# NOTES DU COURS DE SÉCURITÉ INFORMATIQUE ET CRYPTOGRAPHIE.

Djamba Tunda-Olembe

► To cite this version:

Djamba Tunda-Olembe. NOTES DU COURS DE SÉCURITÉ INFORMATIQUE ET CRYPTOGRAPHIE.. Licence. Cours de Sécurité informatique et cryptographie, Lubumbashi, Congo-Kinshasa. 2024, pp.130. hal-04858386

HAL Id: hal-04858386

https://hal.science/hal-04858386v1

Submitted on 29 Dec 2024

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
REPUBLIQUE DEMOCRATIQUE DU CONGO

ENSEIGNEMENT SUPERIEUR ET UNIVERSITAIRE

UNIVERSITE MARIA MALKIA

COURS DE SECURITE INFORMATIQUE ET
CRYPTOGRAPHIE

BAC 3 INFORMATIQUE

PAR MASTER ING TUNDA-OLEMBE DJAMBA

NOVEMBRE 2024
# PRESENTATION DU COURS

## 0.1 Liminaire

La sécurité Informatique est l'ensemble des moyens misent en œuvre pour réduire les vulnérabilités d'un système information contre les menaces éventuelles auxquelles il peut être confronté. Les principales solutions de sécurité se basent sur la mise en œuvre des procédures de contrôle d'accès, des surveillances et des techniques de chiffrement et d'isolation de l'environnement.

Avec le développement de l'utilisation d'internet, de plus en plus d'entreprises ouvrent leur système d'information à leurs partenaires ou leurs fournisseurs, il est donc essentiel de connaître les ressources de l'entreprise à protéger et de maîtriser le contrôle d'accès et les droits des utilisateurs du système d'information. Il en va de même lors de l'ouverture de l'accès de l'entreprise sur internet.

Par ailleurs, avec le nomadisme, consistant à permettre aux personnels de se connecter au système d'information à partir de n'importe quel endroit, les personnels sont amenés à « transporter » une partie du système d'information hors de l'infrastructure sécurisé de l'entreprise.

Avec le développement de l'utilisation d'internet, de plus en plus d'entreprises ouvrent leur système d'information à leurs partenaires ou leurs fournisseurs, il est donc essentiel de connaître les ressources de l'entreprise à protéger et de maîtriser le contrôle d'accès et les droits des utilisateurs du système d'information. Il en va de même lors de l'ouverture de l'accès de l'entreprise sur internet.

Par ailleurs, avec le nomadisme, consistant à permettre aux personnels de se connecter au système d'information à partir de n'importe quel endroit, les personnels sont amenés à « transporter » une partie du système d'information hors de l'infrastructure sécurisé de l'entreprise. Hors que toute ordinateur connecté à un réseau ou l'Internet est potentiellement vulnérable à une attaque informatique. Ces attaques sont la plupart lancés automatiquement par des machines infectées par des programmes malveillants (virus, vers, cheval de Troie, Rootkit spams,...), à l'insu. Par conséquent, il faut mettre en œuvre les mesures de sécurité pour protéger le système d'information de l'entreprise.

La sécurité du système d'information d'une entreprise est un **requis** pour la poursuite de ses activités.
**La Cryptographie** est l'étude des méthodes donnant la possibilité d'envoyer des données de manière confidentielle sur un support donné. Les fonctions principales de la Cryptographie sont le Chiffrement, le Déchiffrement et la Clé.

## 0.2. Prérequis

1. Cours d'architecture des ordinateurs

2. Cours d'Algorithmique et programmation

3. Cours des réseaux informatiques

## 0.3. Les objectifs des compétences

Ce cours a les objectifs des compétences suivants :

1. Familiariser les étudiants avec la terminologie et les concepts de la sécurité informatique ;

2. Donner aux étudiants un concentré d'informations sur tout ce qui concerne la sécurité informatique ;

3. Sensibiliser les étudiants risques liés aux attaques informatiques et

4. Amener les étudiants à prendre conscience de l'importance de la sécurité informatique pour la poursuite des activités d'une entreprise informatisée.

## 0.4. Les objectifs d'apprentissage

A la fin de ce cours l'étudiant ou l'étudiante doit être capable de :

1. Dégager une compréhension globale et cohérente du domaine de la sécurité informatique être au fait des enjeux, des problématiques et des solutions proposés dans la littérature technique ;

2. Elaborer des modèles d'organisation, des procédures, et de bonnes pratiques permettant de sécuriser un système dé information ;

3. Elaborer des procédures pour s'assurer que les mesures de sécurité sont efficaces et que les usagers restent conformes aux procédures et aux bonnes pratiques et
4. Mettre en œuvre la politique de sécurité de l'entreprise, les mécanismes de protection du système d'information de l'entreprise et les outils de l'audit de sécurité informatique.

## 0.5. Les savoirs sous-jacents

### Chapitre 1 : Les fondements de la sécurité informatique

1.1. Généralités sur la sécurité informatique, vulnérabilités informatiques et risques

1.2. Les attaques informatiques

1.3. Les programmes malveillants (Malwares)

1.4. Les logiciels de sécurité informatique (les logiciels anti-programmes malveillants)

1.5. Le pare-feu

1.6. Les protocoles de sécurité

### Chapitre 2 : Les ports logiques, les vulnérabilités informatiques et les journaux d'évènements Logs

2.1 Les ports logiques

2.2 Les vulnérabilités informatiques

2.3 Les journaux d'évènements logs

### Chapitre 3 : Introduction aux outils de sécurité informatique

3.1 Les scanneurs de ports et l'outil de sécurité informatique
Nmap

3.2 Les scanneurs des vulnérabilités informatiques et l'outil
de sécurité Informatique NESSUS

3.3 Les tests d'intrusions et l'outil de sécurité informatique
SNORT

3.4 La surveillance et l'analyse des journaux logs et les
outils de sécurité Informatique SYSLOG-ng et
AWAStats

Chapitre 4 : Les normes et méthodes de sécurité informatiques

4.1 Introduction

4.2 Les normes de sécurité informatiques

4.3 Les principales méthodes de sécurité informatique

Chapitre 5 : Notions de Cryptographie

5.1 Introduction à la Cryptographie

5.2 Cryptographie classique

5.3 Le chiffrement par clé publique

5.4 La gestion de clé

**0.6 Bibliographie**

A. Livres

1. PILLOU J.F. : « Tout sur la sécurité informatique », Editions DUNOD,
Paris, 2016

2. BLOCH L. et WOLFHUGEL C. : « Sécurité informatiques : principes et Méthodes », Editions EYROLLES, Paris, 2023

B. Autres sources

1. DUMAN R. : « Cours de Cryptographie et sécurité informatique »,
[En ligne], 2010, https : [www.fr.Slieshare](https://www.fr.Slieshare). [Consulté le01/
12/ 2024]

3. TUNDA-OLEMBE D. : « Cours de sécurité informatique niveau master »
[En ligne], 2018, https : [www.fr.scribd.com](https://www.fr.scribd.com). [Consulté
01/12/ 2024]

**0.7 Méthode de communication**

1. Cours théorique orienté vers la pratique ;
2. Travaux et discussion en groupe ;

3. Organisation TD et TP ;
Autoformation

**0.8 Méthode d'évaluation**

1. Travaux pratiques ;

2. Interrogations ;

3. Examen
# CHAPITRE 1. LES FONDEMENTS DE LA SECURITE INFORMATIQUE

## I.1 GENERALITES, PRINCIPE ET VULNERABILITES

### I.1.1 Generalites

Avec le développement de l'utilisation d'internet, de plus en plus d'entreprises ouvrent leur système d'information à leurs partenaires ou leurs fournisseurs, il est donc essentiel de connaître les ressources de l'entreprise à protéger et de maîtriser le contrôle d'accès et les droits des utilisateurs du système d'information. Il en va de même lors de l'ouverture de l'accès de l'entreprise sur internet.

Par ailleurs, avec le nomadisme, consistant à permettre aux personnels de se connecter au système d'information à partir de n'importe quel endroit, les personnels sont amenés à « transporter » une partie du système d'information hors de l'infrastructure sécurisée de l'entreprise.

Avec le développement de l'utilisation d'internet, de plus en plus d'entreprises ouvrent leur système d'information à leurs partenaires ou leurs fournisseurs, il est donc essentiel de connaître les ressources de l'entreprise à protéger et de maîtriser le contrôle d'accès et les droits des utilisateurs du système d'information. Il en va de même lors de l'ouverture de l'accès de l'entreprise sur internet.

Par ailleurs, avec le nomadisme, consistant à permettre aux personnels de se connecter au système d'information à partir de n'importe quel endroit, les personnels sont amenés à « transporter » une partie du système d'information hors de l'infrastructure sécurisée de l'entreprise.

**La sécurité Informatique** est l'ensemble des moyens mis en œuvre pour réduire les vulnérabilités d'un système information contre les menaces éventuelles auxquelles il peut être confronté. Les principales solutions de sécurité se basent sur la mise en œuvre des procédures de contrôle d'accès, des surveillances et des techniques de chiffrement et d'isolation de l'environnement.

**Un risque** permet de mesurer les possibilités de l'occurrence d'un événement associé à une situation ou une action. Dans le cas de la sécurité informatique en entreprise, il s'agit de ce que l'on peut perdre en l'absence des moyens adéquat de sécurisation. Lorsqu'on évoque les risques logiques tels qu'intrusion, usurpation d'identité, malveillance, vol d'information, modification d'information..., et les risques physiques tels que les défaillances matérielles, les dommages électriques, les actes de vandalisme..., etc.

**Une politique de sécurité** peut être vue comme l'ensemble des modèles d'organisation, des procédures et des bonnes pratiques techniques permettant d'assurer la sécurité du système d'information.

Mais qu'est-ce que la sécurité d'un SI ? Elle tourne autour des 6 principaux concepts suivants : l'intégrité des données, la confidentialité de l'information et des échanges, la disponibilité
des services, l'authentification des utilisateurs, la non répudiation des transactions et le respect de la vie privée.

Pour garantir la sécurité, une politique de sécurité est généralement organisée autour de 3 axes majeurs : la sécurité physique des installations, la sécurité logique du système d'information et la sensibilisation des utilisateurs aux contraintes de sécurité.

**Un audit de sécurité** permet de mettre en évidence les faiblesses de la mise en œuvre d'une politique de sécurité. Le problème peut venir de la politique elle-même : mal conçue ou inadaptée aux besoins de l'entreprise, ou bien d'erreurs quant à sa mise en application.

Des audits sont nécessaires : suite à la mise en place initiale d'une politique de sécurité, puis régulièrement pour s'assurer que les mesures de sécurité sont mises à niveau et que les usages restent conformes aux procédures.

### I.1.2 Principe de la sécurité informatique

Le système d'information est généralement défini par l'ensemble des données et des ressources matérielles et logicielles de l'entreprise permettant de les stocker ou de les faire circuler. Le système d'information représente un patrimoine essentiel de l'entreprise, qu'il convient de protéger.

La sécurité informatique, d'une manière générale, consiste à assurer que les ressources matérielles ou logicielles d'une organisation sont uniquement utilisées dans le cadre prévu.

La sécurité informatique vise généralement cinq principaux objectifs :

* **L'intégrité de l'information** : c'est-à-dire garantir que seules les personnes autorisées qui peuvent modifier ou détruire l'information ;

* **La confidentialité de l'information et des échanges** : elle consiste à assurer que seules les personnes autorisées aient accès à l'information et aux échanges ;

* **La disponibilité des services et des ressources** : elle consiste à garantir l'accès aux services et aux ressources à des personnes autorisées;

* **La non répudiation des transactions** : elle consiste à garantir que l'accès à l'information et aux ressources ne doit pas être refusé à des personnes autorisées ;

* **L'authentification** : elle consiste à assurer que seules les personnes autorisées aient accès aux ressources et à l'information.

* **Le respect de la vie privée** : elle consiste à exiger l'autorisation de l'utilisateur avant d'accéder à ses données privés.

#### La confidentialité

La confidentialité consiste à rendre l'information inintelligible à d'autres personnes que les seuls acteurs de la transaction.
## L'intégrité

Vérifier l'intégrité des données consiste à déterminer si les données n'ont pas été altérées durant la communication (de manière fortuite ou intentionnelle).

## La disponibilité

L'objectif de la disponibilité est de garantir l'accès à un service ou à des ressources.

## La non-répudiation

La non-répudiation de l'information est la garantie qu'aucun des correspondants ne pourra nier la transaction.

## L'authentification

L'authentification consiste à assurer l'identité d'un utilisateur, c'est-à-dire de garantir à chacun des correspondants que son partenaire est bien celui qu'il croit être. Un contrôle d'accès peut permettre (par exemple par le moyen d'un mot de passe qui devra être crypté) l'accès à des ressources uniquement aux personnes autorisées.
### I.1.3 VULNERABILITE(FAILLE) ET RISQUES

**Vulnérabilité** : erreur de conception (bug) dans un produit pouvant altérer la sécurité du système

**Où peut-on trouver des vulnérabilités ?**

* au niveau du système d'exploitation

* au niveau applicatif

* au niveau du réseau

### CAUSES DE VULNERABILITES ET SOLUTION

* **Principales causes :**

* les données transitent d'une machine à une autre dans un milieu non sécurisé/sécurisable (internet).

* failles applicatives de certaines piles de protocoles TCP/IP.

* mécanisme d'authentification insuffisant (ex : rsh, rlogin).

* **Principales solutions mises en oeuvre :**

* utiliser des méthodes de chiffrement.

* corriger les failles applicatives de piles des protocoles.

* filtrer les accès aux différents services.

**Un risque** permet de mesurer les possibilités de l'occurrence d'un événement, associé à une situation ou une activité. De l'autre côté, un enjeu est grossièrement ce que l'on peut gagner ou perdre en posant un acte. Dans le cas de la sécurité informatique en entreprise, il s'agit plutôt de ce que l'on peut perdre, en l'absence de moyens adéquat de sécurisation.<fnref n="1" /> Lorsque l'on évoque les risques susceptibles d'engendrer un incident informatique sur le Système d'Information d'une entreprise, on distingue deux grandes catégories :

* Les risques physiques;

* Les risques logiques.

<footnote n="1">¹AMAN VLADIMIR, Concevoir la Sécurité Informatique en Entreprise, p23.</footnote>
a) Les risques physiques

Il s'agit de toutes les atteintes physiques directes dont peut être victime un système d'informations au cours de son cycle de vie. On les appelle également risques matériels, parce qu'ils ont trait à l'intégrité du matériel.

Ces risques physiques peuvent être d'origine accidentelle ou malveillante et les conséquences sont aisément identifiables. Ces incidents détériorent les ressources matérielles du système d'information et peuvent avoir un impact direct sur les actifs informationnels que contiennent les systèmes informatiques.

Les risques physiques constituent dans la conception traditionnelle de la sécurité, les premières sources d'inquiétude des responsables d'entreprise en termes de sécurité, même si en pratique, ils ne représentent qu'un faible pourcentage des sinistres informatiques enregistrés en entreprise.

b) Les risques logiques

Avec le développement fulgurant de l'informatique distribuée par opposition à l'informatique centralisée, les données et les applications ont acquis une importance plus grande. En effet, l'on assiste à une migration progressive de la valeur du matériel vers la valeur des données et des applications. La question principale est de savoir comment évaluer et analyser la valeur de ce qui n'est pas physique, donc immatériel c'est-à-dire **la donnée**.

c) Quelques considérations sur les risques

C'est pour répondre à cette question que sont apparues les notions d'accident, d'erreur et de malveillance, directement issues des méthodes d'analyse des risques développées ces dernières années.

1) **L'accident** : Il s'agit là d'un événement perturbant les données ou les flux de données, en l'absence de dommages physiques aux équipements (altération physique du matériel).

2) **L'erreur** : Il peut s'agir d'une erreur de conception, de programmation, de paramétrage ou de manipulation des données et de leurs supports. L'erreur désigne des préjudices consécutifs à l'intervention humaine dans le processus de traitement automatisé des données. Elles constituent les risques les plus fréquents dans le cycle de vie d'un système d'information en entreprise.

3) **La malveillance** : Il s'agit de tous actes traduisant la volonté manifeste de son auteur de faire usage, sans autorisation d'un système d'information, avec des intentions préjudiciables. Le virus informatique et l'acte de malveillance le plus médiatisé, quoiqu'il en existe une très grande diversité (Chevaux de Troie, etc.).

4) **Vol d'informations** : Avec Internet, le vol s'en trouve dématérialisé, étant donné que l'objet dérobé est une valeur virtuelle, voire abstraite. Il s'agit pour l'entreprise de risques tels que : espionnage industriel, vol des listes des clients, vol d'informations comportant des données
personnelles de clients ou du personnel, vol des plans ou les recettes des productions, vol
de la comptabilité.

5) **Usurpation d'identité** : Utilisation du compte d'un client ou d'un partenaire, utilisation des identifiants d'une personne de l'entreprise à des fins malveillantes, etc. Une usurpation d'identité peut avoir des conséquences énormes sur l'image de marque d'une entreprise.
# I.2 ATTAQUES INFORMATIQUES ET PROTECTION

## I.2.1 ATTAQUES INFORMATIQUES

Tout ordinateur connecté à un réseau est potentiellement vulnerable aux attaques.

La sécurité de l'information traite de la prévention de la fraude, ou, à défaut, de sa détection dans des systèmes d'information à l'intérieur desquels l'information elle-même n'a pas d'existence physique significative. On verra dans les transparents suivants une liste d'exemples évidents de tricherie, qui se sont produits dans des cas réels. Ce sont des exemples d'attaques spécifiques qu'une organisation ou un individu peut avoir à affronter. La nature de l'attaque varie considérablement selon les circonstances.
Heureusement, il est possible d'approcher le problème en examinant les types génériques d'attaques pouvant être rencontrées. Ce sera le sujet de la prochaine section.

* Obtenir un accès non autorisé à l'information (c'est-à-dire, violer secret ou confidentialité);

* Usurper l'identité d'un autre utilisateur pour modifier ses attributs de responsabilité ou pour utiliser les droits de ce dernier dans le but de

* diffuser une information frauduleuse;

* modifier une information légitime;

* utiliser une identité frauduleuse pour obtenir un accès non autorisé;

* faciliter des transactions frauduleuses ou en tirer partie.

* Refuser la responsabilité d'une information que le fraudeur a diffusée;

* Prétendre avoir reçu de la part d'un autre utilisateur une information en fait créée par le fraudeur (par exemple, de fausses attributions de responsabilité ou de confiance).
* Prétendre avoir envoyé (à un moment donné) une information qui soit n'a pas été envoyée, soit l'a été à un autre moment ;

* Nier avoir reçu une information ou prétendre qu'elle a été reçue à un autre moment ;

* Étendre des droits d'un fraudeur (pour un accès à des informations) ;

* Modifier (sans autorisation) les droits d'autrui (les inscrire, restreindre ou élargir leurs droits, etc.) ;

* Dissimuler la présence d'information (la communication cachée) dans une autre information (la communication déclarée) ;

* S'insérer dans un lien de communication entre d'autres utilisateurs en tant que point de relai actif (et indétecté) ;

* Apprendre qui a accès à une information donnée (fichiers, etc.) et quand les accès sont réalisés, même si l'information elle-même reste cachée (par exemple, la généralisation de l'analyse de traffic de canaux de communication à des bases de données, des logiciels etc.).

* Mettre en cause l'intégrité d'un protocole en révélant une information que le fraudeur est censé (selon les termes du protocole) garder secrète ;

* Pervertir la fonction d'un logiciel, en général par l'ajout d'une fonction cachée ;

* Faire qu'autrui viole un protocole en introduisant une information incorrecte ;

* Saper la confiance en un protocole en causant des défaillances visibles dans le système ;

* Empêcher la communication entre d'autres utilisateurs, en particulier par des interférences afin que la communication authentique soit rejetée comme non authentique.

Les menaces se multipliant ces derniers temps (virus, vers, spyware, intrusions), il est primordial de savoir quelles attitudes et actions adopter pour se prémunir et réagir aux problèmes de sécurité. A côté de ça un autre problème (le spam) augmente aussi de manière inquiétante...
Une **menace** (*threat*) représente une action susceptible de nuire, tandis qu'une **vulnérabilité** (*vulnerability*, appelée parfois faille ou brèche) représente le niveau d'exposition face à la menace dans un contexte particulier. La **contre-mesure** (ou parade), elle, représente l'ensemble des actions mises en œuvre en prévention de la menace.

Les contre-mesures ne sont généralement pas uniquement des solutions techniques mais également des mesures de formation et de sensibilisation à l'attention des utilisateurs, ainsi qu'un ensemble de règles clairement définies.

Les contre-mesures ne sont généralement pas uniquement des solutions techniques mais également des mesures de formation et de sensibilisation à l'attention des utilisateurs, ainsi qu'un ensemble de règles clairement définies.

Afin de pouvoir sécuriser un système, il est nécessaire d'identifier les menaces potentielles, et donc de connaître et de prévoir la façon de procéder de l' « ennemi ». Le but de cet ouvrage est ainsi de donner un aperçu des menaces, des motivations éventuelles des pirates, de leur façon de procéder, afin de mieux comprendre comment il est possible de limiter les risques.

Une **attaque** est l'exploitation d'une faille d'un système informatique (système d'exploitation, logiciel ou bien même de l'utilisateur) à des fins non connues par l'exploitant du système et généralement préjudiciables.

Sur Internet des attaques ont lieu en permanence, à raison de plusieurs attaques par minute sur chaque machine connectée. Ces attaques sont pour la plupart lancées automatiquement à partir de machines infectées (par des virus, chevaux de Troie, vers, etc.), à l'insu de leur propriétaire. Plus rarement il s'agit de l'action de **pirates informatiques**.

Afin de contrer ces attaques, il est indispensable de connaître les principaux types d'attaques afin de mieux s'y préparer.
Les motivations des attaques sont de différentes sortes :

* obtenir un accès au système ;

* voler des informations, tels que des secrets industriels ou des propriétés intellectuelles ;

* glaner des informations personnelles sur un utilisateur ;

* récupérer des données bancaires ;

* s'informer sur l'organisation (entreprise de l'utilisateur, etc.) ;

* troubler le bon fonctionnement d'un service ;

* utiliser le système de l'utilisateur comme « rebond » pour une attaque ;

* utiliser les ressources du système de l'utilisateur, notamment lorsque le réseau sur lequel il est situé possède une bande passante élevée.

La sécurité de l'information traite de la prévention de la fraude, ou, à défaut, de sa détection dans des systèmes d'information à l'intérieur desquels l'information elle-même n'a pas d'existence physique significative. On verra dans les transparents suivants une liste d'exemples évidents de tricherie, qui se sont produits dans des cas réels. Ce sont des exemples d'attaques spécifiques qu'une organisation ou un individu peut avoir à affronter. La nature de l'attaque varie considérablement selon les circonstances.

Heureusement, il est possible d'approcher le problème en examinant les types génériques d'attaques pouvant être rencontrées. Ce sera le sujet de la prochaine section.
## ☐ Types d'attaques

Les systèmes informatiques mettent en œuvre différentes composantes, allant de l'électricité pour alimenter les machines au logiciel exécuté via le système d'exploitation et utilisant le réseau.

Les **attaques** peuvent intervenir à chaque maillon de cette chaîne, pour peu qu'il existe une vulnérabilité exploitable. Le schéma suivant rappelle très sommairement les différents niveaux pour lesquels un risque en matière de sécurité existe.

<figure><img src="image_2.png" /></figure>

Il est ainsi possible de catégoriser les risques de la manière suivante :
**Accès physique** : il s'agit d'un cas où l'attaquant à accès aux locaux, éventuellement même aux machines :

* coupure de l'électricité ;

* extinction manuelle de l'ordinateur ;

* vandalisme ;

* ouverture du boîtier de l'ordinateur et vol de disque dur ;

* écoute du trafic sur le réseau ;

* ajout d'éléments (clé USB, point d'accès WiFi...).

**Interception de communications** :

* vol de session (session hijacking) ;

* usurpation d'identité ;

* détournement ou altération de messages.

