boutons de la souris, modification du volume du lecteur audio.

* Ouverture/Fermeture intempestive de fenêtres.
* Les programmes commencent ou terminent leur exécution de manière inattendue.

* Le navigateur accède tout seul à certains sites Internet.

* Présence d'autres programmes qui n'ont pas été volontairement installés (y compris des logiciels malveillants).

* Vol de renseignements personnels : informations bancaires, mots de passe, codes de sécurité...

* Suppression, modification ou transfert de fichiers (téléchargement ou upload).

* Exécution ou arrêt de processus.

* Arrêt ou redémarrage impromptus de l'ordinateur.

* Surveillance des frappes (voir Enregistreur de frappe)

* Captures d'écran impromptues.

* Espace libre du disque dur occupé par des fichiers inutiles.

### Prévention et lutte

* Pour lutter contre ce genre de programme malveillant, l'utilisation d'un antivirus peut s'avérer efficace, mais reste souvent insuffisante. Il est conseillé de faire une analyse complète de son système d'exploitation et un nettoyage profond effectué de préférence par un technicien agréé. Dans certains cas, l'utilisateur peut se retrouver obligé de démarrer sur un autre système d'exploitation, puis de redémarrer en mode sans échec pour pouvoir reprendre la main.

### I.3.4 BOMBES LOGIQUES

Sont appelés **bombes logiques** les logiciels dont le déclenchement s'effectue à un moment déterminé en exploitant la date du système, le lancement d'une commande, ou n'importe quel appel au système. Ainsi ce type de virus est capable de s'activer à un moment précis sur un grand nombre de machines (on parle alors de **bombe à retardement** ou de **bombe temporelle**), par exemple le jour de la saint Valentin, ou la date anniversaire d'un événement majeur : la bombe logique Tchernobyl s'est activée le 26 avril 1999, jour du 13e anniversaire de la catastrophe nucléaire.

Les bombes logiques sont généralement utilisées dans le but de créer un déni de service en saturant les connexions réseau d'un site, d'un service en ligne ou d'une entreprise ! Ce type de programme malveillant est devenu très rare de nos jours.
### I.3.5 SPYWARES (ESPIOGICIEL)

#### I.3.5.1 GENERALITES

Un spyware (espiogiciel) est un programme chargé de recueillir des informations sur l'utilisateur de l'ordinateur dans lequel il est installé.

(on l'appelle donc parfois **mouchard**) afin de les envoyer à la société qui le diffuse pour lui permettre de dresser le profil des internautes (on parle de **profilage**).

Les récoltes d'informations peuvent ainsi être :

* les adresses web (URL) des sites visités,

* les mots-clés saisis dans les moteurs de recherche,

* l'analyse des achats réalisés via Internet, voire les informations de paiement bancaire (numéro de carte bleue/VISA),

* des informations personnelles (numéro de sécurité sociale, etc.).

Les spywares s'installent généralement en même temps que d'autres logiciels (la plupart du temps des freewares ou sharewares). En effet, cela permet aux auteurs desdits logiciels de rentabiliser leur programme, par de la vente d'informations statistiques, et ainsi permettre de distribuer leur logiciel gratuitement. Il s'agit donc d'un modèle économique dans lequel la gratuité est obtenue contre la cession de données à caractère personnel.

Les spywares ne sont pas forcément illégaux car la licence d'utilisation du logiciel qu'ils accompagnent précise que ce programme tiers va être installé ! En revanche étant donné que la longue licence d'utilisation est rarement lue en entier par les utilisateurs, ceux-ci savent très rarement qu'un tel logiciel effectue ce profilage dans leur dos.
Par ailleurs, outre le préjudice causé par la divulgation d'informations
à caractère personnel, les spywares peuvent également être une
source de nuisances diverses :

* consommation de mémoire vive,

* utilisation d'espace disque,

* mobilisation des ressources du processeur,

* plantages d'autres applications,

* gêne ergonomique (par exemple l'ouverture d'écrans publicitaires ciblés en fonction des données collectées).

### I.3.5.2 TYPES DE SPYWARES

On distingue généralement deux types de spywares :

* Les spywares internes (ou spywares intégrés) comportant directement des lignes de code dédiées aux fonctions de collecte de données.

* Les spywares externes, programmes de collectes autonomes installés.

### I.3.5.3 PARADES

La principale difficulté avec les spywares est de les détecter. La meilleure façon de se protéger est encore de ne pas installer de logiciels dont on n'est pas sûr à 100 % de la provenance et de la fiabilité (notamment les freewares et les sharewares). Voici quelques exemples (liste non exhaustive) de logiciels connus pour avoir embarqué un ou plusieurs spywares : Babylon Translator, GetRight, Go!Zilla, Download Accelerator, Cute FTP, PKZip, KaZaA ou encore iMesh.

Qui plus est, la désinstallation de ce type de logiciels ne supprime que rarement les spywares qui l'accompagnent. Pire, elle peut entraîner des dysfonctionnements sur d'autres applications !

Dans la pratique, il est quasiment impossible de ne pas installer de logiciels. Ainsi la présence de processus d'arrière-plan suspects, de fichiers étranges ou d'entrées inquiétantes dans la base de registre peuvent parfois trahir la présence de spywares dans le système.
Si vous ne parcourez pas la base de registre à la loupe tous les jours rassurez-vous, il existe des logiciels, nommés **anti-spywares** permettant de détecter et de supprimer les fichiers, processus et entrées de la base de registres créés par des spywares.

De plus l'installation d'un **pare-feu personnel** peut permettre d'une part de détecter la présence d'espigiciels, d'autre part de les empê-

cher d'accéder à Internet (donc de transmettre les informations collectées).

<figure><img src="image_7.png" /></figure>

À savoir

Parmi les anti-spywares les plus connus ou efficaces citons notamment : Ad-Aware de Lavasoft.de, Spybot Search&Destroy et Malware byte's antimalware.

1.3.6 LES RANSOMWARES (RANCOLOGICIEL)
Les **ransomwares** (ou rançongiciels) sont des logiciels malveillants dont le but est de soutirer de l'argent à leurs victimes. Il existe deux types de ransomwares :

* Les logiciels malveillants peuvent se contenter de faire peur aux utilisateurs qui les ont lancés (par exemple un virus gendarme qui demande le paiement d'une « amende » à la suite de la détection d'activités illégales sur le poste infecté). Le poste de la victime devient très difficile à utiliser car le logiciel bloque la plupart des applications. Une variante contraint les utilisateurs à cliquer sur des bannières publicitaires pour pouvoir accéder à leur ordinateur.

* Les **ransomwares** « chiffreurs » sont beaucoup plus agressifs car ils chiffrent tout ou partie des stockages de l'ordinateur de la victime. Les données sont cryptées en tâche de fond. Le malware affiche ensuite un message demandant le versement d'une rançon contre un moyen de déchiffrer les documents. Certaines variantes désactivent aussi les systèmes de versionning et s'attaquent aux fichiers de sauvegarde.

En 2014 et en 2015, CTB-Locker et Cryptowall ont été les deux crypto-ransomwares les plus répandus. L'éditeur Kaspersky a réussi à trouver des clés de déchiffrement pour certaines variantes de ces malwares mais, dans la plupart des cas, il n'existe aucun moyen de déchiffrer les données.

## Parades

Seul un logiciel antivirus à jour permet d'éviter ce type de malwares. On peut en réduire l'impact en procédant à des sauvegardes régulières, en confiant le versionning de fichier à des systèmes déportés (Cloud ou serveur de fichiers). Malheureusement, une fois les fichiers chiffrés, rien ne garantit que les documents pourront être récupérés (pas même le paiement de la rançon qui peut aboutir à télécharger un nouveau malware qui va infecter d'autres ordinateurs).

## I.3.7 LES KEYLOGGERS (ENREGISTREURS DE TOUCHE)

Un keylogger (littéralement enregistreur de touches) est un dispositif chargé d'enregistrer les frappes de touches du clavier et de les enregistrer, à l'insu de l'utilisateur. Il s'agit donc d'un dispositif d'espionnage. Certains keyloggers sont capables d'enregistrer les URL visitées, les courriers électroniques consultés ou envoyés, les fichiers ouverts, voire de créer une vidéo retraçant toute l'activité de l'ordinateur !
Dans la mesure où les keyloggers enregistrent toutes les frappes de clavier, ils peuvent servir à des personnes mal intentionnées pour récupérer les mots de passe des utilisateurs du poste de travail ! Cela signifie donc qu'il faut être particulièrement vigilant lorsque vous utilisez un ordinateur en lequel vous ne pouvez pas avoir confiance (poste en libre accès dans une entreprise, une école ou un lieu public tel qu'un cybercafé).

Les keyloggers peuvent être soit logiciels soient matériels. Dans le premier cas il s'agit d'un processus furtif (ou bien portant un nom ressemblant fortement au nom d'un processus système), écrivant les informations captées dans un fichier caché ! Les keyloggers peuvent également être matériels : il s'agit alors d'un dispositif (câble ou dongle) intercalé entre la prise clavier de l'ordinateur et le clavier. Des moyens d'interception par écoute radio existent aussi (voir chap. 3, Attaque par faille matérielle).

## Parades

La meilleure façon de se protéger est la vigilance :

* Ne pas installer de logiciels dont la provenance est douteuse.

* Prudence lors de la connexion à partir d'un ordinateur tiers (à partir d'un cybercafé par exemple) ! S'il s'agit d'un ordinateur en accès libre, il peut être utile d'examiner rapidement les programmes actifs en mémoire, avant de se connecter à des sites demandant un mot de passe. En cas de doute, il est conseillé de ne pas se connecter à des sites sécurisés pour lesquels un enjeu existe (banque en ligne, etc.).

## 1.3.8 LES SPAMS(Pourriels)

On appelle spam ou pollupostage (les termes pourriel, courrier indésirable ou junk mail) sont parfois également utilisés) l'envoi massif de courrier électronique (souvent de nature publicitaire) à des destinataires ne l'ayant pas sollicité.

Les personnes pratiquant l'envoi massif de courrier publicitaire sont appelées spammers (en français spammeurs), un mot qui a désormais une connotation péjorative !
Le but premier du spam est de faire de la publicité à moindre prix par « envoi massif de courrier électronique non sollicité » ou par « multipostage abusif ». Les spammeurs prétendent parfois, en toute mauvaise foi, que leurs destinataires se sont inscrits spontanément à leur base de données et que le courrier ainsi reçu est facile à supprimer, ce qui constitue au final un moyen écologique de faire de la publicité.

Les spammeurs collectent des adresses électroniques sur Internet (dans les forums, sur les sites Internet, dans les groupes de discussion, etc.) grâce à des logiciels (appelés **robots**) parcourant les différentes pages et stockant au passage dans une base de données toutes les adresses e-mail y figurant. Il ne reste ensuite au spammeur

L'activité de spam étant combattue mondialement, bon nombre de spammeurs actuels utilisent des réseaux de machines piratées (botnet) pour envoyer leur courrier non sollicité. Ceci leur permet de se dissimuler derrière ces milliers de machines et de disposer gratuitement d'une très grande bande passante pour l'envoi de millions de courriers en même temps. Preuve de l'existence de ces botnets géants, en novembre 2008, la déconnexion de l'hébergeur américain McColo Corp a fait baisser le spam mondial d'environ 50 % en une seule journée. De 50 spam/seconde, on est passé à moins de 20 spam/s, preuve de la puissance des botnets¹ qui étaient contrôlés via ce réseau. En 2010, la mise hors service du botnet Waledac par Microsoft a stoppé ce réseau qui envoyait 1,5 milliards de spams par jour. En 2011, Microsoft a aussi mis fin au réseau constitué avec le malware Rustock qui comprenait environ 1 million d'ordinateurs et a généré 47 % du spam mondial, pendant ses quatre années d'existence. Fin 2015, le spam mondial n'a toujours pas retrouvé son niveau de 2010. Sur l'année 2015, Spamcop.net comptabilise en moyen 8 spams par seconde. Les principaux gestionnaires de spam parlent d'environ 60 % d'e-mails indésirables contre 80-90 % à la fin des années 2010. Le ratio coût/bénéfice ne doit plus être assez intéressant pour les spammeurs par rapport aux autres techniques des cybercriminels.

## Inconvénients

Les inconvénients majeurs du spam sont :

* l'espace qu'il occupe dans les boîtes aux lettres des victimes ;

* la difficile consultation des messages personnels ou professionnels au sein de nombreux messages publicitaires et l'augmentation du risque de suppression erronée ou de non-lecture de messages importants ;

* la perte de temps occasionnée par le tri et la suppression des messages non sollicités ;
* le caractère violent ou dégradant des textes ou images véhiculés par ces messages, pouvant heurter la sensibilité des plus jeunes ;

* la bande passante qu'il gaspille sur le réseau des réseaux.

Le spam induit également des coûts de gestion supplémentaires pour les fournisseurs d'accès à Internet (FAI), se répercutant sur le coût de leurs abonnements. Ce surcoût est notamment lié à :

* la mise en place des systèmes antispam ;

* la sensibilisation des utilisateurs ;

* la formation du personnel ;

* la consommation de ressources supplémentaires (serveurs de filtrage, etc.).

## Parades

Les spammeurs utilisent généralement de fausses adresses d'envoi, il est donc totalement inutile de répondre. Qui plus est une réponse peut indiquer au spammeur que l'adresse est active et induire encore plus de spam.

De la même façon, lorsque vous recevez un spam (courrier non sollicité), il peut arriver qu'un lien en bas de page vous propose de ne plus recevoir ce type de message. Si tel est le cas il y a de grandes chances pour que le lien permette au spammeur d'identifier les adresses actives. Il est ainsi conseillé de supprimer le message sans tenter de se désabonner.

La plupart des clients de messagerie actuels permettent de ne pas télécharger les éléments d'un courrier rédigé en HTML. Ne désactivez pas cette fonctionnalité : en effet, si vous décidez de télécharger automatiquement le contenu externe de l'e-mail, vous indiquerez au spammeur que vous avez bien visualisé son spam et que votre adresse est active.

### ☐ Les antispam

Il existe également des dispositifs antispam permettant de repérer et, le cas échéant, de supprimer les messages indésirables sur la base de règles évoluées. On distingue généralement deux familles de logiciels antispam :

* Les dispositifs antispam côté client, situé au niveau du client de messagerie. Il s'agit généralement de systèmes possédant des filtres permettant d'identifier les messages indésiraibles, sur la base de règles prédéfinies, de liste d'adresse IP
d'envoi référencé comme spammeur, ou d'un apprentissage (filtres bayésiens). Des dispositifs d'authentification existent aussi pour lutter contre le spam (voir chapitre 6).

* Les dispositifs antispam côté serveur, permettant un filtrage du courrier avant remise aux destinataires. Ce type de dispositif est de loin le meilleur car il permet de stopper le courrier non sollicité en amont et éviter l'engorgement des réseaux et des boîtes aux lettres. Une solution intermédiaire consiste à configurer le dispositif antispam du serveur de façon à marquer les messages avec un champ d'en-tête spécifique (par exemple X-Spam-Status : Yes). Grâce à ce marquage, il est aisé de filtrer les messages au niveau du client de messagerie.

En cas d'encombrement ou de saturation totale de la boîte aux lettres, la solution ultime consiste à changer de boîte aux lettres. Il est toutefois conseillé de garder l'ancienne boîte aux lettres pendant un laps de temps suffisant afin de récupérer les adresses de vos contacts et d'être en mesure de communiquer la nouvelle adresse aux seules personnes légitimes.

Afin d'éviter le spam, il est nécessaire de divulguer son adresse électronique le moins possible et à ce titre :

* Ne pas relayer les messages (blagues, etc.) invitant l'utilisateur à transmettre le mail au maximum de contacts possibles ou en s'assurant de masquer les adresses des destinataires précédents. De telles listes sont effectivement des aubaines pour les collecteurs d'adresses.

* Éviter au maximum la publication de son adresse e-mail sur des forums ou des sites internet.

* Dans la mesure du possible remplacer son adresse e-mail par une image (moins détectable par les aspirateurs d'adresses).

* Créer une ou plusieurs « adresses poubelles » servant uniquement à s'inscrire ou s'identifier sur les sites jugés non dignes de confiance. Le comble du raffinement, lorsque vous en avez la possibilité, consiste à créer autant d'alias d'adres-

ses que d'inscription en veillant à y inscrire le nom de l'entreprise ou du site. Ainsi, en cas de réception d'un courrier non sollicité il sera aisé d'identifier d'où provient la fuite (qui a « vendu la mèche »).
### I.3.9 LES ROOTKITS

#### I.3.9.1 GENERALITES

Un *rootkit* (le nom « **outil de dissimulation d'activité** » est également utilisé¹, ainsi que « **maliciel furtif** »² et « **trousse administrateur pirate** »³), parfois simplement « **kit** », est un ensemble de techniques mises en œuvre par un ou plusieurs logiciels, dont le but est d'obtenir et de pérenniser un accès (généralement non autorisé) à un ordinateur de la manière la plus furtive possible⁴, C 1,L 1, à la différence d'autres logiciels malveillants. Le terme peut désigner la technique de dissimulation ou plus généralement un ensemble particulier d'objets informatiques mettant en œuvre cette technique.

Leur furtivité est assurée par plusieurs mécanismes de dissimulation (voir *infra*): effacement de traces, masquage de l'activité et des communications, etc. Un *rootkit* peut s'installer dans un autre logiciel, une bibliothèque ou dans le noyau d'un système d'exploitation. Certains peuvent modifier l'hyperviseur fonctionnant en dessous des systèmes ou le micrologiciel intégré dans un matériel. La plupart des *rootkits* servent à installer des logiciels malveillants sur les machines où l'accès est obtenu. Certains fournisseurs de matériels informatiques, tel Sony, les utilisent pour s'assurer du respect des conditions d'utilisation de leurs produits par leurs clients. Certains kits ne jouent pas sur la discrétion mais sur le fait qu'enlever le kit serait une opération ardueL².

Pour l'« attaquant », l'utilité d'un *rootkit* est soit de mettre à disposition des ressources système (temps processeur, connexions réseaux, etc.) sur une, voire plusieurs machines (voir *infra*), parfois en utilisant la « cible » comme intermédiaire pour une autre attaque ; soit d'espionner, d'accéder aux données stockées ou en transit sur la machine cibleL².

Ils sont généralement classés parmi les logiciels malveillants, mais pas toujoursL¹ ; ils peuvent utiliser des « techniques virales » pour se transmettre (par exemple, en utilisant un virus ou un cheval de Troie)⁵. Il existe des outils de détection et des méthodes de protection pour les contrer mais elles ne sont pas totalement efficaces.

#### I.3.9.2 Historique

En 1989 sont apparus des programmes manipulant les logs système (un log est un « journal des opérations », sorte de livre de bord où sont
enregistrées les informations concernant l'état et l'activité d'un
ordinateur) pour cacher leur présence. D'autres programmes permettaient
de se dissimuler en manipulant les outils servant à vérifier les
informations sur les utilisateurs, telles que les commandes who, w, ou
last⁶, et ainsi être invisibles pour les administrateurs des machines.

La mise au jour de rootkits passe par leur publication ou se fait grâce aux honeypots, des machines sciemment vulnérables utilisées par les professionnels de la sécurité pour analyser le mode opératoire d'un attaquant. Les résultats obtenus sont régulièrement évoqués lors de conférences sur la sécurité, comme la conférence Black Hat.

Certains *rootkits* peuvent être légitimes, pour permettre aux
administrateurs de reprendre le contrôle d'une machine défaillante, pour
suivre un ordinateur volé⁹, ou dans certains outils comme des émulateurs
de disque (DAEMON Tools, Alcohol 120%)¹⁰. Mais le terme a perdu ce
sens historique et évoque essentiellement des outils à finalité
malveillante.

