Différences

Ci-dessous, les différences entre deux révisions de la page.

--- cours:informatique:securite:secnumacademie:140_proteger_le_cyberespace [2022/04/20 21:13] – créée yoann
+++ cours:informatique:securite:secnumacademie:140_proteger_le_cyberespace [2022/04/28 18:45] (Version actuelle) – yoann
@@ Ligne 3: / Ligne 3: @@
 ====== Protéger le cyberespace ======
+Généralités à propos de la protection du SI et bonnes pratiques.
 ===== Introduction =====
@@ Ligne 8: / Ligne 9: @@
 Protéger son SI permet d'éviter les conséquences ravageuses d'une cyberattaque. Pour cela il faut utiliser une règle générale : **utiliser une défense en profondeur**.
-La défense en profondeur est un terme emprunter à une technique militaire destinée à retarder l'ennemi. La défense en profondeur des SI fonctionne sur le même principe qu'une forteresse, c'est a dire en multipliant et juxtaposant les mécanismes de protection pour éviter que l'ennemi pénètre dans l'enceinte. Elle consiste a exploiter plusieurs techniques de sécurité afin de réduire les risque lorsqu'un composant en particulier est compromis ou défaillant.
+La défense en profondeur est un terme emprunté à une technique militaire destinée à retarder l'ennemi. La défense en profondeur des SI fonctionne sur le même principe qu'une forteresse, c'est à dire en multipliant et juxtaposant les mécanismes de protection pour éviter que l'ennemi pénètre dans l'enceinte. Elle consiste à exploiter plusieurs techniques de sécurité afin de réduire les risque lorsqu'un composant en particulier est compromis ou défaillant.
-L principe de défense en profondeur revient donc à sécuriser chaque sous-ensemble du SI. Ainsi chaque composant d'une infrastructure ou d'un SI et sécurisé de manière indépendante sans reposer sur la sécurité de celui avec lequel il interagit. Chaque composant effectue lui-même toutes les validations nécessaires pour garantir sa sécurité.
+Le principe de défense en profondeur revient donc à sécuriser chaque sous-ensemble du SI. Ainsi chaque composant d'une infrastructure ou d'un SI est sécurisé de manière indépendante sans reposer sur la sécurité de celui avec lequel il interagit. Chaque composant effectue lui-même toutes les validations nécessaires pour garantir sa sécurité.
 Plusieurs facteurs peuvent influencer les systèmes de défenses mis en place dans l'entreprise:
@@ Ligne 16: / Ligne 17: @@
   - L'évolution technologique : la découverte de nouvelles techniques ou encore l'ampleur des attaques on un impact sur les systèmes de défense mis en place. En matière de sécurité informatique, il existera toujours de nouvelles formes d'attaques puisque le cyberespace évolue vite et il est souvent difficile d'anticiper toutes les menaces.
   - Le renseignement : Tout comme les actions militaires, la veille technologiques sur les nouveaux produits, les attaques ou les menaces va permettre d'anticiper les malveillances en confirmant ou infirmant les hypothèses et ainsi éviter l'effet de surprise.
-  - interaction entre les mesures de sécurité : organisationnelles, techniques ou humaines. Chaque composant doit être sécurisé mais il est important de souligner que cette sécurité doit également être considérée dans un ensemble cohérent permettant de faire face aux menaces.
+  - Interaction entre les mesures de sécurité : organisationnelles, techniques ou humaines. Chaque composant doit être sécurisé mais il est important de souligner que cette sécurité doit également être considérée dans un ensemble cohérent permettant de faire face aux menaces.
 Pour résumer, pour qu'il y ait une défense en profondeur, il faut au minimum plusieurs lignes de défenses indépendantes dans le sens ou chacune est capable de se défendre seule contre des attaques.
@@ Ligne 22: / Ligne 23: @@
 Ensuite il est nécessaire que ces lignes de défense coopèrent entre elles. En effet, aucune solution n'est totalement fiable.
-C'est pourquoi il est nécessaire de prévenir via sensibilisant les utilisateurs par exemple, puis de bloquer les menaces via des anti-virus ou des pare-feu et le cas échéant, de réparer ou de pouvoir remettre en état le poste infecté par des virus ou autres malveillances qui n'auraient pas été détectées.
+C'est pourquoi il est nécessaire de prévenir via la sensibilisation des utilisateurs par exemple, puis de bloquer les menaces via des anti-virus ou des pare-feu et le cas échéant, de réparer ou de pouvoir remettre en état le poste infecté par des virus ou autres malveillances qui n'auraient pas été détectées.
