---
tags: TCOM, Gaillard, Risques Cyber, Covid-19
---

# Risques Cyber

Notation se fera avec 3 critères : participation/suivi, examen au dernier cours 1h (Google autorisé mais sans intêret), TP noté (MAX(note TP, participation) ? note de participation peut augmenter la note de 0,5/1/1,5 pts)
NB. Rien est encore sûr.
Il y aura des petits checks : opportunités (de manière random)

## Introduction
Parler de la sécurité c'est avoir une connaissance du sujet qu'on traite.

Les plus belles attaques, qui peuvent être anodines, nécessitent de la part de l'attaquant une palette de connaissances étendue.

Domaine d'actualité, qui ne va pas se restreindre. La malveillance est un problème ancien, pas si nouveau que ça.

Exemple: [Vers Morris](https://fr.wikipedia.org/wiki/Morris_(ver_informatique))

On peut objectiver les menaces.

Ce qui est spectaculaire dans ce cours, c'est la démonstration, marquante.

Une menace existe ou pas: objectivé.

Un risque est subjectivé. On le ressent ou non à propos d'une menace. C'est l'évaluation d'une menace.

Inconscience face à la menace: Sortir dans un quartier mal famé avec des billets plein les poches.

Inconscience: dénier toute menace.

Deux balances:
- Risque/Menaces
- Paranoïa/Inconscience.

Inconscience augment le risque, paranoïa augmente le coût.

Quand on cherche une parade, on cherche une zone d'équilibre, en évitant de tomber dans la zone de complète inconscience. Eviter 12 firewall successifs cependant.

RSSI: Responsable de la Sécurité des Systèmes d'Information.

Politique de sécurité, élaborée pare le RSSI: deux niveaux:
- Stratégique
- Opétationel

Zone de confiance: Entreprise par exemple. On sait qu'il y a des menaces pour. Il faut prendre des parades, ou défences périmétriques (défences à la surface, au périmètre)

Parade: répond à des menaces du passé.

Aujourd'hui on fait de la prévention. C'est de la proactivité. Et cela coute beaucoup d'argent. Viennent les débats: Est-ce réel?

Il y a une frustration: On aimerait bien capturer l'attaquant lors d'une attaque. Cependant c'est majoritairement impossible. On arrive à localiser sur un pays, une région, mais pas l'individu.

Où arrêter la parade? L'inconscience?

La sécurité informatique véhicule des fantasmes. Des choses réelles et des légendes urbaines.

Une parade peut avoir une faille.
Exemple: la pramière génération de firewall avait des bugs.

**Faire très attention: Une solution peut être faillible elle-même!!!!**

Il n'y a pas d'absolu en matière de parade. C'est illusoire.
Le monde de la malveillance ne s'arrête jamais.

**L'attaque a toujours 1 coup d'avance!**

Certains vont rechercher leurs failles avant même d'être attaqué.

Qui aura le coup d'avance sur l'attaque?

**Qui menace?**

Les attaquants :
- Black Hat
Les méchants : sont cachés
- Grey Hat
Pirates du dimanche
- White Hat
Les cabinets de conseils, les chercheurs de failles, dans les entreprises
Ils sont à visage découvert, présent pour faire le bien.

**Pourquoi il y a du piratage ? Question très vaste.**

- Le challenge (ex : il y a une vingtaine d’année, web defacement, challenge d’effacement/modifications des homepages en laissant son pseudo, c’était évalué, noté en fonction de la beauté de l’attaque, la homepage du premier site web de la CIA c’est fait hacker, mercedes s’est fait retourner toutes ses photos sur son site web)
- Le jeu, le plaisir
- L’inconscience
- La « vraie » malveillance (désir de nuire, de voler)

**Comment ?**

*Phase 1* : compilation de l’information – le pirate est invisible.
Il y a une cible. Avoir toutes les informations possibles sur la cible (adresse mail, internet, site web, etc.)

*Phase 2* : consolidation de l’information – le pirate se rend visible.
Discute avec les gens, prend de l’information en manipulant les gens, social engineering. Le pirate prend des risques.
Ingénierie sociale.
Exemple : J’ai remarqué que le site internet est dans tel et tel lieu, les collaborateurs ont l’habitude d’aller manger à 12h30, j’y vais avec eux, j’écoute la table d’à côté, j’espionne le sujet des collègues, le patron, inévitablement à un moment donné un des collaborateurs va parler du boulot, et donner des informations. Je m’expose.

*Phase 3 *: création du scénario d’attaque – le pirate est invisible
Cela peut être un scénario très complexe, en faisant des combinaisons d’attaques, de différentes menaces

*Phase 4 *: attaque – le pirate est visible (même si caché, il prend un risque)

Attention une parade ne doit pas empêcher le système de fonctionner !

## Les menaces

flux :

- Lecture : Le pirate écoute le flux (sniffing) : c’est une action passive non intrusive. C’est ce qu’on fait avec wireshrak. On récupère de l’information, espionnage informatique.
- Interception : Intercepter le flux et faire en sorte que le flux n’arrive pas à la source (exemple le dDos)
- Modification : Flux est envoyé, intercepté, modifié et envoyé à la source, c’est l’attaque du man in the middle. (Ex : le fishing sur un faux site bancaire). Attaque transparente quand bien réalisée
- Génération : On se fait passer pour un autre (qui à la confiance du récepteur) et on envoie un flux généré par le pirate.