I.3.9.3 Mode opératoire

I.3.9.3.1 Contamination

La première phase d'action d'un *rootkit* sert généralement à trouver un
hôte vulnérable par balayage d'un ensemble d'adresses IP ou grâce à une
base de données d'IP vulnérablesC 2.

L'étape suivante consiste à chercher à obtenir un accès au système, sans
forcément que celui-ci soit un accès privilégié (ou en mode
administrateur). Il existe trois manières de contaminer un système, en
suivant les techniques habituelles des programmes malveillants.

Il est possible de mettre en œuvre un exploit, c'est-à-dire profiter d'une
vulnérabilité de sécurité connue ou non, à n'importe quel niveau du
système (application, système d'exploitation, BIOS, etc.).

Cette mise en œuvre peut être le fait d'un virus, mais elle résulte aussi,
souvent, de botnets qui réalisent des scans de machines afin d'identifier
et d'exploiter les failles utiles à l'attaque.

Même s'il n'est pas un virus à proprement parler, un rootkit peut utiliser
des techniques virales pour se transmettre, notamment via un cheval de
Troie. Un virus peut avoir pour objet de répandre des rootkits sur les machines infectées. *A contrario*, un virus peut aussi utiliser les techniques utilisées par des rootkits pour parfaire sa dissimulation<sup>11</sup>.

Enfin, l'attaque par force brute permet d'accéder au système, en profitant de la faiblesse des mots de passe mis en œuvre par certains utilisateurs. À ces fins, il suffit de tester les mots de passe les plus courants.

Des outils, nommés « autorooters », réunissent ces opérations de scan et d'exploit en une seule opération, ce qui peut faciliter la tâche de script kiddies<sup>C 3</sup> en laissant toutefois bon nombre de traces sur le réseau.

### I.3.9.3.2 Modification du système et dissimulation

Une fois la contamination effectuée et l'accès obtenu, la phase suivante consiste à installer, au moyen de son script d'installation, les objets et outils nécessaires au rootkit<sup>C 2</sup> ; c'est-à-dire les objets (programmes, bibliothèques) permettant la mise en place de la charge utile du rootkit, s'ils n'ont pas pu être installés durant la phase de contamination, ainsi que les outils et les modifications nécessaires à la dissimulation<sup>L 3</sup>.

L'opération consiste en l'ouverture de portes dérobées, afin de permettre le contrôle des machines (pc, serveurs, etc.), et, d'y installer la charge utile. Le tout, afin de pérenniser l'accès au système<sup>4,12</sup> , ceci constitue une technique très fréquemment usitée.

#### Dissimulation

Le rootkit cherche à dissimuler son activité pour minimiser le risque qu'on le découvre, afin de profiter le plus longtemps possible de l'accès frauduleux, mais aussi pour rendre sa désinstallation difficile<sup>L 2</sup>. Il va notamment dissimuler ses propres fichiers, les autres fichiers utilisés par l'attaquant, les processus qu'il exécute et les connexions qu'il va ouvrir<sup>C 4</sup>. Cette faculté de dissimulation le différencie des virus, qui cherchent principalement à se répandre, bien que ces deux fonctions soient parfois jumelées pour une efficacité supérieure. Plusieurs méthodes de dissimulation peuvent être combinées.

La dissimulation de processus informatiques ou de fichiers permet de cacher l'activité du rootkit. Sous Windows, cela peut être réalisé en modifiant certaines clés de la base de registre ; sous systèmes Unix l'attaquant peut remplacer la commande `ls` pour qu'elle n'affiche pas
certains dossiers<sup>C 5</sup>. Une fois en place, le rootkit peut supprimer ses propres fichiers d'installation pour éviter qu'il ne soit reconnu par une recherche de fichiers<sup>C 2</sup>.

Certains objets exécutables ou certaines bibliothèques sont remplacés par des programmes malveillants contrôlables à distance (chevaux de Troie), tout en conservant leur horodatage<sup>C 5</sup>. Il est également possible de détourner certains appels aux tables de travail utilisées par le système<sup>L 4</sup> par hooking, de manière à ce que des programmes d'apparence légitime exécutent les fonctions voulues par l'attaquant.

L'obtention des droits supérieurs par élévation des privilèges est également fréquemment rencontrée : cela permet notamment de désactiver les mécanismes de défense (comme un anti-virus) ou d'agir sur des objets de haut niveau de privilèges (pilotes de périphériques, noyau du système, etc.) Un rootkit va ainsi pouvoir écouter les transactions sur le réseau pour trouver des mots de passe non chiffrés (comme des connexions ftp) ou détourner une connexion ssh en interceptant l'appel système où le mot de passe n'est pas encore chiffré<sup>C 6</sup>.

Le rootkit tente de ne pas apparaître dans les fichiers log<sup>C 4</sup>. Pour cela, il efface certaines entrées des logs ou, de manière beaucoup plus sophistiquée, utilisera des techniques de type « *Stealth by Design* » (« furtif par conception »)<sup>13</sup>, à savoir implémenter à l'intérieur du rootkit des fonctions système afin de ne pas avoir à appeler les fonctions standards du système d'exploitation et ainsi éviter l'enregistrement d'événements système suspects<sup>C 4</sup>. Il peut ainsi désactiver certains daemons et l'historique des shells<sup>C 2</sup>.

Enfin, certains rootkits peuvent se charger intégralement en mémoire, ne laissant ainsi aucune trace sur les périphériques de stockage de la machine<sup>L 5</sup>.

En revanche, certaines activités ne pourront pas facilement être camouflées, notamment ce qui concerne la charge utile qui engendre de la charge réseau ou processeur (voir *infra*); l'effort de dissimulation se portera alors sur les communications entre le rootkit et l'attaquant pour protéger et maintenir l'accès frauduleux.
## Maintien de l'accès

Un rootkit doit pouvoir être manipulé à distance par un attaquant. Celui-ci cherche donc souvent à maintenir un shell (ou « interpréteur de commandes ») disponible idéalement à n'importe quel moment (ou au moins durant l'installation du rootkit), en remplaçant des commandes comme ping ou xterm. Généralement, l'attaquant installe plusieurs de ces portes dérobées au cas où l'une viendrait à être découverte et supprimée.

L'accès distant au kit peut se faire par l'intermédiaire d'une connexion TCP, comme telnet ou ssh (qui peut être renversée, c'est-à-dire que c'est la machine infectée qui va chercher à rentrer en contact avec l'attaquant), UDP ou ICMP. Il existe aussi des méthodes plus complexes mais plus discrètes : port knocking, faux paquet TCP contenant une commande cachée, se faire passer pour une autre machine<sup>C 7</sup>, canaux cachés, etc. Au besoin, les scripts de démarrage seront modifiés pour que les services nécessaires au rootkit soient disponibles après chaque redémarrage de la machine<sup>C 2</sup>.

Pour que l'accès à la machine ne soit pas détourné par un autre attaquant, celui-ci peut corriger les failles du système infecté : celles qui lui ont permis de rentrer, voire l'ensemble des failles connues.

## Mise en place de la charge utile

<figure><img src="image_8.png" /></figure>

Un botnet permet d'avoir un accès sur des centaines de machines.

La charge utile est la partie active du rootkit (et de tout programme malveillant en général), dont le rôle est d'accomplir la (ou les) tâche(s) assignée(s).

Cette charge utile permet d'avoir accès aux ressources de la machine infectée<sup>L 2</sup>, et notamment le processeur, pour décrypter des mots de passe, pour effectuer des calculs distribués à des fins malveillantes ou pour mettre en œuvre (ou détourner l'usage légitime) des applications
comme un serveur de messagerie afin d'envoyer des mails (pourriel ou spam) en quantité. Les ressources réseaux intéressent également les attaquants, la machine pouvant alors servir de base pour d'autres attaques (DDoS¹⁴, exploits) ou pour inspecter, sniffer l'activité réseau.

La machine infectée peut aussi devenir le point de départ pour d'autres attaques, sur internet, ou sur l'intranet, comme un déni de serviceC 6. La prise de contrôle de la machine offre la possibilité de constituer un réseau de type botnet (la machine infectée devenant alors une machine zombie, comme dans le cas du botnet Srizbi¹⁵), ou d'accéder à d'autres machines, par rebond.

### I.3.9.3.3 Niveau de privilège

Bien que le terme ait souvent désigné des outils ayant la faculté d'obtenir un niveau de privilège de type administrateur (utilisateur root) sur les systèmes Unix, un rootkit ne cherche pas obligatoirement à obtenir un tel accès sur une machine et ne nécessite pas non plus d'accès administrateur pour s'installer, fonctionner et se dissimuler¹⁶. Le programme malveillant « Haxdoor »¹⁷, même s'il employait des techniques de type noyau¹⁸ pour parfaire sa dissimulation, écoutait les communications sous Windows en mode utilisateur¹⁹ : en interceptant les API de haut niveau, il recueillait des données confidentielles avant leur chiffrement.

Cependant, l'élévation de privilège est souvent nécessaire pour que le camouflage soit efficace : le rootkit peut utiliser certains exploits afin de parfaire sa dissimulation en opérant à un niveau de privilège très élevé, pour atteindre des bibliothèques du système, des éléments du noyau, pour désactiver les défenses du systèmeL 4, etc.

### I.3.9.4 Types

Un rootkit peut intervenir à un ou plusieurs niveaux du système parmi les cinq suivants : micrologiciel, hyperviseur, noyau, bibliothèque ou applicatifC 8.

#### Niveau micrologiciel/matériel

Il est possible d'installer des rootkits directement au niveau du micrologiciel (ou firmware). De nombreux produits proposent désormais des mémoires flash qui peuvent être utilisées pour injecter durablement
du code²⁰ en détournant par exemple l'usage d'un module de persistance souvent implanté dans le BIOS de certains systèmes.

Un outil légitime utilise cette technique : LoJack, d'Absolute Software⁹, qui permet de suivre un ordinateur à l'insu de l'utilisateur pour retrouver un ordinateur portable en cas de vol. Ce code reste en place après un formatage du disque dur, voire après un flashage du BIOS²¹ si le module de persistance est présent et actif. Tout périphérique disposant d'un tel type de mémoire est donc potentiellement vulnérable.

Une piste évoquée pour contrer ce genre de rootkit serait d'interdire l'écriture du BIOS, grâce à un cavalier sur la carte mère ou par l'emploi d'un mot de passe, ou d'utiliser des EFI à la place du BIOS²², mais cette méthode reste à tester et à confirmer²³.

## Niveau hyperviseur

Ce type de rootkit se comporte comme un hyperviseur natif, après s'être installé et avoir modifié la séquence de démarrage, pour être lancé en tant qu'hyperviseur à l'initialisation de la machine infectée. Le système d'exploitation original devient alors un hôte (invité) du rootkit, lequel peut intercepter tout appel au matériel. Il devient quasiment impossible à détecter depuis le système original.

Une étude conjointe de chercheurs de l'université du Michigan et de Microsoft a démontré la possibilité d'un tel type de rootkit, qu'ils ont baptisé « *virtual-machine based rootkit* » (VMBR)²⁵. Ils ont pu l'installer sur un système Windows XP et sur un système Linux. Les parades proposées sont la sécurisation du boot, le démarrage à partir d'un média vérifié et contrôlé (réseau, CD-ROM, clé USB, etc.) ou l'emploi d'un moniteur de machine virtuelle sécurisé.

Blue Pill est un autre exemple de rootkit utilisant cette technique. En mai 2010, Zhi Wang et Xuxian Jiang, deux chercheurs de l'Université de Caroline du Nord, publient « *HyperSafe* »²⁶, un outil permettant de sécuriser BitVisor et Xen — mais portable sur les hyperviseurs de type 1 — contre entre autres *Blue Pill*²⁷ : le principe est d'empêcher l'injection et l'exécution arbitraire de code par overflow (*non-bypassable memory lockdown*) et de protéger les pointeurs de fonction pour empêcher les attaques par hooking.
## Niveau noyau

Certains rootkits s'implantent dans les couches du noyau du système d'exploitation : soit dans le noyau lui-même, soit dans des objets exécutés avec un niveau de privilèges équivalent à celui du noyau.

Les rootkits noyau sont dangereux à la fois parce qu'ils ont acquis des privilèges élevés (il est alors plus facile de leurrer tout logiciel de protection), mais aussi par les instabilités qu'ils peuvent causer sur le système infecté comme cela a été le cas lors de la correction de la vulnérabilité MS10-015³¹, où des écrans bleus sont apparus en raison d'un conflit entre le fonctionnement du rootkit *Alureon* et la correction de cette vulnérabilité³².

## Niveau bibliothèque

À ce niveau, le rootkit détourne l'utilisation de bibliothèques légitimes du système d'exploitation.

Plusieurs techniques peuvent être utilisées. On peut patcher une bibliothèque, c'est-à-dire lui ajouter du code. On peut aussi détourner l'appel d'un objet – par hooking, (voir *infra*) –, ce qui revient à appeler une « autre fonction » puis à revenir à la fonction initiale, pour que le détournement soit transparent du point de vue fonctionnel. Enfin, on peut remplacer des appels système par du code malveillant.

Ce type de rootkit est assez fréquent, mais il est aussi le plus facile à contrer, notamment par un contrôle d'intégrité des fichiers essentiels, en surveillant leur empreinte grâce à une fonction de hachage ; par une détection de signature du programme malveillant ; ou par exemple, par un examen des *hooks* au moyen d'outils comme *unhide* sous GNU/Linux ou *HijackThis* sous Windows.

Un exemple connu de ce type de kit est *T0rn 8* : il charge sa propre bibliothèque (*libproc.a*) qui va remplacer la bibliothèque standard faisant l'intermédiaire entre les informations système – /proc – et l'espace utilisateur. Ainsi, le kit peut filtrer les informations qui transitent et retirer tout ce qui pourrait révéler la présence du kit, sans toucher aux exécutables systèmes (ps, ls, etc.)$^{C 10}$
## Niveau applicatif

Un rootkit applicatif implante des programmes malveillants de type cheval de Troie, au niveau utilisateur. Ces programmes prennent la place de programmes légitimes – usurpation d'identité – ou en modifient le comportement, afin de prendre le contrôle des ressources accessibles par ces programmes.

Par exemple, une application de traitement de texte peut être remplacée par une version malicieuse et donner accès aux fonctions permettant de lire et d'écrire un fichier dans une partie de l'arborescence. Plus grave, des applications comme ls, ps, grep peuvent être remplacées<sup>C 5</sup>.

Cette méthode n'est pas efficace si ces programmes sont régulièrement recompilés à partir des sources<sup>L 6</sup>.

## I.3.9.5 Exemples

### Exploitation de la vulnérabilité de LPRng

Le CERTA (Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques de l'État français) a publié, dans une note d'information, l'analyse d'une attaque ayant permis d'installer un rootkit (non identifié, mais dont les caractéristiques semblent correspondre au rootkit « Rk »<sup>C 11</sup>), n'utilisant à l'origine qu'une seule faille, laquelle concernait le module d'impression LPRng présents dans certains systèmes Linux (faille répertoriée CERTA-2000-AVI-087<sup>44</sup>). Cette faille, qui aurait pu être corrigée soit par la mise à jour du système, soit par le blocage d'un port spécifique grâce à un pare-feu<sup>45</sup>, permettait l'exécution à distance de code arbitraire.

Cette attaque a été menée en moins de deux minutes. L'attaquant a identifié la vulnérabilité, puis envoyé une requête spécialement formée sur le port 515 (qui était le port exposé de cette vulnérabilité) pour permettre l'exécution d'un code arbitraire à distance. Ce code, nommé « SEClpd », a permis d'ouvrir un port en écoute (tcp/3879) sur lequel le pirate est venu se connecter pour déposer une archive (nommée rk.tgz, qui contenait un rootkit) avant de la décompresser et de lancer le script d'installation.

Ce script a fermé certains services, installé des chevaux de Troie, caché des processus, envoyé un fichier contenant les mots de passe du système
par mail, et il a même été jusqu'à corriger la faille qui a été exploitée, afin qu'un autre pirate ne vienne pas prendre le contrôle de la machine.

### TDL-4

TDL-4 est un trojan, qui installe un rootkit pour construire un botnet. Le rootkit s'installe sur le MBR du disque dur ce qui le rend difficile à détecter et à déloger. De plus, il utilise un système de cryptage complexe et un réseau pair-à-pair public (Kad) pour recevoir ses commandes. Il a la particularité de pouvoir désactiver les infections présentes sur la même machine pour ne pas être découvert par inadvertance, et d'installer ses propres outils de DDoS, de spamming... Selon Kaspersky Lab, il y aurait 4,5 millions de machines infectées (fin juin 2011)⁴⁸.

## 1.3.9.6 Prévention

### Moyens de détection

La mise en œuvre d'une détection peut, selon le type de rootkit, demander un examen du système ou d'un périphérique suspect en mode « inactif » (démarrage à partir d'un système de secours ou d'un système réputé sain). Plusieurs méthodes existent.

La recherche d'objets cachés (tels que des processus informatiques, des clés de registre, des fichiers, etc.) est essentielle. Des outils comme unhide sous Linux peuvent révéler les processus cachés. Sous Windows, des outils comme RootkitRevealer recherchent les fichiers cachés en listant les fichiers via l'API normale de Windows puis en comparant cette liste à une lecture physique du disque ; les différences entre les deux sont alors repérées comme suspectes, à l'exception des fichiers légitimes connus de Windows, tels que les fichiers de métadonnées de NTFS comme $MFT ou $Secure⁴⁹.

Le calcul régulier des empreintes de fichiers sensibles permet de détecter une modification inattendue.

Le contrôle de l'intégrité des fichiers consiste à calculer, pour chaque fichier sensible (bibliothèque, commande système, etc.), une empreinte¹³. Toute modification inattendue de cette empreinte indique une modification du fichier, et donc une contamination potentielle. Cependant, tout système subit des modifications légitimes lors des mises à jour ;
idéalement, l'outil de contrôle a la possibilité d'accéder à une base de référence de ces sommes de contrôles, selon la version du système utilisée (rkhunter par exemple).

La détection de signatures spécifiques est le procédé classique d'analyse de signature, comme cela se fait pour les virus : on cherche à retrouver dans le système la trace d'une infection, soit directement (signature des objets du rootkit), soit par le vecteur d'infection (virus utilisé par le rootkit)¹³.

L'analyse des appels systèmes, des tables d'interruption⁵⁰,⁵¹, et de manière générale, des tables de travail utilisées par le système, au moyen d'outils spécifiques (des logiciels anti-espion comme HijackThis), permet de voir si ces appels ont été détournés ou non, par exemple en comparant ce qui est chargé en mémoire avec les données brutes de bas niveau (ce qui est écrit sur le disque).

Le hooking consiste à détourner un appel de fonction légitime par un autre qui contient du code malveillant.

On peut aussi s'intéresser à la charge du système. Du point de vue du processeur et de l'activité applicative, une surveillance continue peut mettre en évidence une surcharge, à partir du moment de la contamination. Il s'agit essentiellement d'une analyse de la charge habituelle de la machine, comme le nombre de mails sortants ou l'occupation du processeur. Toute modification (en surcharge) sans cause apparente est suspecte, mais elle nécessite une analyse complémentaire pour écarter les causes légitimes (mise à jour du système, installation de logiciels, etc.)

