La notion de risque¶
1. Objectif du cours¶
Présenter les acteurs, menaces et bonnes pratiques en cybersécurité à connaître pour protéger un système d'information, et introduire la méthode EBIOS pour la gestion des risques.
2. Notions et définitions essentielles¶
- ANSSI : Agence nationale de la sécurité des systèmes d'information, organisme d'accompagnement, de sensibilisation et d'édition de guides (e-books, visas de sécurité).
- COSSI : Centre opérationnel de la sécurité des systèmes d'information, assure la défense en cas d'attaque avérée/soupçonnée.
- Système d'information (SI) : ensemble des ressources permettant de collecter, stocker, gérer et diffuser l'information au sein d'une organisation.
- Rançongiciel (ransomware) : programme qui chiffre des données et réclame une rançon pour les déchiffrer.
- Phishing / Spearphishing : envoi d'un e-mail dirigeant vers un site factice pour récupérer des informations ; le spearphishing est ciblé.
- DDOS / mail bombing : attaque par déni de service visant à rendre un service indisponible (ex. saturation par milliers d'e-mails).
- EBIOS : méthode de gestion des risques (Expression des Besoins et Identification des Objectifs de Sécurité).
- Risque (déf.) : scénario combinant un événement redouté et un ou plusieurs scénarios de menace ; niveau estimé par gravité et probabilité.
- Honeypot : système conçu pour attirer et analyser des attaques (utilisé par certaines cartes d'attaque).
3. Fonctionnement et principes¶
- Rôle de l'ANSSI : instruire décisions gouvernementales, accompagner l'État et les opérateurs vitaux, publier des recommandations et outils pratiques (guides, e-books).
- Mécanique d'une attaque courante : un rançongiciel chiffre des données locales/serveurs; le phishing sert souvent de vecteur d'infection initial; une faille non patchée facilite l'escalade des droits.
- Principe EBIOS : identifier risques et menaces, estimer leur niveau (gravité/probabilité), cartographier et choisir mesures de prévention, protection et récupération ; tenir l'étude à jour et impliquer les acteurs du SI.
- Cartographie et observation : outils publics (ex. threatmap) reposent sur données de honeypots et capteurs pour visualiser tendances, mais présentent un décalage temporel.
4. Commandes et manipulations¶
Non abordé dans ce cours
5. Sécurité et bonnes pratiques¶
(Tirées du document) - Sauvegardes : utiliser stockage à froid (disques externes, bandes) et conserver les sauvegardes déconnectées du SI. - Mises à jour : appliquer régulièrement les correctifs systèmes et logiciels, surveiller le cycle de vie du matériel/applications. - Antivirus : déployer et maintenir les signatures/logiciels antivirus à jour. - Cloisonnement : segmenter le réseau avec filtrage entre zones pour limiter la propagation d'un malware. - Gestion des droits : séparer comptes utilisateur et comptes administrateur ; limiter les droits et éviter l'usage d'un compte admin connecté à Internet. - Passerelle Internet sécurisée : filtrer les accès et bloquer entrées non conventionnelles. - Journalisation : mettre en place une politique de logs pour serveurs, postes admins/utilisateurs, équipements réseau et sécurité ; conserver événements d'authentification et modifications de politiques. - Sensibilisation : formation des collaborateurs aux risques (pièces jointes, sites piégés, clés USB). - Plans : préparer un plan de continuité (PCI) et un plan de reprise informatique (PRA) ; prévoir une stratégie de communication de crise cyber.
6. Points essentiels à retenir pour le TSSR¶
- L'ANSSI fournit ressources et cadres (EBIOS) utiles à toutes les organisations et citoyens.
- Un rançongiciel chiffre les données : la prévention (sauvegardes hors ligne, patchs, segmentation) est primordiale.
- Le phishing reste un vecteur majeur ; la sensibilisation des utilisateurs réduit fortement le risque.
- EBIOS structure la gestion des risques : identifier, estimer, cartographier et choisir mesures adaptées.
- Limiter les droits et séparer comptes admin/utilisateur réduit la surface d'attaque.
- La journalisation est essentielle pour détecter et analyser les incidents.
- Les cartes publiques d'attaques (honeypots) donnent des tendances mais ne sont pas en temps réel.
- Préparer et tester PCI/PRA et une communication de crise est indispensable pour la résilience.
- Interdire ou contrôler l'usage des périphériques USB est une mesure simple et efficace.
- Signaler les failles à l'ANSSI est recommandé et possible (confidentialité assurée).
7. Tableau récapitulatif¶
| Menace | Caractéristique | Exemple/conséquence |
|---|---|---|
| Rançongiciel | Chiffrement des données + demande de rançon | Blocage des serveurs, perte d'accès |
| Phishing / Spearphishing | Usurpation de confiance via e-mail | Vol d'identifiants, porte d'entrée d'un malware |
| DDOS / Mail bombing | Saturation de service rendant inopérant | Site ou service indisponible plusieurs jours |
| Espionnage (watering hole) | Piège sur site légitime pour infecter visiteurs | Perte de données sensibles / fuite économique |
8. Vérifications pratiques¶
- Vérifier que les sauvegardes sont physiquement déconnectées et qu'une restauration a été testée.
- Contrôler le niveau de patchs/systèmes (versions appliquées) sur postes et serveurs.
- Confirmer que l'antivirus est opérationnel et ses signatures à jour.
- Vérifier que la journalisation enregistre événements d'authentification, modifications de politiques et activités systèmes.
- S'assurer que les comptes utilisateurs n'ont pas de droits administrateur et que les comptes admin ne sont pas utilisés pour la navigation Internet.
- Vérifier que l'accès USB est restreint selon la politique définie.
- Constater que les cartes d'attaques consultées indiquent un délai (non temps réel).
9. Flashcards Anki¶
Que signifie ANSSI :: Agence nationale de la sécurité des systèmes d'information L'ANSSI est-elle accessible uniquement aux organismes ? :: Non, elle est accessible à tout le monde Faut-il contacter l'ANSSI en cas de découverte de brèches ? :: Oui Que veut dire EBIOS :: Expression des Besoins et Identification des Objectifs de Sécurité Qu'est-ce qu'un rançongiciel :: Un programme qui chiffre les données et réclame une rançon pour les déchiffrer Où stocker des sauvegardes pour les protéger des rançongiciels ? :: Sur un stockage à froid (disque dur externe ou bande) déconnecté du SI Quelle mesure limite la propagation d'un malware entre zones réseau ? :: Cloisonner le système d'information (filtrage entre zones) Quel type d'attaque utilise un site légitime piégé pour infecter visiteurs ? :: Watering hole (point d'eau) Les cartes d'attaque en ligne (ex. threatmap) montrent-elles les attaques en direct ? :: Non, elles présentent des attaques précédemment collectées (délai) Quel organe assure la défense des services de l'État en cas d'attaque avérée ? :: COSSI (Centre opérationnel de la sécurité des systèmes d'information)