Rien de ce que l’on va évoquer n’est simple.
Menace L3/L4 : TCP/IP est un champ de failles conceptuel. Ce protocole a été conçu pour être dans un environnement de confiances.
Couches protocolaires sous IP type Ethernet sont extrêmement faillibles. Elles n’ont pas été pensé pour contrer les menaces.
Il y a des menaces à tous les étages.
On ne va pas parler de Wifi mais il y aurait beaucoup de choses à dire dessus. WEP n’est plus utilisé MAIS est ce qu’on en est sur ?
On pourrait aussi parler de Bluetooth.

CERT et CIRT (observation de malveillance, et conseille pour éviter les attaques)

Menaces accessibles a tous : sur les couches basses.
Un réseau radio : encore plus accessible que sur un réseau filaire (encore que il faut voir si ya un rayonnement qu'on peut capter et reconstituer des trames).

### Les menaces sur Ethernet

C’est quoi Ethernet ?

C’est une infrastructure où des équipements/devices sont connectés par des câbles à des switchs.

Est-ce que B peut sniffer ce que C ?
Si ya un switch on ne peut pas sniffer. Il faut transformer le switch en hub. Et là, on peut sniffer.
Dans les switchs c’est un logiciel. Et dans ce logiciel il y a des buffers.
On a l’attaque de buffer overflow, et on sature les tables d’apprentissages (ex : on a le port 1 où ya l’adresse de B, on fait B++ et on modifie l’adresse de B). On va tester les limites de l’implémentation du logiciel du switch. On sature la table du switch et on le fait passer en mode « dégradé » hub (attention tous les switchs n’ont pas cette fonctionnalité).
Mais là on avait un maillage dans l’infrastructure. On avait donc une fonction spanning tree. Sauf que du coup on le perd en perdant les switchs. Et on a des hubs maillés entre eux et cela va entrainer une saturation. Donc il faut faire attention à ça et bloquer les ports.
C’est donc pas si simple.

On est sur un piratage en interne.

Attaque sur le spaning tree (attaques très évoluées) (attaque datant de début 2000, tous les switchs n’était déjà pas faillible à l’époque déjà, ensuite il y a une mise à jour/des patchs par les constructeurs). Les upgrades ne sont pas forcément réalisées, il y a une dette technique. Le nettoyage du parc est fait à 90%.

Lors d’un achat de matériel professionnel : Toujours poser des questions, exprimer un besoin technique, il faut dans le cahier des charges spécifier le plus possible. Toujours avoir la dernière version.
Attention aussi au constructeur, est ce que le switch en lui-même n’est pas une faille ? Pour les points stratégiques (DGSE, Élysée, etc.) il faut connaître à 100% l’infrastructure mise en place.

Tout est faillible. Toutes nouvelles technologies sont faillibles. C’est toujours après les

Connaître la nature du switch
Comment on fait pour connaitre la nature (constructeur, release) du switch ? On va voir les switchs en physique.

On essaye de casser le STP, mais le Spaning Tree c’est du logiciel, avec des buffers, pour hacker ca : il faut un port non STP pour rentrer sur le réseau, et après envoyer une trame ethernet pour se définir comme le root du switch.

Perturber le commutateur :
- Son fonctionnement en interne (sniffer)
- STP
- Reconfiguration du STP toutes les 3 secondes (déni de service) en envoyant des trames Ethernet.
- Ajouter un hub sur l’infrastructure
- Attaque de force brut : couper directement les fils ethernet directement dans les armoires de brassage
- On se log en admin sur le commutateur (rlongin, ssh, etc.)
- attention aux pirates
- Trame ethernet trop petite ou trop grande

### Exercice:

`08 00 5A 57 49 54 08 00 38 03 07 43 08 00 45 00 00 49 49 35 00 00 1D 06 C8 85 87 E4 06 04 B8 0C 52 0C 00 15 51 0C 71 12 4A 2A 00 00 51 19 50 18 10 00 F3 FF 00 00 33 33 31 20 50 61 73 73 77 6F 72 64 20 72 65 71 75 69 72 65 64 20 66 6F 72 20 6A 65 61 6E 2E 0D 0A`

`08 00 5A 57 49 54`: MAC DST unicast publique

00001000: I/6 -0=unicast -1=broadcast/multicast
U/L -0=universal -1=

`08 00 5A`: VENDOR ID

`08 00 38 03 07 43`: MAC SRC
`08 00`: TYPE - Ipv4

`00 00 49 49 35 00 00 1D 06 C8 85 87 E4 06 04 B8 0C 52 0C`: Entete IPv4

`45`: IHL : 5*words32= 20o
`00`: DS
`00 49`: LT = 4*16+9=73o
`49 35`:
`00 00`: DF=0 - MF=0 - offset=0
`1D`: TTL=29
`06`: Protocol : TCP
`C8 85`: Checksum
`87 E4 06 04`: @ip src 135.228.6.4
`B8 0C 52 0C`: @ip dst 184.12.82.12

`00 15 51 0C 71 12 4A 2A 00 00 51 19 50 18 10 00 F3 FF 00 00 33 33 31 20 50 61 73 73 77 6F 72 64 20 72 65 71 75 69 72 65 64 20 66 6F 72 20 6A 65 61`: PAYLOAD

`6E 2E 0D 0A`: FCS

(Vendredi 10 juillet)

On a vu les menaces sur la couche L2 (Ethernet).

Il faut bien comprendre que les attaques dont on parle sont très complexes.
Pour la génération de trames éronées il faut être dans les locaux par exemple. Il faut avoir accès aux équipements.

*ATTENTION aux téléchargements qui permettent de faire des attaques.*

Mais il existe des outils de hacking très performant tels que HPing (sorte de générateur de trame, en mettant les infos qu'on veut dedans), etc.