**Dénis de service** : il s'agit d'attaques visant à perturber le bon fonctionnement d'un service. On distingue habituellement les types de déni de service suivant :

* exploitation de faiblesses des protocoles TCP/IP ;

* exploitation de vulnérabilité des logiciels serveurs.

**Intrusions** :

* balayage de ports ;

* élévation de privilèges : ce type d'attaque consiste à exploiter une vulnérabilité d'une application en envoyant une requête spécifique, non prévue par son concepteur, ayant pour effet un comportement anormal conduisant parfois à un accès au système avec les droits de l'application. Les attaques par débordement de tampon (buffer overflow) utilisent ce principe.

* Maliciels (virus, vers et chevaux de Troie).
* **Ingénierie sociale** : dans la majeure partie des cas le maillon faible est l'utilisateur lui-même ! En effet, c'est souvent lui qui, par méconnaissance ou par duperie, va ouvrir une brèche dans le système, en donnant des informations (mot de passe par exemple) au pirate informatique ou en exécutant une pièce jointe. Ainsi, aucun dispositif de protection ne peut protéger l'utilisateur contre les arnaques, seuls le bon sens, la raison et un peu d'informations sur les différentes pratiques peuvent lui éviter de tomber dans le piège ! La montée en puissance des réseaux sociaux sur le Web a donné encore plus d'importance à ce type d'attaque (voir chap. 3, *Attaque par ingéniérie sociale*).

* **Trappes** : il s'agit d'une porte dérobée (*backdoor*) dissimulée dans un logiciel, permettant un accès ultérieur à son concepteur.

### I.2.2 PROTECTION

#### Antivirus

* Principe de fonctionnement

* Détection des malwares

* Antivirus mais pas seulement

#### Système pare-feu (firewall)

* Principe de fonctionnement

* Pare-feu personnel

* Zone démilitarisée (DMZ)

* Limites des systèmes pare-feu

* Honeypots

#### Serveurs mandataires (proxy)

* Principe de fonctionnement

* Fonctionnalités d'un serveur proxy

* Translation d'adresses (NAT)

* Reverse-proxy
## Systèmes de détection d'intrusions

* Techniques de détection

* Méthodes d'alertes

* Enjeu

## Réseaux privés virtuels

* Fonctionnement d'un VPN

* Protocoles de tunnelisation

* Protocole PPTP

* Protocole L2TP

* Protocole SSTP

* Protocole IPSec

## IPv6 et la sécurité

* Les améliorations apportées par IPv6

* Des PC directement exposés

* Menaces sur la vie privée

* Rareté = danger

## Biométrie et carte à puce

## I.3 LES PROGRAMMES MALVEILLANTS (MALWARES)

On appelle **malware** (ou **programme malveillant, maliciel**) un programme ou une partie de programme destiné à perturber, altérer ou détruire tout ou partie des éléments logiciels indispensables au bon fonctionnement d'un système informatique.

On distingue principalement sept types de programmes malveillants : les virus informatiques, les bombes logiques, les vers, les chevaux de Troie, les *rootkits*, les *keyloggers* et les *spywares*.

### I.3.1 LES VIRUS

#### I.3.1.1 GENERALITES
Un virus est un petit programme informatique situé dans le corps d'un autre, qui, lorsqu'on le lance, se charge en mémoire et exécute les instructions que son auteur a programmées. La définition d'un virus pourrait être la suivante :

« Tout programme d'ordinateur capable d'infecter un autre programme d'ordinateur en le modifiant de façon à ce qu'il puisse à son tour se reproduire. »

Le véritable nom donné aux virus est **CPA** (soit code auto-propriégeable), mais par analogie avec le domaine médical, le nom de **virus** leur a été donné.

Les **virus résidents** (appelés **TSR**, Terminate and Stay Resident) se chargent dans la mémoire vive de l'ordinateur afin d'infecter les fichiers exécutables lancés par l'utilisateur. Les virus non-résidents

infectent les programmes présents sur le disque dur dès leur exécution.

Le champ d'application des virus va de la simple balle de ping-pong qui traverse l'écran au virus destructeur de données, ce dernier étant la forme de virus la plus dangereuse. Avec la « professionnalisation » de la création des virus, ces virus destructeurs ont pratiquement disparu : il ne rapporte rien de détruire des données. Par contre, des virus cryptant les fichiers existent : ces malwares servent à des maîtres chanteurs pour récupérer de l'argent de leur victime en échange de la clé pour décrypter leurs documents.

### I.3.2.2 TYPES DE VIRUS

#### Types de virus

##### Virus mutants

En réalité, la plupart des virus sont des clones, ou plus exactement des **virus mutants**, c'est-à-dire des virus ayant été réécrits par d'autres utilisateurs afin d'en modifier leur comportement ou leur signature.

Le fait qu'il existe plusieurs versions (on parle de **variantes**) d'un même virus le rend d'autant plus difficile à repérer dans la mesure où
les éditeurs d'antivirus doivent ajouter ces nouvelles signatures à leurs bases de données.

### ☐ Virus polymorphes

Dans la mesure où les antivirus détectent notamment les virus grâce à leur signature (la succession de bits qui les identifie), certains créateurs de virus ont pensé à leur donner la possibilité de modifier automatiquement leur apparence, tel un caméléon, en dotant les virus de fonction de chiffrement et de déchiffrement de leur signature, de façon à ce que seuls ces virus soient capables de reconnaître leur propre signature. Ce type de virus est appelé **virus polymorphe** (mot provenant du grec signifiant « qui peut prendre plusieurs formes »).

### ☐ Rétrovirus

On appelle **rétrovirus** ou **virus flibustier** (bounty hunter) un virus ayant la capacité de modifier les signatures des antivirus afin de les rendre inopérants.

### ☐ Virus trans-applicatifs (virus de macros)

Avec la multiplication des programmes utilisant des macros, Microsoft a mis au point un langage de script commun pouvant être inséré dans la plupart des documents pouvant contenir des **macros**, il s'agit de VBScript, un sous-ensemble de Visual Basic. Ces virus ont connu leurs heures de « gloire » avec notamment, les anciennes versions de la suite bureautique de Microsoft. De tel virus pouvaient être situé à l'intérieur d'un banal document Word ou Excel, et exécuter une portion de code à l'ouverture de celui-ci lui permettant d'une part de se propager dans les fichiers, mais aussi d'accéder au système d'exploitation (généralement Windows).

Le début du troisième millénaire a été marqué par l'apparition, à grande fréquence, de scripts Visual Basic diffusés par mail en fichier attaché (repérables grâce à leur extension .VBS) avec un titre de mail poussant à ouvrir le cadeau empoisonné. Ceux-ci avaient la possibilité,

Le début du troisième millénaire a été marqué par l'apparition, à grande fréquence, de scripts Visual Basic diffusés par mail en fichier attaché (repérables grâce à leur extension .VBS) avec un titre de mail poussant à ouvrir le cadeau empoisonné. Ceux-ci avaient la possibilité,

lorsqu'ils étaient lancés à partir d'un client de messagerie Microsoft, d'accéder à l'ensemble du carnet d'adresses et de s'autodiffuser par le réseau. Ce type de virus est appelé **ver (worm)**.
### I.3.2.3 EVITER LES VIRUS

Comme tous les programmes informatiques les virus sont des données interprétables par le système d'exploitation.

Ainsi, tous les fichiers exécutables ou interprétables par le système d'exploitation peuvent potentiellement infecter votre ordinateur. Les fichiers comportant notamment les extensions suivantes sont potentiellement susceptibles d'être infectés : exe, com, bat, pif, vbs, scr, doc, xls, msi, eml.

<figure><img src="image_3.png" /></figure>

**Attention !**

Sous Windows, il est conseillé de désactiver la fonction « masquer les extensions », car cette fonction peut tromper l'utilisateur sur la véritable extension d'un fichier. Ainsi un fichier dont l'extension est .jpg.vbs apparaîtra comme un fichier d'extension .jpg !

Cependant, n'importe quel fichier peut être susceptible d'embarquer un virus. Pour cela, il suffit que le programme qui ouvre ces données et les interprètent soit mal conçu. Par exemple, en ne fermant pas correctement des champs de données, il devient possible d'exploiter cette faille par un débordement de tampon (buffer overflow) et ajouter un code exécutable par l'ordinateur. Une autre faille peut provenir de l'inclusion d'appels à des éléments infectés se trouvant sur le Web. Les fichiers d'animations Flash (swf), le format d'archive pdf, les fichiers images au format WMF et d'autres ont été la cible de ce type de virus. Il faut donc garder à l'esprit que toutes les applications d'un ordinateur doivent être régulièrement mises à jour.

Ensuite, pour tous les fichiers interprétables directement par le système d'exploitation, seul un antivirus à jour est capable de dire si un programme ne comporte pas d'hôte indésirable. Les éditeurs de ces logiciels proposent des scanners en ligne accessible gratuitement sur http://www.bitdefender.fr/scanner/online/free.html ou encore sur http://www.virustotal.com/fr/ qui sollicite un très grand nombre de moteurs d'antivirus pour analyser un fichier.

## I.3.2 LES VERS RESEAU

### I.3.2.1 GENERALITES
Un ver est un programme qui peut se reproduire et se déplacer à travers un réseau en utilisant ses mécanismes, sans avoir réellement besoin d'un support physique ou logique (disque dur, programme hôte, fichier...) pour se propager ; un ver est donc un **virus réseau**. La plus célèbre anecdote à propos des vers date de 1988. Un étudiant (Robert T. MORRIS, de Cornell University) avait fabriqué un programme capable de se propager sur un réseau, il le lança et, 8 heures après l'avoir lâché, celui-ci avait déjà infecté plusieurs milliers d'ordinateurs. C'est ainsi que de nombreux ordinateurs sont tombés en pannes en quelques heures car le « ver » (car c'est bien d'un ver dont il s'agissait) se reproduisait trop vite pour qu'il puisse être effacé sur le réseau. De plus, tous ces vers ont créé une saturation au niveau de la bande passante, ce qui a obligé la NSA à arrêter les connexions pendant une journée.

### I.3.2.2 PRINCIPE DE FONCTIONNEMENT

Voici la façon dont le ver de Morris se propageait sur le réseau :

* il s'introduisait sur une machine de type Unix ;

* il dressait une liste des machines qui lui étaient connectées ;

* il forçait les mots de passe à partir d'une liste de mots ;

* il se faisait passer pour un utilisateur auprès des autres machines ;

* il créait un petit programme sur la machine pour pouvoir se reproduire ;

* il se dissimulait sur la machine infectée, et ainsi de suite.

Aujourd'hui les vers sont une espèce virale en voie d'extinction du point de vue des systèmes d'exploitation. Sur des machines non maintenues à jour, ils peuvent encore se propager grâce à la messagerie (et notamment par le client de messagerie Outlook) et sous la forme de code directement exécuté par le client de messagerie (JavaScript, VBS...). Mais les vers ont encore un avenir certain dans les applications web : des sites de réseaux sociaux (Facebook, Myspace) et des mondes virtuels (World of Warcraft, Second World) ont vu apparaître des scripts utilisant les langages de ces applications ou JavaScript et pouvant se répandre sur les comptes de tous les utilisateurs de ces services. Là aussi, on peut parler de vers réseau même si leur impact est limité.

### I.3.2.3 PARADES
Du point de vue d'un poste client, il est simple de se protéger d'une
infection par ver. La meilleure méthode consiste à mettre à jour régul-
ièrement le système d'exploitation de sa machine et ses applications
surtout si elles communiquent via le réseau. L'utilisation d'un pare-feu
est aussi indispensable pour empêcher l'accession à des services
réseaux réservés normalement aux activités intranet. Il convient enfin
de ne pas ouvrir « à l'aveugle » des fichiers récupérés par e-mail ou
des téléchargements.

Quant à éviter la propagation des vers spécifiques à des applications
web, le seul moyen est de ne pas utiliser ces services lors d'une
attaque.

<figure><img src="image_4.png" /></figure>

Attention !

Lorsqu'on fait la liste des applications à surveiller, il ne faut pas se fier
à la fonction principale d'une application pour savoir si elle commu-
nique ou non avec le réseau. Ainsi, un traitement de texte comme
Microsoft Word, dans ses versions récentes (> 2000) peut avoir une
activité réseau. Le logiciel de lecture multimédia Winamp comporte un
navigateur web...

I.3.3 Cheval de Troie (informatique)

Un **cheval de Troie** (*Trojan horse* en anglais) est un type de logiciel malveillant, qui ne doit pas être confondu avec les virus ou autres parasites. Le cheval de Troie est un logiciel en apparence légitime, mais qui contient une fonctionnalité malveillante. Le rôle du cheval de Troie est de faire entrer ce parasite sur l'ordinateur et de l'y installer à l'insu de l'utilisateur.

Un cheval de Troie informatique est un programme d'apparence inoffensive, mais qui en contient un autre, malveillant celui-là et qui est installé par l'utilisateur lui-même, ignorant qu'il fait pénétrer un intrus malveillant sur son ordinateur. C'est par analogie, que ce type de programme a été baptisé « cheval de Troie », en référence à la ruse qu'Ulysse utilisa pour contourner les défenses adverses.

En 2014, une étude de l'Association of Internet Security Professionnals centrée sur les dangers du live streaming illégal révèle qu'un ordinateur sur trois est infecté par un logiciel malveillant et que 73 % de ces infections proviennent d'un cheval de Troie⁷.

Quelques précisions terminologiques sur le cheval de Troie

Le programme contenu (ou téléchargé par la suite automatiquement) est
appelé la "charge utile"[Par qui ?]. Il peut s'agir de n'importe quel type de parasite : virus,
keylogger, logiciel espion... C'est ce parasite qui va exécuter des actions au sein de l'ordinateur victime⁸. Le cheval de Troie n'est rien d'autre que le véhicule, celui qui fait "entrer le loup dans la bergerie". Il n'est pas nuisible en lui-même car il n'exécute aucune action, si ce n'est celle de permettre l'installation du vrai parasite.

Dans le langage courant, par métonymie on nomme souvent "cheval de Troie" le parasite contenu à l'intérieur. Cette confusion est en partie alimentée par les éditeurs d'antivirus, qui utilisent "trojan" comme nom générique pour désigner différents types de programmes malveillants qui n'ont rien à voir avec des trojans⁹.

## Vecteurs d'infection

Le cheval de Troie prend l'apparence d'un logiciel existant, légitime et parfois même réputé, mais qui aura été modifié pour y dissimuler un parasite. La subtilité avec laquelle l'installation est faite est expliquée par Ken Thompson dans sa conférence Turing. Berné, l'utilisateur va télécharger et installer le programme, pensant avoir affaire à une version saine. En réalité, le logiciel véhicule un parasite qui va pouvoir s'exécuter sur son ordinateur. Les logiciels crackés peuvent être des chevaux de Troie qui vont allécher l'internaute qui cherche à obtenir gratuitement¹⁰ un logiciel normalement payant (Adobe Acrobat pro, Photoshop, Microsoft Office..).

## Origines fréquentes des chevaux de Troie

* Téléchargement de versions trafiquées sur des sites non officiels ou des plateformes peu sûres (P2P). Télécharger les logiciels sur le site officiel de l'auteur ou du distributeur évite normalement d'avoir affaire à une version infectée par un cheval de trois. Cela n'est évidemment pas possible pour se procurer des versions crackées, mais faisable pour tous les logiciels gratuits. [pas clair]

* Téléchargement de programmes P2P.

* Visite de sites Web contenant un exécutable (par exemple les contrôles ActiveX ou des applications Java).

* Exploitation de failles dans des applications obsolètes (navigateurs, lecteurs multimédias, clients de messagerie instantanée) et notamment les Web Exploit.

* Ingénierie sociale (par exemple, un pirate envoie directement le cheval de Troie à la victime par messagerie instantanée).

* Pièces jointes et fichiers envoyés par messagerie instantanée.

* Connexion d'un ordinateur à un périphérique externe infecté.

* Mise à jour de logiciel.

* Absence de logiciel de protection.

## Notions voisines du cheval de Troie

Le cheval de Troie ne doit pas être confondu avec d'autres notions proches :
* L'injecteur (ou dropper, en anglais) est quasiment identique au cheval, car il sert lui aussi de véhicule pour une malveillance. Mais l'injecteur est un programme spécialement fabriqué pour propager des parasites, alors que le cheval est une version modifiée d'un programme existant et légitime.

* La porte dérobée (backdoor) est un programme qui va s'exécuter discrètement sur l'ordinateur où il est installé pour y créer une faille de sécurité. Le backdoor ouvre un ou plusieurs ports sur la machine, ce qui lui permet d'accéder à internet librement et de télécharger, à l'insu de l'utilisateur, un parasite. Le backdoor n'est donc pas un cheval de Troie : il ne véhicule pas le parasite en lui, il va simplement ouvrir l'accès et récupérer, via internet, le programme malveillant qui se trouve sur un serveur distant.

* Le RAT (Remote administration tool) est un logiciel de prise de contrôle à distance d'un ordinateur. Un RAT peut être un outil légitime (par exemple pour le dépannage à distance), mais il peut aussi être utilisé par un pirate pour s'emparer d'une machine. Dans ce cas, l'introduction du RAT sur la machine à contrôler se fait à l'insu de l'utilisateur. Par exemple, par un cheval de Troie qui contient le RAT, mais le RAT n'est pas le cheval. Contrairement à ce qu'on lit parfois, le T de RAT ne signifie pas Trojan mais Tool (outil).

* Les bombes de décompression ne transportent pas de parasite, mais elles peuvent être confondues avec les chevaux de Troie car la notion de conteneur entre aussi en jeu. Il s'agit d'un fichier compressé, par exemple un fichier zip, de taille raisonnable tant qu'il n'est pas ouvert. Mais lorsque l'utilisateur va tenter de la décompresser, elle va générer un fichier d'une taille gigantesque. Cette "explosion" entraîne le ralentissement ou le plantage de l'ordinateur, et sature le disque dur avec des données inutiles. Bien qu'il s'agisse de conteneurs malveillants, le fonctionnement des bombes de décompression n'a donc rien à voir avec celui des chevaux de Troie. En effet, elles ne transportent aucun parasite indépendant, elles saturent la machine de données aléatoires.

* Le Trojan Stealer, plutôt spécialisé dans le vol de données et notamment les comptes en ligne (Mail, Réseaux sociaux ou encore bancaire). Le préfixe utilisé par les antivirus peut alors être Trojan.PWD où PWD signifie password pour mot de passe.

## Symptômes possibles d'une infection par le cheval de Troie

* Activité anormale de la carte réseau ou du disque dur (des données sont chargées en l'absence d'activité de la part de l'utilisateur) ou du modem

* Réactions curieuses de la souris

* Ouvertures impromptues de programmes, du lecteur CD/DVD

* Plantages répétés

* Redémarrage répété du système

* Écran ou fenêtres avec des messages inhabituels.
* Un comportement inhabituel dans le fonctionnement de l'ordinateur, tels que: changements d'économiseur d'écran de bureau, modification du rôle des boutons de la souris, modification du volume du lecteur audio.

* Ouverture/Fermeture intempestive de fenêtres.

* Les programmes commencent ou terminent leur exécution de manière inattendue.

* Le navigateur accède tout seul à certains sites Internet.

* Présence d'autres programmes qui n'ont pas été volontairement installés (y compris des logiciels malveillants).

* Vol de renseignements personnels : informations bancaires, mots de passe, codes de sécurité...

* Suppression, modification ou transfert de fichiers (téléchargement ou upload).

* Exécution ou arrêt de processus.

* Arrêt ou redémarrage impromptus de l'ordinateur.

* Surveillance des frappes (voir Enregistreur de frappe)

* Captures d'écran impromptues.

* Espace libre du disque dur occupé par des fichiers inutiles.

## Prévention et lutte

* Pour lutter contre ce genre de programme malveillant, l'utilisation d'un antivirus peut s'avérer efficace, mais reste souvent insuffisante. Il est conseillé de faire une analyse complète de son système d'exploitation et un nettoyage profond effectué de préférence par un technicien agréé. Dans certains cas, l'utilisateur peut se retrouver obligé de démarrer sur un autre système d'exploitation, puis de redémarrer en mode sans échec pour pouvoir reprendre la main.

### I.3.4 BOMBES LOGIQUES

Sont appelés **bombes logiques** les logiciels dont le déclenchement s'effectue à un moment déterminé en exploitant la date du système, le lancement d'une commande, ou n'importe quel appel au système. Ainsi ce type de virus est capable de s'activer à un moment précis sur un grand nombre de machines (on parle alors de **bombe à retardement** ou de **bombe temporelle**), par exemple le jour de la saint Valentin, ou la date anniversaire d'un événement majeur : la bombe logique Tchernobyl s'est activée le 26 avril 1999, jour du 13e anniversaire de la catastrophe nucléaire.

Les bombes logiques sont généralement utilisées dans le but de créer un déni de service en saturant les connexions réseau d'un site, d'un service en ligne ou d'une entreprise ! Ce type de programme malveillant est devenu très rare de nos jours.
### I.3.5 SPYWARES (ESPIOGICIEL)

#### I.3.5.1 GENERALITES

Un spyware (espiogiciel) est un programme chargé de recueillir des informations sur l'utilisateur de l'ordinateur dans lequel il est installé.

(on l'appelle donc parfois **mouchard**) afin de les envoyer à la société qui le diffuse pour lui permettre de dresser le profil des internautes (on parle de **profilage**).

Les récoltes d'informations peuvent ainsi être :

* les adresses web (URL) des sites visités,

* les mots-clés saisis dans les moteurs de recherche,

* l'analyse des achats réalisés via Internet, voire les informations de paiement bancaire (numéro de carte bleue/VISA),

* des informations personnelles (numéro de sécurité sociale, etc.).

Les spywares s'installent généralement en même temps que d'autres logiciels (la plupart du temps des freewares ou sharewares). En effet, cela permet aux auteurs desdits logiciels de rentabiliser leur programme, par de la vente d'informations statistiques, et ainsi permettre de distribuer leur logiciel gratuitement. Il s'agit donc d'un modèle économique dans lequel la gratuité est obtenue contre la cession de données à caractère personnel.

Les spywares ne sont pas forcément illégaux car la licence d'utilisation du logiciel qu'ils accompagnent précise que ce programme tiers va être installé ! En revanche étant donné que la longue licence d'utilisation est rarement lue en entier par les utilisateurs, ceux-ci savent très rarement qu'un tel logiciel effectue ce profilage dans leur dos.
Par ailleurs, outre le préjudice causé par la divulgation d'informations
à caractère personnel, les spywares peuvent également être une
source de nuisances diverses :

* consommation de mémoire vive,

* utilisation d'espace disque,

* mobilisation des ressources du processeur,

* plantages d'autres applications,

* gêne ergonomique (par exemple l'ouverture d'écrans publicitaires ciblés en fonction des données collectées).

### I.3.5.2 TYPES DE SPYWARES

On distingue généralement deux types de spywares :

* Les spywares internes (ou spywares intégrés) comportant directement des lignes de code dédiées aux fonctions de collecte de données.

* Les spywares externes, programmes de collectes autonomes installés.

### I.3.5.3 PARADES

La principale difficulté avec les spywares est de les détecter. La
meilleure façon de se protéger est encore de ne pas installer de logi-
ciels dont on n'est pas sûr à 100 % de la provenance et de la fiabilité
(notamment les freewares et les sharewares). Voici quelques exem-
ples (liste non exhaustive) de logiciels connus pour avoir embarqué un
ou plusieurs spywares : Babylon Translator, GetRight, Go!Zilla, Down-
load Accelerator, Cute FTP, PKZip, KaZaA ou encore iMesh.

Qui plus est, la désinstallation de ce type de logiciels ne supprime que
rarement les spywares qui l'accompagnent. Pire, elle peut entraîner
des dysfonctionnements sur d'autres applications !

Dans la pratique, il est quasiment impossible de ne pas installer de
logiciels. Ainsi la présence de processus d'arrière-plan suspects, de
fichiers étranges ou d'entrées inquiétantes dans la base de registre
peuvent parfois trahir la présence de spywares dans le système.
Si vous ne parcourez pas la base de registre à la loupe tous les jours rassurez-vous, il existe des logiciels, nommés **anti-spywares** permettant de détecter et de supprimer les fichiers, processus et entrées de la base de registres créés par des spywares.

