Fiche de révision : Sécurité des infrastructures informatiques

📋 Plan du Cours

1. Adressage IP et masques réseau
2. Échelles et équipements réseau
3. Zones réseau et segmentation
4. Règles de pare-feu et paquets
5. Surveillance des flux réseau
6. Chiffrement par décalage
7. Clés symétriques et asymétriques
8. Empreintes et certificats numériques
9. Sécurisation des postes de travail
10. Risques, failles et attaques
11. Injection SQL, XSS et cas Target

📖 1. Adressage IP et masques réseau

🔑 Notions clés & Définitions

• Adresse IPv4 : Nombre de 32 bits écrit en quatre morceaux de 8 bits, chacun compris entre 0 et 255.

★ À maîtriser

📌 Dans une adresse IP, une partie désigne le réseau et l’autre l’appareil ; le masque indique où se situe la coupure.

• Pour déterminer si deux appareils sont dans le même réseau, on applique bit à bit le masque à chaque adresse et on compare les résultats : des résultats identiques indiquent le même réseau.

Compléments

• Avec le masque /24, 192.168.1.11 appartient au réseau 192.168.1.0/24, tandis que 8.8.8.8 appartient au réseau 8.8.8.0/24.

• Le nombre d’appareils possibles dans un sous-réseau IPv4 est $2^{32-n}-2$, où n est le nombre de bits du préfixe ; on retire l’adresse réseau et l’adresse de diffusion.

• Les préfixes courants présentés sont /8, soit 16 777 214 appareils possibles ; /16, soit 65 534 ; /24, soit 254 ; et /30, soit 2.

💡 Astuce mémo

Le masque trace la frontière entre la rue réseau et le numéro de l’appareil.

📖 2. Échelles et équipements réseau

🔑 Notions clés & Définitions

• Onduleur : Batterie de secours qui bascule instantanément lors d’une coupure ou d’un pic de tension afin d’éviter une interruption perçue.

★ À maîtriser

📌 Un LAN couvre un bâtiment ou un site, un MAN relie des réseaux proches à l’échelle d’une ville, et un WAN relie des réseaux à grande échelle, comme Internet.

📌 Un switch relie des appareils dans un même LAN et transmet les données au bon destinataire, tandis qu’un routeur relie des réseaux différents et permet la sortie du LAN vers Internet.

Compléments

• Le routeur peut distribuer automatiquement les adresses IP en agissant comme serveur DHCP.

📌 Le WiFi facilite la mobilité, mais il est plus sensible aux obstacles et aux interférences que l’Ethernet, qui est présenté comme plus stable.

• Un câble Ethernet est limité à 100 mètres et peut offrir un débit de 100 Mbps à 1 Gbps selon le câble.

• L’onduleur doit alimenter le switch et le routeur ou la box ; les écrans, imprimantes et appareils de confort ne sont pas prioritaires.

💡 Astuce mémo

Le switch livre dans le LAN ; le routeur relie des réseaux.

📖 3. Zones réseau et segmentation

🔑 Notions clés & Définitions

• DMZ : Zone intermédiaire isolée entre le réseau interne et Internet, où sont hébergés les services accessibles depuis l’extérieur sans exposer directement le réseau interne.

★ À maîtriser

• La segmentation place les services exposés dans une zone isolée afin que la compromission d’un serveur public ne donne pas directement accès aux données sensibles du réseau interne.

📌 Une adresse IP désigne une machine, tandis qu’un port désigne le service précis qui répond sur cette machine.

Compléments

• Dans le plan d’adresses de NovaCompta, les postes utilisent 192.168.1.0/24, les serveurs 10.0.1.0/24 et la DMZ 172.16.0.0/24.

• Les ports et services présentés sont :

  • 22 pour SSH.
  • 80 pour HTTP.
  • 443 pour HTTPS.
  • 445 pour SMB.
  • 3306 pour MySQL.
  • 3389 pour RDP.

• Un numéro de port va de 0 à 65 535.

💡 Astuce mémo

La DMZ est le hall ouvert aux visiteurs, le LAN les chambres protégées.

📖 4. Règles de pare-feu et paquets

🔑 Notions clés & Définitions

• Pare-feu : Équipement ou logiciel qui filtre le trafic entrant et sortant selon des règles de sécurité et bloque les connexions non autorisées.