### Les menaces sur IP

On a commencé a parler des menaces sur IP a parlé du spoofing, du ping de la mort, etc.

#### Attaques sur le protocole
- Envoyer un 2ème fragment de réassemblage avec le même n° (et ID) qu'un premier : on vient écraser la donnée déjà reçue.
- Envoyer un 2ème fragment de réassemblage mais de taille plus importante que le premier (qui vient écraser non seulement le premier, mais potentiellement des suivants)
- Chercher le buffer overflow (de réassemblage). On envoie par exemple des paquets de réassemblage avec un MF à 1 alors qu'on est censé avoir tout reçu : Le buffer alloué va overflow
- Envoyer des paquets avec un offset interdit : >= 8189 (ping de la mort)

MANQUE COURS

#### Les attaques sur ARP

ARP spoofing

##### Menace : corruption de caches ARP
- 1 : On envoie des ARP reply
- 2 : ARP request en renseignant le cache de la cible avec des mauvaises infos.
##### Parade :
- 1 : pas de prise en compte des ARP reply non solicitées.
- si la @Mac change. Plus complexe. Mais une technique peut etre : pas de prise en compte des infos dans les ARP requests, ne pas renseigner son cache par ARP requests seule. Seules sont "enregistrées" dans le cache les ARP reply solicitées. Mais réponse a la request en envoyant son @Mac.

NB. Les parades sont de plus en plus complexes et intégrées dans les OS récents.

La menace est forte si on a un OS ancien (dette technique, obsolescence, OS non mis à jour).

#### IP spoofing

Generation de paquet IP avec des infos éronées en me faisant passer pour un autre.

Exemple 1 : offset : 8181, MF = 1. On dit au stack IP de faire un réassemblage en dehors du buffer.
Exemple 2 : @IP source = 255.255.255.255, quest ce qu'il se passe si on fait ca ? On peut apres exploiter les failles.

#### Attaques sur routage IP

Il a de la menaces car l'attaquant peut générer des paquet froduleux depuis un réseau ethernet vers les routeurs (les points d'entrées des routeurs).

Ex: P génére des fausses infos de routage en se faisant passé comme next hop. Ainsi pour les routeurs, les tables de routage montent automatiquement et donc P sera pour elles sera le next hop.

Sur un réseau en point a point on essaye de rentrer par le seul point d'entrée du réseau point a point en mode superviseur. Mais c'est très complexe d'atteindre les interface. Sauf si on arrive a sniffer les login/psw des interfaces admin des routeurs.

NB. Pirate interne il va chercher à comprendre l'architecture du réseau. Donc l'architecture est une **information sensible**.

Si il a les bonnes dernières versions RIP v3, SNMP3,etc. Ces menaces sont paradées. MAIS tous les parcs informatiques ne sont pas à jour, ne sont pas "à l'état de l'art". La technique des pirates c'est de s'assurer qu'il y a pas des failles simples, des équipements anciens.

SNMP v1 : est un trou béhant de sécurité. Mais il y a encore du SNMP v1. Une grosse partie du parc est en SNMP v2 et il est aussi truffé de failles. Tous le parc devrait etre en SNMP v3.

> C'est l'histoire de Zoglu : "L'ensemble de l'infrastructure réseau et telecom de Zoglu est obselète?"

Le netbios : c'est une API.
Netbios protocol (gestion de ressources) : "un pot de miel pour les hackers". Ca fait plus de 20 ans qu'on dit : sortez le Netbios, c'est un menace, mais il y en a encore en Production. C'est une exposition aux fraudes internes.

C'est pas parce que c'est daté que ce n'est plus d'actualité. Le monde n'est pas idéal ! Il y a la théorie et il y a la réalité. Ce qui compte c'est pas les nouvelles technologies incroyables, c'est ce qu'il y a en place dans les parcs (parallèle avec les voitures, avec les nouvelles technologies et le fait d'avoir encore des accrochages car il a encore des vieilles clios manuelles).
**Ne JAMAIS avoir de certitude en informatique/sécurité.**

Si on veut attaquer quelqu'un et faire de la corruption de données de B. Je veux donx aller sur le file System de B, j'essaye de rentrer par toutes les couches possibles, j'essaye de voir comment c'est construit.

Un DSI doit avoir un SI qui doit répondre à un besoin métier. Ce qui rapporte de l'argent c'est le besoin métier par le SI.
Cas concret en 2016 j'achète des serveurs à la pointe de la technologie. Mais 2 ans plus tard on apprendre qu'il y a des failles. Qu'est ce qu'on peut faire ? On peut pas tout changer, arrêter le métier pour juste une faille, redepenser beaucoup d'argent et racheter des nouveaux ?
A la limite on va patcher le serveur.. Mais on peut pas faire autrement. Même un très bon DSI ne peut pas faire autrement.

Mais il y a le time to market qui se réduit de plus en plus. Les pirates n'attendent pas, ils trouvent les failles très rapidement.

Si le DSI arrive dans une entreprise il veut remplacer un AS 400, le patron dit non on a dépensé beaucoup dans ce AS 400 il faut encore le garder 2 ans, même si il y a des failles.

Toujours penser :
- Risque à ne pas faire
- Risque à faire
- Coût

#### Instant marché avec des répercurtions mondiales

Huawei a été accepté comme opérateur 5G mais seulement dans certains pays.
Paroles d'hommes politiques : La 5G oui, Huawei non.