De plus l'installation d'un **pare-feu personnel** peut permettre d'une part de détecter la présence d'espiogiciels, d'autre part de les empêcher d'accéder à Internet (donc de transmettre les informations collectées).

<figure><img src="image_5.png" /></figure>

## À savoir

Parmi les anti-spywares les plus connus ou efficaces citons notamment : Ad-Aware de Lavasoft.de, Spybot Search&Destroy et Malware byte's antimalware.

### I.3.6 LES RANSOMWARES (RANCOLOGICIEL)
Les **ransomwares** (ou rançongiciels) sont des logiciels malveillants dont le but est de soutirer de l'argent à leurs victimes. Il existe deux types de ransomwares :

* Les logiciels malveillants peuvent se contenter de faire peur aux utilisateurs qui les ont lancés (par exemple un virus gendarme qui demande le paiement d'une « amende » à la suite de la détection d'activités illégales sur le poste infecté). Le poste de la victime devient très difficile à utiliser car le logiciel bloque la plupart des applications. Une variante contraint les utilisateurs à cliquer sur des bannières publicitaires pour pouvoir accéder à leur ordinateur.

* Les **ransomwares** « chiffreurs » sont beaucoup plus agressifs car ils chiffrent tout ou partie des stockages de l'ordinateur de la victime. Les données sont cryptées en tâche de fond. Le malware affiche ensuite un message demandant le versement d'une rançon contre un moyen de déchiffrer les documents. Certaines variantes désactivent aussi les systèmes de versionning et s'attaquent aux fichiers de sauvegarde.

En 2014 et en 2015, CTB-Locker et Cryptowall ont été les deux crypto-ransomwares les plus répandus. L'éditeur Kaspersky a réussi à trouver des clés de déchiffrement pour certaines variantes de ces malwares mais, dans la plupart des cas, il n'existe aucun moyen de déchiffrer les données.

## Parades

Seul un logiciel antivirus à jour permet d'éviter ce type de malwares. On peut en réduire l'impact en procédant à des sauvegardes régulières, en confiant le versionning de fichier à des systèmes déportés (Cloud ou serveur de fichiers). Malheureusement, une fois les fichiers chiffrés, rien ne garantit que les documents pourront être récupérés (pas même le paiement de la rançon qui peut aboutir à télécharger un nouveau malware qui va infecter d'autres ordinateurs).

## 1.3.7 LES KEYLOGGERS (ENREGISTREURS DE TOUCHE)

Un keylogger (littéralement enregistreur de touches) est un dispositif chargé d'enregistrer les frappes de touches du clavier et de les enregistrer, à l'insu de l'utilisateur. Il s'agit donc d'un dispositif d'espionnage. Certains keyloggers sont capables d'enregistrer les URL visitées, les courriers électroniques consultés ou envoyés, les fichiers ouverts, voire de créer une vidéo retraçant toute l'activité de l'ordinateur !
Dans la mesure où les keyloggers enregistrent toutes les frappes de clavier, ils peuvent servir à des personnes mal intentionnées pour récupérer les mots de passe des utilisateurs du poste de travail ! Cela signifie donc qu'il faut être particulièrement vigilant lorsque vous utilisez un ordinateur en lequel vous ne pouvez pas avoir confiance (poste en libre accès dans une entreprise, une école ou un lieu public tel qu'un cybercafé).

Les keyloggers peuvent être soit logiciels soient matériels. Dans le premier cas il s'agit d'un processus furtif (ou bien portant un nom ressemblant fortement au nom d'un processus système), écrivant les informations captées dans un fichier caché ! Les keyloggers peuvent également être matériels : il s'agit alors d'un dispositif (câble ou dongle) intercalé entre la prise clavier de l'ordinateur et le clavier. Des moyens d'interception par écoute radio existent aussi (voir chap. 3, Attaque par faille matérielle).

## Parades

La meilleure façon de se protéger est la vigilance :

* Ne pas installer de logiciels dont la provenance est douteuse.

* Prudence lors de la connexion à partir d'un ordinateur tiers (à partir d'un cybercafé par exemple) ! S'il s'agit d'un ordinateur en accès libre, il peut être utile d'examiner rapidement les programmes actifs en mémoire, avant de se connecter à des sites demandant un mot de passe. En cas de doute, il est conseillé de ne pas se connecter à des sites sécurisés pour lesquels un enjeu existe (banque en ligne, etc.).

## I.3.8 LES SPAMS(Pourriels)

On appelle spam ou pollupostage (les termes pourriel, courrier indésirable ou junk mail) sont parfois également utilisés) l'envoi massif de courrier électronique (souvent de nature publicitaire) à des destinataires ne l'ayant pas sollicité.

Les personnes pratiquant l'envoi massif de courrier publicitaire sont appelées spammers (en français spammeurs), un mot qui a désormais une connotation péjorative !
Le but premier du spam est de faire de la publicité à moindre prix par « envoi massif de courrier électronique non sollicité » ou par « multipostage abusif ». Les spammeurs prétendent parfois, en toute mauvaise foi, que leurs destinataires se sont inscrits spontanément à leur base de données et que le courrier ainsi reçu est facile à supprimer, ce qui constitue au final un moyen écologique de faire de la publicité.

Les spammeurs collectent des adresses électroniques sur Internet (dans les forums, sur les sites Internet, dans les groupes de discussion, etc.) grâce à des logiciels (appelés **robots**) parcourant les différentes pages et stockant au passage dans une base de données toutes les adresses e-mail y figurant. Il ne reste ensuite au spammeur

L'activité de spam étant combattue mondialement, bon nombre de spammeurs actuels utilisent des réseaux de machines piratées (botnet) pour envoyer leur courrier non sollicité. Ceci leur permet de se dissimuler derrière ces milliers de machines et de disposer gratuitement d'une très grande bande passante pour l'envoi de millions de courriers en même temps. Preuve de l'existence de ces botnets géants, en novembre 2008, la déconnexion de l'hébergeur américain McColo Corp a fait baisser le spam mondial d'environ 50 % en une seule journée. De 50 spam/seconde, on est passé à moins de 20 spam/s, preuve de la puissance des botnets¹ qui étaient contrôlés via ce réseau. En 2010, la mise hors service du botnet Waledac par Microsoft a stoppé ce réseau qui envoyait 1,5 milliards de spams par jour. En 2011, Microsoft a aussi mis fin au réseau constitué avec le malware Rustock qui comprenait environ 1 million d'ordinateurs et a généré 47 % du spam mondial, pendant ses quatre années d'existence. Fin 2015, le spam mondial n'a toujours pas retrouvé son niveau de 2010. Sur l'année 2015, Spamcop.net comptabilise en moyen 8 spams par seconde. Les principaux gestionnaires de spam parlent d'environ 60 % d'e-mails indésirables contre 80-90 % à la fin des années 2010. Le ratio coût/bénéfice ne doit plus être assez intéressant pour les spammeurs par rapport aux autres techniques des cybercriminels.

## Inconvénients

Les inconvénients majeurs du spam sont :

* l'espace qu'il occupe dans les boîtes aux lettres des victimes ;

* la difficile consultation des messages personnels ou professionnels au sein de nombreux messages publicitaires et l'augmentation du risque de suppression erronée ou de non-lecture de messages importants ;

* la perte de temps occasionnée par le tri et la suppression des messages non sollicités ;
* le caractère violent ou dégradant des textes ou images véhiculés par ces messages, pouvant heurter la sensibilité des plus jeunes ;

* la bande passante qu'il gaspille sur le réseau des réseaux.

Le spam induit également des coûts de gestion supplémentaires pour les fournisseurs d'accès à Internet (FAI), se répercutant sur le coût de leurs abonnements. Ce surcoût est notamment lié à :

* la mise en place des systèmes antispam ;

* la sensibilisation des utilisateurs ;

* la formation du personnel ;

* la consommation de ressources supplémentaires (serveurs de filtrage, etc.).

## Parades

Les spammeurs utilisent généralement de fausses adresses d'envoi, il est donc totalement inutile de répondre. Qui plus est une réponse peut indiquer au spammeur que l'adresse est active et induire encore plus de spam.

De la même façon, lorsque vous recevez un spam (courrier non sollicité), il peut arriver qu'un lien en bas de page vous propose de ne plus recevoir ce type de message. Si tel est le cas il y a de grandes chances pour que le lien permette au spammeur d'identifier les adresses actives. Il est ainsi conseillé de supprimer le message sans tenter de se désabonner.

La plupart des clients de messagerie actuels permettent de ne pas télécharger les éléments d'un courrier rédigé en HTML. Ne désactivez pas cette fonctionnalité : en effet, si vous décidez de télécharger automatiquement le contenu externe de l'e-mail, vous indiquerez au spammeur que vous avez bien visualisé son spam et que votre adresse est active.

### ☐ Les antispam

Il existe également des dispositifs antispam permettant de repérer et, le cas échéant, de supprimer les messages indésirables sur la base de règles évoluées. On distingue généralement deux familles de logiciels antispam :

* Les dispositifs antispam côté client, situé au niveau du client de messagerie. Il s'agit généralement de systèmes possédant des filtres permettant d'identifier les messages indésirables, sur la base de règles prédéfinies, de liste d'adresse IP
d'envoi référencé comme spammeur, ou d'un apprentissage (filtres bayésiens). Des dispositifs d'authentification existent aussi pour lutter contre le spam (voir chapitre 6).

* Les dispositifs antispam côté serveur, permettant un filtrage du courrier avant remise aux destinataires. Ce type de dispositif est de loin le meilleur car il permet de stopper le courrier non sollicité en amont et éviter l'engorgement des réseaux et des boîtes aux lettres. Une solution intermédiaire consiste à configurer le dispositif antispam du serveur de façon à marquer les messages avec un champ d'en-tête spécifique (par exemple X-Spam-Status : Yes). Grâce à ce marquage, il est aisé de filtrer les messages au niveau du client de messagerie.

En cas d'encombrement ou de saturation totale de la boîte aux lettres, la solution ultime consiste à changer de boîte aux lettres. Il est toutefois conseillé de garder l'ancienne boîte aux lettres pendant un laps de temps suffisant afin de récupérer les adresses de vos contacts et d'être en mesure de communiquer la nouvelle adresse aux seules personnes légitimes.

Afin d'éviter le spam, il est nécessaire de divulguer son adresse électronique le moins possible et à ce titre :

* Ne pas relayer les messages (blagues, etc.) invitant l'utilisateur à transmettre le mail au maximum de contacts possibles ou en s'assurant de masquer les adresses des destinataires précédents. De telles listes sont effectivement des aubaines pour les collecteurs d'adresses.

* Éviter au maximum la publication de son adresse e-mail sur des forums ou des sites internet.

* Dans la mesure du possible remplacer son adresse e-mail par une image (moins détectable par les aspirateurs d'adresses).

* Créer une ou plusieurs « adresses poubelles » servant uniquement à s'inscrire ou s'identifier sur les sites jugés non dignes de confiance. Le comble du raffinement, lorsque vous en avez la possibilité, consiste à créer autant d'alias d'adresses que d'inscription en veillant à y inscrire le nom de l'entreprise ou du site. Ainsi, en cas de réception d'un courrier non sollicité il sera aisé d'identifier d'où provient la fuite (qui a « vendu la mèche »).
## I.3.9 LES ROOTKITS

### I.3.9.1 GENERALITES

Un *rootkit* (le nom « **outil de dissimulation d'activité** » est également utilisé¹, ainsi que « **maliciel furtif** »² et « **trousse administrateur pirate** »³), parfois simplement « **kit** », est un ensemble de techniques mises en œuvre par un ou plusieurs logiciels, dont le but est d'obtenir et de pérenniser un accès (généralement non autorisé) à un ordinateur de la manière la plus furtive possible⁴, C 1,L 1, à la différence d'autres logiciels malveillants. Le terme peut désigner la technique de dissimulation ou plus généralement un ensemble particulier d'objets informatiques mettant en œuvre cette technique.

Leur furtivité est assurée par plusieurs mécanismes de dissimulation (voir *infra*) : effacement de traces, masquage de l'activité et des communications, etc. Un *rootkit* peut s'installer dans un autre logiciel, une bibliothèque ou dans le noyau d'un système d'exploitation. Certains peuvent modifier l'hyperviseur fonctionnant en dessous des systèmes ou le micrologiciel intégré dans un matériel. La plupart des *rootkits* servent à installer des logiciels malveillants sur les machines où l'accès est obtenu. Certains fournisseurs de matériels informatiques, tel Sony, les utilisent pour s'assurer du respect des conditions d'utilisation de leurs produits par leurs clients. Certains kits ne jouent pas sur la discrétion mais sur le fait qu'enlever le kit serait une opération ardueL².

Pour l'« attaquant », l'utilité d'un *rootkit* est soit de mettre à disposition des ressources système (temps processeur, connexions réseaux, etc.) sur une, voire plusieurs machines (voir *infra*), parfois en utilisant la « cible » comme intermédiaire pour une autre attaque ; soit d'espionner, d'accéder aux données stockées ou en transit sur la machine cibleL².

Ils sont généralement classés parmi les logiciels malveillants, mais pas toujoursL¹ ; ils peuvent utiliser des « techniques virales » pour se transmettre (par exemple, en utilisant un virus ou un cheval de Troie)⁵. Il existe des outils de détection et des méthodes de protection pour les contrer mais elles ne sont pas totalement efficaces.

#### Moyens de détection

La mise en œuvre d'une détection peut, selon le type de rootkit, demander un examen du système ou d'un périphérique suspect en mode « inactif » (démarrage à partir d'un système de secours ou d'un système réputé sain). Plusieurs méthodes existent.

**La recherche d'objets cachés** (tels que des processus informatiques, des clés de registre, des fichiers, etc.) est essentielle. Des outils comme unhide sous Linux peuvent révéler les processus cachés. Sous Windows, des outils comme RootkitRevealer recherchent les fichiers cachés en listant les fichiers via l'API normale de Windows puis en comparant cette liste à une lecture physique du disque ; les différences entre les deux sont alors repérées comme
suspectes, à l'exception des fichiers légitimes connus de Windows, tels que les fichiers de métadonnées de NTFS comme $MFT ou $Secure⁴⁹.

**Le calcul régulier des empreintes de fichiers sensibles** permet de détecter une modification inattendue. Le contrôle de l'intégrité des fichiers consiste à calculer, pour chaque fichier sensible (bibliothèque, commande système, etc.), une empreinte¹³. Toute modification inattendue de cette empreinte indique une modification du fichier, et donc une contamination potentielle. Cependant, tout système subit des modifications légitimes lors des mises à jour ; idéalement, l'outil de contrôle a la possibilité d'accéder à une base de référence de ces sommes de contrôles, selon la version du système utilisée (rkhunter par exemple).

**La détection de signatures spécifiques** est le procédé classique d'analyse de signature, comme cela se fait pour les virus : on cherche à retrouver dans le système la trace d'une infection, soit directement (signature des objets du rootkit), soit par le vecteur d'infection (virus utilisé par le rootkit)¹³.

**L'analyse des appels systèmes, des tables d'interruption**⁵⁰,⁵¹, et de manière générale, des tables de travail utilisées par le système, au moyen d'outils spécifiques (des logiciels anti-espion comme HijackThis), permet de voir si ces appels ont été détournés ou non, par exemple en comparant ce qui est chargé en mémoire avec les données brutes de bas niveau (ce qui est écrit sur le disque).

**Le hooking** consiste à détourner un appel de fonction légitime par un autre qui contient du code malveillant.

On peut aussi s'intéresser à la **charge du système**. Du point de vue du processeur et de l'activité applicative, une surveillance continue peut mettre en évidence une surcharge, à partir du moment de la contamination. Il s'agit essentiellement d'une analyse de la charge habituelle de la machine, comme le nombre de mails sortants ou l'occupation du processeur. Toute modification (en surcharge) sans cause apparente est suspecte, mais elle nécessite une analyse complémentaire pour écarter les causes légitimes (mise à jour du système, installation de logiciels, etc.)

De la même manière, l'**analyse des flux réseau**⁵² permet de détecter une surcharge anormale. Mais il convient également de surveiller une utilisation de ports logiciels inhabituels grâce aux traces issues d'un pare-feu ou grâce à un outil spécialisé. Il est également possible de faire une recherche des ports ouverts et cachés, en comparant ce que connaît le système avec ce qui est effectivement ouvert, grâce à des outils d'investigation comme unhide-tcp. Toute différence peut être considérée comme anormale. Il existe cependant des moyens de dissimulation réseau, comme de la stéganographie ou l'utilisation de canaux cachés, qui rend la détection directe impossible, et nécessite une analyse statistique qui n'est pas forcément déterminante⁵³.
**L'analyse automatisée des logs système**<sup>54</sup> s'appuie sur le principe de corrélation, avec des outils de type HIDS qui disposent de règles paramétrables<sup>55</sup> pour repérer les événements anormaux et mettre en relation des événements systèmes distincts, sans rapport apparent ou épars dans le temps.

Le site du Cert-IST propose régulièrement des informations sur les rootkits et les logiciels malicieux en général<sup>56</sup>.

## Moyens de protection et de prévention

**Les moyens de détection** peuvent également servir à la prévention, même si celle-ci sera toujours postérieure à la contamination. D'autres mesures en amont peuvent rendre difficile l'installation d'un rootkit<sup>57</sup>.

**La correction des failles par mise à jour du système d'exploitation** permet de réduire la surface d'exposition du système en limitant le temps pendant lequel une faille est présente sur le système<sup>58</sup> et dans les applications<sup>54</sup>, afin de prévenir les exploits pouvant être utilisés pour la contamination.

**L'utilisation d'un pare-feu**, qui fait partie des bonnes pratiques dans le domaine de la sécurité informatique, se révèle efficace dans le cas des rootkits<sup>51,54,58</sup> car cela empêche les communications inattendues (téléchargements de logiciel, dialogue avec un centre de contrôle et de commande d'un botnet, etc.) dont ont besoin les rootkits.

Il est possible de **désactiver** le système de chargement de modules en rendant le *noyau statique*, ce qui protège contre les rootkits qui s'installent en chargeant un module ; certains rootkits arrivent cependant à contourner cela en reconnaissant l'empreinte du module directement dans la mémoire<sup>C 9</sup>.

De même, pour renforcer la robustesse des bibliothèques et empêcher le hooking, il est possible de compiler statiquement les bibliothèques<sup>C 10</sup>.

**La complexité d'un mot de passe** augmente exponentiellement lorsque sa taille et le nombre de caractères différents qu'il utilise augmentent. Un mot de passe complexe sera plus long à deviner dans une attaque par force brute.

**Des systèmes de prévention d'intrusion**<sup>54</sup>, sous forme de logiciel ou de matériel, répondent dès qu'une intrusion est détectée, en bloquant des ports ou en interdisant la communication avec une source (adresse IP) douteuse, ou toute autre action appropriée. La détection sera d'autant meilleure que l'outil utilisé sera externe au système examiné, puisque certains rootkits peuvent atteindre des parties de très bas niveau dans le système, jusqu'au BIOS. Un des avantages de ces outils est l'automatisation des tâches de surveillance<sup>13</sup>.

**Des outils spécialisés de contrôle d'intégrité des fichiers** peuvent produire des alertes lors de modifications inattendues. Cependant, ce contrôle à lui seul est insuffisant si
d'autres mesures préventives ne sont pas mises en œuvre, si aucune réponse du système n'est déclenchée ou si ces différences ne sont pas analysées.

**Le renforcement de la robustesse des mots de passe** est une autre des bonnes pratiques de sécurité informatique qui élimine une des sources principales de contamination. Des éléments d'authentification triviaux sont des portes ouvertes pour tout type d'attaque informatique.

**Le démarrage du système à partir d'une image saine, contrôlée et réputée valide du système d'exploitation, via un support fixe (comme un LiveCD, une clé USB)** ou par réseau, permet de s'assurer que les éléments logiciels principaux du système ne sont pas compromis, puisqu'à chaque redémarrage de la machine concernée, une version valide de ces objets est chargée. Un système corrompu serait donc remis en état au redémarrage (sauf dans le cas de rootkit ayant infecté un plus bas niveau, comme le BIOS).

**Les moyens de protection habituels sont également valables contre les rootkits :**

« Do everything so that attacker doesn't get into your system »⁵³. Durcissement du système⁵¹, filtrages applicatifs (type modsecurity), **utilisation de programmes antivirus**⁵¹,⁵⁸ pour minimiser la surface d'attaque et surveiller en permanence les anomalies et tentatives de contamination, sont bien sûr à mettre en œuvre pour éviter la contamination du système et l'exposition aux exploits.

## Outils et logiciels de détection

À part quelques cas particuliers, l'industrie de la sécurité informatique a tardé à prendre en compte les rootkits, les virus puis les chevaux de Troie accaparant l'attention des éditeurs. Il existe cependant quelques logiciels de détection et de prévention spécifiques à Windows, tels que Sophos Anti-Rootkit ou AVG Anti-Rootkit. Sous Linux, on peut citer rkhunter et chkrootkit ; plusieurs projets open-source existent sur Freshmeat et Sourceforge.net.

Aujourd'hui, il reste difficile de trouver des outils spécifiques de lutte contre les rootkits, mais leur détection et leur prévention sont de plus en plus intégrées dans les systèmes de prévention d'intrusion et même dans les antivirus classiques, lesquels sont de plus en plus obligés de se transformer en suites de sécurité pour faire face à la diversité des menaces ; ils proposent en effet de plus en plus souvent des protections contre les rootkits.
# I.4 LES LOGICIELS ANTI-PROGRAMMES MALVEILLANTS
(Logiciels de sécurité informatique)

## I.4.1 LISTE DE LOGICIELS DE SECURITE INFORMATIQUE

### I.4.1.1. Lutte contre les rootkits

**Programmes de détection, d'analyse et de prévention de rootkits spécifiques à Windows**

* Sophos Anti-rootkit [archive]

* RkU (rootkit unhooker)

* IceSword

* RootkitRevealer de Sysinternals (en), Microsoft¹

* Blacklight de F-Secure

* Rootkit Hook Analyzer[réf. souhaitée]

* RootAnalyser (Safer Networking)

* HijackThis

* GMER (en)

* DarkSpy

* Trend Micro Rootkit Buster²

**Programmes de détection et de prévention de rootkits spécifiques à Linux**

* chkrootkit de Nelson Murilo et Klaus Steding-Jessen (UNIX/Linux)

* rkhunter de Michael Boelen (UNIX/Linux)

* Zeppoo de ZeppooTeam (UNIX/Linux), renommé kernsh le 15 mai 2007, ce projet est maintenant intégré dans le framework ERESI (18 septembre 2007).

* unhide

### I.4.1.2 Outils anti-malware

* Ad-Aware

* AdwCleaner

* Malwarebytes Anti-Exploit

* Malwarebytes Anti-Malware

* Spybot S&D (Safer Networking)

* SpywareBlaster

* SpywareGuard

* Windows Defender

### I.4.1.3 Filtres applicatifs

* Modsecurity
#### I.4.1.4 Recherche de vulnérabilités

* Nikto Web Scanner (en)

* Nessus

* Nmap

* LanGuard de GFI Software (en)³

* Elastic Detector [archive]

#### I.4.1.5 Pare-feux

#### I.4.1.6 Outils de type suite de sécurité

Il s'agit d'outils ayant plusieurs fonctionnalités de protection, contre les virus mais aussi souvent contre les rootkits, contre les comportements anormaux (par analyse des événements sur le système), etc.

* ThreatFire

* Prevx

#### I.4.1.7 Anti-virus

Il est également utile de savoir que des outils dits *anti-virus* complètent leurs mécanismes de protection avec la détection de rootkits, le filtrage de courrier, la protection des informations personnelles, les logiciels espions (ou spywares), etc (cf p Liste de logiciels antivirus).