-Il est important de noter qu'en matière de sécurité dans le domaine des SI comme ailleurs, le plus dangereux est bien souvent de se reposer (consciemment ou non) sur une fausse assurance. Une démarche saine consiste à **gérer l'incertitude**, a **maintenir une inquiétude raisonnée** et **entretenir une véritable vigilance**.
+Il est important de noter qu'en matière de sécurité dans le domaine des SI comme ailleurs, le plus dangereux est bien souvent de se reposer (consciemment ou non) sur une fausse assurance. Une démarche saine consiste à **gérer l'incertitude**, à **maintenir une inquiétude raisonnée** et **entretenir une véritable vigilance**.
-Faire reposer la sécurité sur une seule personne est une erreur appréciation souvent rencontrée.
+Faire reposer la sécurité sur une seule personne est une erreur d' appréciation souvent rencontrée.
 De même il est illusoire de penser qu'utiliser un logiciel de sécurité (Antivirus, pare-feu, logiciel de chiffrement) est le remède universel contre les attaques.
@@ Ligne 82: / Ligne 83: @@
 Un mot de passe trivial sur une messagerie peut exposer l'utilisateur à de nombreux désagréments si un pirate le devine:
-  * Récupération des informations personnelles;
+  * Récupération d' informations personnelles;
   * Usurpation d'identité;
-  * Porter atteinte à l'image ou à la réputation;
+  * Atteinte à l'image ou à la réputation;
-  * Essayer de piéger mes contacts à leur tour.
+  * Fishing des contacts à leur tour.
-Le mot de passe de votre messagerie est l’élément de sécurité très important.
+Le mot de passe de votre messagerie est l’élément de sécurité très important. Il permet notamment d’accéder à vos contacts et à toutes vos correspondances.
-Il permet notamment d’accéder à vos contacts et à toutes vos correspondances.
@@ Ligne 117: / Ligne 117: @@
 Pour éviter de répandre une contamination, il est judicieux de définir deux rôles : administrateur et utilisateur.
-Le compte administrateur permet de configurer son poste, installer des logiciels, modifier des paramètres de sécurité ou encore accéder à des fichiers systèmes.
+Le compte administrateur permet de configurer le poste, installer des logiciels, modifier des paramètres de sécurité ou encore accéder à des fichiers systèmes.
 Le **compte utilisateur** quant à lui, permet d’exploiter des fonctionnalités et logiciels de l’ordinateur (préalablement installés par l’administrateur), d’envoyer des messages et d’accéder à internet.
@@ Ligne 142: / Ligne 142: @@
 ===== Effectuer des sauvegardes régulières =====
+La quatrième règle de notre guide propose d’effectuer des **sauvegardes régulières** et **sur différents supports**.
+Comme nous pouvons le voir dans cette situation à l’écran, ne pas faire de sauvegarde vous expose et expose votre société à de lourds préjudices en cas de perte.
+En effet, l’un des premiers principes de défense est de **conserver une copie** de ses données afin de pouvoir réagir à une attaque ou un dysfonctionnement sans affecter son activité.
+Dans le cas d’une attaque informatique (virus, rançongiciel, etc.) ou d’une erreur humaine (suppression/altération de dossiers/fichiers), il est indispensable de pouvoir **retrouver** les documents disparus.
+Pour assurer la continuité de son activité, il est nécessaire d’avoir une politique de **sauvegarde régulière** de vos fichiers et applications.
+Il est possible de faire des sauvegardes dites « différentielles » et des sauvegardes « entières ».
+Les sauvegardes **différentielles** vont comparer les changements entre la dernière sauvegarde et l’état actuel du document et enregistreront les changements par version (sauvegarde plus rapide).
+Les sauvegardes **entières** synchroniseront à chaque fois toutes les données sans faire de comparatif entre les données sources et celles sauvegardées (sauvegarde plus longue).
+Une bonne politique de sauvegarde alternera entre des sauvegardes entières et des sauvegardes différentielles, de manière régulière et se chargera de tester l’**intégrité des sauvegardes**. Elle prévoira également des **tests de restauration**.
+Pour aller plus loin, et assurer la continuité d’une activité, **il est préférable de sauvegarder les données sur plusieurs supports** (par exemple en cas de feu du site principal, ou de risque d’intempérie : inondation, etc.)
 ===== Sécuriser l'accès Wi-Fi =====
+La cinquième règle du guide aborde la **nécessité de sécuriser l' accès Wi-Fi**.