EncroChat, systeme utilisé par les criminels afin de ne pas être retrouvé par les authorités. C'est une offre de service de téléphone anonymisée et sécurisée. Toutes les données envoyées peuvent etre détruite. 80 000 client dont 80% sont des grand banditismes. Site web qui invite à souscrire sans aucun problème avec systeme de revente et de tarifs.
Le réseau à été cassé et l'entreprise. Une attaque ransomware a été utilisée sur les téléphones des contractant et vu qu'ils se sont plaint, EncroChat a appris qu'ils étaient inquiétés. EncroChat a envoyé un message à tous ses utilisateurs afin de leur dire de se débarasser de toutes traces de ce service afin de ne pas être inquiété par les authorités.

La gendarmerie à posé un ransomware afin de récupérer les infos avant qu'elles ne soient chiffrés. La loi francaise permet aux dispositifs tels que la police/gendarmerie d'aller procéder à des attaques dans un cadre légal afin de s'assurer que l'utilisation d'un service est toujours légale.
Il n'y a pas de loi générale et commune à l'ensemble du monde. Juridiquement, les attaques qui sautent de pays en pays peuvent causer des vides juridiques.

#### Suite des attaques

Beaucoup de papier sur les vulnérabilité RIP, ARP, BGP...

La notion de vulnérabilité est soit

- théoriquement démontrée
Les gentils ont trouvé des attaques possibles et ont donc montré les solutions possibles
- pratiquement prouvée
Il y a eu des cas d'attaques et le pirate a trouvé avant le bon coté de la force

Un opérateur qui se serait fait attaqué sur BGP4 ne va pas aller dire au monde qu'il s'est fait attaqué mais va faire part aux experts du domaine des raisons et possibles solutions à mettre en oeuvre.

Il y a des attaques qui ont été trouvées conceptuellement mais qui n'ont jamais été mise en place pour le moment.

RSSI : "Il y a des menaces qu'on connait mais la menace la plus grave c'est celle qu'on ne connait pas encore"

Les esprits ont changé et on est monté dans un monde de paranoia vu que toutes les attaques imaginées peuvent voir le jour.

La dette technique créé un champs de menace mais la nouveauté créé aussi un champs de menace. Quand on va déployer IPv6 massivement, les menaces ne vont pas disparaitrent, elles vont se multiplier.

Dans la configuration suivante :


P pirate
V victime

Quels exemples de paquets IP frauduleux pourraient être générés par P ?

- offset > 8189 + MF = 1
- on oblige à réassembler afin de faire un buffer overflow (ping de la mort)
- version = 0 != 4 != 6
- on va tenter de modifier le comportement de la victime pour voir comment elle répond
- IHL < 5
- un entête IP inférieur à 20 octet est interdit mais on ne sait pas comment va réagir la victime
- paquet taille > MTU dans une trame qui fait 1500o avec un DF = 1
- si le paquet contient de l'ICMP comment la victime va répondre sachant que le paquet ne peut pas être fragmenté
- envoie de paquet IP avec des ID différents et des MF = 1
- 65000 buffers de réassemblage chez la victime

#### ICMP


Conçu pour gérer les erreurs par exemple:
- attention le TTL est arrivé à 0
Envoyer des messages ICMP peut ramener énormément d'informations sur le réseau.
En pingant des adresses au hasard et que ces IP répondent, cela nous indique que ces adressent existent et donc peuvent être attaquable

Accès a des caméras publiques sur internet. On ne sait pas si les personnes ont donné leur accord afin de laisser ce flux en dispo libre. Les caméras de surveillance avec un accès internet sans accord des propriétaires posent un problème fort.

Il est déjà possible de savoir

quelles IP sont accessible et donc il est possible de creuser afin de savoir sur quel système tournent ces IP et quel est le service exposé (ou non).

#### Petit passage sur le dark/deep/web
allez chercher des infos sur google, utilisez pas tor

#### Attaques ICMP :
- source quench
- message ICMP echangé entre des routeurs en général.
- Je suis un pirate et ce routeur est accessible. on va envoyer des messages ICMP de type 4. Dire ya un problème d'engorgement et il va falloir faire un peu de temporiser. Ca va donc baisser la performance du routeur.
- Redirect
- message peu connu
- tables de routages statiques ou dynamiques
- pour modifier les routes statiques on doit être en mode admin sur le routeur
- une info statique prime sur le routage dynamique
- le routage ICMP redirect influe sur le processus de routage.
- on a B qui est dans la table de routage de R en /32
- le pirate envoie un message de type 5 en ciblant l'IP de B en /32
- tous les messages en direction de B vont passer par le pirate qui se sera mit comme next hop
- Mask request
- on nous envoie le masque du sous réseau, on sait donc quelle architecture réseau est déployée

Honeypot
- au niveau du firewall on laisse faire les gens qui attaquent et donc mettre en confiance le pirate pour mieux le débusquer

DMZ
- zone sur laquelle on va vérifier ce qui entre et sort du réseau. Ca peut être une simple configuration sur le firewall mais ca peut aussi être des machines déployées afin d'analyser le trafic. Par exemple, un reverse proxy pour les flux entrant, proxy pour les flux sortant...

<- ping
-> pong
-> host unreachable
-> net unreachable
Tout cela amène de l'information pour les attaquants. Si un host ne répond pas, cela peut vouloir dire que il est reachable mais avec une sécurité que l'on va devoir dépasser.

Dans des routeurs pro, il faut expliciter le fait que les ping puissent traverser le routeur. Il n'est donc pas possible de ping des IP privée derrière un routeur non configuré car il ne laisse pas passer les messages ICMP.
L'attaque externe peut venir d'un collaborateur interne. La génération de flux frauduleux est possible et il faut donc surveiller les flux sortant.

#### UDP

Va offrir des applications et services simple voire trivial. Par exemple connaitre l'horloge n'a pas besoin d'être envoyé sur du TCP.