## I.4.2 LOGICIELS ANTI-VIRUS

### I.4.2.1 NOTIONS LOGICIELS ANTI-VIRUS

Les **antivirus** sont des logiciels conçus pour identifier, neutraliser et éliminer des logiciels malveillants (dont les virus informatique¹ ne sont qu'une catégorie). Ces derniers peuvent se baser sur l'exploitation de failles de sécurité, mais il peut également s'agir de logiciels modifiant ou supprimant des fichiers, que ce soit des documents de l'utilisateur stockés sur l'ordinateur infecté, ou des fichiers nécessaires au bon fonctionnement de l'ordinateur (le plus souvent ceux du système d'exploitation).

## Fonctionnement

Un logiciel antivirus vérifie les fichiers et courriers électroniques, les secteurs de démarrage (afin de détecter les virus de boot), mais aussi la mémoire vive de l'ordinateur, les médias amovibles (clefs USB, CD, DVD, etc.), les données qui transitent sur les éventuels réseaux (dont internet), etc.
Différentes méthodes sont possibles :

* Les principaux antivirus du marché se concentrent sur des fichiers et comparent alors la signature virale du virus aux codes à vérifier ;

* La méthode heuristique est la méthode la plus puissante, tendant à découvrir un code malveillant par son comportement. Elle essaie de le détecter en analysant le code d'un programme inconnu. Parfois de fausses alertes peuvent être provoquées ;

* L'analyse de forme repose sur du filtrage basé entre des règles regexp ou autres, mises dans un fichier junk. Cette dernière méthode peut être très efficace pour les serveurs de messagerie électronique supportant les regexp type postfix puisqu'elle ne repose pas sur un fichier de signatures.

Les antivirus peuvent balayer le contenu d'un disque dur, mais également la mémoire vive de l'ordinateur. Pour les antivirus les plus modernes, ils agissent en amont de la machine en scrutant les échanges de fichiers avec l'extérieur, aussi bien en flux descendant (téléchargement) que montant (téléversement ou upload). Ainsi, les courriels sont examinés, mais aussi les fichiers copiés sur ou à partir de supports amovibles tels que cédéroms, disquettes, connexions réseau, clefs USB...

## Approches

On distingue plusieurs types de logiciels antivirus selon leur fonctionnement. La première méthode est celle du dictionnaire.

### Dictionnaire

Les créateurs de logiciels antivirus ayant préalablement identifié et enregistré des informations sur des virus, comme le ferait un dictionnaire, le logiciel antivirus peut ainsi détecter et localiser la présence d'un virus.

On appelle ce dictionnaire la base de définition virale qui contient les signatures de virus.

Lorsque cela se produit, l'antivirus dispose de trois options, il peut :

1. Effectuer la suppression du fichier contaminé.

2. Tenter de réparer le fichier endommagé en éliminant le virus ;

3. Déplacer le fichier dans une zone de quarantaine afin qu'il ne puisse être accessible aux autres utilisateurs et logiciels. Ceci permet d'éviter que le virus se répande (par autoréplication), et permet éventuellement de réparer le fichier ultérieurement ;

Afin de maximiser le rendement de l'antivirus, il est essentiel d'effectuer de fréquentes mises à jour en téléchargeant des versions plus récentes. Des internautes consciencieux et possédant de bonnes connaissances en informatique peuvent identifier eux-mêmes des virus et envoyer leurs informations aux créateurs de logiciels antivirus afin que leur base de données soit mise à jour.
Généralement, les antivirus examinent chaque fichier lorsqu'il est créé, ouvert, fermé ou lu. De cette manière, les virus peuvent être identifiés immédiatement. Il est possible de programmer le système d'administration pour qu'il effectue régulièrement un examen de l'ensemble des fichiers sur l'espace de stockage (disque dur, etc).

Même si les logiciels antivirus sont très performants et régulièrement mis à jour, les créateurs de virus font tout aussi souvent preuve d'inventivité. En particulier, les virus « oligomorphiques », « polymorphiques » et plus récemment, « métamorphiques », sont plus difficiles à détecter.

Une autre technique pour contourner ces définitions virales consiste à utiliser des packers/crypters, le fichier malicieux est chiffré et compressé et déchiffré et décompressé lors de son exécution, un peu à la manière des fichiers zip auto-extractible. Le fait que le fichier est chiffré empêche une détection par signature et permet de démultiplier les fichiers malicieux à partir d'une base unique en changeant de packers/crypters.

## Liste blanche

La « liste blanche » est une technique de plus en plus utilisée pour lutter contre les logiciels malveillants. Au lieu de rechercher les logiciels connus comme malveillants, on empêche l'exécution de tout logiciel à l'exception de ceux qui sont considérés comme fiables par l'administrateur système. En adoptant cette méthode de blocage par défaut, on évite les problèmes inhérents à la mise à jour du fichier de signatures virales. De plus, elle permet d'empêcher l'exécution de logiciels indésirables.

Étant donné que les entreprises modernes possèdent de nombreuses applications considérées comme fiables, l'efficacité de cette technique dépend de la capacité de l'administrateur à établir et mettre à jour la liste blanche. Cette tâche peut être facilitée par l'utilisation d'outils d'automatisation des processus d'inventaire et de maintenance.

## Comportements suspects

Une autre approche pour localiser les virus consiste à détecter les comportements suspects des programmes. Par exemple, si un programme tente d'écrire des données sur un programme exécuté, modifier/supprimer des fichiers système l'antivirus détectera ce comportement suspect et en avisera l'utilisateur qui choisira les mesures à suivre.

Contrairement à l'approche précédente, la méthode du comportement suspect permet d'identifier des virus très récents qui ne seraient pas encore connus dans le dictionnaire de l'antivirus. Toutefois, le fait que les utilisateurs soient constamment avertis de fausses alertes peuvent les rendre insensibles aux véritables menaces. Si les utilisateurs répondent « Accepter » à toutes ces alertes, l'antivirus ne leur procurera aucune protection supplémentaire. Ce problème s'est aggravé depuis 1997, puisque plusieurs programmes inoffensifs ont modifié certains fichiers exécutables sans observer ces fausses alertes. C'est pourquoi, les antivirus les plus modernes utilisent de moins en moins cette méthode.
L'intelligence artificielle des nouveaux antivirus leur permet de choisir la décision à prendre sans en avertir l'utilisateur, ce qui permet d'utiliser à nouveau cette méthode. De plus les filtres se sont considérablement améliorés et les faux positif sont moins nombreux.

## Autres approches

L'analyse heuristique est utilisée par quelques antivirus. Par exemple, l'antivirus peut analyser le début de chaque code de toutes les nouvelles applications avant de transférer le contrôle à l'usager. Si le programme semble être un virus, alors l'usager en sera averti. Toutefois, cette méthode peut également mener à de fausses alertes. La méthode heuristique permet de détecter des variantes de virus et, en communiquant automatiquement les résultats de l'analyse à l'éditeur, celui-ci peut en vérifier la justesse et mettre à jour sa base de définitions virales.

La méthode du bac à sable (sandbox en anglais) consiste à émuler le système d'exploitation et à exécuter le fichier lors de cette simulation. Une fois que le programme prend fin, les logiciels analysent le résultat du bac à sable afin de détecter les changements qui pourraient contenir des virus. En raison des problèmes de performance, ce type de détection a lieu habituellement pendant le balayage sur demande. Cette méthode peut échouer puisque les virus peuvent s'avérer non déterministes et résulter de différentes actions ou même peut-être d'aucune action lorsque exécuté. Il est impossible de le détecter à partir d'une seule exécution.

Les packers[à définir] posent des problèmes d'efficacité aux détections par signature. Une autre limite était le temps assez long entre le moment où l'éditeur mettait à jour ses définitions virales, la disponibilité en ligne et la mise à jour des clients antivirus. Temps pendant lequel les utilisateurs pouvaient être vulnérables.

Pour pallier cela, les éditeurs utilisent des "Antivirus Cloud", où des bases de données gigantesques sont disponibles en ligne, permettant de recouper certaines données. En outre, ces bases de données sont utilisées en temps réel par les antivirus et permettent donc de supprimer le laps de temps entre la mise en ligne et le téléchargement des définitions virales.

Enfin, cela permet aussi d'alléger les clients antivirus où les bases locales étaient de plus en plus volumineuses face à la multiplication des menaces et l'utilisation des packers/crypters[à définir].

### 1.4.2.2 LISTE DES LOGICIELS ANTI-VIRUS

<figure><img src="image_6.png" /></figure>

Logo symbolisant l'antivirus.

Les antivirus sont des logiciels conçus pour identifier, neutraliser et éliminer des logiciels malveillants (dont les virus informatique¹ ne sont qu'une catégorie).
Ces derniers peuvent se baser sur l'exploitation de failles de sécurité, mais il peut également s'agir de logiciels modifiant ou supprimant des fichiers, que ce soit des documents de l'utilisateur stockés sur l'ordinateur infecté, ou des fichiers nécessaires au bon fonctionnement de l'ordinateur (le plus souvent ceux du système d'exploitation).

Les sociétés et logiciels anti-virus ci-dessous sont classés par ordre alphabétique.

## LISTE DES LOGICIEL ANTIVIRUS

**Principales** Agnitum (en) · Avast Software · AVG Technologies · Avira · Bitdefender · Comodo (en) · Dr. Web (en) · ESET · F-Secure · Kaspersky · Intel Security (en) · Microsoft · Panda · Qihoo 360 · Sophos · Symantec · Trend Micro

**Secondaires** AhnLab (en) · Cisco · Check Point · ClamWin · Fortinet · FRISK (en) · G Data Software · iolo (en) · Intego · Kingsoft (en) · Lavasoft · Malwarebytes · Quick Heal (en) · TrustPort (en) · VirusBlokAda · Webroot (en) · Zemana (en) · Zone Alarm

**PC** AhnLab V3 Internet Security (en) · Avast Antivirus · AVG · Avira Internet Security · Bitdefender · ClamWin · ClamAV · Comodo Antivirus (en) · Comodo Internet Security · Dr. Web (en) · NOD32 · F-Secure · F-PROT (en) · Fortinet · G Data Software · Advanced SystemCare (en) · iolo System Shield (en) · Kaspersky Anti-Virus · Kaspersky Internet Security · KingSoft · Mac Internet Security · Malwarebytes' Anti-Malware · McAfee VirusScan · Microsoft Security Essentials · Windows Defender · Panda · 360 Safeguard (en) · Outpost Security Suite (en) · Sophos · Symantec Endpoint Protection (en) · Immunet (en) · Element Anti-Virus (en) · Norton AntiVirus · Norton Internet Security · Spyware Doctor · VirusBarrier · Trend Micro Internet Security (en) · TrustPort (en) · Vba32 AntiVirus (en) · Zone Alarm

**MOBILE** AhnLab Mobile Security (en) · Avast Antivirus · AVG AntiVirus (en) · Avira Free Android Security · Bitdefender Mobile Security · CM Security · Comodo Mobile Security (en) · Dr. Web Mobile Security Suite (en) · ESET Mobile Security · F-Secure Mobile Security · G Data MobileSecurity · Lookout Mobile Security (en) · McAfee Mobile Security · FireAMP Mobile · Trend Micro Mobile Security · TrustPort Mobile Security (en) · VirusBarrier
I.4.2.3 TABLEAU COMPARATIF DES LOGICIELS ANTI-VIRUS

<table><thead><tr><th>Logiciel</th><th>Windows</th><th>Mac OS X</th><th>GNU/Linux</th><th>FreeBSD</th><th>Unix</th><th>Licence</th><th>Scan sur demande</th><th>Protection en temps réel</th><th>Scan d'amorçage</th></tr></thead><tbody><tr><td>Ad-Aware</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>AOL Active Virus Shield</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Avast! Home Edition</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Nagware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Avast! Professional Edition</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Avetix Antivirus Free (plus actif depuis 2015)</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Avetix Antivirus Pro</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>AVG Anti-Virus</td><td>Oui</td><td>Non</td><td>Oui</td><td>Oui</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>AVG Anti-Virus Free</td><td>Oui</td><td>Non</td><td>Oui</td><td>Non</td><td>Non</td><td>Nagware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Avira AntiVir Personal - Free Antivirus</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Nagware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Avira AntiVir Premium</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>BitDefender</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>BitDefender Free Edition</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Nagware</td><td>Oui</td><td>Oui<br>(avec Winpooch)</td><td>Non</td></tr><tr><td>BullGuard</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>CA Anti-Virus</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Non</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Non</td><td>Non</td></tr><tr><td>Clam AntiVirus</td><td>Avec ClamWin</td><td>Avec ClamXav</td><td>Avec Klamav et ClamTak</td><td>Oui</td><td>Oui</td><td>GNU GPL</td><td>Oui</td><td>Oui<br>(en ajoutant ClamWin et Clam Sentinel sous MSWindows)</td><td>Non</td></tr><tr><td>ClamWin</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>GNU GPL</td><td>Oui</td><td>Avec Winpooch (périmé) ou Clam Sentinel</td><td>Non</td></tr><tr><td>Comodo AntiVirus</td><td>Oui</td><td>Non</td><td>Oui</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr></tbody></table>
<table><thead><tr><th>Logiciel</th><th>Windows</th><th>Mac OS X</th><th>GNU/Linux</th><th>FreeBSD</th><th>Unix</th><th>Licence</th><th>Scan sur demande</th><th>Protection en temps réel</th><th>Scan d'amorçage</th></tr></thead><tbody><tr><td>Emsisoft Anti-Malware</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Emsisoft Anti-Malware</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Non</td><td>Non</td></tr><tr><td>F-Prot</td><td>Oui</td><td>Non</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>F-Secure</td><td>Oui</td><td>Non</td><td>Oui</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Fortinet FortiClient End Point Security</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>G Data Software</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Iantivirus</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Kaspersky Anti-Virus</td><td>Oui</td><td>Oui</td><td>Oui<br>(SMB et ENT)</td><td>Oui<br>(SMB et ENT)</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>McAfee VirusScan</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Microsoft Security Essentials</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>NOD32</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Norman</td><td>Oui</td><td>Non</td><td>Oui</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Norton AntiVirus (Symantec)²</td><td>Oui</td><td>Oui</td><td>Non</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Panda Antivirus</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>PC Tools AntiVirus</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>PC Tools AntiVirus Free Edition (interrompu)</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>PCSafer Home edition</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>Qihoo 360 Internet Security</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Qihoo 360 Total Security</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Sophos Anti-Virus</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr></tbody></table>
<table><thead><tr><th>Logiciel</th><th>Windows</th><th>Mac OS X</th><th>GNU/Linux</th><th>FreeBSD</th><th>Unix</th><th>Licence</th><th>Scan sur demande</th><th>Protection en temps réel</th><th>Scan d'amorçage</th></tr></thead><tbody><tr><td>TrustPort Antivirus</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td></td></tr><tr><td>Vba32Antivirus</td><td>Oui</td><td>Non</td><td>Oui</td><td>Oui</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Seulement sur Windows</td><td>Non</td></tr><tr><td>VIPRE Antivirus + Antispyware (Sunbelt Software)</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>VirusBarrier Express (Intego)</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>VirusBarrier Plus (Intego)</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>VirusBarrier X5 (Intego)</td><td>Oui</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>VirusBuster</td><td>Oui</td><td>Non</td><td>Oui</td><td>Oui</td><td>Oui</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Non</td></tr><tr><td>VirusKeeper (AxBx)</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Windows Defender</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Freeware</td><td>Oui</td><td>Oui</td><td>Oui</td></tr><tr><td>Zone Alarm Antivirus</td><td>Oui</td><td>Non</td><td>Non</td><td>Non</td><td>Non</td><td>Propriétaire</td><td>Oui</td><td>Oui</td><td>Oui</td></tr></tbody></table>

## I.4.3 AVAST ANTIVIRUS

Avast Antivirus

<figure><img src="image_7.png" /></figure>

**Développeur** Avast Software

**Dernière version** 18.3.2333 (3 avril 2018)

**Environnement** Windows, OS X, Android, Linux (serveur)
**Langues** Multilingue (46 langues)N¹

**Type** Antivirus

**Politique de distribution** Freemium

**Licence** Propriétaire

**Site web** www.avast.com [archive]

modifier

<figure><img src="image_8.png" /></figure>

**Avast Antivirus** est un logiciel antivirus développé par la société Avast Software (anciennement Alwil Software) située à Prague en République tchèque. C'est un logiciel propriétaire comportant une version gratuite pour une utilisation personnelle et non commerciale. En mars 2015, Avast regroupe 233 millions d'utilisateurs actifs à travers le monde répartis dans 184 pays¹[réf. insuffisante] et est disponible en 46 langues.

### I.4.3.1 Historique

À la fin des années 1980²[réf. insuffisante], deux informaticiens tchèques Eduard Kučera et Pavel Baudiš ont élaboré un programme qu'ils ont appelé « anti-virus advanced set » (AVAST). « Avast » est aussi un terme nautique hollandais (et anglais) qui signifie « stop ». Les deux programmeurs ont développé leur idée et ont fini par produire un antivirus complet du nom d'Avast.

### I.4.3.2 Présentation

À la différence de certains antivirus gratuits[réf. nécessaire], ses mises à jour s'effectuent automatiquement dès la connexion à Internet, à l'instar de ses concurrents payants. Avast bénéficie également d'un moteur anti-rootkit (basé sur la technologie GMER) et anti-spyware depuis sa version 4.8.1169, ce qui en fait une suite de sécurité.

Dans le passé, lorsqu'une nouvelle infection apparaissait, Avast était souvent parmi les antivirus les plus lents à l'intégrer dans sa base de données (généralement deux ou trois semaines plus tard, ce qui laissait à l'infection le temps de gagner de nombreux ordinateurs équipés d'Avast). Néanmoins, avec son gain en popularité chez les utilisateurs familiaux, les mises à jour sont maintenant⁵[Quand ?] quotidiennes³[réf. insuffisante].

### I.4.3.3 Version gratuite

La version gratuite est uniquement disponible pour utilisation personnelle et non commerciale. Mais ni pour les institutions, ni pour les associations.
Jusque à la version 11.1.2241 (version de 2016) l'inscription était obligatoire au bout de 12 mois afin de pouvoir continuer à bénéficier de l'antivirus depuis la version gratuite est disponible à vie sans avoir à créer de comptes.

Il existe une version gratuite pour les Très Petites Entreprises et PME en France ainsi que pour les établissements éducatifs aux États-Unis.

## Identité visuelle (logo)

<figure><img src="image_9.png" /></figure>

Logo d'Avast avant 2010.

<figure><img src="image_10.png" /></figure>

Logo d'Avast de février à septembre 2010.

<figure><img src="image_11.png" /></figure>

Logo d'Avast de septembre 2010 à septembre 2016.

<figure><img src="image_12.png" /></figure>

Logo d'Avast depuis septembre 2016.

<figure><img src="image_13.png" /></figure>

Logo d'Avast Alternative depuis septembre 2016.

## Versions et dates de sorties
Avast! free, la version gratuite du logiciel a évolué depuis la v5.0 en 2007, avant nommée Avast! Home Edition. Quelques repères :

* 18.1.2326 (13/02/2018) dernière version

* 12.1.2272 (21/06/2016)

* 11.1.2253 (04/02/2016)

* 11.1.2241 (04/11/2015) dite 2016

* 10.4.2233 (18/09/2015)

* 10.0.2206 (28/10/2014) dite version 2015

* 9.0.2006 (07/10/2013) dite version 2014

* 8.0.1482 (01/03/2013) dite version 2013

* 7.0.1407 (24/02/2012)

* 6.0.1000 (24/02/2011)

* 5.0.377 (20/01/2010)

## I.4.4 WINDOWS DEFENDER

### I.4.4.1 PRESENTATION

Windows Defender, appelé officiellement Windows Defender Antivirus dans Windows 10 Creators Update, est un composant antivirus de Microsoft Windows.

Microsoft a d'abord offert le logiciel en téléchargement comme un programme antiespion gratuit pour Windows XP. Microsoft a par la suite livré le logiciel comme un antiespion avec Windows Vista et Windows 7. Finalement, le logiciel a été transformé en un programme antivirus complet remplaçant Microsoft Security Essentials dans Windows 8 et les versions ultérieures de Windows.

Ce logiciel était édité par Giant Software (en) avant son achat par Microsoft.

<figure><img src="image_14.png" /></figure>

**Développeur** Microsoft

**Fichier exécutable** MSASCui.exe
**Dernière version** 4.8.10240.16384 (Windows 10) (Juillet 2015)

**Environnement** Microsoft Windows

**Langues** Multilingue

**Type** Outil de suppression de spyware, puis programme anti-virus

**Licence** Gratuitiel

**Site web** Windows Defender [archive]

## I.4.4.2 Fonctions de base

Avant Windows 8, *Windows Defender* protégeait ses utilisateurs contre les logiciels espions¹. Il comprenait un certain nombre d'agents de sécurité qui surveillaient en temps réel plusieurs zones de Windows pour détecter des modifications qui auraient pu être causées par des logiciels espions.

Il permettait aussi de supprimer facilement des logiciels ActiveX installés. *Windows Defender* incluait un support intégré pour *Microsoft SpyNet (en)* qui permet aux utilisateurs de signaler à Microsoft ce qu'ils considèrent comme des logiciels espions et quelles applications et pilotes de périphériques ils permettent d'installer sur leur système. La protection contre les virus a été ajoutée dans Windows 8 ; *Windows Defender* dans Windows 8 ressemble à *Microsoft Security Essentials* et utilise les mêmes définitions de virus.

Dans Windows 10, les paramètres de *Windows Defender* sont contrôlés par l'application *Paramètres* qui peut être activée en cliquant sur le bouton *démarrer*, puis sur le bouton *Paramètres*. Depuis la mise à jour anniversaire de Windows 10, une bulle de notification annonce les résultats d'une analyse du système, même si aucun virus n'a été trouvé².

## I.4.4.2 Histoire

### Versions bêta

*Windows Defender* est basé sur le logiciel *GIANT AntiSpyware*, développé à l'origine par *GIANT Company Software Inc.*. Microsoft a annoncé l'acquisition de cette société le 16 décembre 2004³,⁴. Bien que le logiciel original *GIANT AntiSpyware* prenait en charge les anciennes versions de Windows, le support de la ligne de systèmes Windows 9x a été abandonné.
La première version test de *Microsoft AntiSpyware* a été publiée le 6 janvier 2005 et était essentiellement une copie réemballée de *GILANT AntiSpyware*³. De nouvelles versions bêta ont été publiées en 2005 et la dernière version bêta 1 a été publiée le 21 novembre 2005.

Lors de la conférence RSA Security de 2005, le concepteur de systèmes logiciels en chef et cofondateur de Microsoft, Bill Gates, a annoncé que *Windows Defender* (connu sous le nom de *Microsoft AntiSpyware* avant le 4 novembre 2005) serait mis gratuitement à la disposition de tous les utilisateurs de versions autorisées de Windows 2000, Windows XP et Windows Server 2003 pour aider à sécuriser leurs systèmes contre la menace croissante des logiciels malveillants⁵.

*Windows Defender* (bêta 2) a été publié le 13 février 2006. Cette version porte le nouveau nom du programme et inclut une refonte significative de l'interface utilisateur. Le moteur de base a été réécrit en C++, alors que le logiciel original développé par GIANT était écrit en Visual Basic⁶. La conversion à C++ a amélioré la performance de l'application. De plus, depuis la version bêta 2, le programme fonctionne comme un service Windows, contrairement aux versions antérieures, ce qui permet à l'application de protéger l'ordinateur même si un utilisateur n'est pas connecté à l'application. La version bêta 2 nécessite également la validation *Windows Genuine Advantage*.

Cependant, *Windows Defender* (bêta 2) ne contenait pas certains des outils inclus dans *Microsoft AntiSpyware* (bêta 1). Microsoft a supprimé les outils *System Inoculation, Secure Shredder* et *System Explorer* inclus dans la version bêta 1 ainsi que l'outil *Tracks Eraser* qui permettait aux utilisateurs de supprimer facilement de nombreux types de fichiers temporaires liés à Internet Explorer 6, incluant les témoins (cookies), les fichiers Internet temporaires et l'historique de lecture du Lecteur Windows Media³. Microsoft a, par la suite, publié des versions allemande et japonaise de *Windows Defender* (bêta 2)⁷,⁸.