★ À maîtriser

• Un pare-feu lit ses règles de haut en bas, applique l’action de la première règle dont les champs correspondent au paquet, puis s’arrête ; si aucune règle ne correspond, la règle par défaut bloque le trafic.

Compléments

• Une règle de pare-feu indique :

  • La source.
  • La destination.
  • Le port.
  • Le protocole.
  • L’action.

• Dans iptables, l’option -j ACCEPT autorise le trafic et l’option -j DROP le bloque.

• Le paquet d’exemple 198.51.100.7:51544 → 172.16.0.10:443 utilise TCP et porte le drapeau SYN.

💡 Astuce mémo

Lire les règles de haut en bas, appliquer la première correspondance, sinon bloquer.

📖 5. Surveillance des flux réseau

★ À maîtriser

• L’analyse d’un flux repose sur trois questions :
  • Quand le flux a-t-il lieu ?
  • Quel volume est échangé ?
  • Vers quelle destination le flux est-il envoyé ?

Compléments

• Pour comparer des volumes, on les convertit dans la même unité, puis on divise le volume observé par le volume habituel.

• Dans le système décimal utilisé pour l’exemple, 1 Mo vaut 1 000 Ko et 1 Go vaut 1 000 Mo.

• Un poste comptable a envoyé 4,5 Go en deux minutes vers une adresse inconnue, soit 375 000 fois les 12 Ko d’un envoi normal.

📖 6. Chiffrement par décalage

🔑 Notions clés & Définitions

• Chiffrement de César : Remplacement de chaque lettre par celle située un nombre déterminé de rangs plus loin dans l’alphabet ; le déchiffrement inverse ce décalage.

★ À maîtriser

• Le chiffrement de César se casse par essai des 25 décalages possibles de l’alphabet.

Compléments

• Pour une lettre de rang r et un décalage k, le chiffrement revient à calculer $r+k$ en revenant au début de l’alphabet après Z ; le déchiffrement revient à calculer $r-k$ avec le même retour circulaire.

• Avec un décalage de 3, SALUT devient VDOXW et VDOXW se déchiffre en SALUT.

• Dans l’atelier ROT, un décalage de 9 se défait en avançant de 17 rangs, car 9 + 17 = 26.

💡 Astuce mémo

Chiffrer avance de k rangs ; déchiffrer recule de k.

📖 7. Clés symétriques et asymétriques

🔑 Notions clés & Définitions

• Chiffrement symétrique : Utilisation d’une seule clé partagée entre l’émetteur et le destinataire pour chiffrer et déchiffrer ; cette méthode est rapide, mais la clé doit être transmise de façon sûre.
• Chiffrement asymétrique : Utilisation d’une paire de clés, une clé publique partageable et une clé privée secrète ; un message chiffré avec la clé publique se déchiffre avec la clé privée correspondante.

★ À maîtriser

• En HTTPS, l’asymétrique sert à établir la connexion et échanger une clé de session, puis le symétrique chiffre le reste des échanges plus rapidement.

📌 Pour envoyer un secret à Bob, Alice chiffre avec la clé publique de Bob et Bob déchiffre avec sa clé privée.

Compléments

📐 Formule - Pour n personnes, le nombre de clés partagées nécessaires en chiffrement symétrique est $\frac{n(n-1)}{2}$, tandis que le chiffrement asymétrique utilise $2n$ clés.

💡 Astuce mémo

Clé publique du destinataire pour chiffrer ; clé privée de l’expéditeur pour signer.

📖 8. Empreintes et certificats numériques

🔑 Notions clés & Définitions

• Empreinte numérique : Résultat de taille fixe calculé à partir d’un message ; le même message produit la même empreinte et une modification du message produit une empreinte différente.
• Signature numérique : Manière de signer l’empreinte d’un message avec la clé privée de l’expéditeur, puis de permettre sa vérification avec la clé publique correspondante ; elle garantit l’origine annoncée et l’intégrité du message.
• Certificat numérique : Document numérique qui associe une clé publique à une identité vérifiée et est délivré par une autorité de certification reconnue.