Attaque sur UDP :
- génération d'UDP frauduleux
- mettre un port source != well known ? OUI
- générer un port source well known ? OUI
- idem pour les ports destination ? OUI

les premiers routeurs cisco n'aimaient pas les paquets UDP avec un port 0. Cela faisait reboot le routeur.

Flooding UDP
- on prend un port source et dest aléatoire et on innonde le routeur. il y a quelques années, dans le processus de routage IP, les paquets IP UDP seront traité prioritairement par rapport aux IP TCP.
- On a donc une saturation du routeur et paf DoS : Dénit de service
- On distribue et paf DDoS

:::info
**Conseils pour la veille:**
A l'époque des bommers c'était plus simple.
- Aujourd'hui c'est Google.
- Etablir un créneau
- La bonne pratique quand on a capté une infomration est de croisé les sources.
- ScholarGoogle pour les sujets de recherche
- Fonctionner en réseau en partageant
- Qualité > Quantité

Blog: "C'est pas mon idée" veille dans l'IT finance
Sites officiels: Cisco, ANSI, Microsoft...
Sites institutionnels: I3E...
:::

#### TCP

Rappel: Ouverture de session avant de transférer des données.


TCB (TCB control block) est un buffer qui se remplie à chaque fois que le treewayhandshake se fait.
Le pirate va faire du <Syn>Flooding, le recepteur va répondre par des SynAck et va créer des TCB.
Le but de l'attaque et d'overflow le buffer.
TCP est bien un automate d'états (c bo). Il est donc parfaitement déterministe, le but des hackers se résume à génerer des changements d'états.

Une fois le SynFooding établie on peut faire une attaque au milieu de la connection puis à la fin.


TCP Hijacking: On rentre à la volé sur une connection existante. On peut générer un reset ou une fin de connection. Difficulté sur la synchronisation des numéros d'acquittements.

La parade à cette attaque: la surveillance des flux.
Deux façon de surveiller un flux:
- soit on "écoute le flux et on alerte"
- soit on coupe les flux (avec rupture) plutôt mis en frontière des réseaux


Spoof une ou plusieurs adresses IP pour essayer d'attaquer le serveur via le routeur.
Exemples: Half-opening, <FIN>...


Reverse Proxy DMZ


Proxy sur le flux IP et filtrage


Tous les flux sont "proxybable": proxy HTTP, SMTP etc.
Rappel la configuration se fait sur le browser. A va d'abord devoir s'authentifier, et dans le cas http si la requête de A implique une URL dans la blacklist du proxy, le proxy va renvoyer "site non-accessible".


#### Exercice


1 - c
2 - d?
3 - b
4 - c
5 - c?
6 - c
7 - c
8 - a
9 - b
10 - c
11 -
12 - d (rfc 6434)
`This document recognizes that there exists a range of device types
and environments where approaches to security other than IPsec can be
justified. For example, special-purpose devices may support only a
very limited number or type of applications, and an application-
specific security approach may be sufficient for limited management
or configuration capabilities. Alternatively, some devices may run
on extremely constrained hardware (e.g., sensors) where the full
IPsec Architecture is not justified.`
13 - b
14 - d
15 - c
16 - b ($64 <= n <= 1518$)
17 - a (adresses dest fausse)
18 - b
19 - d
20 - a
21 - a
22 - b
23 - c
24 - d
25 - d
26 -
29 - c
30 - d

### L'amour a la plage
#instaLove #2020love
#Summer2020 #trueLove #lovers
#desBisousDepuisLaPlaya #newTatoo #EpitaForEver #fuckBoy
Copyright Etteluge

2. Quel dispositif permet spécifiquement de gérer/filtrer dans une DMZ un flux http entrant ?

a. Un WAF
b. Un reverse proxy
c. Un firewall stateless / stateful
d. Un proxy
e. Un IDS

Un firewall par défaut tous est fermé.
Question 3 le filtrage des flux FTP data, http, TFTP, Https dans un firewall nécessite de bloquer :
Les ports TCP/20 (ftp data) , TCP/80 (http), UDP/69 (tftp), TCP/443 (https)

FTP : ordre de commande : port 21, excécution/transmission de donnée : port 20.

Quelle valeur du champ offset de l'entête IPv4 est sans doute liée à une attaque ?

Quelle valeur du champ IHL dans entete ipv4 est innatendue ? reponse c (inferieure à 5)

RSSI : responsable de la sécurité du SI.

#### Exercice

Citez 6 menaces qui pourraient endommager ou perturber le bon fonctionnement d'une infrastructure de réseau Ethernet?

- Coup de cutter
- Collision Storm
- Génération de trame frauduleuse (tailles fausses (< 64o ou >1518o, Type peu utilisé, ou indéfini...)
- Mac source = Mac dst
- Mac src en diffusion/multicast
- Saturation de la table d'apprentissage
- Sniffing de trame
- Bad CRC Flooding

#### Exercice
Quelles sont les 4 techniques d'attaques sur un flux?
cf en haut du cours (partie menace)

Lecture/Interception/Modification/Génération

#### Les couches applicatives L5/L7

Les ports TCP/UDP sont les points d'entrés sur les services applicatifs (TELNET, SFTP, FTP, HTTP, DNS, DHCP, BOOTP, SNMP, X11 le meilleur ofc, TFTP, OSPF, RIP...)