## Disponibilité générale du logiciel antiespion

Le 24 octobre 2006, Microsoft a lancé *Windows Defender* en version régulière (non bêta). Le logiciel prenait en charge Windows XP et Windows Server 2003. Cependant, contrairement aux versions bêta, il ne pouvait pas être exécuté sur Windows 2000⁹.

## Conversion vers des fonctions antivirus

*Windows Defender* était inclus dans Windows Vista et Windows 7 en tant que composant antiespion intégré. Dans Windows Vista et Windows 7, *Windows Defender* pouvait être remplacé par *Microsoft Security Essentials*, un produit antivirus de Microsoft qui protégeait l'ordinateur contre une gamme plus large de logiciels malveillants. Lors de l'installation, *Microsoft Security Essentials* désactivait et remplaçait *Windows Defender*¹⁰,¹¹,¹².
Dans Windows 8, Microsoft a amélioré *Windows Defender* en en faisant un programme antivirus très similaire à *Microsoft Security Essentials* pour Windows 7 et en utilisant les mêmes mises à jour de définitions de virus que *Microsoft Security Essentials*¹³.

*Microsoft Security Essentials* n'est pas disponible sur les versions de Windows au-delà de Windows 7. Dans Windows 8 et Windows 10, *Windows Defender* est activé par défaut. Il s'interrompt lors de l'installation d'un logiciel antivirus tiers.

À partir de Windows 10, Microsoft a commencé à transférer le contrôle de *Windows Defender* hors de son logiciel original. Initialement, sa boîte de dialogue *Paramètres* a été remplacée par une page dédiée dans l'application *Paramètres* de Windows 10. Dans *Windows 10 Creators Update*, *Windows Defender* est renommé *Windows Defender Antivirus* pour le distinguer du *Windows Defender Security Center*. Ce dernier est devenu l'avenue privilégiée pour l'interface avec *Windows Defender*¹⁴. Bien qu'il n'y ait pas de raccourci dans le menu démarrer pour accéder directement au programme *Windows Defender*, il est toujours possible d'y accéder facilement¹⁵,¹⁶.

### I.4.4.3 Fonctions avancées

#### Protection en temps réel

Dans les options de *Windows Defender*, l'utilisateur peut configurer des options de protection en temps réel.

#### Intégration avec le navigateur

L'intégration avec Internet Explorer et Microsoft Edge permet de scanner les fichiers lorsqu'ils sont téléchargés pour détecter les logiciels malveillants téléchargés par inadvertance. Bien qu'il ne s'intègre pas aux navigateurs Web autres que ceux de Microsoft, *Windows Defender* analyse les fichiers téléchargés malveillants dans le cadre de sa protection en temps réel.

### I.4.4.4 Windows Defender Offline

*Windows Defender Offline* (anciennement connu sous le nom de *Standalone System Sweeper Beta*¹⁷) est un programme antivirus autonome amorçable qui fonctionne à partir d'un disque amorçable et qui est conçu pour analyser des systèmes infectés alors que leurs systèmes d'exploitation sont hors ligne¹⁸. Depuis la mise à jour anniversaire de Windows 10, cette fonctionnalité hors ligne est intégrée dans le programme régulier de *Windows Defender*¹⁹.

### I.4.4.5 Vulnérabilité de sécurité dans Windows Defender

Le 5 mai 2017, Tavis Ormandy (en), un chercheur de vulnérabilités travaillant pour Google, a découvert une vulnérabilité dans le module d'analyse JavaScript (NScript) du Microsoft
Antimalware Engine (MsMpEngine) qui affectait Windows Defender, Microsoft Security Essentials et System Center Endpoint Protection (en). Le 8 mai 2017, Microsoft avait publié un correctif pour tous les systèmes concernés. Ars Technica a félicité Microsoft pour sa vitesse de correction sans précédent et a déclaré qu'une catastrophe avait été évitée²⁰,²¹.

### I.4.4.6 Protéger mon ordinateur avec Windows Defender

S'applique à : Windows 10

Si vous utilisez Windows 10, vous bénéficerez de la protection antivirus la plus récente grâce à Windows Defender. Lorsque vous démarrez Windows 10 pour la première fois, Windows Defender est activé et protège votre PC en recherchant des logiciels malveillants, des virus et toute menace à la sécurité. Windows Defender utilise la protection en temps réel pour analyser tous les éléments que vous téléchargez ou exécutez sur votre PC.

Windows Update télécharge automatiquement les mises à jour de Windows Defender pour vous aider à sécuriser votre PC et à le protéger contre les menaces.

Si vous disposez d'une version antérieure de Windows et que vous utilisez Microsoft Security Essentials, il est judicieux de passer à Windows Defender.

**Remarque**

Si vous installez une autre application antivirus, Windows Defender est automatiquement désactivé.

### Planifier une analyse dans Windows Defender

Windows Defender analyse régulièrement votre PC pour le maintenir en sécurité. Si vous souhaitez planifier votre propre analyse :

1. Recherchez et ouvrez **Tâches planifiées**.

2. Dans le volet gauche, développez **Bibliothèque du Planificateur de tâches** > **Microsoft** > **Windows**, faites défiler vers le bas, puis double-cliquez sur le dossier **Windows Defender**.

3. Dans le volet en haut au centre, double-cliquez sur **Analyse planifiée de Windows Defender**.

4. Sélectionnez l'onglet **Déclencheurs**, puis sélectionnez **Nouveau**.

5. Définissez la durée et la fréquence, puis sélectionnez **OK**.

### Activer ou désactiver la protection en temps réel de Windows Defender

1. Sélectionnez le bouton **Démarrer**, puis **Paramètres** > **Mise à jour et sécurité**.

**Sélectionnez Windows Defender, puis activez ou désactivez la Protection en temps réel.**
## I.4.5 NORTON ANTIVIRUS

Norton AntiVirus

<figure><img src="image_15.png" /></figure>

Norton
by Symantec

<table><tr><td>Développeur</td><td>Symantec Corporation</td></tr><tr><td>Dernière version</td><td>22.10.1.10 (28 août 2017)</td></tr><tr><td>Environnement</td><td>Windows, Mac OS X</td></tr><tr><td>Type</td><td>Antivirus</td></tr><tr><td>Licence</td><td>Propriétaire</td></tr><tr><td>Site web</td><td>Symantec.com [archive ]</td></tr></table>

modifier

<figure><img src="image_16.png" /></figure>

Norton Antivirus est un logiciel antivirus pour les systèmes d'exploitation Windows et Mac édité par la société américaine Symantec.

Le logiciel est décliné en trois versions :

* Norton Antivirus : antivirus et antiphishing seulement ;

* Norton Internet Security : suite de logiciels offrant une protection plus complète ;

* Norton 360 : suite offrant une protection optimum et divers outils de sauvegarde de données en ligne et d'optimisation du PC.

Ce logiciel est souvent offert pour une période d'essai de 30 jours à trois mois à l'achat d'un ordinateur, ce qui explique en partie sa part de marché importante chez les particuliers. Cependant, cette pratique est dénoncée par certains comme étant de la vente liée.

### Historique
Développé par Peter Tippett, le premier logiciel antivirus "Vaccine" est revendu à Symantec en 1992 et renommé à cette occasion Norton Antivirus.

## I.4.6 KASPERSKY ANTI-VIRUS

Kaspersky

<figure><img src="image_17.png" /></figure>

**Développeur** Kaspersky Lab

**Première version** 1997

**Dernière version** 2016 (16.0.0.614) (19 novembre 2015)

**Environnements** Windows, Linux, Macintosh

**Langues** Multilingue

**Type** Antivirus et Anti-spywares

**Licence** Logiciel propriétaire

**Site web** kaspersky.com [archive]

modifier

<figure><img src="image_18.png" /></figure>

Kaspersky Anti-Virus (KAV) (anciennement AntiViral Toolkit Pro ou AVP) est un antivirus créé par la société russe Kaspersky Lab. Cette dernière met aussi à disposition sur son site un système de recherche de virus en ligne. Le code source de Kaspersky Anti-Virus a été diffusé illégalement sur internet en 2008¹, le logiciel dans sa version 8 est écrit en C++ et en Delphi².

## Présentation

Kaspersky est un antivirus doté de fonctions classiques de protection telles que :
* Mise en mémoire

* Analyse des courriels

* Analyse heuristique

* Analyse des fichiers compressés

* Protection contre les logiciels espions, les virus, autres vers et chevaux de Troie.

* Défense proactive, empêchant notamment l'installation de rootkits.

* La possibilité de lancer des applications en mode virtuel.

Kaspersky offre des licences de 1 à 3 ans.

## Récompenses

Selon AV-Comparative, Kaspersky Antivirus se classe parmi les premiers scanneurs de virus en termes de détection en dépit du fait que l'antivirus a échoué à deux tests réalisés en 2007 et 2008 par le magazine Virus Bulletin. Par ailleurs, PC World a récompensé cet antivirus dans sa version 6 par l'octroi du prix Editor's Choice en 2007. Enfin, Ars Technica classe Kaspersky Antivirus parmi les meilleurs logiciels de sécurité destinés aux plateformes Windows.

Kaspersky a été testé par PassMark en 2008.

## Limites

Plusieurs options ne se trouvent pas dans cette édition comme : Pare-feu personnel, AntiSpam, AntiBanner et le contrôle parental. Ces outils sont disponibles avec Kaspersky Internet Security.

Kaspersky comme la majorité de ses concurrents, est incompatible avec d'autres logiciels antivirus et antispyware³.

## I.4.7 DARKSPY

DarkSpy est un système de détection d'intrusion à usage individuel. Les auteurs, CardMagic (Mingyan Sun) et wowocock, étaient pendant la conception des étudiants-chercheurs diplômés de l'University of Science and Technology of China.

## Sommaire

### Description

L'essentiel de son développement s'est fait au premier semestre 2006.

Par rapport à d'autres « anti-rootkits », DarkSpy apporte
* une capacité supérieure de détection grâce, entre autres, à ses recherches à la base même du disque dur,

* et des solutions pour désactiver les rootkits en vue de leur éradication, en particulier la possibilité d'intervention sur les ruches et clés de démarrage des rootkits mises en place et cachées dans le Registre de Windows.

Depuis sa version v1.0.5, toujours qualifiée de « version de test » mais déjà stable, il peut fonctionner en complément d'autres logiciels de défense du PC contre les logiciels malveillants.

## Précieux complément des moyens de défense

Partant du principe qu'aucun utilitaire actuel ne peut garantir une détection totale de toutes les variétés de rootkits présents et à venir, DarkSpy peut être

* le complément d'outils de prévention d'intrusion comme "Antihook" ou Winpooch ou des versions récentes d'utilitaires commerciaux comme Nod32, "F-Secure", "Kaspersky" etc.

* celui d'autres anti-rootkits comme "IceSword" ou "Gmer".

Pour ceux qui n'ont encore qu'un antivirus et un pare-feu classique, DarkSpy peut même constituer la base du système de protection contre les rootkits.

## Environnement et installation

DarkSpy fonctionne avec les systèmes d'exploitation 32 bits de Microsoft : Windows 2000(SP4 et +) / Windows XP / Windows 2003. Il consomme très peu de ressources et convient donc à pratiquement tous les PCs.

DarkSpy ne requiert pas d'installation particulière. Son processus est lancé en mémoire depuis le répertoire du disque où le fichier ".rar" téléchargé a été décompressé.

Pour son fonctionnement, il place le fichier "DarkSpyKernel.sys" dans "C:\WINDOWS\system32" de manière non définitive. Ce "driver" s'exécute en mode noyau au sein de la mémoire. Après l'arrêt de DarkSpy et au démarrage suivant du système, ce fichier n'est pas automatiquement rechargé.

Les traces laissées dans le Registre de Windows sont peu nombreuses. On peut trouver les "ruches" sans difficulté dans les sections ...

* HKLM\SYSTEM\ControlSetxxx\Enum\Root\

* HKLM\SYSTEM\ControlSetxxx\Services.

Elles ne sont pas dangereuses pour la santé du système. Elles peuvent être laissées ou enlevées grâce à un bon outil de nettoyage du registre (celui de "IceSword" par exemple).

## Précautions avant le lancement
Dans certaines conditions d'utilisation, par exemple en présence d'outils actifs de défense du noyau ou du registre de Windows, DarkSpy, ne peut pas fonctionner normalement et parfois même pas être lancé.

Des efforts particuliers ont été faits pour que DarkSpy réduise au mieux les possibilités de conflit. Actuellement, il a été testé en compagnie des suites de Kaspersky / McAfee / Norton / Jetico + Avast! et d'autres, sous différentes versions de Windows (2k/XP/2k3), mais c'est peut-être encore insuffisant. Dans un environnement système complexe, il peut encore y avoir des conflits avec d'autres logiciels. En cas de problème, vous devrez vérifier votre système et essayer de neutraliser ou même désinstaller le logiciel de sécurité qui s'oppose au fonctionnement de DarkSpy.

Sous peine de risquer un écran bleu de la mort, prenez garde de ...

* ne jamais essayer de déboguer DarkSpy avec des outils comme "Softice" / "Windbg" / "Syser debugger", car, naturellement, des fonctionnalités anti-debugg sont incluses.

* ne pas appliquer à DarkSpy un outil de rétro-ingénierie.

# Modules de détection des intrusions

## Process

DarkSpy établit une liste de tous les processus en activité et dispose essentiellement de trois fonctions :

* Détection des processus cachés visualisés en rouge,

* Interruption d'un processus sélectionné,

* Interruption forcée d'un processus.

## Driver Module

DarkSpy procède à une recherche poussée des extensions d'application : services des processus - bibliothèques de fonctions) et pilotes cachés. Il en établit une liste complète avec indication de leur adresse en mémoire et de leur implantation sur le disque.

Les éléments cachés sont visualisés en rouge

## Port

DarkSpy recherche et affiche de tous les ports ouverts, dont les ports cachés par un rootkit ayant des fonctions de cheval de Troie.

# Modules de suppression des intrus
Le parasite peut être directement neutralisé s'il utilise un processus. Dans le cas d'un service, DLL ou pilote détecté dans le "Driver Module", il faudra intervenir soi-même aux endroits d'implantation.

Registry

DarkSpy inclut un très puissant module de gestion du Registre de Windows où se trouvent les ruches et clés de lancement d'une majorité des intrus, que ceux-ci utilisent un processus ou (c'est de plus en plus souvent le cas) un (ou plusieurs) service, dll et/ou driver.

Grâce à cet outil, ces clés pourront être modifiées ou supprimées afin que le rootkit ne se relance pas après un arrêt-redémarrage du système d'exploitation.

File

DarkSpy offre la possibilité de forcer la suppression des fichiers cachés et indésirables. Les fonctionnalités particulières de DarkSpy lui permettent d'outrepasser les protections de fichiers mises en place par certains logiciels.

Si les ruches et clés de lancement du rootkit ont été détectées, il est cependant conseillé de les désactiver et de redémarrer le système avant de supprimer les fichiers actifs. Une fois le rootkit neutralisé, ses fichiers peuvent être plus facilement supprimés.

I.5 PARE-FEU

I.5.1 Terminologie

Un pare-feu est parfois appelé coupe-feu, garde-barrière, barrière de sécurité, ou encore firewall. Traduction littérale : mur de feu [réf. souhaitée].

Dans un environnement Unix BSD (Berkeley Software Distribution), un pare-feu est aussi appelé packet filter.

I.5.2 Origine du terme

Selon le contexte, le terme peut revêtir différentes significations :

* dans le domaine de la lutte contre les incendies de forêt, il se réfère aux allées pare-feu destinées à contenir l'extension des feux de forêts ;
* au théâtre, le déclenchement d'un mécanisme « pare-feu » (ou « coupe-feu ») permet d'éviter la propagation du feu de la salle vers la scène ;

* dans le domaine de l'architecture, il fait référence aux portes coupe-feu ou à tout autre dispositif constructif destiné à contenir l'extension d'un incendie ;

* en informatique, l'usage du terme « pare-feu » est donc métaphorique. Sa dénomination, reprend au sens figuré l'intention de "brûler par un mur de feu virtuel" tout ce qui tente d'entrer avec l'intention de nuire dans une machine ou un réseau. Il établit une barrière de protection contre les intrusions et les contaminations venant de l'extérieur.

### I.5.3 Fonctionnement général

<figure><img src="image_19.png" /></figure>

Pare-feu passerelle entre LAN et WAN.

<figure><img src="image_20.png" /></figure>

Pare-feu routeur, avec une zone DMZ.

Le pare-feu est jusqu'à ces dernières années considéré comme une des pierres angulaires de la sécurité d'un réseau informatique (il perd en importance au fur et à mesure que les communications basculent vers le HTTP sur SSL, court-circuitant tout filtrage). Il permet d'appliquer une politique d'accès aux ressources réseau (serveurs).

Il a pour principale tâche de contrôler le trafic entre différentes zones de confiance, en filtrant les flux de données qui y transitent. Généralement, les zones de confiance incluent Internet (une zone dont la confiance est nulle) et au moins un réseau interne (une zone dont la confiance est plus importante).

Le but est de fournir une connectivité contrôlée et maîtrisée entre des zones de différents niveaux de confiance, grâce à l'application de la politique de sécurité et d'un modèle de connexion basé sur le principe du moindre privilège.

Le filtrage se fait selon divers critères. Les plus courants sont :
* l'origine ou la destination des paquets (adresse IP, ports TCP ou UDP, interface réseau, etc.) ;

* les options contenues dans les données (fragmentation, validité, etc.) ;

* les données elles-mêmes (taille, correspondance à un motif, etc.) ;

* les utilisateurs pour les plus récents.

Un pare-feu fait souvent office de routeur et permet ainsi d'isoler le réseau en plusieurs zones de sécurité appelées zones démilitarisées ou DMZ. Ces zones sont séparées suivant le niveau de confiance qu'on leur porte.

Enfin, le pare-feu est également souvent situé à l'extrémité de tunnel IPsec ou SSL. L'intégration du filtrage de flux et de la gestion du tunnel est en effet nécessaire pour pouvoir à la fois protéger le trafic en confidentialité et intégrité et filtrer ce qui passe dans le tunnel. C'est le cas notamment de plusieurs produits du commerce nommés dans la liste ci-dessous.

### I.5.4 Technologies utilisées

Les pare-feux récents embarquent de plus en plus de fonctionnalités, parmi lesquelles on peut citer :

* Filtrage sur adresses IP / protocole,

* Inspection *stateful*² et applicative,

* Intelligence artificielle pour détecter le trafic anormal,

* Filtrage applicatif :

* HTTP (restriction des URL accessibles),

* Courriel (Anti-pourriel),

* Logiciel antivirus, anti-logiciel malveillant

* Traduction d'adresse réseau,

* Tunnels IPsec, PPTP, L2TP,

* Identification des connexions,

* Serveurs de protocoles de connexion (telnet, SSH), de protocoles de transfert de fichier (SCP),

* Clients de protocoles de transfert de fichier (TFTP),

* Serveur Web pour offrir une interface de configuration agréable,

* Serveur mandataire (« proxy » en anglais),

* Système de détection d'intrusion (« IDS » en anglais)

* Système de prévention d'intrusion (« IPS » en anglais)

### I.5.5 Catégories de pare-feu

Les pare-feux sont un des plus vieux équipements de sécurité informatique et, en tant que tel, ils ont été soumis à de nombreuses évolutions. Suivant la génération du pare-feu ou son rôle précis, on peut les classer en différentes catégories.

**Pare-feu sans état (stateless firewall)**
C'est le plus vieux dispositif de filtrage réseau, introduit sur les routeurs. Il regarde chaque paquet indépendamment des autres et le compare à une liste de règles préconfigurées. Ces règles peuvent avoir des noms très différents en fonction du pare-feu :

* « ACL » pour Access Control List (certains pare-feux Cisco),

* politique ou policy (pare-feu Juniper/Netscreen),

* filtres,

* règles ou rules,

* etc.

La configuration de ces dispositifs est souvent complexe et l'absence de prise en compte des machines à états des protocoles réseaux ne permet pas d'obtenir une finesse du filtrage très évoluée. Ces pare-feux ont donc tendance à tomber en désuétude mais restent présents sur certains routeurs ou systèmes d'exploitation.

Article connexe : Serveur sans état.

## Pare-feu à états (stateful firewall)

Certains protocoles dits « à états » comme TCP introduisent une notion de connexion. Les pare-feux à états vérifient la conformité des paquets à une connexion en cours. C'est-à-dire qu'ils vérifient que chaque paquet d'une connexion est bien la suite du précédent paquet et la réponse à un paquet dans l'autre sens. Ils savent aussi filtrer intelligemment les paquets ICMP qui servent à la signalisation des flux IP.

Enfin, si les ACL autorisent un paquet UDP caractérisé par un quadruplet (ip_src, port_src, ip_dst, port_dst) à passer, un tel pare-feu autorisera la réponse caractérisée par un quadruplet inversé, sans avoir à écrire une ACL inverse. Ceci est fondamental pour le bon fonctionnement de tous les protocoles fondés sur l'UDP, comme DNS par exemple. Ce mécanisme apporte en fiabilité puisqu'il est plus sélectif quant à la nature du trafic autorisé. Cependant dans le cas d'UDP, cette caractéristique peut être utilisée pour établir des connexions directes (P2P) entre deux machines (comme le fait Skype par exemple).

Article connexe : Pare-feu à états.

## Pare-feu applicatif

Dernière génération de pare-feu, ils vérifient la complète conformité du paquet à un protocole attendu. Par exemple, ce type de pare-feu permet de vérifier que seul le protocole HTTP passe par le port TCP 80. Ce traitement est très gourmand en temps de calcul dès que le débit devient très important. Il est justifié par le fait que de plus en plus de protocoles réseaux utilisent un tunnel TCP afin de contourner le filtrage par ports.

Une autre raison de l'inspection applicative est l'ouverture de ports dynamique. Certains protocoles comme FTP, en mode passif, échangent entre le client et le serveur des adresses IP
ou des ports TCP/UDP. Ces protocoles sont dits « **à contenu sale** » ou « passant difficilement les pare-feux » car ils échangent au niveau applicatif (FTP) des informations du niveau IP (change d'adresses) ou du niveau TCP (change de ports). Ce qui transgresse le principe de la séparation des couches réseaux. Pour cette raison, les protocoles « à contenu sale » passent difficilement voire pas du tout les règles de NAT ...dynamiques, à moins qu'une inspection applicative ne soit faite sur ce protocole.

Chaque type de pare-feu sait inspecter un nombre limité d'applications. Chaque application est gérée par un module différent pour pouvoir les activer ou les désactiver. La terminologie pour le concept de module est différente pour chaque type de pare-feu : par exemple : Le protocole HTTP permet d'accéder en lecture sur un serveur par une commande GET, et en écriture par une commande PUT. Un pare-feu applicatif va être en mesure d'analyser une connexion HTTP et de n'autoriser les commandes PUT qu'à un nombre restreint de machines.

* Pare-feu applicatif sur Bee Ware [archive]; DenyAll [archive]

* Firewall as a Service (filtrage en fonction de l'origine et de la destination de chaque paquet) sur UPPERSAFE [archive]

* Conntrack (suivi de connexion) et 17 Filter (filtrage applicatif) sur Linux Netfilter

* CBAC sur Cisco IOS

* Fixup puis inspect sur Cisco PIX

* ApplicationLayerGateway sur Proventia M,

* Predefined Services sur Juniper ScreenOS

* Stateful Inspection sur Check Point FireWall-1

* Deep Packet Inspection sur Qosmos [archive]

* Web Application Firewall sur BinarySEC [archive]

## Pare-feu identifiant

Un pare-feu réalise l'identification des connexions passant à travers le filtre IP. L'administrateur peut ainsi définir les règles de filtrage par utilisateur et non plus par adresse IP ou adresse MAC, et ainsi suivre l'activité réseau par utilisateur.