★ À maîtriser

• Pour vérifier l’intégrité d’un fichier téléchargé, on calcule son empreinte et on la compare à l’empreinte publiée par l’éditeur ; si elles diffèrent, le fichier a changé.

Compléments

• SHA-256 produit une empreinte de 256 bits, soit 64 caractères hexadécimaux puisque chaque caractère représente 4 bits.

• Le navigateur contrôle :

  • La correspondance entre le nom du site et celui du certificat.
  • La période de validité du certificat.
  • La signature de l’autorité qui l’a délivré.
  • La chaîne de certification jusqu’à une autorité racine connue.

💡 Astuce mémo

Empreinte du message, signature avec la clé privée, vérification avec la clé publique.

📖 9. Sécurisation des postes de travail

★ À maîtriser

📌 Le principe du moindre privilège consiste à ne donner à chaque utilisateur que les droits nécessaires à son travail.

• Un malware s’exécute avec les droits de la personne connectée ; un compte standard limite donc les actions qu’il peut effectuer sur le poste.

Compléments

• Sous Linux, les droits d’un fichier sont définis pour le propriétaire, le groupe et les autres, avec les droits de lecture, d’écriture et d’exécution.

• Les réglages de base présentés par système sont :

  • Windows : mises à jour automatiques et antivirus actif et à jour.
  • Linux : mises à jour régulières, pare-feu local et usage de sudo limité au strict nécessaire.
  • macOS : Gatekeeper activé, mises à jour automatiques et FileVault activé.

💡 Astuce mémo

Moindre privilège → droits réduits pour un malware.

📖 10. Risques, failles et attaques

🔑 Notions clés & Définitions

• Vulnérabilité : Faiblesse d’un système, comme un logiciel non mis à jour ou un mot de passe faible, qu’une menace peut exploiter.
• Menace : Attaquant ou logiciel malveillant susceptible d’exploiter une vulnérabilité.
• Risque : Probabilité qu’une menace exploite une vulnérabilité, ainsi que les conséquences possibles de cette exploitation.

★ À maîtriser

📐 Formule - Le score de risque est calculé par $\text{probabilité} \times \text{impact}$, avec des notes de 1 à 3 pour chaque facteur.

Compléments

• Les seuils de score présentés sont de 1 à 3 pour un risque faible, de 4 à 6 pour un risque moyen et de 7 à 9 pour un risque élevé.

• Un risque élevé se traite en premier en réduisant sa probabilité, par exemple en corrigeant la vulnérabilité, ou son impact, par exemple en segmentant le réseau ou en sauvegardant les données.

📖 11. Injection SQL, XSS et cas Target

🔑 Notions clés & Définitions

• XSS : Injection d’un script malveillant dans une page que le site affiche sans le filtrer, afin que le navigateur des visiteurs l’exécute.

★ À maîtriser

• Une injection SQL se produit lorsque la saisie d’un utilisateur est intégrée à une requête comme une instruction SQL ; une requête paramétrée traite cette saisie comme une donnée et corrige ce problème.

📌 Pour corriger une injection SQL, il faut utiliser une requête paramétrée ; pour prévenir le XSS présenté, il faut échapper le contenu avant de l’afficher.

• En 2013, l’attaque contre Target a conduit au vol de 40 millions de numéros de cartes bancaires et a touché jusqu’à 70 millions de clients.

Compléments

• Les menaces côté infrastructure citées sont :

  • Déni de service DDoS.
  • Intrusion via un port ouvert ou mal configuré.
  • Exploitation d’un système non mis à jour.
  • Accès non surveillé accordé à un prestataire externe.

• Le panorama des menaces côté applicatif cite l’injection SQL, le XSS, une authentification faible ou mal implémentée et une gestion de sessions non sécurisée.

• La saisie x' OR '1'='1 peut ajouter à une requête SQL une condition toujours vraie et conduire à renvoyer plusieurs comptes au lieu d’un seul.

• Dans l’attaque Target, les attaquants sont entrés avec les identifiants volés d’un prestataire de maintenance dont l’accès réseau n’était pas isolé des caisses.

• Dans l’attaque Target, un logiciel malveillant a ensuite été installé sur les caisses pour collecter les numéros de carte en temps réel.

📊 Tableaux de synthèse

Équipements et rôles réseau