Etapes de l'attaque:
- Scan des ports TCP/UDP, en gros on regarde su ya des serveurs actifs. Si un port répond c'est que la socket SFTP etc. est active.
- Répérage des ports applicatifs/serveurs en attente de connexion
- TCP répond
- UDP ne répond pas mais envoi des messages ICMP port unreachable

RFC 1918:
3 groupe d'adresse réservé:
10/8 : 0000 1010.XXXX XXXX.XXXX XXXX.XXXX XXXX
172.16/12 : 1010 1100.0010 XXXX.XXXX XXXX.XXXX XXXX
192.168/16 : 1100 0000.1010 1000.XXXX XXXX.XXXX XXXX

Hex Decoder https://hpd.gasmi.net/

Demonstration: scannage de ports

## Cours du vendredu 17 juillet

Pour les premières releases les utilisateurs sont des béta testeurs. Donc il y a tjs des failles.

Exemple de Ddos basé sur ICMP
**Smurf**
> 3) paquets IP fragmentés

P ping tout le monde en broadcast en spoofant la victime et c'est la victime qui reçoit les réponses.

Pong : buffer de réassemblage

**Parade**
Surveiller le réseau et avec des IDS (machine de sonde) qui vont faire des surveillances de réseau et reperer les profils d'attaques qu'elle connait

ICMP c'est verbeux. On peut connaitre l'état de santé du routeur, des différentes machines ce qui permets d'avoir une base de donnée.

Sur les services applicatifs :
1) regarder si les l'applications fonctionnent

**Le but est de rentrer dans la couche applicative.**
Il faut donc rentrer par les ports. Donc il faut rentrer par un port actif : le pirate se demande "quel services applicatifs sont accessible ?" / "Quels sont les ports Ouverts ?"

Donc on fait du scan de port. Nb. il y a bcp de port ouvert par défaut sur Windows.

TFTP : protocole de transfert de fichier sur UDP
attaque sur UDP/69 -> TFTP
> FTP : 21/TCP
SGTP : .../TCP >> ?? (peu pas lire)

TFTP 69/UDP -> sans authentification

Les routeurs ont un logiciel embarqué. Et une technique proposé par les constructeurs était de faire une mise à jour des logiciel de routeurs.
> TFTP put config (avec les adresses des routeurs).

Il suffisait de faire des put de fichier ou des gets de fichier SANS authentification.
La technique d’attaque : repérer un host qui a un TFTP deamon par défaut en mode root grâce à un scan de ports.

Il suffisait de faire ça :

> 1. tftp get /etc/psw IP~b~
(fichier crypté)
> 2. édition locale du fichier -> on enlève le mot de passe du root
> 3. puis on fait un tftp put /etc/psw IP~b~
> 4. Telnet IP~b~ login : root et on a la main en Root ! Tadaaa

## Menaces L5/L7: services applicatifs

* 80% des attaques se font sur les applications car c’est le plus simple.

Il existe des experts de SQL qui ne comprennent pas les couches inferieurs, et idem des experts TCP qui ne maitrisent pas SQL (ou du moins ça ne les intéresse pas).

On trouve plein d’infos et d’explications de comment faire des attaques.

_Les services d’applicatifs (cf. p33 des slides)_

https://www.vulgarisation-informatique.com/ports.php


Comme je suis en mode client/serveur si il y a une communication entre un port random (client) et un well known (serveur) port.

cf lien si dessus pour les port

Well known ports : (0 - 1024)
0 ... 1024 .... 65535

==les randoms c'est pour les clients ou pour le PAT.==

La connaissance des ports ouverts sur son réseau c'est la première chose à connaître quand on veut securiser son réseau.

Bonne pratique : Fermer les ports client et serveurs dont on ne se sert pas. **On n'ouvre que les ports dont on a besoin !!**
Pour désactiver les ports on fait la chasse aux applications qui essaye de mettre en place des connexions

Sauf que pour cela : il faut avoir une connaissance des flux.

### DHCP
* DHCP n'est pas sécurisé.
* Attaque : dans le réseau local où est le dhcp est actif est ce que je peux récupérer une IP ?
> On l'utilise simplement on attaque pas vraiment.
==A COMPLETER ==

* Parade : fermer les ports non utilisés

Sinon autre menace :
> je me fais passer pour le serveur DHCP.
>1 . Le pirate peut faire un DOS.
>2. Spoofing on repond aux requetes, gestions frauduleuses.

- bonnes Adresses IP
- default gateway = l'adresse machine du pirate => tous les hosts du réseaux vont tout envoyer au pirate.
On est en mode man in the middle, on renvoie les requêtes modifiées.

Autre protocole
### DNS
* Incontournable pour l'utilisation du réseau.

super relou pour un utilisateur, une entreprise ou même internet.

Il y a 25 ans attaques de deni de service sur les top level domain.
Les serveurs racines sont répartis partout dans le monde maintenant.
**Qui gouverne l’internet ?**

c’est maintenant une question politique, tout le monde veut gouverner l’internet.

* Le ==spoofing de DNS== est une manière de rendre le réseau IP moins efficace et a un pirate de rentrer dans le réseau.
* Parade : sécuriser, en utilisant DNS Sec, le DNS.

> ATTENTION : il faut avoir les moyens d'administrer les parades déployées. [color=red]

### Bombing
**Menaces TFTP**
Ce sont des outils qui permettent de créer des DDOS. On utilise les failles du protocole TFTP. On utilise les messages protocolaires de TFPT (Get, From, ...).
* La parade : c'est d'avoir des serveurs de messagerie securise. (lol)

**Menaces SNMP**
* Le protocole sert à gérer les agents sur le réseau. Si on est en SNMPv1, on a tout de suite ++une non-upgrade qui est une faille++. On utilise des outils de type trap.exe qui s'execute sur une commande MSdos de windaub, + combo avec un Spoofing du routeur => une alerte est déclenchée.
* Utilisation de la community string: message communique en clair, facile à récupérer en sniffing etc.
SNMPv1: aucune authentification
SNMPv2: un peu mieux mais recommander plutot SNMPv3.