De la même manière, l'analyse des flux réseau⁵² permet de détecter une surcharge anormale. Mais il convient également de surveiller une utilisation de ports logiciels habituels grâce aux traces issues d'un pare-feu ou grâce à un outil spécialisé. Il est également possible de faire une recherche des ports ouverts et cachés, en comparant ce que connaît le système avec ce qui est effectivement ouvert, grâce à des outils d'investigation comme unhide-tcp. Toute différence peut être considérée comme anormale. Il existe cependant des moyens de dissimulation réseau, comme de la stéganographie ou l'utilisation de canaux cachés, qui rend la détection directe impossible, et nécessite une analyse statistique qui n'est pas forcément déterminante⁵³.
L'analyse automatisée des logs système⁵⁴ s'appuie sur le principe de corrélation, avec des outils de type HIDS qui disposent de règles paramétrables⁵⁵ pour repérer les événements anormaux et mettre en relation des événements systèmes distincts, sans rapport apparent ou épars dans le temps.

Le site du Cert-IST propose régulièrement des informations sur les rootkits et les logiciels malicieux en général⁵⁶.

## Moyens de protection et de prévention

Les moyens de détection peuvent également servir à la prévention, même si celle-ci sera toujours postérieure à la contamination. D'autres mesures en amont peuvent rendre difficile l'installation d'un rootkit⁵⁷.

La correction des failles par mise à jour du système d'exploitation permet de réduire la surface d'exposition du système en limitant le temps pendant lequel une faille est présente sur le système⁵⁸ et dans les applications⁵⁴, afin de prévenir les exploits pouvant être utilisés pour la contamination.

L'utilisation d'un pare-feu, qui fait partie des bonnes pratiques dans le domaine de la sécurité informatique, se révèle efficace dans le cas des rootkits⁵¹,⁵⁴,⁵⁸ car cela empêche les communications inattendues (téléchargements de logiciel, dialogue avec un centre de contrôle et de commande d'un botnet, etc.) dont ont besoin les rootkits.

Il est possible de désactiver le système de chargement de modules en rendant le noyau statique, ce qui protège contre les rootkits qui s'installent en chargeant un module ; certains rootkits arrivent cependant à contourner cela en reconnaissant l'empreinte du module directement dans la mémoire⁹.

De même, pour renforcer la robustesse des bibliothèques et empêcher le hooking, il est possible de compiler statiquement les bibliothèques¹⁰.

La complexité d'un mot de passe augmente exponentiellement lorsque sa taille et le nombre de caractères différents qu'il utilise augmentent. Un mot de passe complexe sera plus long à deviner dans une attaque par force brute.

Des systèmes de prévention d'intrusion⁵⁴, sous forme de logiciel ou de matériel, répondent dès qu'une intrusion est détectée, en bloquant des
ports ou en interdisant la communication avec une source (adresse IP) douteuse, ou toute autre action appropriée. La détection sera d'autant meilleure que l'outil utilisé sera externe au système examiné, puisque certains rootkits peuvent atteindre des parties de très bas niveau dans le système, jusqu'au BIOS. Un des avantages de ces outils est l'automatisation des tâches de surveillance¹³.

Des outils spécialisés de contrôle d'intégrité des fichiers peuvent produire des alertes lors de modifications inattendues. Cependant, ce contrôle à lui seul est insuffisant si d'autres mesures préventives ne sont pas mises en œuvre, si aucune réponse du système n'est déclenchée ou si ces différences ne sont pas analysées.

Le renforcement de la robustesse des mots de passe est une autre des bonnes pratiques de sécurité informatique qui élimine une des sources principales de contamination. Des éléments d'authentification triviaux sont des portes ouvertes pour tout type d'attaque informatique.

Le démarrage du système à partir d'une image saine, contrôlée et réputée valide du système d'exploitation, via un support fixe (comme un LiveCD, une clé USB) ou par réseau, permet de s'assurer que les éléments logiciels principaux du système ne sont pas compromis, puisqu'à chaque redémarrage de la machine concernée, une version valide de ces objets est chargée. Un système corrompu serait donc remis en état au redémarrage (sauf dans le cas de rootkit ayant infecté un plus bas niveau, comme le BIOS).

Les moyens de protection habituels sont également valables contre les rootkits : « Do everything so that attacker doesn't get into your system »⁵³. Durcissement du système⁵¹, filtrages applicatifs (type modsecurity), utilisation de programmes antivirus⁵¹,⁵⁸ pour minimiser la surface d'attaque et surveiller en permanence les anomalies et tentatives de contamination, sont bien sûr à mettre en œuvre pour éviter la contamination du système et l'exposition aux exploits.

## Outils et logiciels de détection

À part quelques cas particuliers, l'industrie de la sécurité informatique a tardé à prendre en compte les rootkits, les virus puis les chevaux de Troie accaparant l'attention des éditeurs. Il existe cependant quelques logiciels de détection et de prévention spécifiques à Windows, tels que Sophos Anti-Rootkit ou AVG Anti-Rootkit. Sous Linux, on peut citer rkhunter et
chkrootkit ; plusieurs projets open-source existent sur Freshmeat et Sourceforge.net.

Aujourd'hui, il reste difficile de trouver des outils spécifiques de lutte
contre les rootkits, mais leur détection et leur prévention sont de plus en
plus intégrées dans les systèmes de prévention d'intrusion et même dans
les antivirus classiques, lesquels sont de plus en plus obligés de se
transformer en suites de sécurité pour faire face à la diversité des
menaces ; ils proposent en effet de plus en plus souvent des protections
contre les rootkits.

# I.4 LES LOGICIELS ANTI-PROGRAMMES MALVEILLANTS (Logiciels de sécurité informatique)

I.4.1 LISTE DE LOGICIELS DE SECURITE INFORMATIQUE

I.4.1.1. Lutte contre les rootkits

Programmes de détection, d'analyse et de prévention de rootkits
spécifiques à Windows

* Sophos Anti-rootkit [archive]

* RkU (rootkit unhooker)

* IceSword

* RootkitRevealer de Sysinternals (en), Microsoft¹

* Blacklight de F-Secure

* Rootkit Hook Analyzer [réf. souhaitée]

* RootAnalyser (Safer Networking)

* HijackThis

* GMER (en)

* DarkSpy

* Trend Micro Rootkit Buster²

Programmes de détection et de prévention de rootkits spécifiques à Linux

* chkrootkit de Nelson Murilo et Klaus Steding-Jessen (UNIX/Linux)

* rkhunter de Michael Boelen (UNIX/Linux)

* Zeppoo de ZeppooTeam (UNIX/Linux), renommé kernsh le 15 mai 2007, ce projet est maintenant intégré dans le framework ERESI (18 septembre 2007).

* unhide
### I.4.1.2 Outils anti-malware

* Ad-Aware

* AdwCleaner

* Malwarebytes Anti-Exploit

* Malwarebytes Anti-Malware

* Spybot S&D (Safer Networking)

* SpywareBlaster

* SpywareGuard

* Windows Defender

### I.4.1.3 Filtres applicatifs

* Modsecurity

### I.4.1.4 Recherche de vulnérabilités

* Nikto Web Scanner (en)

* Nessus

* Nmap

* LanGuard de GFI Software (en)³

* Elastic Detector [archive]

### I.4.1.5 Pare-feux

### I.4.1.6 Outils de type suite de sécurité

Il s'agit d'outils ayant plusieurs fonctionnalités de protection, contre les virus mais aussi souvent contre les rootkits, contre les comportements anormaux (par analyse des événements sur le système), etc.

* ThreatFire

* Prevx

### I.4.1.7 Anti-virus

Il est également utile de savoir que des outils dits *anti-virus* complètent leurs mécanismes de protection avec la détection de rootkits, le filtrage de courrier, la protection des informations personnelles, les logiciels espions (ou spywares), etc (cf p Liste de logiciels antivirus).
## I.4.2 LOGICIELS ANTI-VIRUS

### I.4.2.1 NOTIONS LOGICIELS ANTI-VIRUS

Les **antivirus** sont des logiciels conçus pour identifier, neutraliser et éliminer des logiciels malveillants (dont les virus informatique¹ ne sont qu'une catégorie).

Ces derniers peuvent se baser sur l'exploitation de failles de sécurité, mais il peut également s'agir de logiciels modifiant ou supprimant des fichiers, que ce soit des documents de l'utilisateur stockés sur l'ordinateur infecté, ou des fichiers nécessaires au bon fonctionnement de l'ordinateur (le plus souvent ceux du système d'exploitation).

## Fonctionnement

Un logiciel antivirus vérifie les fichiers et courriers électroniques, les secteurs de démarrage (afin de détecter les virus de boot), mais aussi la mémoire vive de l'ordinateur, les médias amovibles (clefs USB, CD, DVD, etc.), les données qui transitent sur les éventuels réseaux (dont internet), etc.

Différentes méthodes sont possibles :

* Les principaux antivirus du marché se concentrent sur des fichiers et comparent alors la signature virale du virus aux codes à vérifier ;

* La **méthode heuristique** est la méthode la plus puissante, tendant à découvrir un code malveillant par son comportement. Elle essaie de le détecter en analysant le code d'un programme inconnu. Parfois de fausses alertes peuvent être provoquées ;

* L'**analyse de forme** repose sur du filtrage basé entre des règles regexp ou autres, mises dans un fichier junk. Cette dernière méthode peut être très efficace pour les serveurs de messagerie électronique supportant les regexp type postfix puisqu'elle ne repose pas sur un fichier de signatures.

Les antivirus peuvent balayer le contenu d'un disque dur, mais également la mémoire vive de l'ordinateur. Pour les antivirus les plus modernes, ils agissent en amont de la machine en scrutant les échanges de fichiers avec l'extérieur, aussi bien en flux descendant (téléchargement) que montant (téléversement ou upload). Ainsi, les courriels sont examinés, mais aussi les fichiers copiés sur ou à partir de supports amovibles tels que cédéroms, disquettes, connexions réseau, clefs USB...

## Approches
On distingue plusieurs types de logiciels antivirus selon leur fonctionnement. La première méthode est celle du dictionnaire.

## Dictionnaire

Les créateurs de logiciels antivirus ayant préalablement identifié et enregistré des informations sur des virus, comme le ferait un dictionnaire, le logiciel antivirus peut ainsi détecter et localiser la présence d'un virus.

On appelle ce dictionnaire la base de définition virale qui contient les signatures de virus.

Lorsque cela se produit, l'antivirus dispose de trois options, il peut :

1. Effectuer la suppression du fichier contaminé.

2. Tenter de réparer le fichier endommagé en éliminant le virus ;

3. Déplacer le fichier dans une zone de quarantaine afin qu'il ne puisse être accessible aux autres utilisateurs et logiciels. Ceci permet d'éviter que le virus se répande (par autoréplication), et permet éventuellement de réparer le fichier ultérieurement ;

Afin de maximiser le rendement de l'antivirus, il est essentiel d'effectuer de fréquentes mises à jour en téléchargeant des versions plus récentes. Des internautes consciencieux et possédant de bonnes connaissances en informatique peuvent identifier eux-mêmes des virus et envoyer leurs informations aux créateurs de logiciels antivirus afin que leur base de données soit mise à jour.

Généralement, les antivirus examinent chaque fichier lorsqu'il est créé, ouvert, fermé ou lu. De cette manière, les virus peuvent être identifiés immédiatement. Il est possible de programmer le système d'administration pour qu'il effectue régulièrement un examen de l'ensemble des fichiers sur l'espace de stockage (disque dur, etc).

Même si les logiciels antivirus sont très performants et régulièrement mis à jour, les créateurs de virus font tout aussi souvent preuve d'inventivité. En particulier, les virus « oligomorphiques », « polymorphiques » et plus récemment, « métamorphiques », sont plus difficiles à détecter.

Une autre technique pour contourner ces définitions virales consiste à utiliser des packers/crypters, le fichier malicieux est chiffré et compressé et déchiffré et décompressé lors de son exécution, un peu à la manière des fichiers zip auto-extractible. Le fait que le fichier est chiffré empêche
une détection par signature et permet de démultiplier les fichiers malicieux à partir d'une base unique en changeant de packers/cryptopters.

## Liste blanche

La « liste blanche » est une technique de plus en plus utilisée pour lutter contre les logiciels malveillants. Au lieu de rechercher les logiciels connus comme malveillants, on empêche l'exécution de tout logiciel à l'exception de ceux qui sont considérés comme fiables par l'administrateur système. En adoptant cette méthode de blocage par défaut, on évite les problèmes inhérents à la mise à jour du fichier de signatures virales. De plus, elle permet d'empêcher l'exécution de logiciels indésirables. Étant donné que les entreprises modernes possèdent de nombreuses applications considérées comme fiables, l'efficacité de cette technique dépend de la capacité de l'administrateur à établir et mettre à jour la liste blanche. Cette tâche peut être facilitée par l'utilisation d'outils d'automatisation des processus d'inventaire et de maintenance.

## Comportements suspects

Une autre approche pour localiser les virus consiste à détecter les comportements suspects des programmes. Par exemple, si un programme tente d'écrire des données sur un programme exécuté, modifier/supprimer des fichiers système l'antivirus détectera ce comportement suspect et en avisera l'utilisateur qui choisira les mesures à suivre.

Contrairement à l'approche précédente, la méthode du comportement suspect permet d'identifier des virus très récents qui ne seraient pas encore connus dans le dictionnaire de l'antivirus. Toutefois, le fait que les utilisateurs soient constamment avertis de fausses alertes peuvent les rendre insensibles aux véritables menaces. Si les utilisateurs répondent « Accepter » à toutes ces alertes, l'antivirus ne leur procurera aucune protection supplémentaire. Ce problème s'est aggravé depuis 1997, puisque plusieurs programmes inoffensifs ont modifié certains fichiers exécutables sans observer ces fausses alertes. C'est pourquoi, les antivirus les plus modernes utilisent de moins en moins cette méthode. L'intelligence artificielle des nouveaux antivirus leur permet de choisir la décision à prendre sans en avertir l'utilisateur, ce qui permet d'utiliser à nouveau cette méthode. De plus les filtres se sont considérablement améliorés et les faux positifs sont moins nombreux.
## Autres approches

L'analyse heuristique est utilisée par quelques antivirus. Par exemple, l'antivirus peut analyser le début de chaque code de toutes les nouvelles applications avant de transférer le contrôle à l'usager. Si le programme semble être un virus, alors l'usager en sera averti. Toutefois, cette méthode peut également mener à de fausses alertes. La méthode heuristique permet de détecter des variantes de virus et, en communiquant automatiquement les résultats de l'analyse à l'éditeur, celui-ci peut en vérifier la justesse et mettre à jour sa base de définitions virales.

La méthode du bac à sable (sandbox en anglais) consiste à émuler le système d'exploitation et à exécuter le fichier lors de cette simulation. Une fois que le programme prend fin, les logiciels analysent le résultat du bac à sable afin de détecter les changements qui pourraient contenir des virus. En raison des problèmes de performance, ce type de détection a lieu habituellement pendant le balayage sur demande. Cette méthode peut échouer puisque les virus peuvent s'avérer non déterministes et résulter de différentes actions ou même peut-être d'aucune action lorsque exécuté. Il est impossible de le détecter à partir d'une seule exécution.

Les packers[à définir] posent des problèmes d'efficacité aux détections par signature. Une autre limite était le temps assez long entre le moment où l'éditeur mettait à jour ses définitions virales, la disponibilité en ligne et la mise à jour des clients antivirus. Temps pendant lequel les utilisateurs pouvaient être vulnérables.

Pour pallier cela, les éditeurs utilisent des "Antivirus Cloud", où des bases de données gigantesques sont disponibles en ligne, permettant de recouper certaines données. En outre, ces bases de données sont utilisées en temps réel par les antivirus et permettent donc de supprimer le laps de temps entre la mise en ligne et le téléchargement des définitions virales.

Enfin, cela permet aussi d'alléger les clients antivirus où les bases locales étaient de plus en plus volumineuses face à la multiplication des menaces et l'utilisation des packers/crypters[à définir].

### I.4.2.2 LISTE DES LOGICIELS ANTI-VIRUS
<figure><img src="image_9.png" /></figure>

Logo symbolisant les antivirus.

Les **antivirus** sont des logiciels conçus pour identifier, neutraliser et éliminer des logiciels malveillants (dont les virus informatique¹ ne sont qu'une catégorie).

Ces derniers peuvent se baser sur l'exploitation de failles de sécurité, mais il peut également s'agir de logiciels modifiant ou supprimant des fichiers, que ce soit des documents de l'utilisateur stockés sur l'ordinateur infecté, ou des fichiers nécessaires au bon fonctionnement de l'ordinateur (le plus souvent ceux du système d'exploitation).

Les sociétés et logiciels anti-virus ci-dessous sont classés par ordre alphabétique.

## LISTE DES LOGICIEL ANTIVIRUS

<table><tr><td>Principales</td><td>Agnitum (en) · Avast Software · AVG Technologies · Avira · Bitdefender · Comodo (en) · Dr. Web (en) · ESET · F-Secure · Kaspersky · Intel Security (en) · Microsoft · Panda · Qihoo 360 · Sophos · Symantec · Trend Micro</td></tr><tr><td>Compagnies</td><td>AhnLab (en) · Cisco · Check Point · ClamWin · Fortinet · FRISK (en) · G Data Software · iolo (en) · Intego · Kingsoft (en) · Lavasoft · Malwarebytes · Quick Heal (en) · TrustPort (en) · VirusBlokAda · Webroot (en) · Zemana (en) · Zone Alarm</td></tr><tr><td>Produits</td><td>AhnLab V3 Internet Security (en) · Avast Antivirus · AVG · Avira Internet Security · Bitdefender · ClamWin · ClamAV · Comodo Antivirus (en) · Comodo Internet Security · Dr. Web (en) · NOD32 · F-Secure · F-PROT (en) · Fortinet · G Data Software · Advanced SystemCare (en) · iolo System Shield (en) · Kaspersky Anti-Virus · Kaspersky Internet Security · KingSoft · Mac Internet</td></tr></table>
Security · Malwarebytes' Anti-Malware · McAfee VirusScan · Microsoft Security Essentials · Windows Defender · Panda · 360 Safeguard (en) · Outpost Security Suite (en) · Sophos · Symantec Endpoint Protection (en) · Immunet (en) · Element Anti-Virus (en) · Norton AntiVirus · Norton Internet Security · Spyware Doctor · VirusBarrier · Trend Micro Internet Security (en) · TrustPort (en) · Vba32 AntiVirus (en) · Zone Alarm

AhnLab Mobile Security (en) · Avast Antivirus · AVG AntiVirus (en) · Avira Free Android Security · Bitdefender Mobile Security · CM Security · Comodo Mobile, Mobile Security (en) · Dr. Web Mobile Security Suite (en) · ESET Mobile tablette Security · F-Secure Mobile Security · G Data MobileSecurity · Lookout Mobile Security (en) · McAfee Mobile Security · FireAMP Mobile · Trend Micro Mobile Security · TrustPort Mobile Security (en) · VirusBarrier