Plusieurs méthodes différentes existent qui reposent sur des associations entre IP et utilisateurs réalisées par des moyens variés. On peut par exemple citer authpf [archive] (sous OpenBSD) qui utilise ssh pour faire l'association. Une autre méthode est l'identification connexion par connexion (sans avoir cette association IP = utilisateur et donc sans compromis sur la sécurité), réalisée par exemple par la suite NuFW, qui permet d'identifier également sur des machines multi-utilisateurs.

On pourra également citer Cyberoam qui fournit un pare-feu entièrement basé sur l'identité (en réalité en réalisant des associations adresse MAC = utilisateur) ou Check Point avec l'option NAC Blade qui permet de créer des règles dynamiques basée sur l'authentification Kerberos d'un utilisateur, l'identité de son poste ainsi que son niveau de sécurité (présence d'antivirus, de patchs particuliers).

## Pare-feu personnel
Les pare-feux personnels, généralement installés sur une machine de travail, agissent comme un pare-feu à états. Bien souvent, ils vérifient aussi quel programme est à l'origine des données. Le but est de lutter contre les virus informatiques et les logiciels espions.

## Portail captif

Les portails captifs sont des pare-feux dont le but est d'intercepter les usagers d'un réseau de consultation afin de leur présenter une page web spéciale (par exemple : avertissement, charte d'utilisation, demande d'authentification, etc.) avant de les laisser accéder à Internet. Ils sont utilisés pour assurer la traçabilité des connexions et/ou limiter l'utilisation abusive des moyens d'accès. On les déploie essentiellement dans le cadre de réseaux de consultation Internet mutualisés filaires ou Wi-Fi.

# LISTE DE PARE-FEU

## Versions libres

* Linux Netfilter/Iptables, pare-feu libre des noyaux Linux 2.4, 2.6, 3.0 et suivants.

* Linux Ipchains, pare-feu libre de l'ancien noyau Linux 2.2.

* Packet Filter ou PF, pare-feu libre de OpenBSD, importé depuis sur les autres BSD.

* IPFilter ou IPF, pare-feu libre de BSD et Solaris 10 et 11.

* Ipfirewall ou IPFW, pare-feu libre de FreeBSD.

* iSafer, pare-feu libre pour Windows.

## Distributions Linux

* SmoothWall : distribution linux packageant Netfilter et d'autres outils de sécurité pour transformer un PC en pare-feu dédié et complet.

* IPCop : distribution linux packageant Netfilter et d'autres outils de sécurité pour transformer un PC en pare-feu dédié et complet.

* Ipfire : Dérivé de IPCop, mais avec des idées très nouvelles et de design.

* Pfsense, distribution firewall open source très avancée basée sur FreeBSD et dérivée de m0n0wall qui utilise entre autres OpenBSD packet Filter.

* Zeroshell

* Amon, module du projet EOLE, distribution GNU/Linux se basant sur Ubuntu et proposant des outils d'administration.

## Pare-feu identifiants

* NuFW : Un pare-feu identifiant (authentifiant). La partie serveur et les clients pour OS libres sont sous licence GPL. Le client Windows est sous licence propriétaire.
## Portails captifs

* **ALCASAR** : Solution complète et intégrée pour contrôler et imputer les accès Internet. Sous licence GPL et gratuit.

## Boîtiers pare-feu

* **Arkoon Network Security**

* **Appliances UTM FAST360**, certifiées Critères communs niveau EAL3+

* **Astaro Security Gateway**

* **Appliances Astaro UTM**, certifiées Critères communs niveau EAL4+¹

* **Check Point**

* **Check Point FireWall-1**

* **Cisco Systems**

* **Cisco PIX**, **Cisco ASA** et **Cisco FWSM**, boîtier pare-feu

* **Cisco VPN3000**, boîtier pare-feu orienté RPV

* **EdenWall Technologies**

* **EdenWall**, boîtier pare-feu dont la technologie est basée sur NuFW, apportant la notion d'identité des utilisateurs, en cours de qualification Critères communs niveau EAL3+[réf. nécessaire]

* **Fortinet**

* **Appliances UTM FortiGate**, certifiées Critères communs niveau EAL4+, FIPS 140-2, multiple ICSA Labs Certifications dont SSL-TLS (VPN), IPSec, Network IPS, Antivirus, et Firewall

* **Juniper Networks**

* **Juniper Screen OS**, boîtier pare-feu

* **NetASQ**

* **Appliances UTM NetASQ**, certifiées Critères Communs niveau EAL4+(fr)) et IPv6 ready ipv6forum [archive]

* **Nortel**

* **Famille Nortel VPN Router**

* **Famille Nortel Switched Firewall**

* **Stonesoft**

* **StoneGate**, pare-feu professionnel commercial centralisé pour gérer ses grappes d'appliances Pare-feu VPN et NIDS
* ZyXEL

* ZyWALL, pare-feu professionnel UTM (Antivirus, filtrage applicatif, IDP, filtrage de contenu, antispam) avec Tunnel VPN IPSEC et SSL

## Pare-feu personnels

* Comodo Firewall : gratuit pour usage personnel, compatible avec d'autres logiciels de protection, très complet et paramétrable, choix du tout automatique au tout manuel suivant le niveau de l'utilisateur.

* Zone Alarm : le pare-feu personnel de ZoneLabs repris par Check Point, maintenant incompatible avec tout autre logiciel de protection sauf MS Windows Defender.

* NetBarrier : le pare-feu personnel pour Mac OS X d'Intego

* Microsoft

* Pare-feu de connexion Internet de Windows XP

* Windows Firewall

* Microsoft Internet Security and Acceleration Server, le pare-feu proxy-cache de Microsoft

# I.6 LES PROTOCOLES DE SECURITE

## PRESENTATION

Un **protocole** est une méthode standard qui permet la communication entre des processus (s'exécutant éventuellement sur différentes machines), c'est-à-dire un ensemble de règles et de procédures à respecter pour émettre et recevoir des données sur un réseau. Il en existe plusieurs selon ce que l'on attend de la communication. Certains protocoles sont par exemple spécialisés dans l'échange de fichiers (le FTP), d'autres servent à gérer simplement l'état de la transmission et des erreurs (c'est le cas du protocole ICMP).

Sur Internet, les protocoles utilisés font partie d'un ensemble de protocoles, appellés **protocoles TCP/IP**. Cette suite de protocoles contient entre autres les protocoles TCP pour le transport des données, HTTP pour le web, FTP pour le transfert de fichiers, ICMP pour le contrôle des erreurs, etc.

La plupart des protocoles de la suite TCP/IP ne sont pas sécurisés, c'est-à-dire que les données transitent en clair sur le réseau. Ainsi, des protocoles de plus haut niveau, dits « protocoles sécurisés » ont été mis au point afin d'encapsuler les messages dans des paquets de données chiffrés.
## Protocole SSL

SSL (Secure Sockets Layers, que l'on pourrait traduire par couche de sockets sécurisée) est un procédé de sécurisation des transactions effectuées via Internet. Le standard SSL a été mis au point par Netscape, en collaboration avec Mastercard, Bank of America, MCI

et Silicon Graphics. Il repose sur un procédé de cryptographie par clé publique afin de garantir la sécurité de la transmission de données sur Internet. Son principe consiste à établir un canal de communication sécurisé (chiffré) entre deux machines (un client et un serveur) après une étape d'authentification.

Le système SSL est indépendant du protocole utilisé, ce qui signifie qu'il peut aussi bien sécuriser des transactions faites sur le Web par le protocole HTTP que des connexions *via* les protocoles FTP, POP ou IMAP. En effet, SSL agit telle une couche supplémentaire permettant d'assurer la sécurité des données, située entre la couche application et la couche transport (protocole TCP par exemple).

De cette manière, SSL est transparent pour l'utilisateur (entendez par là qu'il peut ignorer qu'il utilise SSL). Par exemple un client qui recourt à un navigateur Internet pour se connecter à un site de commerce électronique sécurisé par SSL enverra des données chiffrées sans aucune manipulation nécessaire de sa part.

La totalité des navigateurs supportent aujourd'hui le protocole SSL. Sur les sites qui l'utilisent, un cadenas apparaît sur la même ligne que son adresse web.
La totalité des navigateurs supportent aujourd'hui le protocole SSL.
Sur les sites qui l'utilisent, un cadenas apparaît sur la même ligne que
son adresse web.

► Sous Internet Explorer :

<figure><img src="image_21.png" /></figure>

► Sous Mozilla :

<figure><img src="image_22.png" /></figure>

Un serveur web sécurisé par SSL possède une URL commençant par https://, où le « s » signifie bien évidemment secured (sécurisé).
## Protocole SSH

Internet permet de réaliser un grand nombre d'opérations à distance, notamment l'administration de serveurs ou bien le transfert de fichiers. Le protocole telnet et les r-commandes BSD (rsh, rlogin et rexec) permettant d'effectuer ces tâches distantes possèdent l'inconvénient majeur de faire circuler en clair sur le réseau les informations échangées, notamment l'identifiant (login) et le mot de passe pour l'accès à la machine distante. Ainsi, un pirate situé sur un réseau entre l'utilisateur et la machine distante a la possibilité d'écouter le trafic, c'est-à-dire d'utiliser un outil appelé sniffer capable de capturer les trames circulant sur le réseau et ainsi d'obtenir l'identifiant et le mot de passe d'accès à la machine distante.

Même si les informations échangées ne possèdent pas un grand niveau de sécurité, le pirate obtient un accès à un compte sur la machine distante et peut éventuellement étendre ses privilèges sur la machine afin d'obtenir un accès administrateur (root).

Étant donné qu'il est impossible de maîtriser l'ensemble des infrastructures physiques situées entre l'utilisateur et la machine distante (Internet étant par définition un réseau ouvert), la seule solution est de recourir à une sécurité au niveau logique (au niveau des données).

Le protocole SSH (Secure Shell) répond à cette problématique en permettant à des utilisateurs (ou bien à des services TCP/IP) d'accéder à une machine à travers une communication chiffrée (appelée tunnel).

## Protocole Secure HTTP

S-HTTP (Secure HTTP, ce qui signifie Protocole HTTP sécurisé) est un procédé de sécurisation des transactions HTTP reposant sur une amélioration du protocole HTTP mise au point en 1994 par l'EIT (Enterprise Integration Technologies). Il permet de fournir une sécurisation des échanges lors de transactions de commerce électronique en cryptant les messages afin de garantir aux clients la confidentialité de leur numéro de carte bancaire ou de toute autre information personnelle. Une implémentation de S-HTTP a été développée par la société Terisa Systems afin d'inclure une sécurisation au niveau des serveurs web et des navigateurs.
□ Complémentarité avec SSL

Alors que SSL et S-HTTP étaient concurrents, un grand nombre de personnes a réalisé que les deux protocoles de sécurisation étaient complémentaires, étant donné qu'ils ne travaillaient pas au même niveau. De cette façon, SSL permet de sécuriser la connexion Internet tandis que S-HTTP permet de fournir des échanges HTTP sécurisés.

C'est pourquoi, la compagnie Terisa Systems, spécialisée dans la sécurisation des réseaux, formée par RSA Data Security et l'EIT, a mis au point un kit de développement permettant de développer des serveurs web implémentant SSL et S-HTTP (SecureWeb Server Toolkit), ainsi que des clients web supportant ces protocoles (SecureWeb Client Toolkit).

## Protocole SET

SET (Secure Electronic Transaction) est un protocole de sécurisation des transactions électroniques mis au point par Visa et MasterCard, et s'appuyant sur le standard SSL.

SET est basé sur l'utilisation d'une signature électronique au niveau de l'acheteur et une transaction mettant en jeu non seulement l'acheteur et le vendeur, mais aussi leurs banques respectives.

Lors d'une transaction sécurisée avec SET, les données sont envoyées par le client au serveur du vendeur, mais ce dernier ne récupère que la commande. En effet, le numéro de carte bleue est envoyé directement à la banque du commerçant, qui va être en mesure de lire les

coordonnées bancaires de l'acheteur, et donc de contacter sa banque afin de les vérifier en temps réel.

<figure><img src="image_23.png" /></figure>

Ce type de méthode nécessite une signature électronique au niveau de l'utilisateur de la carte afin de certifier qu'il s'agit bien du possesseur de cette carte.
## Protocole S/MIME

S/MIME (Secure MIME, soit Secure Multipurpose Mail Extension, que l'on pourrait traduire par extensions du courrier électronique à buts multiples et sécurisées) est un procédé de sécurisation des échanges par courrier électronique permettant de garantir la confi-dentialité et la non-répudiation des messages électroniques.

S/MIME est basé sur le standard MIME, dont le but est de permettre d'inclure dans les messages électroniques des fichiers attachés autres que des fichiers texte (ASCII).

C'est ainsi grâce au standard MIME qu'il est possible d'ajouter des pièces jointes de tous types aux courriers électroniques.

## Protocole DNSsec

Les serveurs DNS sont des ordinateurs qui structurent le Web mondial. Les acteurs de ce secteur ont donc décidé de sécuriser les transmissions de ces serveurs entre eux. C'est ce que tente de faire le **protocole sécurisé DNSsec** (Domain Name System Security Extensions). DNSsec constitue une des extensions du protocole DNS et est censé assurer l'authentification et l'intégrité des enregistrements du DNS. Son fonctionnement est basé sur des vérifications de signatures numériques et d'échange de données cryptées. DNSsec permet ainsi de constituer une chaîne d'identification sécurisée. L'utilisateur pourrait donc mieux identifier si tel ou tel sous-domaine d'un site web est bien celui auquel il veut s'adresser. DNSsec pourrait être mis en place de façon systématique pour contrer les failles du protocole DNS et le phénomène de **phishing**.
# CHAP.II LES PORTS LOGIQUES, LES VULNERABILITES INFORMATIQUES ET LES JOURNAUX D'EVENEMENTS LOGS

## II.1 LES PORTS LOGIQUES

Dans la suite des protocoles Internet et correspondant à la couche de transport du modèle OSI, la notion de **port** logiciel permet, sur un ordinateur donné, de distinguer différents interlocuteurs. Ces interlocuteurs sont des programmes informatiques qui, selon les cas, écoutent ou émettent des informations sur ces ports.
Un port est distingué par son numéro.

Le terme **port** est aussi parfois utilisé pour désigner les **interfaces de connexion**, un concept sensiblement différent.

○

### Origine du mot

**Port**, en informatique, est une traduction erronée de l'anglais **port** (en) [archive] ; l'étymologie du mot au sens informatique est le latin *porta* (→ *porte*), et non *portus* (→ *port*)¹.

### Explication métaphorique

Pour simplifier, on peut considérer les ports comme des *portes donnant accès au système d'exploitation* : (Microsoft Windows, Mac OS, GNU/Linux, Solaris...). Pour fonctionner, un programme (par exemple un jeu à accélération 3D/2D, ou un logiciel de retouche photo) ouvre des portes pour entrer dans le système d'exploitation, mais lorsque l'on quitte le programme, la porte n'a plus besoin d'être ouverte.

### Utilité

Grâce à cette abstraction, on peut exécuter plusieurs logiciels serveurs sur une même machine, et même simultanément des logiciels clients et des serveurs, ce qui est fréquent sur les systèmes d'exploitation multitâches et multiutilisateurs.

### Attribution des ports

Un numéro de port est codé sur 16 bits, ce qui fait qu'il existe un maximum de 65 536 ports distincts par machine. Ces ports sont classés en 3 catégories en fonction de leur numéro:

* les numéros de port de 0 à 1 023 correspondent aux ports "bien-connus" (well-known ports), utilisés pour les services réseaux les plus courants.

* les numéros de ports de 1 024 à 49 151 correspondent aux ports enregistrés (registered ports), assignés par l'IANA

* les numéros de ports de 49 152 à 65 535 correspondent aux ports dynamiques, utilisables pour tout type de requêtes TCP ou UDP autres que celle citées précédemment.

Lorsqu'un logiciel client veut dialoguer avec un logiciel serveur, aussi appelé service, il a besoin de connaître le port écouté par ce dernier. Les ports utilisés par les services devant être connus par les clients, les principaux types de services utilisent des ports qui sont dits réservés. Par convention, ce sont tous ceux
compris entre 0 et 1 023² inclus et leur utilisation par un logiciel serveur nécessite souvent que celui-ci s'exécute avec des droits d'accès particuliers. Les services utilisant ces ports sont appelés les *services bien connus* ("Well-Known Services").

Le fichier *services* indique la liste de ces services dits well-known. Sous UNIX, ce fichier est directement dans /etc ; sous Windows, ce fichier est par défaut dans `C:\Windows\System32\drivers\etc`. Les services les plus utilisés sont :

* 9, pour le WoL, Wake-on-LAN, c'est-à-dire le démarrage à distance par un câble réseau ethernet. Wake-on-LAN

* 20/21, pour l'échange de fichiers via FTP

* 22, pour l'accès à un shell sécurisé Secure SHell, également utilisé pour l'échange de fichiers sécurisés SFTP

* 23, pour le port telnet

* 25, pour l'envoi d'un courrier électronique via un serveur dédié SMTP

* 53, pour la résolution de noms de domaine en adresses IP : DNS

* 67/68, pour DHCP et bootpc

* 80, pour la consultation d'un serveur HTTP par le biais d'un navigateur web

* 110, pour la récupération de son courrier électronique via POP

* 123, pour la synchronisation de l'horloge : Network Time Protocol (NTP)

* 143, pour la récupération de son courrier électronique via IMAP

* 389, pour la connexion à un LDAP

* 443, pour les connexions HTTP utilisant une surcouche de sécurité de type SSL : HTTPS

* 465, pour l'envoi d'un courrier électronique via un serveur dédié utilisant une surcouche de sécurité de type SSL : SMTPS

* 500, port utilisé pour le canal d'échange de clés IPsec

* 554, port utilisé pour accepter les connexions client RTSP entrantes et pour fournir des paquets de données aux clients qui diffusent en utilisant RTSPT.

* 636, pour l'utilisation d'une connexion à un LDAP sécurisé par une couche SSL/TLS

* 1352, pour le protocole Lotus Notes Domino

* 1433, serveur de base de données MS SQL

* 1521, serveur de base de données Oracle Database

* 1723, pour l'utilisation du protocole de VPN PPTP

* 3306, serveur de base de données MySQL

* 3389, pour la prise de contrôle à distance RDP

* 5432, serveur de base de données PostgreSQL

* 6667, pour la connexion aux serveurs IRC

* 25565, port par défaut des serveurs Minecraft³,⁴,⁵
## III.2 LES VULNERABILITES INFORMATIQUES

### III.2.1 PRESENTATION

Dans le domaine de la sécurité informatique, une **vulnérabilité** ou **faille** est une faiblesse dans un système informatique permettant à un attaquant de porter atteinte à l'intégrité de ce système, c'est-à-dire à son fonctionnement normal, à la confidentialité ou à l'intégrité des données qu'il contient.

Ces vulnérabilités sont la conséquence de faiblesses dans la conception, la mise en œuvre ou l'utilisation d'un composant matériel ou logiciel du système, mais il s'agit souvent d'anomalies logicielles liées à des erreurs de programmation ou à de mauvaises pratiques. Ces dysfonctionnements logiciels sont en général corrigés à mesure de leurs découvertes, mais l'utilisateur reste exposé à une éventuelle exploitation tant que le correctif (temporaire ou définitif) n'est pas publié et installé. C'est pourquoi il est important de maintenir les logiciels à jour avec les correctifs fournis par les éditeurs de logiciels. La procédure d'exploitation d'une vulnérabilité logicielle est appelée exploit.

### II.2.2 Causes

Les vulnérabilités informatiques proviennent souvent de la négligence ou de l'inexpérience d'un programmeur. Il peut y avoir d'autres causes liées au contexte comme l'évolution des technologies, notamment en cryptographie. Une vulnérabilité permet généralement à l'attaquant de duper l'application, par exemple en outrepassant les vérifications de contrôle d'accès ou en exécutant des commandes sur le système hébergeant l'application.

Quelques vulnérabilités surviennent lorsque l'entrée d'un utilisateur n'est pas contrôlée, permettant l'exécution de commandes ou de requêtes SQL (connues sous le nom d'injection SQL). D'autres proviennent d'erreurs d'un programmeur lors de la vérification des buffers de données (qui peuvent alors être dépassés), causant ainsi une corruption de la pile mémoire (et ainsi permettre l'exécution de code fourni par l'attaquant).

### II.2.3 Publication d'une vulnérabilité

#### Méthode de publication

La méthode de publication des vulnérabilités est un sujet qui fait débat au sein de la communauté de la sécurité des systèmes d'information. Certains affirment qu'il est nécessaire de publier immédiatement toutes les informations à propos d'une vulnérabilité dès qu'elle a été découverte (full disclosure). D'autres prétendent qu'il est préférable de limiter en premier lieu
la publication uniquement aux utilisateurs qui en ont un besoin important (divulgation responsable, voire coordonnée), puis après un certain délai, de publier en détail, s'il y a besoin.

Ces délais peuvent permettre de laisser le temps aux développeurs de corriger la vulnérabilité et à ces utilisateurs d'appliquer les patchs de sécurité nécessaires, mais peuvent aussi accroître les risques pour ceux qui n'ont pas ces informations. Les éditeurs de logiciels appellent cette méthode de publication la divulgation responsable et encouragent les chercheurs en sécurité à l'utiliser. En théorie, ces délais permettent aux éditeurs de publier les correctifs nécessaires pour protéger leurs logiciels et leurs utilisateurs, mais en pratique, cela ne les contraint pas à corriger les vulnérabilités. Il a ainsi pu arriver que certaines vulnérabilités soient restées non corrigées pendant des mois voire des années, tant qu'aucun exploit n'a été publié. Devant cette situation, certains ont décidé de laisser un délai - considéré raisonnable - aux éditeurs pour corriger les vulnérabilités avant de les divulguer. Ainsi la société TippingPoint laisse un délai de 6 mois avant de divulguer les détails d'une vulnérabilité¹.

## Date et source de publication

La date de publication est la première date à laquelle une vulnérabilité est décrite sur un média. L'information révélée suit les conditions suivantes :

- l'information est disponible librement et publiquement ;

- l'information sur la vulnérabilité est publiée par une source indépendante et de confiance ;

- la vulnérabilité a fait l'objet d'analyse par des experts, notamment sur l'estimation du risque de la révélation.

D'un point de vue sécurité, seule une publication libre d'accès et complète peut assurer que toutes les parties intéressées obtiennent l'information appropriée. La sécurité par l'obscurité est un concept qui n'a jamais fonctionné.

La source de la publication doit être indépendante d'un éditeur, d'un vendeur, ou d'un gouvernement. Elle doit être impartiale pour permettre une diffusion de l'information juste et critique. Un média est considéré comme « de confiance » lorsqu'il est une source de la sécurité des systèmes d'information largement acceptée dans l'industrie (par exemple : CERT, CESTI, Securityfocus, Secunia).

L'analyse et l'estimation du risque assurent la qualité de l'information révélée. Une unique discussion sur une faille potentielle dans une liste de diffusion ou une vague information d'un vendeur ne permettent donc pas de qualifier une vulnérabilité. L'analyse doit inclure assez de détails pour permettre à un utilisateur concerné d'évaluer lui-même son risque individuel, ou de prendre une mesure immédiate pour se protéger.
## II.3 JOURNAUX DES EVENEMENTS (FICHIERS LOGS) ET SYSLOG

### II.3.1 JOURNAUX DES EVENEMENTS (FICHIERS LOGS)

<figure><img src="image_24.png" /></figure>

**Structure de journal informatique "circulaire"**

En informatique, le concept **d'historique des événements** ou de **journalisation** désigne l'enregistrement séquentiel dans un fichier ou une base de données de tous les événements affectant un processus particulier (application, activité d'un réseau informatique...). Le **journal** (en anglais *log file* ou plus simplement *log*), désigne alors le fichier contenant ces enregistrements. Généralement datés et classés par ordre chronologique, ces derniers permettent d'analyser pas à pas l'activité interne du processus et ses interactions avec son environnement.