**Menaces serveurs WEB**
Pendant longtemps des failles sur Apache étaient facilement exploitable. Le ==Web defacing== (Ex: CIA), change les homepage. Résume: Apache C NUL !!

**Menaces: Injections SQL**
Moteur de recherche non sécurisé, exemple non-utilisation des regex ou regex mal faites du coup on peut faire des requêtes sur la db direct en balancant du SQL ou des caractères interdits dans le moteur.
* La parade : c'est de tenter de détecter ces injections de code.

**Menaces X11** _Pue sa race..._
Sert à faire du deport d'interface ou de rendering et est largement répandu. Si on a ce genre de protocole soit on admet les risques soit on fait une surveillance permanente.

> Port ouvert? = quel est le protocole applicatif? = Comment je peux le déglinguer?

**Menaces ToIP**
On peut spoof une victime, envoyer des messages SIP à IPBX et tenter de faire des opérations comme faire sonner les téléphones de l'openspace ou autre.

++Dans tous les cas si vous arrivez à devenir la default gateway du LAN victime, tous les messages/requêtes passeront par vous.++

La menaces sont à tous les étages protocolaires. Les protocoles couches-basses demandent une expertise particulière pour être cassée. Mais tous les protocoles représentent des menaces.
Si on prend l'exemple de Ipv4, en 2020 on a une certaine idée des differentes menaces dessus. Globalement il y a de moins en moins de nouvelles menaces en revanche un nouveau champs de menaces se met en place avec Ipv6, IoT ou IoE. Sans parler des futurs nouveaux protocoles.

## Parades
EDR: Un ensemble de parades sur EndUser.
On va parler des differentes briques de parades.

Les briques de parades:

- Le Firewall (stateless, statefull, nextgen)
- le Proxy
- DMZ
- R Proxy
- honeypot
- 807.1X
- VPN
- IpSec
- WAF (Web Application Firewall) qui a pour but de parader les injections SQL.
- IDS
- IPS
- TLS/SSL
- Relais (qui est également présent dans un proxy)
- Communication
...

"La complexité peut être une faille" - Eric Gaillard
C bo. de ouf

### **Parades: 802.1X** Couches L1/L2
Un protocole d'authentification va permettre de faire un premier écremage, à mettre en place pour le Wifi et Ethernet.

### **Parades: SSL et TLS** Couches superieurs à 4
==Première couche de sécurisation des couches applicatives en les chiffrant==. ++Ce chiffrement est base sur la creation de certificats.++

### **Parades: Filtrage de flux**
Sur des equipement Ad-Hoc ou non.
Sur les routeurs par exemple. Un filtrage c'est une règle qui va être spécifique à des adresses sources et destinations ou des ports sources et destination.
Record du monde: plus de 3000 filtres sur un routeur #cocorico. Au bout d'un moment quand il y a trop de règles, l'ensemble devient non-deterministe et on finit par casser les regles mise en place precedemment.
Ex de règles: Toutes adresses IP de dst différentes des IP autorisées sont interdites.
L'idée c'est de faire un filtrage à travers un système dedié: le firewall pour faire du filtrage de flux externe.

**2 types de firewall :**
- **le firewall stateless** (ou historique), va traiter chaque paquet IP de maniere independante. Agit que sur les couches 3 et 4.
- Faiblesses: Laisse passer les flux qui remplissent toutes les règles sans se préoccuper du contexte.

- **firewall statefull** : Remise en contexte sur chacune des requetes et chacun des flux et ne laissera pas passer un "end tcp session" sans raison. Agit egalement sur les couches 3 et 4.
Pareil qu'un stateless mais avec ++plus de chose++: un traitement intelligent, fonction des ports actifs.


- **WAF**: Va agir sur les couchces 5 et 7
- **FW nxtGen**: Vont etre capable de filter a tous les niveaux que se soit sur les couches 3 et 4 ou 5 et 7. Typiquement les Paloalto sont de ce type.

### **Parades: Proxy/RProxy**
Si on met en place des Proxy => il faut mettre des gens pour les maintenir.
Exemple: Le controle parental filtre les requêtes sur google par exemple, cf keyword "fesses"

### **Parades: IDS**
On va avoir un port spécifique pour le sniffing. L'IDS est branché dessus et va ==capturer tous les flux sur les commutateurs==. Les questions importantes c'est:
- Combien d'IDS?
- Ou les brancher?

C'est cet équipement qui va participer à la surveillance des flux. Il peut rejouer des scénarios d'attaques pour faire de la prédiction.
On va distinguer deux types d'IDS:
- N-IDS
- H-IDS

* les IDS sont en lecture (Passif)

### **Parades: IPS**
La différence principale avec un IDS c'est que l'IDS est en lecture mais en revanche ==l'IPS va être capable de prendre des mesures et d'agir==. Si l'IPS considere que le flux est malveillant alors il peut y avoir des actions de blocage de port.
* Un IPS agit en rupture

Le problème principal des IDS/IPS, si les pirates sont au courant de leur utilisation: les faux positifs. On injecte du réseau via les IPS et c'est l'IPS qui va DDOS le système. [et ca c bo]

Mici Juliette je maitrise pas encore treq bien ahah


### **Parades: Honeypot**
Serveur ouvert qui est rendue accessible sur le réseau. L'idée c'est d'attirer les pirates vers ce serveur. Avec le temps que le pirate prends pour acceder au honeypot, il est possible de tracker et remonter sa piste.
Serveur avec une porte blindé et rendre le serveur suffisament attractif pour focaliser les attaques.