### I.4.2.3 TABLEAU COMPARATIF DES LOGICIELS ANTI-VIRUS

<table><thead><tr><th>Logiciel</th><th>Windows</th><th>Mac OS X</th><th>GNU/Linux</th><th>FreeBSD</th><th>Unix</th><th>Licence</th><th>Scan sur demande</th><th>Protection en temps réel</th><th>Scan d'amorça ge</th></tr></thead><tbody><tr><td>Ad-Aware</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>AOL Active Virus Shield</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Avast! Home Edition</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Nagware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Avast! Professional Edition</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Avetix Antivirus Free (plus actif depuis 2015)</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Avetix Antivirus Pro</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>AVG Anti-Virus</td><td>Oui</td><td>Non</td><td>Oui</td><td>Oui</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>AVG Anti-Virus Free</td><td>Oui</td><td>Non</td><td>Oui</td><td>Non</td><td>Non</td><td>Nagware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Avira AntiVir Personal - Free Antivirus</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Nagware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Avira AntiVir Premium</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>BitDefender</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr></tbody></table>
<table><thead><tr><th>Logiciel</th><th>Windows</th><th>Mac OS X</th><th>GNU/Linux</th><th>FreeBSD</th><th>Unix</th><th>Licence</th><th>Scan sur demande</th><th>Protection en temps réel</th><th>Scan d'amorçage</th></tr></thead><tbody><tr><td>BitDefender Free Edition</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Nagware</td><td>Oui</td><td>Oui (avec Winpooch)</td><td>Non</td></tr><tr><td>BullGuard</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>CA Anti-Virus</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Non</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Non</td><td>Non</td></tr><tr><td>Clam AntiVirus</td><td>Avec ClamWin</td><td>Avec ClamXav</td><td>Avec KlamAV et ClamTk</td><td>Oui</td><td>Oui</td><td>GNU GPL</td><td>Oui</td><td>Oui (en ajoutant ClamWin et Clam Sentinel sous MSWindows)</td><td>Non</td></tr><tr><td>ClamWin</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>GNU GPL</td><td>Oui</td><td>Avec Winpooch (périmé) ou Clam Sentinel</td><td>Non</td></tr><tr><td>Comodo AntiVirus</td><td>Oui</td><td>Non</td><td>Oui</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Emsisoft Anti-Malware</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Emsisoft Anti-Malware</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Non</td><td>Non</td></tr><tr><td>F-Prot</td><td>Oui</td><td>Non</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>F-Secure</td><td>Oui</td><td>Non</td><td>Oui</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Fortinet FortiClient End Point Security</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>G Data Software</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Iantivirus</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Kaspersky Anti-Virus</td><td>Oui</td><td>Oui</td><td>Oui (SMB et ENT)</td><td>Oui (SMB et ENT)</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>McAfee VirusScan</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Microsoft Security Essentials</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr></tbody></table>
<table><thead><tr><th>Logiciel</th><th>Windows</th><th>Mac OS X</th><th>GNU/Linux</th><th>FreeBSD</th><th>Unix</th><th>Licence</th><th>Scan sur demande</th><th>Protection en temps réel</th><th>Scan d'amorçage</th></tr></thead><tbody><tr><td>NOD32</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Norman</td><td>Oui</td><td>Non</td><td>Oui</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Norton AntiVirus (Symantec)²</td><td>Oui</td><td>Oui</td><td>Non</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Panda Antivirus</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>PC Tools AntiVirus</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>PC Tools AntiVirus Free Edition (interrompu)</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>PCSafer Home edition</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Qihoo 360 Internet Security</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Qihoo 360 Total Security</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Sophos Anti-Virus</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>TrustPort Antivirus</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td></td></tr><tr><td>Vba32Antivirus</td><td>Oui</td><td>Non</td><td>Oui</td><td>Oui</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Seulement sur Windows</td><td>Non</td></tr><tr><td>VIPRE Antivirus + Antispyware (Sunbelt Software)</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>VirusBarrier Express (Intego)</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>VirusBarrier Plus (Intego)</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>VirusBarrier X5 (Intego)</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>VirusBuster</td><td>Oui</td><td>Non</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>VirusKeeper (AxBx)</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Windows Defender</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Zone Alarm Antivirus</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr></tbody></table>
## I.4.3 AVAST ANTIVIRUS

### Avast Antivirus

<figure><img src="image_10.png" /></figure>

**Développeur** Avast Software

**Dernière version** 18.3.2333 (3 avril 2018)

**Environnement** Windows, OS X, Android, Linux (serveur)

**Langues** Multilingue (46 langues)N¹

**Type** Antivirus

**Politique de distribution** Freemium

**Licence** Propriétaire

**Site web** www.avast.com [archive]

modifier

**Avast Antivirus** est un logiciel antivirus développé par la société Avast Software (anciennement Alwil Software) située à Prague en République tchèque. C'est un logiciel propriétaire comportant une version gratuite pour une utilisation personnelle et non commerciale. En mars 2015, Avast regroupe 233 millions d'utilisateurs actifs à travers le monde répartis dans 184 pays¹[réf. insuffisante] et est disponible en 46 langues.

### I.4.3.1 Historique

À la fin des années 1980²[réf. insuffisante], deux informaticiens tchèques Eduard Kučera et Pavel Baudiš ont élaboré un programme qu'ils ont appelé « anti-virus advanced set » (AVAST). « Avast » est aussi un terme nautique hollandais (et anglais) qui signifie « stop ». Les deux programmeurs ont développé leur idée et ont fini par produire un antivirus complet du nom d'Avast.
### I.4.3.2 Présentation

À la différence de certains antivirus gratuits[réf. nécessaire], ses mises à jour s'effectuent automatiquement dès la connexion à Internet, à l'instar de ses concurrents payants. Avast bénéficie également d'un moteur anti-rootkit (basé sur la technologie GMER) et anti-spyware depuis sa version 4.8.1169, ce qui en fait une suite de sécurité.

Dans le passé, lorsqu'une nouvelle infection apparaissait, Avast était souvent parmi les antivirus les plus lents à l'intégrer dans sa base de données (généralement deux ou trois semaines plus tard, ce qui laissait à l'infection le temps de gagner de nombreux ordinateurs équipés d'Avast). Néanmoins, avec son gain en popularité chez les utilisateurs familiaux, les mises à jour sont maintenant[Quand ?] quotidiennes[3][réf. insuffisante].

### I.4.3.3 Version gratuite

La version gratuite est uniquement disponible pour utilisation personnelle et non commerciale. Mais ni pour les institutions, ni pour les associations.

Jusque à la version 11.1.2241 (version de 2016) l'inscription était obligatoire au bout de 12 mois afin de pouvoir continuer à bénéficier de l'antivirus depuis la version gratuite est disponible à vie sans avoir à créer de comptes.

Il existe une version gratuite pour les Très Petites Entreprises et PME en France ainsi que pour les établissements éducatifs aux États-Unis.

#### Identité visuelle (logo)

<figure><img src="image_11.png" /></figure>

* Logo d'Avast avant 2010.

* Logo d'Avast de février à septembre 2010.
• avast!
be free

Logo d'Avast de septembre 2010 à septembre 2016.

• avast

Logo d'Avast depuis septembre 2016.

•

Logo d'Avast Alternative depuis septembre 2016.

Versions et dates de sorties

Avast! free, la version gratuite du logiciel a évolué depuis la v5.0 en
2007, avant nommée Avast! Home Edition. Quelques repères :

• 18.1.2326 (13/02/2018) dernière version

• 12.1.2272 (21/06/2016)

• 11.1.2253 (04/02/2016)

• 11.1.2241 (04/11/2015) dite 2016

• 10.4.2233 (18/09/2015)

• 10.0.2206 (28/10/2014) dite version 2015

• 9.0.2006 (07/10/2013) dite version 2014

• 8.0.1482 (01/03/2013) dite version 2013

• 7.0.1407 (24/02/2012)

• 6.0.1000 (24/02/2011)

• 5.0.377 (20/01/2010)

I.4.4 WINDOWS DEFENDER

I.4.4.1 PRESENTATION

**Windows Defender**, appelé officiellement **Windows Defender Antivirus** dans **Windows 10 Creators Update**, est un composant antivirus de Microsoft Windows.
Microsoft a d'abord offert le logiciel en téléchargement comme un programme antiespion gratuit pour Windows XP. Microsoft a par la suite livré le logiciel comme un antiespion avec Windows Vista et Windows 7. Finalement, le logiciel a été transformé en un programme antivirus complet remplaçant *Microsoft Security Essentials* dans Windows 8 et les versions ultérieures de Windows.

Ce logiciel était édité par Giant Software (en) avant son achat par Microsoft.

<figure><img src="image_12.png" /></figure>

**Développeur** Microsoft

**Fichier exécutable** MSASCui.exe

**Dernière version** 4.8.10240.16384 (Windows 10) (Juillet 2015)

**Environnement** Microsoft Windows

**Langues** Multilingue

**Type** Outil de suppression de spyware, puis programme anti-virus

**Licence** Gratuitiel

**Site web** Windows Defender [archive]

### I.4.4.2 Fonctions de base
Avant Windows 8, *Windows Defender* protégeait ses utilisateurs contre les logiciels espions¹. Il comprenait un certain nombre d'agents de sécurité qui surveillaient en temps réel plusieurs zones de Windows pour détecter des modifications qui auraient pu être causées par des logiciels espions.

Il permettait aussi de supprimer facilement des logiciels ActiveX installés. *Windows Defender* incluait un support intégré pour *Microsoft SpyNet (en)* qui permet aux utilisateurs de signaler à Microsoft ce qu'ils considèrent comme des logiciels espions et quelles applications et pilotes de périphériques ils permettent d'installer sur leur système. La protection contre les virus a été ajoutée dans Windows 8 ; *Windows Defender* dans Windows 8 ressemble à *Microsoft Security Essentials* et utilise les mêmes définitions de virus.

Dans Windows 10, les paramètres de *Windows Defender* sont contrôlés par l'application *Paramètres* qui peut être activée en cliquant sur le bouton *démarrer*, puis sur le bouton *Paramètres*. Depuis la mise à jour anniversaire de Windows 10, une bulle de notification annonce les résultats d'une analyse du système, même si aucun virus n'a été trouvé².

## I.4.4.2 Histoire

### Versions bêta

*Windows Defender* est basé sur le logiciel *GIANT AntiSpyware*, développé à l'origine par *GIANT Company Software Inc.*. Microsoft a annoncé l'acquisition de cette société le 16 décembre 2004³,⁴. Bien que le logiciel original *GIANT AntiSpyware* prenait en charge les anciennes versions de Windows, le support de la ligne de systèmes Windows 9x a été abandonné.

La première version test de *Microsoft AntiSpyware* a été publiée le 6 janvier 2005 et était essentiellement une copie réemballée de *GILANT AntiSpyware*³. De nouvelles versions bêta ont été publiées en 2005 et la dernière version bêta 1 a été publiée le 21 novembre 2005.

Lors de la conférence RSA Security de 2005, le concepteur de systèmes logiciels en chef et cofondateur de Microsoft, Bill Gates, a annoncé que *Windows Defender* (connu sous le nom de *Microsoft AntiSpyware* avant le 4 novembre 2005) serait mis gratuitement à la disposition de tous les utilisateurs de versions autorisées de Windows 2000, Windows XP et
Windows Server 2003 pour aider à sécuriser leurs systèmes contre la menace croissante des logiciels malveillants⁵.

Windows Defender (bêta 2) a été publié le 13 février 2006. Cette version porte le nouveau nom du programme et inclut une refonte significative de l'interface utilisateur. Le moteur de base a été réécrit en C++, alors que le logiciel original développé par GIANT était écrit en Visual Basic⁶. La conversion à C++ a amélioré la performance de l'application. De plus, depuis la version bêta 2, le programme fonctionne comme un service Windows, contrairement aux versions antérieures, ce qui permet à l'application de protéger l'ordinateur même si un utilisateur n'est pas connecté à l'application. La version bêta 2 nécessite également la validation Windows Genuine Advantage.

Cependant, Windows Defender (bêta 2) ne contenait pas certains des outils inclus dans Microsoft AntiSpyware (bêta 1). Microsoft a supprimé les outils System Inoculation, Secure Shredder et System Explorer inclus dans la version bêta 1 ainsi que l'outil Tracks Eraser qui permettait aux utilisateurs de supprimer facilement de nombreux types de fichiers temporaires liés à Internet Explorer 6, incluant les témoins (cookies), les fichiers Internet temporaires et l'historique de lecture du Lecteur Windows Media³. Microsoft a, par la suite, publié des versions allemande et japonaise de Windows Defender (bêta 2)⁷,⁸.

## Disponibilité générale du logiciel antiespion

Le 24 octobre 2006, Microsoft a lancé Windows Defender en version régulière (non bêta). Le logiciel prenait en charge Windows XP et Windows Server 2003. Cependant, contrairement aux versions bêta, il ne pouvait pas être exécuté sur Windows 2000⁹.

## Conversion vers des fonctions antivirus

Windows Defender était inclus dans Windows Vista et Windows 7 en tant que composant antiespion intégré. Dans Windows Vista et Windows 7, Windows Defender pouvait être remplacé par Microsoft Security Essentials, un produit antivirus de Microsoft qui protégeait l'ordinateur contre une gamme plus large de logiciels malveillants. Lors de l'installation, Microsoft Security Essentials désactivait et remplaçait Windows Defender¹⁰,¹¹,¹².
Dans Windows 8, Microsoft a amélioré *Windows Defender* en en faisant un programme antivirus très similaire à *Microsoft Security Essentials* pour Windows 7 et en utilisant les mêmes mises à jour de définitions de virus que *Microsoft Security Essentials*¹³.

*Microsoft Security Essentials* n'est pas disponible sur les versions de Windows au-delà de Windows 7. Dans Windows 8 et Windows 10, *Windows Defender* est activé par défaut. Il s'interrompt lors de l'installation d'un logiciel antivirus tiers.

À partir de Windows 10, Microsoft a commencé à transférer le contrôle de *Windows Defender* hors de son logiciel original. Initialement, sa boîte de dialogue *Paramètres* a été remplacée par une page dédiée dans l'application *Paramètres* de Windows 10. Dans *Windows 10 Creators Update*, *Windows Defender* est renommé *Windows Defender Antivirus* pour le distinguer du *Windows Defender Security Center*. Ce dernier est devenu l'avenue privilégiée pour l'interface avec *Windows Defender*¹⁴. Bien qu'il n'y ait pas de raccourci dans le menu démarrer pour accéder directement au programme *Windows Defender*, il est toujours possible d'y accéder facilement¹⁵,¹⁶.

### I.4.4.3 Fonctions avancées

#### Protection en temps réel

Dans les options de *Windows Defender*, l'utilisateur peut configurer des options de protection en temps réel.

#### Intégration avec le navigateur

L'intégration avec Internet Explorer et Microsoft Edge permet de scanner les fichiers lorsqu'ils sont téléchargés pour détecter les logiciels malveillants téléchargés par inadvertance. Bien qu'il ne s'intègre pas aux navigateurs Web autres que ceux de Microsoft, *Windows Defender* analyse les fichiers téléchargés malveillants dans le cadre de sa protection en temps réel.

### I.4.4.4 Windows Defender Offline

*Windows Defender Offline* (anciennement connu sous le nom de *Standalone System Sweeper Beta*¹⁷) est un programme antivirus autonome amorçable qui fonctionne à partir d'un disque amorçable et qui
est conçu pour analyser des systèmes infectés alors que leurs systèmes d'exploitation sont hors ligne¹⁸. Depuis la mise à jour anniversaire de Windows 10, cette fonctionnalité hors ligne est intégrée dans le programme régulier de Windows Defender¹⁹.

### I.4.4.5 Vulnérabilité de sécurité dans Windows Defender

Le 5 mai 2017, Tavis Ormandy (en), un chercheur de vulnérabilités travaillant pour Google, a découvert une vulnérabilité dans le module d'analyse JavaScript (NScript) du Microsoft Antimalware Engine (MsMpEngine) qui affectait Windows Defender, Microsoft Security Essentials et System Center Endpoint Protection (en). Le 8 mai 2017, Microsoft avait publié un correctif pour tous les systèmes concernés. Ars Technica a félicité Microsoft pour sa vitesse de correction sans précédent et a déclaré qu'une catastrophe avait été évitée²⁰,²¹.

### I.4.4.6 Protéger mon ordinateur avec Windows Defender

S'applique à : Windows 10

Si vous utilisez Windows 10, vous bénéficerez de la protection antivirus la plus récente grâce à Windows Defender. Lorsque vous démarrez Windows 10 pour la première fois, Windows Defender est activé et protège votre PC en recherchant des logiciels malveillants, des virus et toute menace à la sécurité. Windows Defender utilise la protection en temps réel pour analyser tous les éléments que vous téléchargez ou exécutez sur votre PC.

Windows Update télécharge automatiquement les mises à jour de Windows Defender pour vous aider à sécuriser votre PC et à le protéger contre les menaces.

Si vous disposez d'une version antérieure de Windows et que vous utilisez Microsoft Security Essentials, il est judicieux de passer à Windows Defender.

Remarque
Si vous installez une autre application antivirus, Windows Defender est automatiquement désactivé.

## Planifier une analyse dans Windows Defender

Windows Defender analyse régulièrement votre PC pour le maintenir en sécurité. Si vous souhaitez planifier votre propre analyse :

1. Recherchez et ouvrez **Tâches planifiées**.

2. Dans le volet gauche, développez **Bibliothèque du Planificateur de tâches** > **Microsoft** > **Windows**, faites défiler vers le bas, puis double-cliquez sur le dossier **Windows Defender**.

3. Dans le volet en haut au centre, double-cliquez sur **Analyse planifiée de Windows Defender**.

4. Sélectionnez l'onglet **Déclencheurs**, puis sélectionnez **Nouveau**.

5. Définissez la durée et la fréquence, puis sélectionnez **OK**.

## Activer ou désactiver la protection en temps réel de Windows Defender

1. Sélectionnez le bouton **Démarrer**, puis **Paramètres** > **Mise à jour et sécurité**.

Sélectionnez **Windows Defender**, puis activez ou désactivez la Protection en temps réel.

## I.4.6 MICROSOFT SECURITY ESSENTIALS

Microsoft Security Essentials

<figure><img src="image_13.png" /></figure>

**Développeur** Microsoft

**Fichier exécutable** msseces.exe

**Première version** 29 septembre 2009
<table><tr><td>Dernière version</td><td>4.10.205.0 (2 octobre 2016)</td></tr><tr><td>Environnement</td><td>Windows XP/Vista/7</td></tr><tr><td>Langues</td><td>Anglais, bulgare, chinois (simplifié), chinois (traditionnel), tchèque, danois, néerlandais, finnois, français, allemand, grec, hongrois, italien, japonais, coréen, norvégien, polonais, portugais (brésilien), portugais (portugal), roumain, russe, suédois, slovaque, espagnol, thaï, turc et ukrainien</td></tr><tr><td>Type</td><td>Antivirus</td></tr><tr><td>Politique distribution</td><td>de Supplément du support Windows pour dix utilisateurs maximum en réseau</td></tr><tr><td>Licence</td><td>Propriétaire</td></tr><tr><td>Site web</td><td>windows.microsoft.com/fr-FR/windows/products/security-essentials [archive]</td></tr></table>

modifier

<figure><img src="image_14.png" /></figure>

**Microsoft Security Essentials** (nom de code **Morro**) est un logiciel antivirus créé par Microsoft qui fournit une protection contre les virus, les logiciels espions, rootkits et chevaux de Troie pour Windows XP, Windows Vista et Windows 7. La version finale est disponible depuis fin septembre 2009. Il succède à Windows Live OneCare. Le nouveau nom de cet outil est désormais Windows Defender.

## Licence

Microsoft Security Essentials vérifie la validité du système d'exploitation pendant et après l'installation. Si le système d'exploitation n'est pas authentique, Microsoft Security Essentials en informe l'utilisateur de la question, et peut cesser de fonctionner après une période de temps¹.

## Performances

Plusieurs tests ont montré que la protection en temps réel de **Microsoft Security Essentials** est efficace et que le logiciel **gère très bien les nouveaux virus** et sa **très bonne détection des virus, trojans [et] rogues**" permet d'affirmer que "pour une utilisation simple et quotidienne, ce
produit peut largement faire l'affaire". Sa lenteur de nettoyage est cependant pointée du doigt.

