Sécurité du Système d’Information pour non informaticien

Infrastructure système (OS), aspects essentiels à comprendre pour la sécurité

Comptes utilisateurs, groupes et droits sur les ressources
L’annuaire Active Directory de Microsoft
Intégration de postes informatiques dans l’annuaire
Stratégies de sécurité appliquées aux ordinateurs et utilisateurs de l’annuaire
Authentification LDAP et SSO
Travailler sous Linux au quotidien (shell, processus, navigation dans l’arborescence)
En quoi consiste la virtualisation d’un OS (système d’exploitation) ?
Qu’est-ce que cela change au niveau sécurité ?

Travaux Pratiques :

Mise en place d’un annuaire d’entreprise Active Directory (AD)
Création de groupes utilisateurs et mise en place de droits sur les dossiers partagés
Tests depuis des ordinateurs distants physiques et virtuels (VM)
Exemples de stratégies (GPO) de limitations d’accès aux ressources (applications, données) selon les profils
Connexion sur un serveur Linux, localisation d’un fichier, modification d’un paramètre du site web et redémarrage d’Apache

Le Cloud pour l’entreprise, aspects essentiels à comprendre pour la sécurité

Liens entre Cloud, Datacenter et Virtualisation
Intégrer tout ou partie de l’infrastructure d’entreprise dans le Cloud (cloud hybride)
Vocabulaire associé : IaaS, PaaS, SaaS
Les offres du marché : Azure, Amazon, G Suite, Apps, Office 365, etc.
Exemples de coûts associés aux exemples présentés
Est-on mieux protégé dans le Cloud ?

Travaux Pratiques :

Mise en place d’un serveur Microsoft dans le Cloud abritant un annuaire d’entreprise (AD)
Mise en place d’un serveur web sous Linux dans le Cloud (une simple page d’accueil)
Accès distants sécurisés aux serveurs précédents (RDP, Putty)
Utilisation de Office 365 avec des comptes crées en séance dans l’annuaire précédent puis utilisés par les participants
Partage des données autour d’un Google Drive
Mise en place de la sécurité dans l’annuaire AD sur le Cloud

Architecture et services réseau

Comprendre le réseau et son vocabulaire de base : adresse IP, masque, passerelle, routage
Différences entre adresses IP publiques et privées ?
Principes de fonctionnement d’une Box Internet, personnelle ou professionnelle
Comment reconnaître un équipement (PC, mobile, imprimante, etc.) physiquement sur le réseau ?
Automatiser la configuration IP des équipements (DHCP)
Comment résoudre les noms (www.site.fr) en adresse IP (DNS) ?
Comment relier le réseau Wifi et le réseau filaire (Point d’accès) ?
Les différents modes de sécurisation du Wifi
La place (physique) et le rôle du firewall dans le réseau
Gestion de la sécurité des équipements mobiles en entreprise (BYOD, MDM, etc.)
Comment les routeurs se « parlent » entre eux
Vue générale de l’acheminement d’un paquet de notre PC jusqu’à un site web
Un mot sur les adresses IPV6

Travaux Pratiques :

Présentation de la maquette d’un réseau d’entreprise inter-agences
Exemple de configuration réseau IP basique d’un PC accédant à Internet et/ou à une autre agence
Exemple de configuration basique d’un serveur DHCP en entreprise
Exemple de configuration réseau d’un équipement mobile accédant à Internet
Présentation d’un serveur DNS et de son paramétrage de base chez un hébergeur, pour comprendre les différentes résolutions effectuées par un DNS relatives comme les noms de domaine www.site.fr ou les mails

Sécurisation du réseau

Les éléments de filtrage de base (@IP, n°port, @Mac)
Philosophie d’un firewall (règles)
Philosophie et apport d’une DMZ
Éléments de cryptographie
Principes de fonctionnement d’un VPN (Virtual Private Network)
Architecture et apports des certificats
Architecture et apports d’un serveur d’authentification (RADIUS)

Travaux Pratiques :

Exemples de règles de sécurité simples sur un firewall en production
Installation d’un certificat de type bancaire sur un PC
Exemple commenté de maquette d’une architecture d’entreprise avec accès distant sécurisé (VPN)

Fonctionnement des sites / applications web, aspects essentiels à comprendre pour la sécurité

Le vocabulaire du développeur (source, exécutable, interpréteur, runtime, scripts, bibliothèque, module, etc.)
Les modes de fonctionnement des applications (connecté / déconnecté, synchrone / asynchrone)
Comment une application « utilise » le réseau ?
Les grandes lignes du protocole TCP
Identifier les applications par des numéros (port)
Exemples parmi les standards (web, messagerie, bureau à distance, etc.)
Pourquoi d’autres protocoles (UDP, RTCP, etc.) ?
L’omniprésence du XML/JSON dans les échanges
Le langage de base du web (HTML)
Un mot sur la place du JavaScript et des CSS dans une application web
Les échanges entre un navigateur et un site / application web (http)
Vue générale des SGBDR et du langage SQL
Principes d’un site web dynamique avec accès à une base de données

Travaux Pratiques :

Comprendre le dialogue avec une application distante depuis un navigateur ou un client lourd à travers l’observation des sessions en cours depuis le PC de chaque participant
Exemples de requêtes SQL sur une base MySQL
Analyse détaillée du téléchargement d’une page web accédant à une base MySQL depuis la saisie de httpp://www.site.fr/page.php jusqu’à l’affichage des données par le navigateur (il s’agit donc de comprendre les différentes phases traversées, les technologies sous-jacentes et dans le prolongement logique des explications les failles de sécurité potentielles associées)

Sécurisation des sites / applications web

Ouvrir les applications vers l’extérieur : clients, fournisseurs, public…
Principe général de fonctionnement d’un Web Service (API REST)
Différences techniques entre une liaison https et http
La protection de base des SGBD et des sites web (utilisateurs et droits)
La protection « réseau » des applications
Comment ouvrir son site web à la monétisation
Rôle du firewall dans l’architecture applicative de l’entreprise

Travaux Pratiques :

Comprendre le dialogue avec une application distante depuis un navigateur ou un client lourd à travers l’observation des sessions en cours
Exemple d’attaque par injection SQL dans un formulaire web
Exemple de règles de firewall relatives aux applications

Les attaques informatiques

La faille humaine (ingénierie sociale)
Typologie des différents mails malveillants
Comprendre le fonctionnement des Virus, Antivirus, Malwares, Ransomwares
Protection par défaut de Windows : où en est-on ?
Charte du « bon » comportements à adopter
L’espionnage de trames réseaux (sniffing)
Saturer un service volontairement (Déni de Service)
Piratage de session (Hijacking)
Hacking de serveur web
Le ciblage des équipements mobiles
Apports d’un MDM (Mobile Device Management)
Risques avec les objets connectés (IoT)
Les attaques non détectées

Travaux Pratiques :

Exemples de journaux avec traces d’attaques sur un firewall
Exemple de prise en main d’un serveur web sous Linux sans le mot de passe associé si certaines conditions ne sont pas respectées
Panel de mails malveillants et « dégâts » associés (réalisés sur des machines virtuelles isolées donc sans risque de propagation)
Observation de serveurs en production exposés sur le web (applications disponibles et vulnérabilités)
Simulation de saturation d’un serveur web