**Un fichier texte peut être la structure sous-jacente d'un fichier journal**

En français, le *journal* est le livre où sont inscrits des événements. Il s'applique initialement dans le domaine des organisations (journal de bord), puis à partir du XIXe siècle dans le domaine littéraire (journal intime) et dans le domaine de la presse d'information (journal d'information)². Le journal est aussi le terme utilisé en comptabilité d'entreprise et a diffusé dans les système informatiques bancaires pour la traçabilité des transactions et des erreurs, puis dans le domaine des télécommunications, enfin en informatique générale². Le terme se différencie des registres et main courante par son séquencement temporel².

En anglais et en argot franglais, le terme *log file* est la traduction de *journal* ou de *main-courante*, tandis que le terme *inscription* est traduit en anglais par *log*.

### Fonctionnalités offertes

L'enregistrement d'un historique permet de mettre en œuvre des fonctionnalités telles que les « derniers fichiers ouverts », les « dernières commandes tapées » ou les « dernières pages web consultées ».

### Applications

La journalisation est une technique importante, utilisé entre autres en sécurité informatique et dans les systèmes de comptabilité et paiement.

Dans le cadre de la sécurité, les événements enregistrés seront les accès au système, les modifications de fichiers, etc. On consacre typiquement une ligne par événement, en commençant par le moment exact (date, heure, minute, seconde) où il a eu lieu.

La journalisation permet d'effectuer des analyses diverses, généralement statistiques ; de faire des hypothèses sur les dysfonctionnements ou les pertes de performance d'un système.

L'accès aux journaux peut contrevenir à certaines exigences de confidentialité, voire de sécurité.

La journalisation permet aussi d'enregistrer les événements dans deux places différentes.
Les enregistrements d'événements peuvent également avoir une importance légale. Par exemple un fournisseur d'accès à Internet est tenu de fournir un historique des connexions de ses clients (Loi du 15 novembre 2001 "LSQ", Loi du 21 juin 2004 "LCEN").

## Journalisation applicative

La journalisation applicative désigne l'enregistrement chronologique des opérations de la logique métier pendant le fonctionnement de l'application. Un journal applicatif est lui-même une exigence du métier. Il est donc défini comme une fonctionnalité faisant partie de la logique applicative. Par conséquent, il ne devrait pas être arrêté pendant le fonctionnement de l'application.

## Journalisation système

La journalisation système désigne l'enregistrement chronologique des événements survenant au niveau des composants du système. Le niveau de cette journalisation peut être paramétré, afin de filtrer les différents événements selon leur catégorie de gravité. Les catégories généralement utilisées sont, par ordre croissant de gravité : information, débogage, avertissement, erreur.

Pour exemple, les systèmes Unix mettent en œuvre cette journalisation système à l'aide du protocole Syslog.

## II.3.2 Syslog

<table><thead><tr><th colspan="2">Syslog</th></tr></thead><tbody><tr><td>Fonction</td><td>Transmission de journaux</td></tr><tr><td>Port</td><td>UDP 514</td></tr><tr><td rowspan="4">RFC</td><td>RFC</td><td>3164<sup>1</sup></td></tr><tr><td>RFC</td><td>3195<sup>2</sup></td></tr><tr><td>RFC</td><td>5424<sup>3</sup></td></tr><tr><td>RFC 5426<sup>4</sup></td><td></td></tr><tr><td>modifier</td><td></td></tr></tbody></table>

Syslog est un protocole définissant un service de journaux d'événements d'un système informatique. C'est aussi le nom du format qui permet ces échanges.

## Historique

Syslog a été développé dans les années 1980 par Eric Allman dans le cadre du projet Sendmail⁵, et n'était initialement prévue que pour Sendmail. Il s'est avéré si utile que d'autres applications ont commencé à l'utiliser. Syslog est depuis devenu la solution de journalisation standard sur les systèmes Unix et Linux⁶, il y a également une variété d'implémentations syslog sur d'autres systèmes d'exploitation (Windows notamment⁷) et est généralement trouvé dans les périphériques réseau tels que les commutateurs ou routeurs.
# Le protocole Syslog

## Présentation générale

En tant que protocole, Syslog se compose d'une partie cliente et d'une partie serveur. La partie cliente émet les informations sur le réseau, via le port UDP 514. Les serveurs collectent l'information et se chargent de créer les journaux.

L'intérêt de Syslog est donc de centraliser les journaux d'événements, permettant de repérer plus rapidement et efficacement les défaillances d'ordinateurs présents sur un réseau.

Il existe aussi un logiciel appelé Syslog, qui est responsable de la prise en charge des fichiers de journalisation du système. Ceci inclut aussi le démon klogd, responsable des messages émis par le noyau Linux.

## Positionnement système[modifier | modifier le code]

Le protocole syslog utilise un socket afin de transmettre ses messages. Suivant les systèmes, celui-ci est différent:

<table><thead><tr><td>Plate-forme</td><td>Méthode</td></tr></thead><tbody><tr><td>Linux</td><td>Un SOCK_STREAM unix nommé /dev/log; certaines distributions utilisent SOCK_DGRAM</td></tr><tr><td>BSD</td><td>Un SOCK_DGRAM unix appelé /var/run/log.</td></tr><tr><td>Solaris (2.5 et inférieurs)</td><td>Un flux SVR4 appelé /dev/log.</td></tr><tr><td>Solaris (2.6 et supérieurs)</td><td>En plus du flux habituel, une porte multithreaded appelée /etc/.syslogesis est utilisée.</td></tr><tr><td>HP-UX 11 et supérieur</td><td>HP-UX utilise le Tube Unix nommé /dev/log de taille 2048 bytes</td></tr><tr><td>AIX 5.2 and 5.3</td><td>Un SOCK_STREAM ou un SOCK_DGRAM unix appelé /dev/log.</td></tr></tbody></table>

Une problématique nait de ce choix architectural, l'utilisation d'un point d'entrée unique crée des saturations système qui ont incité nombre de logiciels à utiliser leur propre système d'enregistrement.
# CHAP.III : INTRODUCTION AUX OUTILS DE SECURITE INFORMATIQUE

## III.1 LES SCANNEURS DES PORTS ET L'OUTIL DE SECURITE INFORMATIQUE NMAP

### III.1.1 NOTIONS SUR LE BALAYAGE DE PORT

En informatique, le balayage de ports (port scanning en anglais) est une technique servant à rechercher les ports ouverts sur un serveur de réseau. Cette technique est utilisée par les administrateurs des systèmes informatiques pour contrôler la sécurité des serveurs de leurs réseaux. La même technique est aussi utilisée par les pirates informatiques pour tenter de trouver des failles dans des systèmes informatiques. Un balayage de ports (port scan ou portscan en anglais) effectué sur un système tiers est généralement considéré comme une tentative d'intrusion, car un balayage de ports sert souvent à préparer une intrusion.

Le balayage de ports est une des activités considérées comme suspectes par un système de détection d'intrusion. Un système de détection d'intrusion peut être réglé à différents niveaux de sensibilité. Un niveau de sensibilité élevé génèrera plus de fausses alertes, un niveau de sensibilité bas risque de laisser passer les balayages effectués par des systèmes sophistiqués comme Nmap qui disposent de diverses options pour camoufler leurs balayages.

Pour tromper la vigilance des systèmes de détection et des pare-feu, les balayages peuvent se faire dans un ordre aléatoire, avec une vitesse excessivement lente (par exemple sur plusieurs jours), ou à partir de plusieurs adresses IP.

Les balayages de ports se font habituellement sur le protocole TCP ; néanmoins, certains logiciels permettent aussi d'effectuer des balayages UDP. Cette dernière fonctionnalité est beaucoup moins fiable, UDP étant orienté sans connexion, le service ne répondra que si la requête correspond à un modèle précis variant selon le logiciel serveur utilisé.

### III.3.2 Techniques de balayage des ports

#### 1. TCP

Un balayage de ports vise typiquement le protocole TCP, car c'est celui qui est utilisé par la majorité des applications. L'objectif du balayage est de savoir si un logiciel est en écoute sur un numéro de port donné. Si un logiciel écoute, on dit que le port est ouvert, sinon on dit qu'il est fermé. Le balayage d'un port se passe en deux étapes :

1. l'envoi d'un paquet sur le port testé ;

2. l'analyse de la réponse.
Il existe de nombreuses variantes pour le paquet émis. Il y a le paquet valide selon la norme TCP, le paquet « TCP SYN », et les paquets invalides. L'utilisation des paquets invalides vise à tromper les systèmes de détection d'intrusion. La liste des paquets invalides utilisés est :

* ACK ;

* FIN ;

* Maimon¹ (FIN/ACK) ;

* NULL (aucun) ;

* Xmas² (tous) ;

* Window (ACK).

Le serveur peut répondre de différentes manières :

* ouverture de connexion acceptée : envoi d'un paquet TCP SYN/ACK ;

* fermeture de la connexion : envoi d'un paquet TCP RST ;

* absence de réponse : on dit que le paquet est droppé.

La réponse *ouverture de connexion acceptée* indique clairement que le port est ouvert. La réponse *fermeture de la connexion* indique que le port est fermé. L'absence de réponse est souvent due à un pare-feu qui vise à contrer le balayage de ports. Le pare-feu peut détecter un trafic anormal et décider d'ignorer pendant un certain temps tous les paquets provenant de la machine générant le trafic anormal. En absence de réponse, on ne peut donc pas savoir avec certitude si le port est ouvert ou fermé.

La technique *Window* envoie un paquet TCP ACK et observe la taille de la fenêtre TCP du paquet de réponse (TCP RST). Si le port est fermé, la taille de la fenêtre de la réponse est nulle.

La technique *Mainon* est utilisée sur les systèmes BSD. Uriel Maimon a constaté que ces systèmes ignorent un paquet TCP FIN/ACK (invalide) si le port est ouvert au lieu d'envoyer la réponse TCP RST.

## 2. Autres techniques pour TCP

Une autre technique consiste à passer par un serveur FTP. On utilise la fonctionnalité de serveur mandataire des serveurs FTP pour balayer les ports.

Enfin, la technique Idle scanning utilise l'identifiant de fragmentation du protocole IP. Un système de détection d'intrusion pense que l'analyse provient d'un ordinateur zombi. Consultez l'article (en) Idle Scanning and Related IPID Games [archive] pour plus de renseignements.

## 3. UDP et IP
Pour le protocole UDP, on envoie un paquet UDP vide (de longueur nulle). Si le port est fermé, un message ICMP de type 3 (*destinataire inaccessible*) et code 3 est envoyé.

Il est également possible de lister les protocoles IP pris en charge par un hôte. On appelle cette technique *IP protocol*

### 4. Version du scanner des ports

On peut détecter le système d'exploitation et sa version par la prise d'empreinte de la pile TCP/IP. Un logiciel tel que Nmap permet également de détecter le nom du logiciel écoutant sur un port, voire sa version.

## III.3.2 LE NMAP (Scanneurs des ports)

### III.3.2.1 PRESENTATION

Nmap

<figure><img src="image_25.png" /></figure>

<figure><img src="image_26.png" /></figure>

Développeur

Fyodor

Première version

1er septembre 1997¹

Dernière version

7.70 (20 mars 2018)²
**Écrit en**

C++, Python, C, Lua et Java

**Environnements** Multiplate-forme

**Type**

Sécurité informatique

**Licence**

GNU GPL

**Site web**

nmap.org [archive]

modifier

Nmap est un [scanneur de ports libre](https://www.insecure.org/) créé par [Fyodor](https://github.com/fyodor) et distribué par Insecure.org. Il est conçu pour détecter les [ports ouverts](https://en.wikipedia.org/wiki/PortOpening), identifier les [services hébergés](https://en.wikipedia.org/wiki/Service) et obtenir des informations sur le [système d'exploitation](https://en.wikipedia.org/wiki/OS) d'un ordinateur distant. Ce logiciel est devenu une référence pour les administrateurs réseaux car l'audit des résultats de Nmap fournit des indications sur la sécurité d'un réseau. Il est disponible sous [Windows](https://www.computershare.com/), [Mac OS X](https://www.computershare.com/), [Linux](https://www.linux.org/), [BSD](https://www.freebsd.org/) et [Solaris](https://www solaris.com/).

Le code source de Nmap est disponible sous la licence [GNU GPL](https://www.gnu.org/licenses/gpl-3.0.html).

### III.3.2.2 Les bases du scan de ports

Même si le nombre de fonctionnalités de Nmap a considérablement augmenté au fil des ans, il reste un scanner de ports efficace, et cela reste sa fonction principale. La commande de base **nmap <target>** scanne plus de 1 660 ports TCP de l'hôte <target>. Alors que de nombreux autres scanners de ports ont partitionné les états des ports en ouverts ou fermés, Nmap a une granularité bien plus fine. Il divise les ports selon six états: ouvert (open), fermé (closed), filtré (filtered), non-filtré (unfiltered), ouvert|filtré (open|filtered), et fermé|filtré (closed|filtered).

Ces états ne font pas partie des propriétés intrinsèques des ports eux-mêmes, mais décrivent comment Nmap les perçoit. Par exemple, un scan Nmap depuis le même réseau que la cible pourrait voir le port 135/tcp comme ouvert alors qu'un scan au même instant avec les mêmes options au travers d'Internet pourrait voir ce même port comme filtré.

### III.3.2.3 Les six états de port reconnus par Nmap

ouvert (open)

Une application accepte des connexions TCP ou des paquets UDP sur ce port. Trouver de tels ports est souvent le but principal du scan de ports. Les gens soucieux de la sécurité savent pertinemment que chaque port ouvert est un boulevard pour une attaque. Les attaquants et les pen-testers veulent exploiter ces ports ouverts, tandis que les administrateurs essaient de les fermer ou de les protéger avec des pare-feux sans gêner leurs utilisateurs légitimes. Les ports ouverts sont également intéressants pour
des scans autres que ceux orientés vers la sécurité car ils indiquent les services disponibles sur le réseau.

**fermé (closed)**

Un port fermé est accessible (il reçoit et répond aux paquets émis par Nmap), mais il n'y a pas d'application en écoute. Ceci peut s'avérer utile pour montrer qu'un hôte est actif (découverte d'hôtes ou scan ping), ou pour la détection de l'OS. Comme un port fermé est accessible, il peut être intéressant de le scanner de nouveau plus tard au cas où il s'ouvrirait. Les administrateurs pourraient désirer bloquer de tels ports avec un pare-feu, mais ils apparaîtraient alors dans l'état filtré décrit dans la section suivante.

**filtré (filtered)**

Nmap ne peut pas toujours déterminer si un port est ouvert car les dispositifs de filtrage des paquets empêchent les paquets de tests (probes) d'atteindre leur port cible. Le dispositif de filtrage peut être un pare-feu dédié, des règles de routeurs filtrants ou un pare-feu logiciel. Ces ports ennuient les attaquants car ils ne fournissent que très peu d'informations. Quelques fois ils répondent avec un message d'erreur ICMP de type 3 code 13 (« destination unreachable: communication administratively prohibited »), mais les dispositifs de filtrage qui rejettent les paquets sans rien répondre sont bien plus courants. Ceci oblige Nmap à essayer plusieurs fois au cas où ces paquets de tests seraient rejetés à cause d'une surcharge du réseau et pas du filtrage. Ceci ralenti terriblement les choses.

**non-filtré (unfiltered)**

L'état non-filtré signifie qu'un port est accessible, mais que Nmap est incapable de déterminer s'il est ouvert ou fermé. Seul le scan ACK, qui est utilisé pour déterminer les règles des pare-feux, catégorise les ports dans cet état. Scanner des ports non-filtrés avec un autre type de scan, comme le scan Windows, SYN ou FIN peut aider à savoir si un port est ouvert ou pas.

**ouvert|filtré (open|filtered)**

Nmap met dans cet état les ports dont il est incapable de déterminer l'état entre ouvert et filtré. Ceci arrive pour les types de scans où les ports ouverts ne renvoient pas de réponse. L'absence de réponse peut aussi signifier qu'un dispositif de filtrage des paquets a rejeté le test ou les réponses attendues. Ainsi, Nmap ne peut s'assurer ni que le port est ouvert, ni qu'il est filtré. Les scans UDP, protocole IP, FIN, Null et Xmas catégorisent les ports ainsi.

**fermé|filtré (closed|filtered)**
Cet état est utilisé quand Nmap est incapable de déterminer si un port est fermé ou filtré. Cet état est seulement utilisé par le scan Idle basé sur les identifiants de paquets IP.

## III.2 SCANNEUR DE VULNERABILITES ET L'OUTIL DE SECURITE INFORMATIQUE NESSUS

### III.2.1 NOTIONS SUR LES SCANNEURS DE VULNERABILITES

En sécurité informatique, un scanner (ou scanneur) de vulnérabilités est un programme conçu pour identifier des vulnérabilités dans une application, un système d'exploitation, ou un réseau.

#### 1. Utilisation

Les scanneurs de vulnérabilités peuvent être utilisés dans des objectifs licites ou illicites :

* objectifs licites : les experts en sécurité informatique ou les entreprises utilisent les scanneurs de vulnérabilités pour trouver les failles de sécurité des systèmes informatiques et des systèmes de communications de leurs entreprises dans le but de les corriger avant que les pirates informatiques ne les exploitent ;

* objectifs illicites : les pirates informatiques utilisent les mêmes équipements pour trouver les failles dans les systèmes des entreprises pour les exploiter à leur avantage.

Cet outil peut être une brique intégrée d'une solution de sécurité plus large: un SIEM ou un SOC par exemple.

#### 2. Principes de fonctionnement

##### 2.1 Généralités

Les scanners de vulnérabilités se présentent sous plusieurs formes: logiciel à installer sur son système, machine virtuelle pré-configurée (virtual appliance) ou encore en SaaS dans le cloud.

Un scanner de vulnérabilités se "lance" sur une ou plusieurs cibles, dans un réseau interne ou sur Internet. Ces cibles (URL, adresse IP, sous-réseau) sont renseignées par l'utilisateur lorsqu'il désire mener son scan. La plupart des outils suivent le schéma de scan suivant:

* détection des cibles actives (attente d'une réponse ICMP, ARP, TCP, etc. pour déterminer si la cible répondra au scanner)

* détection des ports TCP et UDP accessibles sur la cible (scan de ports)

* détection des services actifs (SSH, HTTP, etc.) sur chacun de ces ports et de leurs versions (phase de "fingerprint")
* éventuellement: utilisation d'un compte fourni pour se connecter sur la machine et lister les programmes non visibles depuis le réseau (navigateur, liseuse, suite bureautique, etc.)

* éventuellement: reconnaissance des applications Web accessibles et construction de l'arbre de chaque site Web (phase dite de "crawling")

* sélection des modules de sécurité à lancer sur la cible selon les services précédemment reconnus

* lancement des modules de sécurité

* génération du rapport de sécurité

Un scanner de vulnérabilités est donc un outil complexe qui peut faire appel à de nombreux programmes spécifiques pour chacune des tâches pré-citées.

## 2.2 Cibles

Un scanner de vulnérabilités est théoriquement capable de tester tout élément joignable par une adresse IP :

* Ordinateur

* Serveur

* Routeur, commutateur, pare-feu

* Smartphone

* Objet connecté

* Site Web

* Automate, robot, machine

* Caméra IP

* IPBX, poste téléphonique sur IP

* etc.

Le fait de pouvoir joindre un élément n'implique cependant pas forcément que son niveau de sécurité puisse être audité correctement. Pour cela, le scanner doit embarquer les modules de sécurité idoines dans son catalogue. Par exemple, si une cible ne possède que le port UDP 161 ouvert avec le service SNMP, un scanner pourra reconnaître que cette cible est active mais ne pourra juger son niveau de sécurité qu'en incorporant des modules d'attaque contre SNMP.

### a) Restitution des résultats

La visualisation et la restitution des résultats se fait traditionnellement via deux paradigmes. Premièrement, une vue "par vulnérabilité" permettant de lister toutes les vulnérabilités identifiées dans le scan et de donner pour chacune d'elle la liste des machines affectées. Deuxièmement, une vue "par machine" listant les cibles de l'audit associées à la liste de leur vulnérabilités respectives.

Traditionnellement, en sécurité informatique, les vulnérabilités sont restituées par ordre de criticité suivant une échelle à 4 niveaux:
* Critiques: les vulnérabilités permettant généralement une prise de contrôle ou une exécution de commande à distance dont l'exploitation est relativement simple

* Majeures: les vulnérabilités permettant une prise de contrôle ou une exécution de commande à distance dont l'exploitation demeure complexe

* Moyennes: les vulnérabilités ayant des impacts limités ou dont l'exploitation nécessite des conditions initiales non triviales

* Mineures: les vulnérabilités ayant des impacts faibles ou nuls à moins d'être combinées à d'autres vulnérabilités plus importantes

L'état de l'art associe à chaque vulnérabilité un score entre 0 et 10 appelé CVSS (Common Vulnerability Scoring System) qui dépend des caractéristiques de cette vulnérabilité. La version 3 du CVSS prend en compte, au minimum, les éléments suivants :

* Le vecteur d'attaque : est-ce que l'attaquant peut venir de n'importe où ou bien doit-il avoir une position de départ privilégiée ?

* Complexité : exploiter la vulnérabilité est-il trivial (par exemple si un exploit existe) ou bien hautement techniques ?

* Privilèges requis : l'attaquant doit-l disposer d'accès préalables (un compte utilisateur par exemple) pour pouvoir mener son action ?

* Interaction avec un utilisateur: l'attaquant doit-il amener la victime à effectuer une action pour que son attaque réussisse (comme l'inciter à cliquer sur un lien) ?

* Périmètre : est-ce qu'une exploitation permet à l'attaquant d'avoir accès à de nouvelles cibles ?

* Impacts : une exploitation réussie entraîne-t-elle des pertes de confidentialité/disponibilité/intégrité ?

Le score CVSS est régulièrement utilisé par les scanners de vulnérabilités pour pondérer les risques associés à une cible.

Les scanners doivent donner à l'utilisateur tous les éléments pertinents pour sa compréhension de la vulnérabilité. Traditionnellement, une description de vulnérabilité comporte les éléments suivants :

* Le nom de la vulnérabilité

* Sa criticité

* La cible touchée

* Une brève description de sa nature

* Une référence à une base de connaissance type CVE, OSVDB, DSA...

* Une mention de la simplicité de l'exploitation

* Une description de l'impact en cas d'exploitation réussie

* Une ou plusieurs préconisations pour la résoudre

Parfois, d'autres éléments y sont ajoutés:

* Le niveau de confiance à accorder à la vulnérabilité : quantification du risque qu'il s'agisse ou non d'un faux positif

* S'il existe ou non un exploit automatique
* Un extrait des données ayant permis au module de sécurité de conclure à la présence de cette faille

* La famille de vulnérabilité (authentification, mise à jour, etc.)

* Des liens pour en savoir plus (notamment pour des explications plus détaillées du fonctionnement technique de la vulnérabilité)

Les rapports sont souvent exportables aux formats PDF, CSV, HTML, etc.

# LE NESSUS

## 1. Généralités

Nessus

<figure><img src="image_27.png" /></figure>

<table><tr><td>Développeur</td><td>Tenable Network Security</td></tr><tr><td>Dernière version</td><td>5.2.6 (24 mars 2014)¹</td></tr><tr><td>Environnement</td><td>Multiplate-forme</td></tr><tr><td>Type</td><td>Scanner de vulnérabilité</td></tr><tr><td>Licence</td><td>GNU GPL, puis propriétaire</td></tr></table>
Nessus est un outil de sécurité informatique. Il signale les faiblesses potentielles ou avérées sur les machines testées. Ceci inclut, entre autres :

* les services vulnérables à des attaques permettant la prise de contrôle de la machine, l'accès à des informations sensibles (lecture de fichiers confidentiels par exemple), des dénis de service...

* les fautes de configuration (relais de messagerie ouvert par exemple)

* les patchs de sécurité non appliqués, que les failles corrigées soient exploitables ou non dans la configuration testée

* les mots de passe par défaut, quelques mots de passe communs, et l'absence de mots de passe sur certains comptes systèmes. Nessus peut aussi appeler le programme externe Hydra (de) pour attaquer les mots de passe à l'aide d'un dictionnaire.