Sur la page du Centre de protection Microsoft contre les programmes malveillants (en anglais), les utilisateurs peuvent voir les dernières menaces intégrées à Microsoft Security Essentials².

Selon un test réalisé par l'organisme indépendant AV-TEST en mai-juin 2013³, Microsoft Security Essentials arrive en queue de peloton - 25ᵉ sur 25 solutions testées - en matière de niveau de protection. En revanche, selon ce même test, il obtient la meilleure note possible concernant l'absence de faux positif⁴.

## I.4.5 NORTON ANTIVIRUS

Norton AntiVirus

<figure><img src="image_15.png" /></figure>

Norton
by Symantec

**Développeur** Symantec Corporation

**Dernière version** 22.10.1.10 (28 août 2017)

**Environnement** Windows, Mac OS X

**Type** Antivirus

**Licence** Propriétaire

**Site web** Symantec.com [archive ]

modifier

**Norton Antivirus** est un logiciel antivirus pour les systèmes d'exploitation Windows et Mac édité par la société américaine Symantec.

Le logiciel est décliné en trois versions :
* Norton Antivirus : antivirus et antiphishing seulement ;

* Norton Internet Security : suite de logiciels offrant une protection plus complète ;

* Norton 360 : suite offrant une protection optimum et divers outils de sauvegarde de données en ligne et d'optimisation du PC.

Ce logiciel est souvent offert pour une période d'essai de 30 jours à trois mois à l'achat d'un ordinateur, ce qui explique en partie sa part de marché importante chez les particuliers. Cependant, cette pratique est dénoncée par certains comme étant de la vente liée.

## Historique

Développé par Peter Tippett, le premier logiciel antivirus "Vaccine" est revendu à Symantec en 1992 et renommé à cette occasion Norton Antivirus.

## I.4.7 KASPERSKY ANTI-VIRUS

Kaspersky

<figure><img src="image_16.png" /></figure>

**Développeur** Kaspersky Lab

**Première version** 1997

**Dernière version** 2016 (16.0.0.614) (19 novembre 2015)

**Environnements** Windows, Linux, Macintosh

**Langues** Multilingue

**Type** Antivirus et Anti-spywares

**Licence** Logiciel propriétaire
**Kaspersky Anti-Virus (KAV)** (anciennement AntiViral Toolkit Pro ou AVP) est un antivirus créé par la société russe Kaspersky Lab. Cette dernière met aussi à disposition sur son site un système de recherche de virus en ligne. Le code source de Kaspersky Anti-Virus a été diffusé illégalement sur internet en 2008¹, le logiciel dans sa version 8 est écrit en C++ et en Delphi².

## Présentation

Kaspersky est un antivirus doté de fonctions classiques de protection telles que :

* Mise en mémoire

* Analyse des courriels

* Analyse heuristique

* Analyse des fichiers compressés

* Protection contre les logiciels espions, les virus, autres vers et chevaux de Troie.

* Défense proactive, empêchant notamment l'installation de rootkits.

* La possibilité de lancer des applications en mode virtuel.

Kaspersky offre des licences de 1 à 3 ans.

## Récompenses

Selon AV-Comparative, Kaspersky Antivirus se classe parmi les premiers scanneurs de virus en termes de détection en dépit du fait que l'antivirus a échoué à deux tests réalisés en 2007 et 2008 par le magazine Virus Bulletin. Par ailleurs, PC World a récompensé cet antivirus dans sa version 6 par l'octroi du prix Editor's Choice en 2007. Enfin, Ars Technica classe Kaspersky Antivirus parmi les meilleurs logiciels de sécurité destinés aux plateformes Windows.

Kaspersky a été testé par PassMark en 2008.
## Limites

Plusieurs options ne se trouvent pas dans cette édition comme : Pare-feu personnel, AntiSpam, AntiBanner et le contrôle parental. Ces outils sont disponibles avec Kaspersky Internet Security.

Kaspersky comme la majorité de ses concurrents, est incompatible avec d'autres logiciels antivirus et antispyware³.

## Macintosh

En 2009 une édition de Kaspersky Antivirus est disponible pour la plateforme Mac OS X. Les tests ont permis de conclure que l'antivirus consomme seulement 1 % de CPU.[réf. nécessaire] Cette édition contient des signatures pour bloquer les virus destinés aux plateformes Windows et Linux.

## Configuration requise

<table><thead><tr><th></th><th>XP<br>(32/64-bit)</th><th>Windows 7<br>(32/64-bit)</th><th>OS<br>(v.10.4.11<br>Tiger &gt;= ou +)</th><th>X<br>&lt;&gt;</th><th>Linux<br>(Red Hat, Mandriva, Fedora, Debian, SUSE)</th></tr></thead><tbody><tr><th>Processeur</th><td>Intel<br>300 MHz<br>équivalent)</td><td>Pentium Intel<br>(ou Pentium<br>1 GHz)</td><td>Intel<br>1 GHz</td><td>Pentium<br>133 MHz</td><td>Pentium</td></tr><tr><th>RAM</th><td>256 MB</td><td>1 GB</td><td>512 MB</td><td>64 MB</td><td></td></tr><tr><th>Espace<br>disponible sur<br>le disque dur</th><td>50 MB</td><td>50 MB</td><td>80 MB</td><td>100 MB</td><td></td></tr></tbody></table>

## I.4.8 DARKSPY

DarkSpy est un système de détection d'intrusion à usage individuel. Les auteurs, CardMagic (Mingyan Sun) et wowocock, étaient pendant la
conception des étudiants-chercheurs diplômés de l'University of Science and Technology of China.

## Sommaire

## Description

L'essentiel de son développement s'est fait au premier semestre 2006.

Par rapport à d'autres « anti-rootkits », DarkSpy apporte

* une capacité supérieure de détection grâce, entre autres, à ses recherches à la base même du disque dur,

* et des solutions pour désactiver les rootkits en vue de leur éradication, en particulier la possibilité d'intervention sur les ruches et clés de démarrage des rootkits mises en place et cachées dans le Registre de Windows.

Depuis sa version v1.0.5, toujours qualifiée de « version de test » mais déjà stable, il peut fonctionner en complément d'autres logiciels de défense du PC contre les logiciels malveillants.

## Précieux complément des moyens de défense

Partant du principe qu'aucun utilitaire actuel ne peut garantir une détection totale de toutes les variétés de rootkits présents et à venir, DarkSpy peut être

* le complément d'outils de prévention d'intrusion comme "Antihook" ou Winpooch ou des versions récentes d'utilitaires commerciaux comme Nod32, "F-Secure", "Kaspersky" etc.

* celui d'autres anti-rootkits comme "IceSword" ou "Gmer".

Pour ceux qui n'ont encore qu'un antivirus et un pare-feu classique, DarkSpy peut même constituer la base du système de protection contre les rootkits.

## Environnement et installation
DarkSpy fonctionne avec les systèmes d'exploitation 32 bits de Microsoft : Windows 2000(SP4 et +) / Windows XP / Windows 2003. Il consomme très peu de ressources et convient donc à pratiquement tous les PCs.

DarkSpy ne requiert pas d'installation particulière. Son processus est lancé en mémoire depuis le répertoire du disque où le fichier ".rar" téléchargé a été décompressé.

Pour son fonctionnement, il place le fichier "DarkSpyKernel.sys" dans "C:\WINDOWS\system32" de manière non définitive. Ce "driver" s'exécute en mode noyau au sein de la mémoire. Après l'arrêt de DarkSpy et au démarrage suivant du système, ce fichier n'est pas automatiquement rechargé.

Les traces laissées dans le Registre de Windows sont peu nombreuses. On peut trouver les "ruches" sans difficulté dans les sections ...

* HKLM\SYSTEM\ControlSetxxx\ Enum\ Root\

* HKLM\SYSTEM\ControlSetxxx\Services.

Elles ne sont pas dangereuses pour la santé du système. Elles peuvent être laissées ou enlevées grâce à un bon outil de nettoyage du registre (celui de "IceSword" par exemple).

## Précautions avant le lancement

Dans certaines conditions d'utilisation, par exemple en présence d'outils actifs de défense du noyau ou du registre de Windows, DarkSpy, ne peut pas fonctionner normalement et parfois même pas être lancé.

Des efforts particuliers ont été faits pour que DarkSpy réduise au mieux les possibilités de conflit. Actuellement, il a été testé en compagnie des suites de Kaspersky / McAfee / Norton / Jetico + Avast! et d'autres, sous différentes versions de Windows (2k/XP/2k3), mais c'est peut-être encore insuffisant. Dans un environnement système complexe, il peut encore y avoir des conflits avec d'autres logiciels. En cas de problème, vous devrez vérifier votre système et essayer de neutraliser ou même désinstaller le logiciel de sécurité qui s'oppose au fonctionnement de DarkSpy.

Sous peine de risquer un écran bleu de la mort, prenez garde de ...
* ne jamais essayer de déboguer DarkSpy avec des outils comme "Softice" / "Windbg" / "Syser debugger", car, naturellement, des fonctionnalités anti-debugg sont incluses.

* ne pas appliquer à DarkSpy un outil de rétro-ingénierie.

# Modules de détection des intrusions

## Process

DarkSpy établit une liste de tous les processus en activité et dispose essentiellement de trois fonctions :

* Détection des processus cachés visualisés en rouge,

* Interruption d'un processus sélectionné,

* Interruption forcée d'un processus.

## Driver Module

DarkSpy procède à une recherche poussée des extensions d'application : services des processus - bibliothèques de fonctions) et pilotes cachés. Il en établit une liste complète avec indication de leur adresse en mémoire et de leur implantation sur le disque.

Les éléments cachés sont visualisés en rouge

## Port

DarkSpy recherche et affiche de tous les ports ouverts, dont les ports cachés par un rootkit ayant des fonctions de cheval de Troie.

# Modules de suppression des intrus

Le parasite peut être directement neutralisé s'il utilise un processus. Dans le cas d'un service, DLL ou pilote détecté dans le "Driver Module", il faudra intervenir soi-même aux endroits d'implantation.

## Registry

DarkSpy inclut un très puissant module de gestion du Registre de Windows où se trouvent les ruches et clés de lancement d'une majorité des intrus, que ceux-ci utilisent un processus ou (c'est de plus en plus souvent le cas) un (ou plusieurs) service, dll et/ou driver.
Grâce à cet outil, ces clés pourront être modifiées ou supprimées afin que le rootkit ne se relance pas après un arrêt-redémarrage du système d'exploitation.

## File

DarkSpy offre la possibilité de forcer la suppression des fichiers cachés et indésirables. Les fonctionnalités particulières de DarkSpy lui permettent d'outrepasser les protections de fichiers mises en place par certains logiciels.

Si les ruches et clés de lancement du rootkit ont été détectées, il est cependant conseillé de les désactiver et de redémarrer le système avant de supprimer les fichiers actifs. Une fois le rootkit neutralisé, ses fichiers peuvent être plus facilement supprimés.

# I.5 PARE-FEU

## I.5.1 Terminologie

Un pare-feu est parfois appelé *coupe-feu*, *garde-barrière*, *barrière de sécurité*, ou encore *firewall*. Traduction littérale : mur de feu [réf. souhaitée].

Dans un environnement Unix BSD (Berkeley Software Distribution), un pare-feu est aussi appelé *packet filter*.

## I.5.2 Origine du terme

Selon le contexte, le terme peut revêtir différentes significations :

* dans le domaine de la lutte contre les incendies de forêt, il se réfère aux allées pare-feu destinées à contenir l'extension des feux de forêts ;

* au théâtre, le déclenchement d'un mécanisme « pare-feu » (ou « coupe-feu ») permet d'éviter la propagation du feu de la salle vers la scène ;

* dans le domaine de l'architecture, il fait référence aux portes coupe-feu ou à tout autre dispositif constructif destiné à contenir l'extension d'un incendie ;

* en informatique, l'usage du terme « pare-feu » est donc métaphorique. Sa dénomination, reprend au sens figuré l'intention de "brûler par un mur de
feu virtuel" tout ce qui tente d'entrer avec l'intention de nuire dans une machine ou un réseau. Il établit une barrière de protection contre les intrusions et les contaminations venant de l'extérieur.

### I.5.3 Fonctionnement général

<figure><img src="image_17.png" /></figure>

Pare-feu passerelle entre LAN et WAN.

<figure><img src="image_18.png" /></figure>

Pare-feu routeur, avec une zone DMZ.

Le pare-feu est jusqu'à ces dernières années considéré comme une des pierres angulaires de la sécurité d'un réseau informatique (il perd en importance au fur et à mesure que les communications basculent vers le HTTP sur SSL, court-circuitant tout filtrage). Il permet d'appliquer une politique d'accès aux ressources réseau (serveurs).

Il a pour principale tâche de contrôler le trafic entre différentes zones de confiance, en filtrant les flux de données qui y transitent. Généralement, les zones de confiance incluent Internet (une zone dont la confiance est nulle) et au moins un réseau interne (une zone dont la confiance est plus importante).

Le but est de fournir une connectivité contrôlée et maîtrisée entre des zones de différents niveaux de confiance, grâce à l'application de la politique de sécurité et d'un modèle de connexion basé sur le principe du moindre privilège.

Le filtrage se fait selon divers critères. Les plus courants sont :
* l'origine ou la destination des paquets (adresse IP, ports TCP ou UDP, interface réseau, etc.) ;

* les options contenues dans les données (fragmentation, validité, etc.) ;

* les données elles-mêmes (taille, correspondance à un motif, etc.) ;

* les utilisateurs pour les plus récents.

Un pare-feu fait souvent office de routeur et permet ainsi d'isoler le réseau en plusieurs zones de sécurité appelées zones démilitarisées ou DMZ. Ces zones sont séparées suivant le niveau de confiance qu'on leur porte.

Enfin, le pare-feu est également souvent situé à l'extrémité de tunnel IPsec ou SSL. L'intégration du filtrage de flux et de la gestion du tunnel est en effet nécessaire pour pouvoir à la fois protéger le trafic en confidentialité et intégrité et filtrer ce qui passe dans le tunnel. C'est le cas notamment de plusieurs produits du commerce nommés dans la liste ci-dessous.

### I.5.4 Technologies utilisées

Les pare-feux récents embarquent de plus en plus de fonctionnalités, parmi lesquelles on peut citer :

* Filtrage sur adresses IP / protocole,

* Inspection stateful² et applicative,

* Intelligence artificielle pour détecter le trafic anormal,

* Filtrage applicatif :

* HTTP (restriction des URL accessibles),

* Courriel (Anti-pourriel),

* Logiciel antivirus, anti-logiciel malveillant

* Traduction d'adresse réseau,

* Tunnels IPsec, PPTP, L2TP,

* Identification des connexions,

* Serveurs de protocoles de connexion (telnet, SSH), de protocoles de transfert de fichier (SCP),

* Clients de protocoles de transfert de fichier (TFTP),

* Serveur Web pour offrir une interface de configuration agréable,

* Serveur mandataire (« proxy » en anglais),

* Système de détection d'intrusion (« IDS » en anglais)

* Système de prévention d'intrusion (« IPS » en anglais)
### I.5.5 Catégories de pare-feu

Les pare-feux sont un des plus vieux équipements de sécurité informatique et, en tant que tel, ils ont été soumis à de nombreuses évolutions. Suivant la génération du pare-feu ou son rôle précis, on peut les classer en différentes catégories.

#### Pare-feu sans état (stateless firewall)

C'est le plus vieux dispositif de filtrage réseau, introduit sur les routeurs. Il regarde chaque paquet indépendamment des autres et le compare à une liste de règles préconfigurées. Ces règles peuvent avoir des noms très différents en fonction du pare-feu :

* « ACL » pour Access Control List (certains pare-feux Cisco),

* politique ou policy (pare-feu Juniper/Netscreen),

* filtres,

* règles ou rules,

* etc.

La configuration de ces dispositifs est souvent complexe et l'absence de prise en compte des machines à états des protocoles réseaux ne permet pas d'obtenir une finesse du filtrage très évoluée. Ces pare-feux ont donc tendance à tomber en désuétude mais restent présents sur certains routeurs ou systèmes d'exploitation.

Article connexe : Serveur sans état.

#### Pare-feu à états (stateful firewall)

Certains protocoles dits « à états » comme TCP introduisent une notion de connexion. Les pare-feux à états vérifient la conformité des paquets à une connexion en cours. C'est-à-dire qu'ils vérifient que chaque paquet d'une connexion est bien la suite du précédent paquet et la réponse à un paquet dans l'autre sens. Ils savent aussi filtrer intelligemment les paquets ICMP qui servent à la signalisation des flux IP.

Enfin, si les ACL autorisent un paquet UDP caractérisé par un quadruplet (ip_src, port_src, ip_dst, port_dst) à passer, un tel pare-feu autorisera la réponse caractérisée par un quadruplet inversé, sans avoir à écrire une ACL inverse. Ceci est fondamental pour le bon fonctionnement de tous les protocoles fondés sur l'UDP, comme DNS par exemple. Ce mécanisme
apporte en fiabilité puisqu'il est plus sélectif quant à la nature du trafic autorisé. Cependant dans le cas d'UDP, cette caractéristique peut être utilisée pour établir des connexions directes (P2P) entre deux machines (comme le fait Skype par exemple).

Article connexe : Pare-feu à états.

## Pare-feu applicatif

Dernière génération de pare-feu, ils vérifient la complète conformité du paquet à un protocole attendu. Par exemple, ce type de pare-feu permet de vérifier que seul le protocole HTTP passe par le port TCP 80. Ce traitement est très gourmand en temps de calcul dès que le débit devient très important. Il est justifié par le fait que de plus en plus de protocoles réseaux utilisent un tunnel TCP afin de contourner le filtrage par ports.

Une autre raison de l'inspection applicative est l'ouverture de ports dynamique. Certains protocoles comme FTP, en mode passif, échangent entre le client et le serveur des adresses IP ou des ports TCP/UDP. Ces protocoles sont dits « **à contenu sale** » ou « passant difficilement les pare-feux » car ils échangent au niveau applicatif (FTP) des informations du niveau IP (change d'adresses) ou du niveau TCP (change de ports). Ce qui transgresse le principe de la séparation des couches réseaux. Pour cette raison, les protocoles « **à contenu sale** » passent difficilement voire pas du tout les règles de NAT ...dynamiques, à moins qu'une inspection applicative ne soit faite sur ce protocole.

Chaque type de pare-feu sait inspecter un nombre limité d'applications. Chaque application est gérée par un module différent pour pouvoir les activer ou les désactiver. La terminologie pour le concept de module est différente pour chaque type de pare-feu : par exemple : Le protocole HTTP permet d'accéder en lecture sur un serveur par une commande GET, et en écriture par une commande PUT. Un pare-feu applicatif va être en mesure d'analyser une connexion HTTP et de n'autoriser les commandes PUT qu'à un nombre restreint de machines.

* **Pare-feu applicatif** sur Bee Ware [archive]; DenyAll [archive]

* **Firewall as a Service** (filtrage en fonction de l'origine et de la destination de chaque paquet) sur UPPERSAFE [archive]

* **Conntrack** (suivi de connexion) et **I7 Filter** (filtrage applicatif) sur Linux Netfilter

* **CBAC** sur Cisco IOS

* **Fixup** puis **inspect** sur Cisco PIX
* ApplicationLayerGateway sur Proventia M,

• **Predefined Services** sur Juniper ScreenOS

* Stateful Inspection sur Check Point FireWall-1

* Deep Packet Inspection sur Qosmos [archive]

* Web Application Firewall sur BinarySEC [archive]

Pare-feu identifiant

Un pare-feu réalise l'identification des connexions passant à travers le filtre IP. L'administrateur peut ainsi définir les règles de filtrage par utilisateur et non plus par adresse IP ou adresse MAC, et ainsi suivre l'activité réseau par utilisateur.

