Analyser les attaques¶
1. Objectif du cours¶
Comprendre les méthodes d'analyse des attaques informatiques : collecte et interprétation des journaux, corrélation d'événements, identification des Indicateurs de Compromission (IoC) et utilisation d'outils comme Wireshark et Snort. Permettre une réaction adaptée (détection, blocage, remédiation) et renforcer la sécurité du réseau.
2. Notions et définitions essentielles¶
- Bastion : point d'entrée / point de contrôle périmétrique chargé de surveiller et filtrer les communications.
- Log (journal) : fichier consignant automatiquement communications et événements réseau détectés.
- SIEM : solution centralisée pour la collecte, la normalisation, la corrélation et la gestion des événements de sécurité.
- IDS / IPS : IDS détecte et alerte sur des intrusions ; IPS détecte et peut bloquer activement les attaques.
- IoC (Indicateur de Compromission) : élément observable (IP, domaine, hash, URL, certificat, signature) indiquant une compromission.
- TTP : Tactiques, Techniques et Procédures utilisées par un attaquant (mentionnées comme objet d'analyse).
3. Fonctionnement et principes¶
- Rôle du bastion : contrôler les ports/services autorisés, surveiller en continu les flux entrants/sortants, générer des alertes en quasi temps réel et appliquer une politique d'accès stricte.
- Journaux : doivent être collectés régulièrement, normalisés pour analyse automatisée et conservés dans un espace sécurisé (préserver les preuves, conformité et investigations).
- Corrélation des événements : processus SIEM en quatre étapes principales — collecte multi-source, normalisation, corrélation/analyses et décision (autoriser ou bloquer), puis consignation.
- Méthodes de détection : signatures (reconnaître patterns connus), comportementale (détecter anomalies par rapport au comportement normal) et détection d'anomalies statistiques (pics de trafic, tentatives répétées).
- Règles personnalisées : essentielles pour compléter les règles génériques et couvrir des attaques non prévues par la configuration standard.
4. Commandes et manipulations¶
Non abordé dans ce cours
5. Sécurité et bonnes pratiques¶
- Politique du pire (deny by default) : bloquer toutes les connexions sauf celles explicitement autorisées.
- Fermer les ports non utilisés et limiter les services exposés.
- Mettre à jour régulièrement signatures, bases de règles et dispositifs de sécurité.
- Stocker les journaux dans un espace sécurisé et prévoir conservation pour contrôles ou enquêtes.
- Personnaliser les règles IDS/IPS/SIEM pour les usages spécifiques de l'entreprise.
- Sensibiliser les utilisateurs (phishing, pièces jointes, périphériques externes) et utiliser des mots de passe forts.
6. Points essentiels à retenir pour le TSSR¶
- Le bastion agit comme garde-frontière : contrôle ports, services et génère des logs d'événements.
- Les logs doivent être collectés, normalisés et stockés de façon sécurisée pour permettre analyse et preuve.
- SIEM corrèle événements de sources diverses pour détecter des schémas d'attaque et déclencher des actions.
- Trois familles d'outils : IDS (détection), IPS (prévention) et SIEM (centralisation & corrélation).
- Méthodes de détection : signatures, comportementale et anomalies — chacune a ses avantages et limites.
- IoC : liste d'éléments exploitables pour détection et blocage (IP, domaines, hashes, URL, certificats, signatures).
- Wireshark = capture/inspection de paquets ; Snort = détection (et possible prévention) via règles.
- Règles personnalisées et mises à jour fréquentes sont indispensables pour combler les lacunes des règles standard.
- Conserver les logs permet d'apporter la preuve et d'améliorer la posture de sécurité.
7. Tableau récapitulatif¶
| Élément | Rôle principal | Action en cas d'alerte | Exemple cité |
|---|---|---|---|
| Bastion | Contrôle périmétrique | Surveillance continue & génération de logs | Fermer ports inutiles |
| IDS (ex. Snort) | Détecter | Génère alertes / journalise | Snort (règles) |
| IPS | Prévenir | Bloque activement le trafic suspect | Cisco Firepower, Palo Alto |
| SIEM | Corrélation & centralisation | Autorise/Blocage via corrélation | Graylog, Fusion SIEM |
8. Vérifications pratiques¶
- Vérifier la présence et l'actualisation régulière des journaux (logs) collectés et normalisés.
- Confirmer que le SIEM corrèle événements et déclenche actions (alertes consignées et décisions d'autorisation/blocage).
- S'assurer que Snort génère des alertes quand une règle correspond (fichier de logs / notifications).
- Contrôler que Wireshark capture le trafic attendu et que les filtres ciblés renvoient les paquets pertinents.
- Valider la mise en place et l'application des règles personnalisées sur IDS/IPS (tests d'alerte / blocage).
9. Flashcards Anki¶
Qu'est-ce qu'un bastion en informatique? :: Un point d'entrée ou point de contrôle périmétrique chargé d'évaluer et filtrer les communications réseau. Quel est le rôle principal des journaux (logs)? :: Consigner automatiquement les communications et tentatives d'intrusion pour analyse. Que recommande l'ANSSI pour les connexions? :: Appliquer la politique « du pire » et autoriser manuellement les connections après analyse. Quels sont les trois grands types d'outils de détection? :: IDS, IPS et SIEM. Citez deux IDS open source mentionnés. :: Snort et Suricata. Quel est le rôle d'un IPS? :: Détecter, bloquer et répondre activement aux tentatives d'intrusion. Qu'est-ce qu'un IoC? :: Un Indicateur de Compromission : un élément observable indiquant une activité malveillante ou une compromission. Citez trois types d'IoC mentionnés. :: Adresses IP malveillantes, noms de domaine malveillants, hash de fichiers malveillants. Quel est l'usage principal de Wireshark? :: Capturer et inspecter le trafic réseau en temps réel pour analyser les paquets. Quelle est la différence principale entre Wireshark et Snort? :: Wireshark analyse/capture le trafic ; Snort est un IDS qui détecte/alerte et peut bloquer via des règles.