* les services jugés faibles (on suggère par exemple de remplacer Telnet par SSH)

* les dénis de service contre la pile TCP/IP

### III.3 TESTS D'INTRUSION AVEC L'OUTILL DE SECURITE INFORMATIQUE SNORT

#### Présentation

Snort est un système de détection d'intrusion à partir d'analyse du trafic en temps réel. Pour cela, il effectue des analyses de protocole, recherche/correspondance de contenu et peut être utilisé pour détecter une grande variété d'attaques et de sondes comme des dépassements de buffers, scans, attaques sur des CGI, sondes SMB, essai d'OS fingerprintings et d'autres. Lorsque Snort détecte une intrusion, il peut soit prévenir l'administrateur système par un message sms/mail/vocal, soit interdire tout trafic provenant de l'attaquant, soit interdire tout trafic d'une classe d'adresse.

Toutefois Snort nécessite d'être maintenu à jour régulièrement pour rester efficace. Pour obtenir une représentation visuelle, on pourra utiliser des paquets tels que SnortSnarf, ACID, sguil ou BASE (Basic Analysis and Security Engine).

Snort a trois fonctionnalités :

* Sniffer le réseau : permet d'observer les paquets qui circulent sur le réseau.

* Générer des fichiers logs : génère des fichiers de logs au lieu d'afficher à l'écran les paquets.

* Détecter les intrusions : permet de détecter des intrusions suivant des règles contenues dans des fichiers. Ces fichiers sont téléchargeables sur http://www.snort.org/pub-bin/downloads.cgi

Snort s'utilise en ligne de commande et possède de nombreuses options...
## Sniffer le réseau

Afficher les en-têtes de paquets TCP/IP

snort -v

Afficher les en-têtes de paquets IP, TCP/UDP/ICMP et les données

snort -vd

Pour afficher tous les paquets en transit sur l'interface eth0 :

snort -dvi eth0

```
03/30-23:01:37.323403 192.168.0.113:22 -> 82.242.68.85:1468
TCP TTL:64 TOS:0x10 ID:43060 IpLen:20 DgmLen:1500 DF
***A**** Seq: 0xC5184FA2 Ack: 0xF09B7CDB Win: 0x53C0 TcpLen: 20
4B 64 58 7C 2D C7 7D 74 22 C9 F2 A0 AF F0 1C 5E KdX|-.}t"......^
10 7F 52 B8 C1 31 75 DF 35 E4 6F 62 C5 D1 48 E1 ..R..1u.5.ob..H.
E3 A0 0C 53 6C C4 8F 2D 55 EA 20 26 7C 6E 90 65 ...Sl..-U. &|n.e
A7 F4 C6 32 3A 35 AB 9B 12 26 81 88 AA 32 E6 31 ...2:5...&...2.1
F1 88 54 69 5C EB 6C 6C 9D 0E 97 F2 A7 A7 93 68 ..Ti\..ll.......h
...
...
78 DE 01 E9 BB EC 5D 97 18 1D 1E 37 53 66 66 C9 x......]....7Sff.
BD 7E 83 F1 37 97 83 DA 75 39 4E C1 F1 0A 93 58 .~..7...u9N....X
93 72 DC 2C F0 77 B0 29 D8 45 D2 A6 AB E7 54 76 .r..,.w.) .E....Tv
D2 59 F1 CE .Y..

+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+=+
```

```
*** Caught Int-Signal
====================================================================
Snort received 339 packets
Analyzed: 63(18.584%)
Dropped: 120(35.398%)
Outstanding: 156(46.018%)
====================================================================
Breakdown by protocol:
TCP: 63 (100.000%)
UDP: 0 (0.000%)
ICMP: 0 (0.000%)
ARP: 0 (0.000%)
EAPOL: 0 (0.000%)
IPv6: 0 (0.000%)
ETHLOOP: 0 (0.000%)
IPX: 0 (0.000%)
FRAG: 0 (0.000%)
OTHER: 0 (0.000%)
DISCARD: 0 (0.000%)
====================================================================
Action Stats:
ALERTS: 0
LOGGED: 0
PASSED: 0
====================================================================
Snort exiting
```
## Générer des logs

Renvoie la sortie de la commande dans un fichier log dans le répertoire log
snort -dev -l ./log

Voir le fichier de log
snort -dv -r ./log/snort.log.1175196590

Voir seulement les paquets icmp du fichier de log
snort -dv -r ./log/snort.log.1175196590 icmp

## Détecter des intrusions

Permet d'analyser et détecter des intrusions suivant des règles
snort -dev -l ./log -h 192.168.0.0/24 -c /etc/snort/snort.conf

Running in IDS mode

---- Initializing Snort ----

Initializing Output Plugins!

Var 'tun0_ADDRESS' defined, value len = 24 chars, value = 10.8.0.1/255.255.255.255

Var 'any_ADDRESS' defined, value len = 15 chars, value = 0.0.0.0/0.0.0.0

Var 'lo_ADDRESS' defined, value len = 19 chars, value = 127.0.0.0/255.0.0.0

Initializing Preprocessors!

Initializing Plug-ins!
### III.4 LA SURVEILLANCE ET ANALYSE DES JOURNAUX LOGS AVEC LES OUTILS DE SECURITE INFORMATIQUE SYSLOG-N ET AWASTATS

#### III.4.1 LA SURVEILLANCE DES JOURNAUX LOGS

##### a) Généralité

La surveillance (gestion de logs) comprend une approche de la gestion de grands volumes des messages de log générés par l'ordinateur (aussi connu comme journaux d'évènements, journalisation, etc.). La gestion des logs concerne en général¹:

* La collecte des logs

* L'agrégation centralisée des logs

* Le stockage à long terme et la durée de rétention des logs

* La rotation des fichiers de logs

* L'analyse des logs (en temps réel et en vrac après une période de stockage)

* Les rapports et l'étude des logs.

Les principaux enjeux de l'implémentation de la gestion des logs concernent la sécurité², les opérations systèmes et réseaux et la conformité du système. Les logs sont générés par presque tous les appareils informatiques, et peut souvent être dirigé vers différents endroits à la fois locales, dans le système de fichiers ou à dans un système distant.

L'analyse effective de grands volumes de divers journaux peuvent poser de nombreux défis, tels que:

* La volume: les journaux/logs peuvent atteindre des centaines de giga-octets de données par jour pour une grande organisation. La collecte, la centralisation et le stockage de données à ce volume peut être difficile.

* Normalisation: les journaux sont produites dans de multiples formats. Le processus de normalisation est conçu pour fournir une sortie commune pour l'analyse de diverses sources.

* Vitesse: La vitesse à laquelle les journaux sont produites à partir de dispositifs peuvent rendre la collecte et l'agrégation difficile

* Véracité: Journal des événements peut ne pas être exacte. Cela est particulièrement problématique à partir de systèmes qui effectuent la détection, tels que les systèmes de détection d'intrusion.

Les utilisateurs et les utilisateurs potentiels de la gestion du journal peuvent acheter des d'outils propriétaires complets ou construire leur propre outil de gestion de logs et outils d'intelligence, ou bien utiliser un assemblage de composants open-sources, ou bien encore ou d'acquérir des (sous-)systèmes de fournisseurs commerciaux. La gestion des journalisations est un processus complexe et les organisations font souvent des erreurs dans leurs approches³.
b) Surveillance de journaux Logs avec Syslog-ng

Présentation

Syslog-ng est un gestionnaire de journaux système de nouvelle génération (ng), anciennement syslog. A partir de syslog-ng, on peut centraliser les journaux de l'ordinateur lui-même mais aussi ceux des postes du réseau sur lequel il est connecté et permet de les trier facilement. Ce paquet est indispensable pour les administrateurs réseaux qui souhaitent garder un œil sur les performances de leurs machines. Parmi les avantages on peut citer la portabilité (Linux, FreeBSD, HP-UX, Solaris ou AIX), la configuration de base très avancée, l'export des logs vers une base de données mysql, la possibilité de chiffrer les logs envoyés via la technologie SSL, l'utilisation des protocoles UDP et TCP lors du transport des logs ou bien encore la possibilité de trier les logs suivant les contenus, leur provenance ou leur facilité, et ce en pouvant utiliser les expressions régulières.

Pour les postes clients sous linux il suffit de configurer syslog-ng pour que la destination soit
l'ordinateur qui centralise les journaux dans le fichier de configuration syslog-ng.conf. Sous Windows
il faut installer le logiciel Snare qui permet d'envoyer des trames syslog à la norme RFC.

Installation

Dans un premier temps il faut configurer mysql :

mysql_install_db
mysql -u root -p mysql

On va pouvoir ensuite installer et configurer php-syslog-ng, on va d'abord télécharger l'archive contenant les pages php de php-syslog-ng sur le site http://www.php wizardy.com/php-syslog- ng/phpsyslogng-2.8.tar.gz .

Pour l'installer on va exécuter les commandes suivantes :

tar -xvzf phpsyslogng-2.8.tar.gz /var/www/html/php-syslog-ng
chown -R apache:apache /var/www/html/php-syslog-ng

On peut maintenant créer les tables permettant de stocker et ordonner les logs. Avant d'exécuter le script de configuration, il faut l'ouvrir et remplacer toutes les occurrences de PW_HERE par le mot de passe que l'on souhaite utiliser pour se connecter à l'interface :

mysql -uroot -p < dbsetup.sql
mysql -u root -p
> SET PASSWORD FOR syslogfeeder@localhost = PASSWORD ('syslogfeederpassword');
> SET PASSWORD FOR syslogadmin@localhost = PASSWORD ('syslogadminpassword');

Le script dbsetup.sql fourni avec le paquet php-syslog-ng est bien utile pour faire cela.
Ensuite il faut configurer syslog-ng pour qu'il rajoute les informations dans la base de données, pour cela on va rajouter dans le fichier `/etc/syslog-ng/syslog-ng.conf` les lignes suivantes :

```ini
destination d_mysql {
    pipe("/var/log/mysql.pipe"
          template("INSERT INTO logs
                      (host, facility, priority, level, tag, datetime, program, msg)
                      VALUES ('$HOST', '$FACILITY', '$PRIORITY', '$LEVEL', '$TAG', '$YEAR-$MONTH-$DAY
                      $HOUR:$MIN:$SEC',
                      '$PROGRAM', '$MSG')\n") template-escape(yes));
};
```

Il s'agit d'un nouveau champ destination permettant de rediriger les logs vers la base de données logs. Pour que l'ajout soit fait il faut rajouter un champ log qui va récupérer les données à partir de la source et les rediriger vers la destination. Nous avons ajouté le champ destination et le champ source doit déjà être présent dans le fichier de configuration de syslog-ng :

```json
log {
    source(s_sys);
    destination(d_mysql);
};
```

## Utilisation

<figure><img src="image_28.png" /></figure>

La page d'accueil de `php-syslog-ng` permet de choisir ce que l'on veut afficher. On peut ainsi sélectionner les postes distants que l'on veut afficher ou non, les types de logs à afficher, en fonction du niveau d'erreur ou de la date...
<figure><img src="image_29.png" /></figure>

La capture d'écran si dessus montre comment sont affichées les informations : numéro d'entrée, le poste, le type de logs avec le niveau d'erreur suivant la couleur, la date et l'heure et enfin le message associé.
### III.4.2 ANALYSEUR DES JOURNAUX D'EVENEMENTS (LOG) AWSTATS

#### Présentation

Awstats est un outil gratuit, puissant et très fonctionnel qui fournit des statistiques graphiques de serveurs web, de streaming, ftp ou de mail. Cet analyseur de fichiers logs fonctionne en tant que CGI ou en ligne de commande et résume toutes les informations contenues dans ces fichiers sur des graphiques. Il sait lire les fichiers logs de la majorité des serveurs web tel que Apache (NCSA combined/XLF/ELF log format or common/CLF log format), WebStar, IIS (W3C log format) et d'autres serveurs web, proxy, streaming, mail et ftp.

<table><thead><tr><th>Caractéristiques/Logiciels</th><th>AWStats</th><th>Analog</th><th>Webalizer</th></tr></thead><tbody><tr><td>Version - Date</td><td>6.5 - Décembre 2005</td><td>6.0 - Décembre 2004</td><td>2.01-10 - Avril 2002</td></tr><tr><td>Langage</td><td>Perl</td><td>C</td><td>C</td></tr><tr><td>Plateformes</td><td colspan="3">UNIX/Windows</td></tr><tr><td>Sources disponibles</td><td colspan="3">Oui</td></tr><tr><td>Prix/License</td><td colspan="3">Gratuit/GPL</td></tr><tr><td>Format Apache combined</td><td colspan="3">Oui</td></tr><tr><td>Format Apache common</td><td colspan="3">Quelques fonctionnalités</td></tr><tr><td>Format IIS (W3C)</td><td>Oui</td><td colspan="2">Avec un patch</td></tr><tr><td>Format personnalisé</td><td>Oui</td><td colspan="2">Non</td></tr><tr><td>Web/Ftp/Mail log</td><td>Oui/oui/oui</td><td colspan="2">Oui/non/non</td></tr></tbody></table>

#### Configuration

##### Step 1

Lancer le script `awstats�rofile.pl` (dans le répertoire `/usr/bin` sous Gentoo et dans `/usr/share/awstats/tools/awstats�rofile.pl` sous fedora) comme ceci:

```
perl awstats�rofile.pl
```

Vérifier les points suivant dans `httpd.conf`:

* CustomLog /yourlogpath/yourlogfile combined (au lieu de common)

* Utilisation à partir du site web

```
# Directives to add to your Apache conf file to allow use of AWStats as a CGI.
# Note that path "/usr/local/awstats/" must reflect your AWStats Installation path.
# 
Alias /awstatsclasses "/usr/local/awstats/wwwroot/classes/"
Alias /awstatscss "/usr/local/awstats/wwwroot/css/"
Alias /awstatsicons "/usr/local/awstats/wwwroot/icon/"
ScriptAlias /awstats/ "/usr/local/awstats/wwwroot/cgi-bin/"
# 
# This is to permit URL access to scripts/files in AWStats directory.
```
#
<Directory "/usr/local/awstats/wwwroot">
  Options None
  AllowOverride None
  Order allow,deny
  Allow from all
</Directory>

Dans Gentoo on /usr/share/webapps/awstats/6.5-r2/ docs/ au lieu de /usr/local/awstats/wwwroot/ et /usr/share/webapps/awstats/6.5-r2/ hostroot/ cgi-bin au lieu de /usr/local/awstats/wwwroot/cgi-bin

Redémarrer Apache

/etc/init.d/apache2 restart

Step 2

Après avoir créé le awstats.mon.site.conf (dans /etc/awstats sous linux Gentoo) il est nécessaire de
vérifier certains points dans ce fichier:

* **LogFile**: chemin relatif des logs du serveur

* **LogType**: W pour analyser les fichiers logs web

* **LogFormat**: 1 pour (pour "NCSA apache combined/ELF/XLF log format") ou utiliser un autre format (http://awstats.sourceforge.net/docs/awstats_config.html#LogFormat)

* **SiteDomain**: nom de domaine du site (www.mon.site.com)

Step 3

Il faut ensuite exécuter la commande suivante (sous Gentoo awstats.pl se trouve dans
/usr/share/webapps/awstats/6.5-r2/hostroot/cgi-bin/):

perl awstats.pl -config=mon.site –update

On devrait alors obtenir :

Update for config "/etc/awstats/awstats.mysite.conf"
With data in log file "/pathtoyourlog/yourlog.log"...
Phase 1: First bypass old records, searching new record...
Searching new records from beginning of log file...
Phase 2 : Now process new records (Flush history on disk after 20000 hosts)...
Jumped lines in file: 0
 lines in file: 225730
Found 122 dropped records,
Found 87 corrupted records,
Found 0 old records,
Found 225521 new qualified records.

Utilisation

http://www.mon.site/awstats/awstats.pl?config=mon.site

Si le paramètre AllowToUpdateStatsFromBrowser est positionné à 1 dans awstats.mon.site.conf il sera
possible de mettre à jour les informations à partir du site web.
<figure><img src="image_30.png" /></figure>

Comme le montre la capture d'écran d'Internet Explorer 7, Awstats fournit dans un navigateur les statistiques graphiques du serveur web de notre machine. Sur la gauche, un menu permet d'accéder aux sous rubriques : Résumé, Historique mensuel, Historique hebdomadaire, Historique journalier, Heures, Pays des visiteurs, Hôtes, Durées de visite, Types de fichier, Pages les plus visitées, Systèmes d'exploitation, Navigateurs...
# CHAP.IV LES NORMES ET METHODES DE SECURITE
## INFORMATIQUE

## Introduction

La sécurité du système d'information d'une entreprise est un requis important pour la poursuite de ses activités. Qu'il s'agisse de la dégradation de son image de marque, du vol de ses secrets de fabrication ou de la perte de ses données clients ; une catastrophe informatique a toujours des conséquences fâcheuses pouvant aller jusqu'au dépôt de bilan.

Organiser cette sécurité n'est pas chose facile, c'est pourquoi il existe des méthodes reconnues pour aider les responsables informatiques à mettre en place une bonne politique de sécurité et à procéder aux audits permettant d'en vérifier l'efficacité.

Le but de ce document n'est pas d'expliquer comment concevoir une politique de sécurité mais de présenter les méthodes existantes.

### A. Politique de sécurité

Une politique de sécurité peut être vue comme l'ensemble des modèles d'organisation, des procédures et des bonnes pratiques techniques permettant d'assurer la sécurité du système d'information.

Mais qu'est-ce que la sécurité d'un SI ? Elle tourne autour des 5 principaux concepts suivants : l'intégrité des données, la confidentialité de l'information et des échanges, la disponibilité des services, l'authentification des utilisateurs et la non répudiation des transactions.

Pour garantir la sécurité, une politique de sécurité est généralement organisée autour de 3 axes majeurs : la sécurité physique des installations, la sécurité logique du système d'information et la sensibilisation des utilisateurs aux contraintes de sécurité.

### B. Audit

Un audit de sécurité permet de mettre en évidence les faiblesses de la mise en œuvre d'une politique de sécurité. Le problème peut venir de la politique elle-même : mal conçue ou inadaptée aux besoins de l'entreprise, ou bien d'erreurs quand à sa mise en application.

Des audits sont nécessaires : suite à la mise en place initiale d'une politique de sécurité, puis régulièrement pour s'assurer que les mesures de sécurité sont mises à niveau et que les usages restent conformes aux procédures.

### C. Normes de sécurité informatique

En ce qui concerne les normes de sécurité des SI, la famille de normes ISO 27000 constitue un véritable espoir pour les RSSI dans la mesure où elle apporte une aide indéniable dans la
définition, la construction et la déclinaison d'un SMSI efficace à travers une série de normes dédiées à la sécurité de l'information :

**§ ISO/CEI 27001** : système de Gestion de la Sécurité de l'Information (ISMS) - Exigences ;

**§ ISO/CEI 27002** : code de bonnes pratiques pour la gestion de la sécurité de l'information (anciennement ISO/CEI 17799) ;

**§ ISO/CEI 27003** : système de Gestion de la Sécurité de l'Information (ISMS) - Guide d'implémentation ;

**§ ISO/CEI 27004** : mesure de la gestion de la sécurité de l'information ;

**§ ISO/CEI 27005** : gestion du risque en sécurité de l'information ;

**§ ISO/CEI 27006** : exigences pour les organismes réalisant l'audit et la certification de Systèmes de Gestion de la Sécurité de l'Information (ISMS) ;

**§ ISO/CEI 27007** : guide pour l'audit de Systèmes de Gestion de la Sécurité de l'Information (ISMS).

# C. Présentation des principales normes

Seront abordées ici les principales méthodes employées en Europe et en Amérique du Nord.

## C.1 EBIOS

EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité) permet d'identifier les risques d'un SI et de proposer une politique de sécurité adaptée aux besoin de l'entreprise (ou d'une administration). Elle a été créée par la DCSSI (Direction Centrale de la Sécurité des Systèmes d'Information), du Ministrère de la Défence (France). Elle est destinée avant tout aux administrations françaises et aux entreprises.

La méthode EBIOS se compose de 5 guides (Introduction, Démarche, Techniques, Outillages) et d'un logiciel permettant de simplifier l'application de la méthodologie explicitée dans ces guides. Le logiciel libre et gratuit (les sources sont disponibles) permet de simplifier l'application de la méthode et d'automatiser la création des documents de synthèse. La DCSSI possède un centre de formation où sont organisés des stages à destination des organismes publics français. Un club d'utilisateurs EBIOS a été créé en 2003 et constitue une communauté experts permettant le partage des expériences. Une base de connaissances à laquelle se connecte le logiciel EBIOS permet d'avoir à accès à la description d'un ensemble de vulnérabilités spécifiques, de contraintes de sécurité, de méthodes d'attaques. Elle peut être enrichie via le logiciel.

La méthode EBIOS est découpée en 5 étapes :
Les 5 étapes de la méthode EBIOS

1. étude du contexte

2. expression des besoins de sécurité

3. étude des menaces

4. identification des objectifs de sécurité

5. détermination des exigences de sécurité

<figure><img src="image_31.png" /></figure>

Démarche EBIOS globale

L'étude du contexte permet d'identifier quel système d'information est la cible de l'étude. Cette étape délimite le périmètre de l'étude : présentation de l'entreprise, architecture du système d'information, contraintes techniques et réglementaires, enjeux commerciaux. Mais est aussi étudié le détail des équipements, des logiciels et de l'organisation humaine de l'entreprise.

L'expression des besoins de sécurité permet d'estimer les risques et de définir les critères de risque. Les utilisateurs du SI expriment durant cette étape leurs besoins de sécurité en fonction des impacts qu'ils jugent inacceptables.

L'étude des menaces permet d'identifier les risques en fonction non plus des besoins des utilisateurs mais en fonction de l'architecture technique du système d'information. Ainsi la liste des vulnérabilités et des types d'attaques est dressée en fonction des matériels, de l'architecture réseau et des logiciels employés. Et ce, quelles que soient leur origine (humaine, matérielle, environnementale) et leur cause (accidentelle, délibérée).

L'identification des objectifs de sécurité confronte les besoins de sécurité exprimés et les menaces identifiées afin de mettre en évidence les risques contre lesquels le SI doit être protégé. Ces objectifs vont former un cahier des charges de sécurité qui traduira le choix fait sur le niveau de résistance aux menaces en fonction des exigences de sécurité.
La détermination des exigences de sécurité permet de déterminer jusqu'où on devra aller dans les exigences de sécurité. Il est évident qu'une entreprise ne peut faire face à tout type de risques, certains doivent être acceptés afin que le coût de la protection ne soit pas exorbitant. C'est notamment la stratégie de gestion du risque tel que cela est défini dans un plan de risque qui sera déterminé ici : accepter, réduire ou refuser un risque. Cette stratégie est décidée en fonction du coût des conséquences du risque et de sa probabilité de survenue. La justification argumentée de ces exigences donne l'assurance d'une juste évaluation.

EBIOS fournit donc la méthode permettant de contruire une politique de sécurité en fonction d'une analyse des risques qui repose sur le contexte de l'entreprise et des vulnérabilités liées à son SI.

## C.2 Mehari

Mehari (Methode Harmonisée d'Analyse de Risques) est développée par le CLUSIF depuis 1995, elle est dérivée des méthodes Melisa et Marion. Existant en langue française et en anglais, elle est utilisée par de nombreuses entreprises publiques ainsi que par le secteur privé.

Le logiciel **RISICARE** développé par la société BUC SA est un outil de gestion des risques basé sur la méthode Mehari.

La démarche générale de Mehari consiste en l'analyse des enjeux de sécurité : quels sont les scénarios redoutés ?, et en la classification préalable des entités du SI en fonction de trois critères de sécurité de base (confidentialité, intégrité, disponibilité). Ces enjeux expriment les dysfonctionnements ayant un impact direct sur l'activité de l'entreprise. Puis, des audits identifient les vulnérabilités du SI. Et enfin, l'analyse des risques proprement dite est réalisée.

<figure><img src="image_32.png" /><figcaption>Schéma général de la méthode Mehari</figcaption></figure>