Plusieurs méthodes différentes existent qui reposent sur des associations entre IP et utilisateurs réalisées par des moyens variés. On peut par exemple citer authpf [archive] (sous OpenBSD) qui utilise ssh pour faire l'association. Une autre méthode est l'identification connexion par connexion (sans avoir cette association IP = utilisateur et donc sans compromis sur la sécurité), réalisée par exemple par la suite NuFW, qui permet d'identifier également sur des machines multi-utilisateurs. On pourra également citer Cyberoam qui fournit un pare-feu entièrement basé sur l'identité (en réalité en réalisant des associations adresse MAC = utilisateur) ou Check Point avec l'option NAC Blade qui permet de créer des règles dynamiques basée sur l'authentification Kerberos d'un utilisateur, l'identité de son poste ainsi que son niveau de sécurité (présence d'antivirus, de patchs particuliers).

Pare-feu personnel

Les pare-feux personnels, généralement installés sur une machine de travail, agissent comme un pare-feu à états. Bien souvent, ils vérifient aussi quel programme est à l'origine des données. Le but est de lutter contre les virus informatiques et les logiciels espions.

Portail captif

Les portails captifs sont des pare-feux dont le but est d'intercepter les usagers d'un réseau de consultation afin de leur présenter une page web spéciale (par exemple : avertissement, charte d'utilisation, demande d'authentification, etc.) avant de les laisser accéder à Internet. Ils sont utilisés pour assurer la traçabilité des connexions et/ou limiter l'utilisation
abusive des moyens d'accès. On les déploie essentiellement dans le cadre
de réseaux de consultation Internet mutualisés filaires ou Wi-Fi.

I.5.6 LISTE DE PARE-FEU

Versions libres

* Linux Netfilter/Iptables, pare-feu libre des noyaux Linux 2.4, 2.6, 3.0 et suivants.

* Linux Ipchains, pare-feu libre de l'ancien noyau Linux 2.2.

* Packet Filter ou PF, pare-feu libre de OpenBSD, importé depuis sur les autres BSD.

* IPFilter ou IPF, pare-feu libre de BSD et Solaris 10 et 11.

• Ipfirewall ou IPFW, pare-feu libre de FreeBSD.

* iSafer, pare-feu libre pour Windows.

Distributions Linux

* SmoothWall : distribution linux packageant Netfilter et d'autres outils de sécurité pour transformer un PC en pare-feu dédié et complet.

* IPCop : distribution linux packageant Netfilter et d'autres outils de sécurité pour transformer un PC en pare-feu dédié et complet.

* Ipfire : Dérivé de IPCop, mais avec des idées très nouvelles et de design.

* Pfsense, distribution firewall open source très avancée basée sur FreeBSD et dérivée de m0n0wall qui utilise entre autres OpenBSD packet Filter.

* Zeroshell

* Amon, module du projet EOLE, distribution GNU/Linux se basant sur Ubuntu et proposant des outils d'administration.

Pare-feu identifiants

* NuFW : Un pare-feu identifiant (authentifiant). La partie serveur et les clients pour OS libres sont sous licence GPL. Le client Windows est sous licence propriétaire.

Portails captifs

* ALCASAR : Solution complète et intégrée pour contrôler et imputer les accès Internet. Sous licence GPL et gratuit.
# Boîtiers pare-feu

* Arkoon Network Security

* Appliances UTM FAST360, certifiées Critères communs niveau EAL3+

* Astaro Security Gateway

* Appliances Astaro UTM, certifiées Critères communs niveau EAL4+¹

* Check Point

* Check Point FireWall-1

* Cisco Systems

* Cisco PIX, Cisco ASA et Cisco FWSM, boîtier pare-feu

* Cisco VPN3000, boîtier pare-feu orienté RPV

* EdenWall Technologies

* EdenWall, boîtier pare-feu dont la technologie est basée sur NuFW, apportant la notion d'identité des utilisateurs, en cours de qualification Critères communs niveau EAL3+ [réf. nécessaire]

* Fortinet

* Appliances UTM FortiGate, certifiées Critères communs niveau EAL4+, FIPS 140-2, multiple ICSA Labs Certifications dont SSL-TLS (VPN), IPSec, Network IPS, Antivirus, et Firewall

* Juniper Networks

* Juniper Screen OS, boîtier pare-feu

* NetASQ

* Appliances UTM NetASQ, certifiées Critères Communs niveau EAL4+(fr)) et IPv6 ready ipv6forum [archive]

* Nortel

* Famille Nortel VPN Router

* Famille Nortel Switched Firewall

* Stonesoft

* StoneGate, pare-feu professionnel commercial centralisé pour gérer ses grappes d'appliances Pare-feu VPN et NIDS

* ZyXEL
* ZyWALL, pare-feu professionnel UTM (Antivirus, filtrage applicatif, IDP, filtrage de contenu, antispam) avec Tunnel VPN IPSEC et SSL

## Pare-feu personnels

* Comodo Firewall : gratuit pour usage personnel, compatible avec d'autres logiciels de protection, très complet et paramétrable, choix du tout automatique au tout manuel suivant le niveau de l'utilisateur.

* Zone Alarm : le pare-feu personnel de ZoneLabs repris par Check Point, maintenant incompatible avec tout autre logiciel de protection sauf MS Windows Defender.

* NetBarrier : le pare-feu personnel pour Mac OS X d'Intego

* Microsoft

* Pare-feu de connexion Internet de Windows XP

* Windows Firewall

* Microsoft Internet Security and Acceleration Server, le pare-feu proxy-cache de Microsoft

* Jetico Personal Firewall

## Pare-feu applicatifs

* Microsoft Internet Security and Acceleration Server, le pare-feu proxy-cache de Microsoft

* Modsecurity module pour le serveur Web Apache. (Open Source)
# I.6 LES PROTOCOLES DE SECURITE

## PRESENTATION

Un **protocole** est une méthode standard qui permet la communication entre des processus (s'exécutant éventuellement sur différentes machines), c'est-à-dire un ensemble de règles et de procédures à respecter pour émettre et recevoir des données sur un réseau. Il en existe plusieurs selon ce que l'on attend de la communication. Certains protocoles sont par exemple spécialisés dans l'échange de fichiers (le FTP), d'autres servent à gérer simplement l'état de la transmission et des erreurs (c'est le cas du protocole ICMP).

Sur Internet, les protocoles utilisés font partie d'un ensemble de protocoles, appellés **protocoles TCP/IP**. Cette suite de protocoles contient entre autres les protocoles TCP pour le transport des données, HTTP pour le web, FTP pour le transfert de fichiers, ICMP pour le contrôle des erreurs, etc.

La plupart des protocoles de la suite TCP/IP ne sont pas sécurisés, c'est-à-dire que les données transitent en clair sur le réseau. Ainsi, des protocoles de plus haut niveau, dits « protocoles sécurisés » ont été mis au point afin d'encapsuler les messages dans des paquets de données chiffrés.

## Protocole SSL

SSL (Secure Sockets Layers, que l'on pourrait traduire par couche de sockets sécurisée) est un procédé de sécurisation des transactions effectuées via Internet. Le standard SSL a été mis au point par Netscape, en collaboration avec Mastercard, Bank of America, MCI

et Silicon Graphics. Il repose sur un procédé de cryptographie par clé publique afin de garantir la sécurité de la transmission de données sur Internet. Son principe consiste à établir un canal de communication sécurisé (chiffré) entre deux machines (un client et un serveur) après une étape d'authentification.
Le système SSL est indépendant du protocole utilisé, ce qui signifie qu'il peut aussi bien sécuriser des transactions faites sur le Web par le protocole HTTP que des connexions *via* les protocoles FTP, POP ou IMAP. En effet, SSL agit telle une couche supplémentaire permettant d'assurer la sécurité des données, située entre la couche application et la couche transport (protocole TCP par exemple).

De cette manière, SSL est transparent pour l'utilisateur (entendez par là qu'il peut ignorer qu'il utilise SSL). Par exemple un client qui recourt à un navigateur Internet pour se connecter à un site de commerce électronique sécurisé par SSL enverra des données chiffrées sans aucune manipulation nécessaire de sa part.

La totalité des navigateurs supportent aujourd'hui le protocole SSL. Sur les sites qui l'utilisent, un cadenas apparaît sur la même ligne que son adresse web.

La totalité des navigateurs supportent aujourd'hui le protocole SSL. Sur les sites qui l'utilisent, un cadenas apparaît sur la même ligne que son adresse web.

* Sous Internet Explorer :

<figure><img src="image_19.png" /></figure>

* Sous Mozilla :

<figure><img src="image_20.png" /></figure>

Un serveur web sécurisé par SSL possède une URL commençant par https://, où le « s » signifie bien évidemment *secured* (sécurisé).
## Protocole SSH

Internet permet de réaliser un grand nombre d'opérations à distance, notamment l'administration de serveurs ou bien le transfert de fichiers. Le protocole telnet et les r-commandes BSD (rsh, rlogin et rexec) permettant d'effectuer ces tâches distantes possèdent l'inconvénient majeur de faire circuler en clair sur le réseau les informations échangées, notamment l'identifiant (login) et le mot de passe pour l'accès à la machine distante. Ainsi, un pirate situé sur un réseau entre l'utilisateur et la machine distante a la possibilité d'écouter le trafic, c'est-à-dire d'utiliser un outil appelé sniffer capable de capturer les trames circulant sur le réseau et ainsi d'obtenir l'identifiant et le mot de passe d'accès à la machine distante.

Même si les informations échangées ne possèdent pas un grand niveau de sécurité, le pirate obtient un accès à un compte sur la machine distante et peut éventuellement étendre ses privilèges sur la machine afin d'obtenir un accès administrateur (root).

Étant donné qu'il est impossible de maîtriser l'ensemble des infrastructures physiques situées entre l'utilisateur et la machine distante (Internet étant par définition un réseau ouvert), la seule solution est de recourir à une sécurité au niveau logique (au niveau des données).

Le protocole SSH (Secure Shell) répond à cette problématique en permettant à des utilisateurs (ou bien à des services TCP/IP) d'accéder à une machine à travers une communication chiffrée (appelée tunnel).

## Protocole Secure HTTP

S-HTTP (Secure HTTP, ce qui signifie Protocole HTTP sécurisé) est un procédé de sécurisation des transactions HTTP reposant sur une amélioration du protocole HTTP mise au point en 1994 par l'EIT (Enterprise Integration Technologies). Il permet de fournir une sécurisation des échanges lors de transactions de commerce électronique en cryptant les messages afin de garantir aux clients la confidentialité de leur numéro de carte bancaire ou de toute autre information personnelle. Une implémentation de S-HTTP a été développée par la société Terisa Systems afin d'inclure une sécurisation au niveau des serveurs web et des navigateurs.
□ Complémentarité avec SSL

Alors que SSL et S-HTTP étaient concurrents, un grand nombre de personnes a réalisé que les deux protocoles de sécurisation étaient complémentaires, étant donné qu'ils ne travaillaient pas au même niveau. De cette façon, SSL permet de sécuriser la connexion Internet tandis que S-HTTP permet de fournir des échanges HTTP sécurisés.

C'est pourquoi, la compagnie Terisa Systems, spécialisée dans la sécurisation des réseaux, formée par RSA Data Security et l'EIT, a mis au point un kit de développement permettant de développer des serveurs web implémentant SSL et S-HTTP (SecureWeb Server Toolkit), ainsi que des clients web supportant ces protocoles (SecureWeb Client Toolkit).

## Protocole SET

SET (Secure Electronic Transaction) est un protocole de sécurisation des transactions électroniques mis au point par Visa et MasterCard, et s'appuyant sur le standard SSL.

SET est basé sur l'utilisation d'une signature électronique au niveau de l'acheteur et une transaction mettant en jeu non seulement l'acheteur et le vendeur, mais aussi leurs banques respectives.

Lors d'une transaction sécurisée avec SET, les données sont envoyées par le client au serveur du vendeur, mais ce dernier ne récupère que la commande. En effet, le numéro de carte bleue est envoyé directement à la banque du commerçant, qui va être en mesure de lire les

coordonnées bancaires de l'acheteur, et donc de contacter sa banque afin de les vérifier en temps réel.

<figure><img src="image_21.png" /></figure>

Ce type de méthode nécessite une signature électronique au niveau de l'utilisateur de la carte afin de certifier qu'il s'agit bien du possesseur de cette carte.
## Protocole S/MIME

S/MIME (Secure MIME, soit Secure Multipurpose Mail Extension, que l'on pourrait traduire par extensions du courrier électronique à buts multiples et sécurisées) est un procédé de sécurisation des échanges par courrier électronique permettant de garantir la confi-dentialité et la non-répudiation des messages électroniques.

S/MIME est basé sur le standard MIME, dont le but est de permettre d'inclure dans les messages électroniques des fichiers attachés autres que des fichiers texte (ASCII).

C'est ainsi grâce au standard MIME qu'il est possible d'ajouter des pièces jointes de tous types aux courriers électroniques.

## Protocole DNSsec

Les serveurs DNS sont des ordinateurs qui structurent le Web mondial. Les acteurs de ce secteur ont donc décidé de sécuriser les transmissions de ces serveurs entre eux. C'est ce que tente de faire le **protocole sécurisé DNSsec** (Domain Name System Security Extensions). DNSsec constitue une des extensions du protocole DNS et est censé assurer l'authentification et l'intégrité des enregistrements du DNS. Son fonctionnement est basé sur des vérifications de signatures numériques et d'échange de données cryptées. DNSsec permet ainsi de constituer une chaîne d'identification sécurisée. L'utilisateur pourrait donc mieux identifier si tel ou tel sous-domaine d'un site web est bien celui auquel il veut s'adresser. DNSsec pourrait être mis en place de façon systématique pour contrer les failles du protocole DNS et le phénomène de **phishing**.
# CHAP.II LES PORTS LOGIQUES, LES VULNERABILITES INFORMATIQUES ET LES JOURNAUX D'EVENEMENTS LOGS

## II.1 LES PORTS LOGIQUES

Dans la suite des protocoles Internet et correspondant à la couche de transport du modèle OSI, la notion de **port** logiciel permet, sur un ordinateur donné, de distinguer différents interlocuteurs. Ces interlocuteurs sont des programmes informatiques qui, selon les cas, écoutent ou émettent des informations sur ces ports. Un port est distingué par son numéro.

Le terme **port** est aussi parfois utilisé pour désigner les **interfaces de connexion**, un concept sensiblement différent.

○

### Origine du mot

**Port**, en informatique, est une traduction erronée de l'anglais **port** (en) [archive] ; l'étymologie du mot au sens informatique est le latin porta (→ porte), et non portus (→ port)¹.

### Explication métaphorique

Pour simplifier, on peut considérer les ports comme des *portes donnant accès au système d'exploitation* : (Microsoft Windows, Mac OS, GNU/Linux, Solaris...). Pour fonctionner, un programme (par exemple un jeu à accélération 3D/2D, ou un logiciel de retouche photo) ouvre des portes pour entrer dans le système d'exploitation, mais lorsque l'on quitte le programme, la porte n'a plus besoin d'être ouverte.

### Utilité

Grâce à cette abstraction, on peut exécuter plusieurs logiciels serveurs sur une même machine, et même simultanément des logiciels clients et des serveurs, ce qui est fréquent sur les systèmes d'exploitation multitâches et multiutilisateurs.

### Attribution des ports

Un numéro de port est codé sur 16 bits, ce qui fait qu'il existe un maximum

de **soit** 65 536 ports distincts par machine. Ces ports sont classés en 3 catégories en fonction de leur numéro :

* les numéros de port de 0 à 1 023 correspondent aux ports "bien-connus" (well-known ports), utilisés pour les services réseaux les plus courants.

* les numéros de ports de 1 024 à 49 151 correspondent aux ports enregistrés (registered ports), assignés par l'IANA

* les numéros de ports de 49 152 à 65 535 correspondent aux ports dynamiques, utilisables pour tout type de requêtes TCP ou UDP autres que celle citées précédemment.
Lorsqu'un logiciel client veut dialoguer avec un logiciel serveur, aussi appelé service, il a besoin de connaître le port écouté par ce dernier. Les ports utilisés par les services devant être connus par les clients, les principaux types de services utilisent des ports qui sont dits réservés. Par convention, ce sont tous ceux compris entre 0 et 1 023² inclus et leur utilisation par un logiciel serveur nécessite souvent que celui-ci s'exécute avec des droits d'accès particuliers. Les services utilisant ces ports sont appelés les services bien connus ("Well-Known Services").

Le fichier services indique la liste de ces services dits well-known. Sous UNIX, ce fichier est directement dans /etc ; sous Windows, ce fichier est par défaut dans C:\Windows\System32\drivers\etc. Les services les plus utilisés sont :

* 9, pour le WoL, Wake-on-LAN, c'est-à-dire le démarrage à distance par un câble réseau ethernet. Wake-on-LAN

* 20/21, pour l'échange de fichiers via FTP

* 22, pour l'accès à un shell sécurisé Secure SHell, également utilisé pour l'échange de fichiers sécurisés SFTP

* 23, pour le port telnet

* 25, pour l'envoi d'un courrier électronique via un serveur dédié SMTP

* 53, pour la résolution de noms de domaine en adresses IP : DNS

* 67/68, pour DHCP et bootpc

* 80, pour la consultation d'un serveur HTTP par le biais d'un navigateur web

* 110, pour la récupération de son courrier électronique via POP

* 123, pour la synchronisation de l'horloge : Network Time Protocol (NTP)

* 143, pour la récupération de son courrier électronique via IMAP

* 389, pour la connexion à un LDAP

* 443, pour les connexions HTTP utilisant une surcouche de sécurité de type SSL : HTTPS

* 465, pour l'envoi d'un courrier électronique via un serveur dédié utilisant une surcouche de sécurité de type SSL : SMTPS

* 500, port utilisé pour le canal d'échange de clés IPsec

* 554, port utilisé pour accepter les connexions client RTSP entrantes et pour fournir des paquets de données aux clients qui diffusent en utilisant RTSPT.

* 636, pour l'utilisation d'une connexion à un LDAP sécurisé par une couche SSL/TLS

* 1352, pour le protocole Lotus Notes Domino

* 1433, serveur de base de données MS SQL

* 1521, serveur de base de données Oracle Database

* 1723, pour l'utilisation du protocole de VPN PPTP

* 3306, serveur de base de données MySQL

* 3389, pour la prise de contrôle à distance RDP

* 5432, serveur de base de données PostgreSQL

* 6667, pour la connexion aux serveurs IRC

* 25565, port par défaut des serveurs Minecraft³,⁴,⁵
# Liste de ports logiciels

## Liste de ports TCP et UDP.

Afin de permettre aux clients de connecter des serveurs, des numéros de ports logiciels sont bien connus.

Les informations qui suivent sont en général reprises par chaque système dans un fichier ; par exemple :

*Les ports affichés ci-dessous peuvent être changés selon la configuration du programme*

* sur Linux et OS X : /etc/services

* sur Windows : %SystemRoot%\system32\drivers\etc\services.

