---
title: SECUP - 1
description: Intégration de la Sécurité dans les projets?
author: Moemoea Fiérin
tags: SECUP, Hista, moemoea.fierin
date: 17/02/20
prof: Hista Christophe
---
{%pdf https://51.38.177.120/dokuwiki/lib/exe/fetch.php?media=cours:secup:2020:introduction.pdf %}

# <span style="color:#871800">Préambule</span>
Quelles sont les natures d'activité qui sont à intégrer ?
évaluation:
- qcm

# <span style="color:#871800">Introduction</span>
- constat: on sait ce qu'on doit faire pour reduire notre vulnerabilite aux attck. On ne fait pas ce qu'on doit faire. Toutes ses attck sont évitable.

# <span style="color:#871800">Constat: cycle de vie d'un projet</span>
## Les étapes:
- opportunité
- faisabilité
- conception générale
- conception détaillée
- réalisation
- exploitatio

# <span style="color:#871800"> Tout le monde a son mot a dire: - Constat xtiplicite des acteurs</span>
- service juridique va donner son avis
- les utilisateurs aussi
- maitrises d'oeuvre = l'informatique
- le CIL
- Les experts
Ils vont intervenir de maniere non structure sur le projet. On peut avoir des projets accepte par le RSSI mais pas conforme a une loi. => il doit y avoir une coordination

# <span style="color:#871800">Ou est ce que ses acteurs interviennent? - Constat xmultiplicite des acteurs
Voir schéma</span>

# <span style="color:#871800"> Difficulté et incomprehension</span>
Pb de connaissance differente:
*(Par Ex entre utilisateur et responsable technique)*
Pas les memes approches/memes resultats en fonctions des groupes
Le RSSI veut une solution sur mais sur n'est pas toujours rapide=> il faut trouver un juste milieu entre ce que tlm veut.

# <span style="color:#871800">Enjeux et définitions 1</span>

# <span style="color:#871800">Enjeux et definitions 2 </span>
Activité qu'on va creuser sur les séances:
- analyse de risque au vu d'un metier
- comformite juridique
- Spécification des mesures
- Developpements sécurisés
- Tests et recette de sécurité
- Sécurités des externalisations
- Securitsation de l'exploitation
- Suivi des risques résiduels
- identifier une vuln/menace
- risque qu'il reste
- Audit
- Documentation de sécurité

:warning: 50% de l'informatique est sous-traités
# <span style="color:#871800">Les activité SSI</span>
## Quiz
1) L'audit de la phase d'analuyse préliminaire d'un projet de dev d'une nnvelle appli devra s'assure que:
- [x] les exigence de sécurité ont été définies
*(Par ex: Y'a t'il des besoins de disponibilité elevé?)*

2) Pour reduire le cout de la securite dans un projet de dev de sys les techniques de gestion de la securite devraient etre appliquees:
- [x] de façon continue durant tout le projet

# <span style="color:#871800">Enjeux et définitions 3</span>
- ISP
- ICS
- ISO
- OWASP
- PAS: (est en relation avec ISC)
- dossier tech qu'on met dans un contrat et dedans on a mis toutes nos exigence
- ANSSI
- ils portent la loi de programmation militaire
- ils interviennent dans les entreprises quand il y'a une attck forte

# <span style="color:#871800">Le RSSI</span>
Responsable
- le responsable de tout ce qui va toucher a la sécu et la sécurite de l'information

## <span style="color:blue">Video sur ce qu'est un RSSI et son rôle</span>
"Film ma vie de RSSI"

# <span style="color:#871800">Les Attaques: Décryptage</span>

## <span style="color:green">Les attaques - Contexte</span>

Les objectifs:
- detruire
- atteinte a l'img: *Exemple de vol de données sur les réseaux sociaux*
- gains financiers

1,5-2mois pour résoudre une cyberattaque
la majorité des attck sont détecter par les utilisateurs
## <span style="color:green">Les attaques - Contexte 2</span>

## Quiz
1. le taux de destinateaire oubrant un email pirge de type phishing est de
- [x] 23%

2. Le nombre de malware qui circule sur le net
- [x] 170Millions

3. Le nb d'incidents de secu lié a une erreur humaine
- [x] 30%

## <span style="color:green">Les Types d'attaques</span>

<span style="color:red">**Le spam**</span> est un courrier électronique indésirable non sollicité par le destinataire:
- envoie en masse

<span style="color:red">**L'ingénierie sociale**</span> est une manipulation psychologique, humaine qui consiste a obtenir un bien ou une information en exploitant la confiance, l'ignorance ou la credulite de tierces personnes.

Arnaque inventée par le français Gilbert Chikli

<span style="color:red">**Une attaque DDos**</span> vise a rendre un serveur un service ou une infra indipo en surchargeant la bande passnate du serveur ou en s'accaprant ses ressources jusqu'a epuisement

<span style="color:red">**Le Phishing**</span> est une forme d'attaque dans laquelle le cybercriminel se fait passer pour un organisme ou une personne dans le but de volr des informations privées. Cette attaques se fait generalement par mail.

<span style="color:red">**Un Malware**</span> est un programme malveillant deveopper dans le but de nuire a une entreprise un SI ou une personne

<span style="color:orange">Les Malwares</span>
---
<span style="color:red">**Les chevaux de troie**</span>

<span style="color:red">**La porte dérobée**</span> une voie d'acces illegitime inserre dans un logiciel un system un matos a l'insu de l'utilisateur permettant de maintenir un acces dans le temps.

<span style="color:red">**Le rootkit**</span> est un ens de logiciels permettant generalement d'obtenir les droits root sur une machine.

<span style="color:red">**Les cryptolocker**</span> sont des malwares qui visent a extorquer de l'argent en chiffrant des données des postes de l'utilisateurs ou de l'entreprise puis exige une rancon afin de les déchiffrer.
- mode operatoire: chiffrer les fichiers présent sur l'appareil de l'utilisateur
- affichage d'un msg a l'écran
- moyen de lutte: antivirus, les MaJ de sécu, la sauvegarde, la sensibilisation

## <span style="color:#871800">Les Stars </span>
### <span style="color:green">Malware Star: WANNACRY</span>
- Mai 2017 la _ grande infection de type ver-ransomware de l'histoire d'internet
- (+) de 300K victimes
- 15 pays touchés

### <span style="color:green">Malware Star: STUXNET</span>
Malware possedant plusieurs modules
dedie a l'attauqe du programme nucleaire iraniens

## <span style="color:#871800">Décryptage</span>
Phase 1 Préparation:
- social ingeniering identifier les cibles a attques
- Malware type 1: Récuperer des informations via des mails "générique".

Phase 2 Attaques:
- Malware de type 2: rancon via un mail ciblé

## La syntheses - les famille de mesures
- maintient en condition de sécurité
- protection / limitation d'impact
- antimalware
- sensibilisation
- cloisonnement
- filtrage
- ..

- Capacite à rétablir le service
- secours
- sauvegarde