### **Parades:** *Tarpit*
le pirate c'est le honeypot ++.

### **Parades:** *VPN*
Encapsulation de flux IP dans un tunnel.
Deux extrémitées :
- encapsulation
- désencapsulation

Il peut être ==chiffré ou non==. VPN n'est pas forcément sécurisant. ++C'est l'utilisation d'un méchanisme de tunneling afin de faire parvenir un flux d'un point à un point.++

==VPN avec chiffrement ou auth est une option dans l'arsenal de parade. Dans le cas de VPN avec seulement du cloisonement de flux, ce n'est pas une parade.==

:warning: VPN MPLS est un terme marqueting. Il n'y a pas de sécurisation mais seulement un cloisonement des flux.

Dans les compétiteurs de VPN, il y a des solutions sans aucune sécurisation par défaut.

Il y a deux types de VPN:
- tunel à partir du poste de travail (voluntary)
- tunel dans le réseau (compulsory)

==L'idée du VPN c'est de sécuriser des flux.== Pour les flux entrant potentiellement malveillant on va pas s'intéresser au VPN. Par contre on peut utiliser un VPN pour sécu les flux sortant. Par exemple, il peut permettre de sécuriser les transactions entre deux sites séparés par une zone de non confiance.

### **Parades:** *IPSec*

==IPSec est une des solutions qui permet de chiffrer une connexion VPN.==

Autre usage du VPN : accès depuis le domicile au réseau de l'entreprise. Des le poste de travail on va créer un tunnel entre le poste et un équipement de l'entreprise qui va gérer le tunnel. Tous les flux vont transiter comme si l'utilisateur était dans l'entreprise.


:warning: Lorsque l'on met un VPN, il est possible que l'appli de VPN fasse de la fuite de donnée. ==Avoir un VPN n'est pas une anonymisation==. Il est toujours possible de remonter les sources. Ce n'est pas une protection à 100%.

**L2TP** permet de créer un tunnel dans l'infrastructure FAI.

* ==IPSec optionnel d'implem dans IPv4==
* ==IPSec obligation d'implem dans IPv6==
* ==L'activation d'IPSec est optionnelle dans IPv4/v6==

**2 modes IPSec** : *Transport/Tunnel*
Authent Header, Encryption Security Payload

Tunnel IPSec, 4 possibilités de traitement du flux (slides 72 +):
- Transport AH
Ajout d'un en-tête AH afin de faire une authent du payload du paquet IPv4
- Transport ESP
Le payload va être chiffré & Ajout d'un ESP header avec un trailer pour l'authentification du payload.
- Tunnel AH
Tout le paquet IPv4 est authentifié avec un entete et un nouvel entete IPv4 relatif à l'extémité du tunnel
- Tunnel ESP
Tout le paquet est chiffré et authentifié et un nouvel en-tête IPv4 va être créée et sera spécifique au chiffrement et au tunnel


* **ISAKMP** pour la gestion des clés. Protocol définit par la RFC 2408

### **Parades:** *IPv6*

**ICMPv6**: un protocol analogue a ICMPv4. ARP n'existe plus en IPv6. On va avoir des nouveaux messages comme la mobilite IP ou les** messages IGMP.
Si on découvre une faille dans ICMPv6 qui est actuellement en phase de "test" il peut y avoir de serieux dégâts sur le "plug and play".

Demain potentiellement le seul enjeux sera d'avoir des algos de chiffrement suffisamment resistant.

IPSec pratiquement similaire sur v4 et v6. Seul quelques changements d'entête.

**Protocole NDP**

ICMPv4 c'est Satan..

## **Petit récapitulatif**

On a dans ce cours prit l'angle protocolaire
on a vu : la menace sur les couches applicatives, sur TCP/IP etc. Il y a des menaces sur toutes les couches.

Ces protocoles on répondu à des besoins fonctionnels sans regarder l'angle securitaire.
Il y a aussi des failles du à la structure même de certaines technos.

En terme de parades, on peut mettre:
- IP sec
- WAF
- Firewalls
- surveillance des flux
- Proxy et reverse proxy
- VPN (attention pas fait pour la secu a la base)
Il existe des parades non materielles ATTENTION (marketing, prévention etc.)
- on peut parler de IPv6 mais bon c'est pas terrible il vaut mieux parler de IP Sec


Qu'est ce qu'il faut faire comme DMZ ?
Ca peut etre complexe ou très simple/minimaliste.
==Un DMZ c'est un concept.==
NB. certaines entreprises ne prennent aucuns risques (banques etc.)

Il va y avoir une augmentation des devices ipv4 dans les années à venir (multiplication de l'IoT, 5G, etc.) Il va y avoir plein de nouveaux protocoles. Et donc plein de failles, de fragilités, etc.

> La vie ne changera pas : il y aura toujours des bons et des mauvais. :-1: :+1:
M.Gaillard

Son conseil : bien connaître et comprendre les protocoles réseaux pour faire de la sécurité

---
*[DMZ]: Demilitarized Zone est un sous-réseau séparé du réseau local et isolé de celui-ci et d'Internet (ou d'un autre réseau) par un pare-feu
*[EDR]: End Detection Response
*[WAF]: Web Application Firewall
*[IDS]: Intrusion Detection System
*[IPS]: Intrusion Prevention System
*[ISAKMP]: Internet Security Association and Key Management Protocol
*[NDP]: Neigther Discovery Port