--- title: Cybersecurité et Cyberdéfense - 1 description: Introduction au management de la cybersecurité tags: C&C, aurelien.dhollande authors: Aurélien Dhollande prof: Bombal temps: 4h date: 08/02/20 --- # <span style=color:red>Cybersécurité et cyberdéfense - 1</span> # <span style=color:blue>Introduction au management de la cybersécurité</span> ## <span style=color:blue>Définitions</span> ### Cyberespace Définition de l'ANSSI : Espace de communication constitué par l'interconnexion mondiale d'équipements de traitement automatisé de données numériques Modèle OTAN (NATO) et militaire : * couche physique (tout le matos : câbles, réseaux physiques...) * couche logique (OS, application, réseaux...) * couche sémantique (dimension sociale, l'information, le cognitif) ### Système d'information Définition de l'ANSSI : Ensemble organisé de ressources (matériels, logiciels, personnel, données et procédures) permettant de traiter et de diffuser l'information ### Sécurité des SI Ensemble des mesures techniques et non techniques de protection permettant à un SI de résister à des événements suceptibles de compromettre la disponibilité, l'intégrité ou la confidentialité des données 3 piliers (DIC / CIA en anglais) * disponibilité * intégrité * confidentialité ### Cybersécurité Etat recherché pour un SI lui permettant de résister à des événements issus du cyberespace suceptibles de compromettre les 3 piliers de la sécurité des SI ### Cyberdéfense Ensemble des mesures techniques et non techniques permettant à un Etat de défendre dans le cyberespace les SI jugés essentiels ### Cybercriminalité Actes allant à l'encontre des traités internationaux ou des lois nationales, utilisant les réseaux ou les SI comme moyens de réalisation d'un délit ou d'un crime ### Résilience Capacité d'un SI à résister à une panne ou à une cyberattaque et à revenir à son état initial après l'incident ### Cryptographie Discipline regroupant les méthodes de transformation des données dans le but de cacher leur contenu ### Cryptanalyse Processus de déchiffrement de données protégées au moyen de cryptographie sans être en possession des clés de chiffrement ### Cryptologie Science regroupant la cryptographie + la cryptanalyse ### Opérateur d'Importance Vitale (OIV) Organisation (privée ou publique) qui a été identifiée par l’Etat comme ayant des activités indispensables pour le pays ## <span style=color:blue>Etapes d'une attaque informatique</span> 1. Reconnaissance : ce que je veux faire + mode d'attaque + reconnaissance de l'environnement (partie la plus importante) 2. Recherche de vulnérabilités 3. Exploitation d'une vulnérabilité 4. Intrusion 5. Post-exploitation (le vrai business est ici, c'est beaucoup d'admin sys) 6. On recommence ces étapes en recherchant des comptes et des privilèges ## <span style=color:blue>Zones d'action</span> ![](https://i.imgur.com/nzHMsDB.png) - les trois zones possibles pour les effets - **Du monde physique vers le cyberespace** : couper un câble - **Dans le cyberespace** : n'importe quelle attaque - **Du cyberespace vers le monde physique** : par exemple faire exploser des centrifugeuses en réalisant une attaque sur les systèmes qui augmentera la frequence des centrifugeuses ## <span style=color:blue>Management de la sécurité</span> * Conseiller et derrière s'assurer que le risque pris correspond aux mesures de protection * Trouver une balance entre l'effort (le coût) et le risque ## <span style=color:blue>Outils du manager sécurité</span> * **Classification des actifs** = connaître son système pour savoir où concentrer ses efforts * **Analyse de risques** * **Audit et contrôle** = s'assurer que tout marche correctement, mais à un instant T * **Tableaux de bord et indicateurs** * **Système de management** = boucle d'amélioration continue ## <span style=color:blue>DIC / CIA / DAD</span> **DIC** = Disponibilité Intégrité Confidentialité **CIA** = Confidentiality Integrity Availability **DAD** = Denial Alteration Disclosure ## <span style=color:blue>Cadre normatif de sécurité et de cybersécurité</span> Politique de sécurité > directive > processus > procédure **Politique de sécurité** = stratégie visant à maximiser la sécurité informatique d'une entreprise **Directive** = consigne à suivre dans une entreprise (obligatoire) **Processus** = + précis que la directive **Procédure** = séquence d'instructions Procédure on la fait manuellement mais peut être très long donc on peut utiliser des playbooks ![](https://i.imgur.com/c9dGMO5.png) * **Standard** = ce que tout le monde fait * **Norme** = quelque chose qui est obligatoire * **Bonne pratique** = comportement jugé indispensable (donnée par les fournisseurs de solution, les agences nationales de sécurité ou la communauté) ![](https://i.imgur.com/GDuODM5.png) ## <span style=color:blue>Définitions</span> * **Risque** = danger + ou - probable => acceptation, réduction ou transfert * **Vulnérabilité** = ce qui va être potentiellement exploitable par un acteur malveillant * **Menace** = celui qui a volonté de nous atteindre (personne, organisation, structure) * **Agent de menace** = intermédiaire, porteur (proxy, ver...) * **Actif** = actifs immatériels (bien non-physique qui a une valeur; ex : essence, savoir-faire, marque...) * **Contre-mesure** = permet de réduire le risque ## <span style=color:blue>Types de menace</span> ![](https://i.imgur.com/8rCaAEz.png) ## <span style=color:blue>Objectiver le risque</span> 2 manières * **Quantitative** ![](https://i.imgur.com/cplIVwW.png) * **Qualitative** : matrice de risque (paire de préférence pour ne pas toujours tomber dans le neutre) ![](https://i.imgur.com/YctWmQd.png) ## <span style=color:blue>Gestion des risques / Risk Management (RM)</span> **ISO 31000** *Boucle* 1) Analyse du Contexte 2) Identifier les risques 3) Analyser le risque 4) Evaluation du risque 5) Traitement du risque ## <span style=color:blue> BIA (Business Impact Analysis) vs gestion des risques</span> **BIA** = évaluer les impacts en cas de perte de tout ou d'une partie de l’environnement numérique **Gestion des risques** = déterminer les scénarios de merde les plus probables et mettre en place les actions nécessaires pour rendre le risque acceptable ## <span style=color:blue>Processus de classification des actifs</span> * Utiliser des catégories * Pour chaque catégorie, déterminer les objectifs * Créer une politique de confidentialité, des standards et des process * Identifier les propriétaires => celui qui crée la donnée La confidentialité d’une donnée peut changer avec le temps. ## <span style=color:blue>Matrice de défense</span> ![](https://i.imgur.com/fAI9s1m.png) **But de la défense en profondeur** = retarder l'ennemi en sécurisant chaque sous-ensemble du système (= mettre différentes barrières) 4 niveaux protégés à différents moments de l’attaque * **Physique** * **Logique** * **Administratif** * **Cognitif** - *Prévention* : joue sur la probabilité d'occurence - *Investigation* : vérifier si une application a été touchée par une attaque => lever le doute - *Détection et réaction* : caractériser et comprendre l'attaque, en limiter les effets et les dégats - *Correctif* : post-incident - *Récupération & résilience* - *Compensatoire* : l'après - *Dissuasif* : augmenter le coût de l'attaque => si trop cher, l'attaquant passera sur une autre cible Problème : des fois les colonnes sont contradictoires / en conflit => on doit faire un choix ## <span style=color:blue>Définitions</span> **Fail securely** = rechercher un état sécurisé lorsque ça fail **Least privilege** = minimum de privilèges strictement nécessaires pour que le sujet puisse effectuer son travail **Attack surface** = qu'est-ce que j'expose comme service à mon attaquant **White list** = le sujet a le droit d'accéder uniquement aux ressources autorisées **Black list** = le sujet a le droit d'accéder à tout sauf aux ressources listées **Segregation of duties** = sépération des privilèges **Zone d'adhérence** = ?? **Zoning** = cloisonnement, contenir l'attaquant **Need to know** = prendre connaissance seulement de ce qu'on a besoin de savoir ## <span style=color:blue>SGDSN</span> Secrétariat Général de la Défense et de la Sécurité Nationale (dépend du 1er ministre) ![](https://i.imgur.com/HESD21v.jpg) ## <span style=color:blue>ANSSI</span> 1er ministre > SGDSN > ANSSI - réglementation - capacité opérationnelle - protège les OIV - n'a pas de pouvoir de sanction ## <span style=color:blue>Définitions</span> **SAIV** = Secteur d'Activité d'Importance Vitale - eau - électricité - santé - nucléaire - spatial... **PIV** = Point d'Importance Vitale **OSE** = Opérateur de Services Essentiels (dont le service est essentiel au maintien de l'activité économique et sociétale; ex : assurance maladie) **FSN** = Fournisseur de services numériques --- ## <span style=color:blue>Annexes</span> **Appel de Paris** = texte en faveur de l’élaboration de principes communs de sécurisation du cyberespace (international) **Livre blanc** = enjeux en la France en matière cyber Depuis 2013, la charte de l'ONU s'applique dans le cyberespace