Sécurité… un argument de vente ? La sécurité réseau

Sécurité… un argument de vente ?
• La sécurité de l’information : combinaision de stratégie, de
procédures et de technique
• Se protéger de quoi ? …. Les types de menaces
• Exemple: la sécurité réseau
• La gestion de la sécurité
• Principe de la défense en profondeur
• La sécurité comme argument de vente
1
La sécurité réseau
Se protéger de quoi ?
Les types de menaces :
– Primaires
•
•
•
•
•
2
Un exemple pratique :
Acces frauduleux au ressources
Mascarade
Deni de services
Attaques physiques
…
Les faiblesses du protocole TCP compensées par
l’architecture et les moyens de défenses
automatisés (matériel et logiciel) …… néanmoins la
défense de réseau est plus complexe que l’on
serait amené à le croire.
– Secondaires
•
•
•
•
Introduction de ‘malware’
Mauvaise gestion sécuritaire
Changements incontrôlés à l’infrastructure
Mauvaise architecture, implémentation ou opération de la
sécurité
• Impossibilité de détecter les attaques
• Interférences humaines
N.B. : Ce qui est valable pour la sécurité réseau l’est
également pour les autres domaines de la
sécurité
3
ISO Model
OS
Threats:
bugs,
vulnerabilities,
exploits
Protection
Bug fixing,
Critical updates
Technology watch
TCP/IP Implementation
Internet
Protocol
4
Program
Program
Program
Applications
(COTS, DBMS),
customProgram
applications)
Program
Program
Application
HTTP
Threats : virus, worms, trojan horse,logical bombs,
Présentation
exploits, …..
MIME
protection: Antivirus, Content inspections,
Session
Transport
UDP
HTTP
Development
methodology,TCPchange management,….
Logical
Network
Transport
TCP
Threats : denial of service, exploits,….
ICMP
IP
ICMP
protection : architecture, proxy,firewall, IDS,….procedures,
ICMP
IP
ICMP
Network security
Network
IP
awareness,
training,…..
ARP
Interface
Hardware
RARP
Antivirus
Proxy
Application
ARP
Data -Link Physical
Data -Link
Network
Interface
RARP
Hardware
(LAN/WAN)
802.2
Threats: interception
Physicalprotection
Physical
Ethernet
: tempest,
security
Network physical
cabling (UTP
Cat5)
5
TCP
UDP
Firewall
Filtring
Router
Cable réseau (UTP Cat5)
Filtring
Switch
Physical Security
6
1
La gestion de la sécurité
La gestion de la sécurité
7
8
La sécurité comme argument de
vente
Bonnes pratiques
•La sécurité comme preuve de qualité et argument de … ou soutien à la
vente .
•Les marchés publics, le secteur bancaire et financier, la grande industrie et
•
BS 7799 Bristish Standard 7799 BS 7799
– Part 1 Code of Practice. BS 7799
– Part 2 The Specification for Information Security Management
•
ISO/IEC 17799
– Information technology -- Code of practice for information security management
ISO 13335
les prestaires de services demandent de plus en plus souvent de fournir
une preuve tangible (certification ISO, BS7799, Webtrust, Systrust ….)
•
–
des capacités dans les domaines relatifs à :
–
• La sécurité et la disponibilité
–
•La capacité de délivrer les services dans les conditions du Service Level
Agreement (SLA) et la mise en place de SLM
Une audit basée sur les bonnes pratiques
est à la base de tout processus de certification
ou accrédiation
•
•
•
9
ISO/IEC TR 13335-1:1996 Information technology -- Guidelines for the
management of IT Security -- Part 1: Concepts and models for IT Security
ISO/IEC TR 13335-2:1997 Information technology -- Guidelines for the
management of IT Security -- Part 2: Managing and planning IT Security
ISO/IEC TR 13335-3:1998 Information technology -- Guidelines for the
management of IT Security -- Part 3: Techniques for the management of IT
Security ISO/IEC TR 13335-4:2000 Information technology - - Guidelines for the
management of IT Security -- Part 4: Selection of safeguards ISO/IEC TR 133355:2001 Information technology -- Guidelines for the management of IT Security - Part 5: Management guidance on network security µ
US DoD Rainbow Series (ORANGE/RED BOOK)
ITIL SECURITY MANAGEMENT
FIRM
10
11
2