## TCP et UDP

<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>1</td><td>TCP</td><td>TCPMUX - TCP Port Service Multiplexer</td></tr><tr><td>2</td><td>TCP</td><td>compressnet - Management Utility</td></tr><tr><td>3</td><td>TCP</td><td>compressnet - Compression Process</td></tr><tr><td>5</td><td>TCP</td><td>rje - Remote job entry (en)</td></tr><tr><td>7</td><td>TCP</td><td>echo</td></tr><tr><td>9</td><td>TCP</td><td>Discard Protocol (en)</td></tr><tr><td>11</td><td>TCP</td><td>SYSTAT (en) - Active Users</td></tr><tr><td>13</td><td>TCP</td><td>Daytime Protocol (en) RFC 867</td></tr><tr><td>17</td><td>TCP</td><td>qotd - Quote of the Day</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>18</td><td>TCP</td><td>msp - Message send protocol (en)</td></tr><tr><td>19</td><td>TCP</td><td>CHARGEN - Character Generator Protocol (en)</td></tr><tr><td>20</td><td>TCP</td><td>ftp-data - File Transfer Protocol [flux de données]</td></tr><tr><td>21</td><td>TCP</td><td>ftp - File Transfer Protocol (le flux de contrôle pour le transfert de fichiers), voir Diagramme des flux FTP (port 20 et 21)</td></tr><tr><td>22</td><td>TCP</td><td>SSH - Secure Shell - SFTP</td></tr><tr><td>23</td><td>TCP</td><td>telnet</td></tr><tr><td>24</td><td>TCP</td><td>any private mail system</td></tr><tr><td>25</td><td>TCP</td><td>smtp - Simple Mail Transfer Protocol RFC 5321</td></tr><tr><td>27</td><td>TCP</td><td>nsw-fe - NSW User System FE</td></tr><tr><td>29</td><td>TCP</td><td>msg-icp</td></tr><tr><td>31</td><td>TCP</td><td>msg-auth - MSG Authentication</td></tr><tr><td>33</td><td>TCP</td><td>dsp - Display Support Protocol</td></tr><tr><td>35</td><td>TCP</td><td>any private printer server</td></tr><tr><td>37</td><td>TCP</td><td>Time Protocol RFC 868</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>38</td><td>TCP</td><td>rap - Route Access Protocol</td></tr><tr><td>39</td><td>TCP</td><td>rlp - Resource Location Protocol</td></tr><tr><td>41</td><td>TCP</td><td>Graphics</td></tr><tr><td>42</td><td>TCP</td><td>nameserver - Host Name Server</td></tr><tr><td>43</td><td>TCP</td><td>nickname - Who Is</td></tr><tr><td>44</td><td>TCP</td><td>mpm-flags - MPM FLAGS Protocol</td></tr><tr><td>45</td><td>TCP</td><td>mpm - Message Processing Module [recv]</td></tr><tr><td>46</td><td>TCP</td><td>mpm - Message Processing Module [default send]</td></tr><tr><td>47</td><td>TCP</td><td>ni-ftp</td></tr><tr><td>48</td><td>TCP</td><td>auditd - Digital Audit Daemon</td></tr><tr><td>49</td><td>TCP</td><td>login - Login Host Protocol (Terminal Access Controller Access-Control System)</td></tr><tr><td>50</td><td>UDP</td><td>re-mail-ck - Remote Mail Checking Protocol</td></tr><tr><td>51</td><td>TCP</td><td>la-maint - IMP Logical Address Maintenance</td></tr><tr><td>52</td><td>TCP</td><td>xns-time - XNS Time Protocol</td></tr><tr><td>53</td><td>UDP</td><td>domain - Domain Name System (DNS)</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>54</td><td>UDP</td><td>xns-ch - XNS Clearinghouse</td></tr><tr><td>55</td><td>TCP</td><td>isi-gl - ISI Graphics Language</td></tr><tr><td>56</td><td>TCP</td><td>xns-auth - XNS Authentication</td></tr><tr><td>57</td><td>TCP</td><td>any private terminal access</td></tr><tr><td>58</td><td>TCP</td><td>xns-mail - XNS Mail</td></tr><tr><td>59</td><td>TCP</td><td>any private file service</td></tr><tr><td>61</td><td>TCP</td><td>ni-mail</td></tr><tr><td>62</td><td>TCP</td><td>acas - ACA Services</td></tr><tr><td>64</td><td>TCP</td><td>covia - Communications Integrator (CI)</td></tr><tr><td>65</td><td>TCP</td><td>tacacs-ds - TACACS-Database Service</td></tr><tr><td>67</td><td>UDP</td><td>bootps - Bootstrap Protocol Server, ce port est aussi utilisé par une extension de bootp : DHCP, pour la recherche d'un serveur DHCP</td></tr><tr><td>68</td><td>UDP</td><td>bootpc - Bootstrap Protocol Client, ce port est aussi utilisé par une extension de bootp : DHCP, pour le dialogue entre le serveur DHCP et le client (attribution d'un bail pour une adresse IP)</td></tr><tr><td>69</td><td>UDP</td><td>tftp - Trivial File Transfer Protocol</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>70</td><td>TCP</td><td>gopher</td></tr><tr><td>71</td><td>TCP</td><td>netrjs-1 Remote Job Service</td></tr><tr><td>72</td><td>TCP</td><td>netrjs-2 Remote Job Service</td></tr><tr><td>73</td><td>TCP</td><td>netrjs-3 Remote Job Service</td></tr><tr><td>74</td><td>TCP</td><td>netrjs-4 Remote Job Service</td></tr><tr><td>75</td><td>TCP</td><td>any private dial out service</td></tr><tr><td>76</td><td>TCP</td><td>deos - Distributed External Object Store</td></tr><tr><td>77</td><td>TCP</td><td>any private RJE service</td></tr><tr><td>78</td><td>TCP</td><td>VetTCP</td></tr><tr><td>79</td><td>TCP</td><td>finger</td></tr><tr><td>80</td><td>TCP</td><td>www-http - World Wide Web HTTP</td></tr><tr><td>81</td><td>TCP</td><td>host2-ns - HOSTS2 Name Server</td></tr><tr><td>82</td><td>TCP</td><td>xfer - XFER Utility</td></tr><tr><td>83</td><td>TCP</td><td>mit-ml-dev</td></tr><tr><td>84</td><td>TCP</td><td>ctf - Common Trace Facility</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>85</td><td>TCP</td><td>mit-ml-dev</td></tr><tr><td>86</td><td>TCP</td><td>mfcobol - Micro Focus Cobol</td></tr><tr><td>87</td><td>TCP</td><td>any private terminal link</td></tr><tr><td>88</td><td>TCP</td><td>kerberos</td></tr><tr><td>89</td><td>TCP</td><td>su-mit-tg - SU/MIT Telnet Gateway</td></tr><tr><td>90</td><td>TCP</td><td>dnsix - DNSIX Security Attribute Token Map</td></tr><tr><td>91</td><td>TCP</td><td>mit-dov - MIT Dover Spooler</td></tr><tr><td>92</td><td>TCP</td><td>npp - Network Printing Protocol</td></tr><tr><td>93</td><td>TCP</td><td>dcp - Device Control Protocol</td></tr><tr><td>94</td><td>TCP</td><td>objcall - Tivoli Object Dispatcher</td></tr><tr><td>95</td><td>TCP</td><td>Supdup</td></tr><tr><td>96</td><td>TCP</td><td>dixie - DIXIE Protocol Specification</td></tr><tr><td>97</td><td>TCP</td><td>swift-rvf - Swift Remote Virtual File Protocol</td></tr><tr><td>98</td><td>TCP</td><td>Tacnews</td></tr><tr><td>99</td><td>TCP</td><td>metagram - Metagram Relay</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>100</td><td>TCP</td><td>newacct - [unauthorized use]</td></tr><tr><td>101</td><td>TCP</td><td>hostname - NIC Host Name Server</td></tr><tr><td>102</td><td>TCP</td><td>iso-tsap</td></tr><tr><td>103</td><td>TCP</td><td>gppitnp - Genesis Point-To-Point Trans Net</td></tr><tr><td>104</td><td>TCP</td><td>acr-nema - ACR-NEMA Digital Imag. &amp; Comm. 300</td></tr><tr><td>105</td><td>TCP</td><td>csnet-ns - Mailbox Name Nameserver</td></tr><tr><td>106</td><td>TCP</td><td>3com-tsmux</td></tr><tr><td>107</td><td>TCP</td><td>rtelnet - Remote Telnet Service</td></tr><tr><td>108</td><td>TCP</td><td>snagas - SNA Gateway Access Server</td></tr><tr><td>109</td><td>TCP</td><td>pop2 - Post Office Protocol - Version 2 RFC 937</td></tr><tr><td>110</td><td>TCP</td><td>pop3 - Post Office Protocol - Version 3 RFC 1939</td></tr><tr><td>111</td><td>TCP</td><td>sunrpc - SUN Remote Procedure Call</td></tr><tr><td>112</td><td>TCP</td><td>mcidas - McIDAS Data Transmission Protocol</td></tr><tr><td>113</td><td>TCP</td><td>auth - Authentication Service</td></tr><tr><td>114</td><td>TCP</td><td>audionews - Audio News Multicast</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>115</td><td>TCP</td><td>sftp - Simple File Transfer Protocol (en) (Ubuntu)</td></tr><tr><td>116</td><td>TCP</td><td>ansanotify - ANSA REX Notify</td></tr><tr><td>117</td><td>TCP</td><td>uucp-path - UUCP Path Service</td></tr><tr><td>118</td><td>TCP</td><td>sqlserv - SQL Services</td></tr><tr><td>119</td><td>TCP</td><td>nntp - Network News Transfer Protocol RFC 3977</td></tr><tr><td>120</td><td>TCP</td><td>Cfdptkt</td></tr><tr><td>121</td><td>TCP</td><td>erpc - Encore Expedited Remote Pro.Call</td></tr><tr><td>122</td><td>TCP</td><td>Smakynet</td></tr><tr><td>123</td><td>UDP</td><td>ntp - Network Time Protocol RFC 5905</td></tr><tr><td>124</td><td>TCP</td><td>ansatrader - ANSA REX Trader</td></tr><tr><td>125</td><td>TCP</td><td>locus-map - Locus PC-Interface Net Map Server</td></tr><tr><td>126</td><td>TCP</td><td>unitary - Unisys Unitary Login</td></tr><tr><td>127</td><td>TCP</td><td>locus-con - Locus PC-Interface Conn Server</td></tr><tr><td>128</td><td>TCP</td><td>gss-xlicen - GSS X License Verification</td></tr><tr><td>129</td><td>TCP</td><td>pwdgen - Password Generator Protocol</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>130</td><td>TCP</td><td>cisco-fna - cisco FNATIVE</td></tr><tr><td>131</td><td>TCP</td><td>cisco-tna - cisco TNATIVE</td></tr><tr><td>132</td><td>TCP</td><td>cisco-sys - cisco SYSMAINT</td></tr><tr><td>133</td><td>TCP</td><td>statsrv - Statistics Service</td></tr><tr><td>135</td><td>TCP</td><td>loc-srv - Location Service</td></tr><tr><td>136</td><td>TCP</td><td>profile - PROFILE Naming System</td></tr><tr><td>137</td><td>TCP</td><td>netbios-ns - NETBIOS Name Service</td></tr><tr><td>138</td><td>TCP</td><td>netbios-dgm - NETBIOS Datagram Service</td></tr><tr><td>139</td><td>TCP</td><td>netbios-ssn - NETBIOS Session Service</td></tr><tr><td>140</td><td>TCP</td><td>emfis-data - EMFIS Data Service</td></tr><tr><td>141</td><td>TCP</td><td>emfis-cntl - EMFIS Control Service</td></tr><tr><td>142</td><td>TCP</td><td>bl-idm - Britton-Lee IDM</td></tr><tr><td>143</td><td>TCP</td><td>imap2, imap4 - Internet Message Access Protocol v4 RFC 3501</td></tr><tr><td>144</td><td>TCP</td><td>News</td></tr><tr><td>145</td><td>TCP</td><td>Uaac</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>146</td><td>TCP</td><td>iso-tp0</td></tr><tr><td>147</td><td>TCP</td><td>iso-ip</td></tr><tr><td>148</td><td>TCP</td><td>cronus - CRONUS-SUPPORT</td></tr><tr><td>149</td><td>TCP</td><td>aed-512 - AED 512 Emulation Service</td></tr><tr><td>150</td><td>TCP</td><td>sql-net</td></tr><tr><td>151</td><td>TCP</td><td>Hems</td></tr><tr><td>152</td><td>TCP</td><td>bftp - Background File Transfer Program</td></tr><tr><td>153</td><td>TCP</td><td>Sgmp</td></tr><tr><td>154</td><td>TCP</td><td>netsc-prod</td></tr><tr><td>155</td><td>TCP</td><td>netsc-dev</td></tr><tr><td>156</td><td>TCP</td><td>sqlsrv - SQL Service</td></tr><tr><td>157</td><td>TCP</td><td>knet-cmp - KNET/VM Command/Message Protocol</td></tr><tr><td>158</td><td>TCP</td><td>pcmail-srv - PCMail Server</td></tr><tr><td>159</td><td>TCP</td><td>nss-routing</td></tr><tr><td>160</td><td>TCP</td><td>sgmp-traps</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>161</td><td>UDP</td><td>SNMP - Simple Network Management Protocol</td></tr><tr><td>162</td><td>UDP</td><td>snmptrap - Simple Network Management Protocol Trap</td></tr><tr><td>163</td><td>TCP</td><td>cmip-man - CMIP/TCP Manager</td></tr><tr><td>164</td><td>TCP</td><td>cmip-agent - CMIP/TCP Agent</td></tr><tr><td>165</td><td>TCP</td><td>xns-courier - Xerox</td></tr><tr><td>166</td><td>TCP</td><td>s-net - Sirius Systems</td></tr><tr><td>167</td><td>TCP</td><td>Namp</td></tr><tr><td>168</td><td>TCP</td><td>Rsvd</td></tr><tr><td>169</td><td>TCP</td><td>Send</td></tr><tr><td>170</td><td>TCP</td><td>print-srv - Network PostScript</td></tr><tr><td>171</td><td>TCP</td><td>multiplex - Network Innovations Multiplex</td></tr><tr><td>172</td><td>TCP</td><td>cl/1 - Network Innovations CL/1</td></tr><tr><td>173</td><td>TCP</td><td>xyplex-mux - Xyplex</td></tr><tr><td>174</td><td>TCP</td><td>Mailq</td></tr><tr><td>175</td><td>TCP</td><td>Vmnet</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>176</td><td>TCP</td><td>genrad-mux</td></tr><tr><td>177</td><td>TCP</td><td>xdmcp - X Display Manager Control Protocol</td></tr><tr><td>178</td><td>TCP</td><td>nextstep - NeXTSTEP Window Server</td></tr><tr><td>179</td><td>TCP</td><td>bgp - Border Gateway Protocol</td></tr><tr><td>180</td><td>TCP</td><td>ris - Intergraph</td></tr><tr><td>181</td><td>TCP</td><td>Unify</td></tr><tr><td>182</td><td>TCP</td><td>audit - Unisys Audit SITP</td></tr><tr><td>183</td><td>TCP</td><td>Ocbinder</td></tr><tr><td>184</td><td>TCP</td><td>Ocserver</td></tr><tr><td>185</td><td>TCP</td><td>remote-kis</td></tr><tr><td>186</td><td>TCP</td><td>kis - KIS Protocol</td></tr><tr><td>187</td><td>TCP</td><td>aci - Application Communication Interface</td></tr><tr><td>188</td><td>TCP</td><td>mumps - Plus Five's MUMPS</td></tr><tr><td>189</td><td>TCP</td><td>qft - Queued File Transport</td></tr><tr><td>190</td><td>TCP</td><td>gacp - Gateway Access Protocol</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>191</td><td>TCP</td><td>prospero - Prospero Directory Service</td></tr><tr><td>192</td><td>TCP</td><td>osu-nms - OSU Network Monitoring System</td></tr><tr><td>193</td><td>TCP</td><td>srmp - Spider Remote Monitoring Protocol</td></tr><tr><td>194</td><td>TCP</td><td>Internet relay chat (IRC)</td></tr><tr><td>195</td><td>TCP</td><td>dn6-nlm-aud - DNSIX Network Level Module Audit</td></tr><tr><td>196</td><td>TCP</td><td>dn6-nlm-red - DNSIX Session Mgt Module Audit Redir</td></tr><tr><td>197</td><td>TCP</td><td>dls - Directory Location Service</td></tr><tr><td>198</td><td>TCP</td><td>dls-mon - Directory Location Service Monitor</td></tr><tr><td>199</td><td>TCP</td><td>Smux</td></tr><tr><td>200</td><td>TCP</td><td>src - IBM System Resource Controller</td></tr><tr><td>201</td><td>TCP</td><td>at-rtmp - AppleTalk Routing Maintenance</td></tr><tr><td>202</td><td>TCP</td><td>at-nbp - AppleTalk Name Binding</td></tr><tr><td>203</td><td>TCP</td><td>at-3 - AppleTalk Unused</td></tr><tr><td>204</td><td>TCP</td><td>at-echo - AppleTalk Echo</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>205</td><td>TCP</td><td>at-5 - AppleTalk Unused</td></tr><tr><td>206</td><td>TCP</td><td>at-zis - AppleTalk Zone Information</td></tr><tr><td>207</td><td>TCP</td><td>at-7 - AppleTalk Unused</td></tr><tr><td>208</td><td>TCP</td><td>at-8 - AppleTalk Unused</td></tr><tr><td>209</td><td>TCP</td><td>tam - Trivial Mail Authentication Protocol</td></tr><tr><td>210</td><td>TCP</td><td>z39.50</td></tr><tr><td>211</td><td>TCP</td><td>914c/g - Texas Instruments 914C/G Terminal</td></tr><tr><td>212</td><td>TCP</td><td>anet - ATEXSSTR</td></tr><tr><td>213</td><td>TCP</td><td>Ipx</td></tr><tr><td>214</td><td>TCP</td><td>vmpwscs - VM PWSCS</td></tr><tr><td>215</td><td>TCP</td><td>softpc - Insignia Solutions</td></tr><tr><td>216</td><td>TCP</td><td>atls - Access Technology License Server</td></tr><tr><td>217</td><td>TCP</td><td>dbase - dBASE Unix</td></tr><tr><td>218</td><td>TCP</td><td>mpp - Netix Message Posting Protocol</td></tr><tr><td>219</td><td>TCP</td><td>uarps - Unisys ARPs</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>220</td><td>TCP</td><td>imap3 - Interactive Mail Access Protocol v3 RFC 1203</td></tr><tr><td>221</td><td>TCP</td><td>fln-spx - Berkeley rlogind with SPX auth</td></tr><tr><td>222</td><td>TCP</td><td>rsh-spx - Berkeley rshd with SPX auth</td></tr><tr><td>223</td><td>TCP</td><td>cdc - Certificate Distribution Center</td></tr><tr><td>243</td><td>TCP</td><td>sur-meas - Surveet Measurement</td></tr><tr><td>245</td><td>TCP</td><td>Link</td></tr><tr><td>246</td><td>TCP</td><td>dsp3270 - Display Systems Protocol</td></tr><tr><td>264</td><td>UDP</td><td>BGMP - Border Gateway Multicast Protocol</td></tr><tr><td>344</td><td>TCP</td><td>pdap - Prospero Data Access Protocol</td></tr><tr><td>345</td><td>TCP</td><td>pawserv - Perf Analysis Workbench</td></tr><tr><td>346</td><td>TCP</td><td>zserv - Zebra server</td></tr><tr><td>347</td><td>TCP</td><td>fatserv - Fatmen Server</td></tr><tr><td>348</td><td>TCP</td><td>csi-sgwp - Cabletron Management Protocol</td></tr><tr><td>371</td><td>TCP</td><td>Clearcase</td></tr><tr><td>372</td><td>TCP</td><td>ulistserv - Unix Listserv</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>373</td><td>TCP</td><td>legent-1 - Legent Corporation</td></tr><tr><td>374</td><td>TCP</td><td>legent-2 - Legent Corporation</td></tr><tr><td>375</td><td>TCP</td><td>Hassle</td></tr><tr><td>376</td><td>TCP</td><td>nip - Amiga Envoy Network Inquiry Proto</td></tr><tr><td>377</td><td>TCP</td><td>tnETOS - NEC Corporation</td></tr><tr><td>378</td><td>TCP</td><td>dsETOS - NEC Corporation</td></tr><tr><td>379</td><td>TCP</td><td>is99c - TIA/EIA/IS-99 modem client</td></tr><tr><td>380</td><td>TCP</td><td>is99s - TIA/EIA/IS-99 modem server</td></tr><tr><td>381</td><td>TCP</td><td>hp-collector - hp performance data collector</td></tr><tr><td>382</td><td>TCP</td><td>hp-managed-node - hp performance data managed node</td></tr><tr><td>383</td><td>TCP</td><td>hp-alarm-mgr - hp performance data alarm manager</td></tr><tr><td>384</td><td>TCP</td><td>arns - A Remote Network Server System</td></tr><tr><td>385</td><td>TCP</td><td>ibm-app - IBM Application</td></tr><tr><td>386</td><td>TCP</td><td>asa - ASA Message Router Object Def.</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>387</td><td>TCP</td><td>aurp - AppleTalk Update-Based Routing Pro.</td></tr><tr><td>388</td><td>TCP</td><td>unidata-ldm - Unidata LDM Version 4</td></tr><tr><td>389</td><td>TCP</td><td>Lightweight Directory Access Protocol (LDAP)</td></tr><tr><td>390</td><td>TCP</td><td>Uis</td></tr><tr><td>391</td><td>TCP</td><td>synotics-relay - SynOptics SNMP Relay Port</td></tr><tr><td>392</td><td>TCP</td><td>synotics-broker - SynOptics Port Broker Port</td></tr><tr><td>393</td><td>TCP</td><td>dis - Data Interpretation System</td></tr><tr><td>394</td><td>TCP</td><td>embl-ndt - EMBL Nucleic Data Transfer</td></tr><tr><td>395</td><td>TCP</td><td>NETscout Control Protocol</td></tr><tr><td>396</td><td>TCP</td><td>netware-ip - Novell NetWare encapsulé dans IP</td></tr><tr><td>397</td><td>TCP</td><td>mptn - Multi Protocol Trans. Net.</td></tr><tr><td>398</td><td>TCP</td><td>Kryptolan</td></tr><tr><td>400</td><td>TCP</td><td>work-sol - Worksation Solutions</td></tr><tr><td>401</td><td>TCP</td><td>ups - Uninterruptible Power Supply</td></tr><tr><td>402</td><td>TCP</td><td>genie - Genie Protocol</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>403</td><td>TCP</td><td>Decap</td></tr><tr><td>404</td><td>TCP</td><td>Nced</td></tr><tr><td>407</td><td>TCP</td><td>Timbuktu (software) (en)</td></tr><tr><td>408</td><td>TCP</td><td>prm-sm - Prospero Resource Manager Sys. Man.</td></tr><tr><td>409</td><td>TCP</td><td>prm-nm - Prospero Resource Manager Node Man.</td></tr><tr><td>410</td><td>TCP</td><td>decladebug - DECLadebug Remote Debug Protocol</td></tr><tr><td>411</td><td>TCP</td><td>rmt - Remote MT Protocol</td></tr><tr><td>412</td><td>TCP</td><td>synoptics-trap - Trap Convetion Port</td></tr><tr><td>413</td><td>TCP</td><td>Smsg</td></tr><tr><td>414</td><td>TCP</td><td>Infoseek</td></tr><tr><td>415</td><td>TCP</td><td>Bnet</td></tr><tr><td>416</td><td>TCP</td><td>Silverplatter</td></tr><tr><td>417</td><td>TCP</td><td>Onmux</td></tr><tr><td>418</td><td>TCP</td><td>hyper-g</td></tr><tr><td>419</td><td>TCP</td><td>ariel1</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>420</td><td>TCP</td><td>Smpte</td></tr><tr><td>421</td><td>TCP</td><td>ariel2</td></tr><tr><td>422</td><td>TCP</td><td>ariel3</td></tr><tr><td>423</td><td>TCP</td><td>opc-job-start - IBM Operations Planning and Control Start</td></tr><tr><td>424</td><td>TCP</td><td>opc-job-track - IBM Operations Planning and Control Track</td></tr><tr><td>425</td><td>TCP</td><td>icad-el - ICAD</td></tr><tr><td>426</td><td>TCP</td><td>Smartsdp</td></tr><tr><td>427</td><td>TCP</td><td>svrloc - Server Location</td></tr><tr><td>428</td><td>TCP</td><td>ocs_cmu</td></tr><tr><td>429</td><td>TCP</td><td>ocs_amu</td></tr><tr><td>430</td><td>TCP</td><td>Utmpsd</td></tr><tr><td>431</td><td>TCP</td><td>Utmpcd</td></tr><tr><td>432</td><td>TCP</td><td>Iasd</td></tr><tr><td>433</td><td>TCP</td><td>Nnsp</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>434</td><td>TCP</td><td>mobileip-agent</td></tr><tr><td>435</td><td>TCP</td><td>mobileip-mn</td></tr><tr><td>436</td><td>TCP</td><td>dna-cml</td></tr><tr><td>437</td><td>TCP</td><td>Comscm</td></tr><tr><td>438</td><td>TCP</td><td>Dsfgw</td></tr><tr><td>439</td><td>TCP</td><td>Dasp</td></tr><tr><td>440</td><td>TCP</td><td>Sgcp</td></tr><tr><td>441</td><td>TCP</td><td>decvms-sysmgt</td></tr><tr><td>442</td><td>TCP</td><td>cvc_hostd</td></tr><tr><td>443</td><td>TCP</td><td>https (SSL/TLS)</td></tr><tr><td>444</td><td>TCP</td><td>snpp - Simple Network Paging Protocol (en)</td></tr><tr><td>445</td><td>TCP/UDP</td><td>microsoft-ds SMB, anciennement appelé CIFS (Common Internet File System)</td></tr><tr><td>446</td><td>TCP</td><td>ddm-rdb</td></tr><tr><td>447</td><td>TCP</td><td>ddm-dfm</td></tr><tr><td>448</td><td>TCP</td><td>ddm-byte</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>449</td><td>TCP</td><td>as-servermap - AS Server Mapper</td></tr><tr><td>450</td><td>TCP</td><td>tserver</td></tr><tr><td>465</td><td>TCP</td><td>smtp sécurisé (ssl) (non officiel)</td></tr><tr><td>497</td><td>TCP</td><td>retrospect - Retrospect Backup software</td></tr><tr><td>500</td><td>TCP</td><td>ISAKMP (Internet Security Association and Key Management Protocol), un des composants d'IPsec</td></tr><tr><td>502</td><td>TCP</td><td>Modbus sur TCP.</td></tr><tr><td>514</td><td>UDP</td><td>Syslog RFC 3164 NB : ce service n'est pas listé habituellement dans le fichier etc\services</td></tr><tr><td>515</td><td>TCP</td><td>printer - spooler</td></tr><tr><td>517</td><td>TCP</td><td>talk</td></tr><tr><td>518</td><td>TCP</td><td>ntalk</td></tr><tr><td>520</td><td>UDP</td><td>Routing</td></tr><tr><td>525</td><td>TCP</td><td>timed - timeserver</td></tr><tr><td>526</td><td>TCP</td><td>tempo - newdate</td></tr><tr><td>546</td><td>UDP</td><td>DHCP - Dynamic Host Configuration Protocol v6 (for IPv6)</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>548</td><td>TCP</td><td>AppleShare IP Server</td></tr><tr><td>554</td><td>TCP</td><td>RTSP (Real Time Streaming Protocol) RFC 2326</td></tr><tr><td>563</td><td>TCP</td><td>nntp sécurisé (ssl) RFC 4642</td></tr><tr><td>587</td><td>TCP</td><td>Message Submission for Mail RFC 5068 RFC 6409</td></tr><tr><td>631</td><td>TCP</td><td>Internet Printing Protocol</td></tr><tr><td>636</td><td>TCP</td><td>LDAP encapsulé dans SSL/TLS</td></tr><tr><td>706</td><td>TCP</td><td>Secure internet live conferencing</td></tr><tr><td>706</td><td>UDP</td><td>Secure internet live conferencing</td></tr><tr><td>873</td><td>TCP</td><td>rsync</td></tr><tr><td>902</td><td>TCP/UDP</td><td>VMware Vsphere client et Vcenter heartbeat</td></tr><tr><td>989</td><td>TCP</td><td>Port de données File Transfer Protocol Secure</td></tr><tr><td>990</td><td>TCP</td><td>Port de connexion serveur FTPS</td></tr><tr><td>993</td><td>TCP</td><td>imap sécurisé (ssl)</td></tr><tr><td>995</td><td>TCP</td><td>pop3 sécurisé (ssl)</td></tr><tr><td>1080</td><td>TCP</td><td>SOCKS</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>1135</td><td>UDP/TCP</td><td>OmniVision Communication Service</td></tr><tr><td>1194</td><td>UDP/TCP</td><td>OpenVPN</td></tr><tr><td>1337</td><td>TCP/UDP</td><td>Port utilisé par les développeurs pour tester des applications (Leet speak)</td></tr><tr><td>1352</td><td>TCP</td><td>Lotus Notes</td></tr><tr><td>1414</td><td>TCP</td><td>IBM MQSeries</td></tr><tr><td>1433</td><td>TCP</td><td>Microsoft SQL Server</td></tr><tr><td>1434</td><td>TCP</td><td>Microsoft SQL Monitor</td></tr><tr><td>1521</td><td>TCP</td><td>Serveur Oracle<br>NB : ce numéro de port était (ou est) aussi utilisé par ncube-lm (nCUBE (en))</td></tr><tr><td>1524</td><td>TCP</td><td>Ingreslock, voir Ingres (base de données)</td></tr><tr><td>1720</td><td>TCP</td><td>H.323</td></tr><tr><td>1723</td><td>TCP</td><td>PPTP</td></tr><tr><td>1863</td><td>TCP</td><td>MSN (tchat)</td></tr><tr><td>1883</td><td>TCP</td><td>MQTT</td></tr><tr><td>2049</td><td>TCP</td><td>NFSv4</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>2106</td><td>TCP/UDP</td><td>L2J LoginServer</td></tr><tr><td>2164</td><td>TCP/UDP</td><td>Dynamic DNS</td></tr><tr><td>2382</td><td>TCP</td><td>ms-olap3</td></tr><tr><td>2427</td><td>UDP</td><td>MGCP</td></tr><tr><td>3000</td><td>TCP</td><td>First Class Server</td></tr><tr><td>3051</td><td>TCP</td><td>AMS (Agency Management System)</td></tr><tr><td>3074</td><td>TCP/UDP</td><td>nintendo server</td></tr><tr><td>3306</td><td>TCP</td><td>Mysql Server</td></tr><tr><td>3389</td><td>TCP</td><td>Microsoft Terminal Server (RDP)</td></tr><tr><td>3632</td><td>TCP</td><td>distcc (compilation partagée)</td></tr><tr><td>3644</td><td>TCP</td><td>Evidian, ssowatch</td></tr><tr><td>3725</td><td>TCP/UDP</td><td>Netia NA-ER Port</td></tr><tr><td>3979</td><td>TCP/UDP</td><td>Serveur Transport Tycoon deluxe en open source (openttd)</td></tr><tr><td>4569</td><td>UDP</td><td>IAX2 Inter-Asterisk-Exchange (rfc5456)</td></tr><tr><td>5003</td><td>TCP/UDP</td><td>FileMaker network sharing</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>5009</td><td>TCP/UDP</td><td>Apple AirPort Admin Utility, AirPort Express Assistant, Xwis</td></tr><tr><td>5060</td><td>TCP/UDP</td><td>serveur SIP (Session Initiation Protocol)</td></tr><tr><td>5062</td><td>TCP/UDP</td><td>Localisation access</td></tr><tr><td>5222</td><td>TCP</td><td>serveur Jabber</td></tr><tr><td>5223</td><td>TCP</td><td>serveur Jabber sécurisé (ssl)</td></tr><tr><td>5269</td><td>TCP</td><td>serveur à serveur (server to server) Jabber</td></tr><tr><td>5280</td><td>TCP</td><td>serveur BOSH</td></tr><tr><td>5353</td><td>TCP/UDP</td><td>Multicast DNS</td></tr><tr><td>5432</td><td>TCP</td><td>serveur PostgreSQL</td></tr><tr><td>5498</td><td>TCP</td><td>Hotline Tracker</td></tr><tr><td>5500</td><td>TCP</td><td>Hotline Server</td></tr><tr><td>5501</td><td>TCP</td><td>Hotline Server</td></tr><tr><td>5900</td><td>TCP</td><td>VNC Server</td></tr><tr><td>5984</td><td>TCP</td><td>CouchDB Server</td></tr><tr><td>6000</td><td>TCP/UDP</td><td>X11</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>6112</td><td>TCP</td><td>Warcraft III</td></tr><tr><td>6522</td><td>TCP</td><td>Gobby Server (Sobby)</td></tr><tr><td>6557</td><td>TCP</td><td>Monitoring</td></tr><tr><td>6667</td><td>TCP</td><td>Serveur IRC</td></tr><tr><td>6697</td><td>TCP</td><td>Serveur IRC sécurisé (ssl)</td></tr><tr><td>7000</td><td>TCP</td><td>Serveur IRC sécurisé (ssl) alternatif</td></tr><tr><td>7648</td><td>TCP</td><td>CU-SeeMe (en)</td></tr><tr><td>7725</td><td>TCP/UDP</td><td>Port par défaut de Faronics Deep Freeze (console/serveur)</td></tr><tr><td>7777</td><td>TCP/UDP</td><td>Serveur Terraria / L2J Gameserver</td></tr><tr><td>8000</td><td>TCP</td><td>Hotline</td></tr><tr><td>8006</td><td>TCP</td><td>Dell AppAssure (en) Replication/Management Interface</td></tr><tr><td>8008</td><td>TCP</td><td>Serveur CalDAV</td></tr><tr><td>8009</td><td>TCP</td><td>Port AJP utilisé par Tomcat</td></tr><tr><td>8080</td><td>TCP</td><td>http alternatif (webcache)</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>8098</td><td>TCP</td><td>Administration Microsoft Windows Server 2003</td></tr><tr><td>8140</td><td>TCP</td><td>Serveur Puppet (port par défaut pour le master)</td></tr><tr><td>8443</td><td>TCP</td><td>Serveur CalDAV sécurisé (ssl)</td></tr><tr><td>8787</td><td>TCP</td><td>Serveur RStudio</td></tr><tr><td>8883</td><td>TCP</td><td>MQTT sécurisé (SSL)</td></tr><tr><td>8888</td><td>TCP</td><td>VolumeOnLan client/serveur</td></tr><tr><td>9000</td><td>TCP/UDP</td><td>Cslistener</td></tr><tr><td>9009</td><td>TCP</td><td>Pichat - Peer to peer webchat software</td></tr><tr><td>9443</td><td>TCP</td><td>VMware HTTPS (TCP) Accès et administration de vCenter Server via l'interface Web</td></tr><tr><td>10001</td><td>TCP/UDP</td><td>SCP-Config</td></tr><tr><td>10011</td><td>TCP</td><td>Accès distant Livebox sécurisé HTTPS</td></tr><tr><td>11371</td><td>TCP/UDP</td><td>OpenPGP - OpenPGP HTTP Keyserver</td></tr><tr><td>20003</td><td>TCP/UDP</td><td>WriteEasy Office: Coordination affichage utilisateur et serveur local | Serveur API pour logiciels tiers</td></tr><tr><td>22968</td><td>TCP</td><td>Plex media server</td></tr></tbody></table>
<table><thead><tr><td>n°</td><td>Type</td><td>Description</td></tr></thead><tbody><tr><td>25444</td><td>TCP</td><td>Serveur Unturned</td></tr><tr><td>25565</td><td>TCP/UDP</td><td>Serveur Minecraft</td></tr><tr><td>27000 à 27050</td><td>TCP/UDP</td><td>Serveur Steam</td></tr><tr><td>27017</td><td>TCP</td><td>MongoDB</td></tr><tr><td>47808 à 47823</td><td>UDP</td><td>BACnet (BAC0</td></tr></tbody></table>

## II.2 LES VULNERABILITES INFORMATIQUES

### II.2.1 PRESENTATION

Dans le domaine de la sécurité informatique, une **vulnérabilité** ou **faille** est une faiblesse dans un système informatique permettant à un attaquant de porter atteinte à l'intégrité de ce système, c'est-à-dire à son fonctionnement normal, à la confidentialité ou à l'intégrité des données qu'il contient.

Ces vulnérabilités sont la conséquence de faiblesses dans la conception, la mise en œuvre ou l'utilisation d'un composant matériel ou logiciel du système, mais il s'agit souvent d'anomalies logicielles liées à des erreurs de programmation ou à de mauvaises pratiques. Ces dysfonctionnements logiciels sont en général corrigés à mesure de leurs découvertes, mais l'utilisateur reste exposé à une éventuelle exploitation tant que le correctif (temporaire ou définitif) n'est pas publié et installé. C'est pourquoi il est important de maintenir les logiciels à jour avec les correctifs fournis par les éditeurs de logiciels. La procédure d'exploitation d'une vulnérabilité logicielle est appelée exploit.
## II.2.2 Causes

Les vulnérabilités informatiques proviennent souvent de la négligence ou de l'inexpérience d'un programmeur. Il peut y avoir d'autres causes liées au contexte comme l'évolution des technologies, notamment en cryptographie. Une vulnérabilité permet généralement à l'attaquant de duper l'application, par exemple en outrepassant les vérifications de contrôle d'accès ou en exécutant des commandes sur le système hébergeant l'application.

Quelques vulnérabilités surviennent lorsque l'entrée d'un utilisateur n'est pas contrôlée, permettant l'exécution de commandes ou de requêtes SQL (connues sous le nom d'injection SQL). D'autres proviennent d'erreurs d'un programmeur lors de la vérification des buffers de données (qui peuvent alors être dépassés), causant ainsi une corruption de la pile mémoire (et ainsi permettre l'exécution de code fourni par l'attaquant).

## II.2.3 Publication d'une vulnérabilité

### Méthode de publication

La méthode de publication des vulnérabilités est un sujet qui fait débat au sein de la communauté de la sécurité des systèmes d'information. Certains affirment qu'il est nécessaire de publier immédiatement toutes les informations à propos d'une vulnérabilité dès qu'elle a été découverte (full disclosure). D'autres prétendent qu'il est préférable de limiter en premier lieu la publication uniquement aux utilisateurs qui en ont un besoin important (divulgation responsable, voire coordonnée), puis après un certain délai, de publier en détail, s'il y a besoin.

Ces délais peuvent permettre de laisser le temps aux développeurs de corriger la vulnérabilité et à ces utilisateurs d'appliquer les patchs de sécurité nécessaires, mais peuvent aussi accroître les risques pour ceux qui n'ont pas ces informations. Les éditeurs de logiciels appellent cette méthode de publication la divulgation responsable et encouragent les chercheurs en sécurité à l'utiliser. En théorie, ces délais permettent aux éditeurs de publier les correctifs nécessaires pour protéger leurs logiciels et leurs utilisateurs, mais en pratique, cela ne les contraint pas à corriger les vulnérabilités. Il a ainsi pu arriver que certaines vulnérabilités soient restées non corrigées pendant des mois voire des années, tant qu'aucun exploit n'a été publié. Devant cette situation, certains ont décidé de