+En effet, la technologie Wi-Fi permet d’accéder à un réseau sans fil visible par le public qui est à proximité de la borne.
+Le réseau sans fil est donc plus vulnérable aux attaques, notamment si ce dernier est mal sécurisé : absence de mot de passe, mot de passe trop simple ou technologie de chiffrement peu sécurisé (WEP).
+Comme dans l’exemple à l’écran, notez bien qu’un attaquant qui accède à votre réseau sans fil, peut aussi accéder à votre réseau local, mais il pourrait également:
+  * **Changer les paramètres** de votre routeur / de l' instrastructure réseau (si les matériels sont accessibles avec les mots de passe par défaut admin/admin).
+  * **Écouter** l’ensemble des communications.
+  * **Intercepter des données** intéressantes (mot de passe de messagerie, coordonnées bancaires, etc.).
+  * Utiliser votre accès internet à des **fins illégales**.
+<note warning>
+Aujourd’hui, pour utiliser une connexion Wi-Fi sécurisée, il faut privilégier la technologie **WPA2-PSK** et utiliser un mot de passe fort comme vu précédemment.
+Ces paramètres sont généralement appliqués par défaut sur la plupart des box.
+</note>
+Il faut être  vigilant avec les Wi-Fi publics (appelés aussi **hotspots**) proposés dans les hôtels, restaurants ou encore les bibliothèques et les aéroports. En effet, ces accès ouverts **ne sont pas sécurisés** !
+Si vous devez utiliser ce type de Wi-Fi publics, il peut être intéressant de faire passer votre connexion Internet par un **VPN**((**V**irtual **P**rivate **N**etwork)) s’il a été mis en place par votre entreprise. Celui-ci vous permettra de vous connecter de manière sécurisée au réseau de votre entreprise.
+Le VPN chiffre les communications entre votre ordinateur et votre entreprise. Le routeur du Wi-Fi public ne voit alors passer que des données protégées. Ainsi, les personnes connectées sur la même borne Wi-Fi que vous ne pourront pas espionner le trafic et intercepter des données sensibles.
 ===== Être prudent avec son smartphone ou sa tablette =====
+La règle 6 du guide indique d’être aussi prudent avec son smartphone ou sa tablette qu’avec son ordinateur. En effet, les smartphones et les tablettes sont devenus **omniprésents** dans les entreprises et dans nos foyers.
+Or, force est de constater que ces objets contiennent des **informations confidentielles** qui sont souvent mal protégées !
+Il est nécessaire d’être attentif sur les applications que l’on y installe puisqu’elles peuvent être une source de fuite de données personnelles et qu’elles peuvent également augmenter la surface d’attaque de votre smartphone/tablette.
+Installez uniquement les applications qui vous sont réellement utiles et pensez à supprimer les autres.
+D’autre part, n’oubliez pas que vos appareils mobiles (smartphones, tablettes, ordinateurs portables) contiennent de nombreuses informations personnelles mais aussi souvent des **informations professionnelles**.
+Il est donc nécessaire de signaler la perte ou le vol de vos appareils mobiles au plus vite à votre responsable en charge de la sécurité.
+Cela aura pour conséquence de neutraliser votre appareil à distance et de limiter les conséquences de cette perte pour votre entreprise (diffusion de données confidentielles de l’entreprise ou intrusion dans le réseau de l’entreprise via l’appareil subtilisé).
+Pour éviter ce risque pour votre entreprise, pensez également à séparer les usages professionnels et personnels en n'utilisant pas vos appareils personnels pour votre travail !
 ===== Protéger ses données lors de ses déplacements =====
+Il est également nécessaire de protéger ses données lors de ses déplacements. Aujourd’hui, les ordinateurs portables, smartphones ou tablettes facilitent l’échange d’informations lors des déplacements personnels et professionnels.
+Cependant, voyager avec ses appareils nomades fait peser des menaces sur des informations sensibles. N’oubliez pas que le vol ou la perte peuvent avoir des conséquences importantes sur les activités de l’entreprise.
+Pour tous déplacements, il est conseillé de se référer au « **passeport de conseils aux voyageurs** » édité par l’ANSSI qui vous permettra d’adopter les bons gestes avant, pendant et après le déplacement.
+Ce manuel conseille par exemple d’utiliser du matériel **dédié à la mission** et ne comprenant que les documents strictement nécessaires.
+Il conseille également de ne jamais connecter une clé USB offerte ou trouvée qui pourrait comprendre un code malveillant.
+Soyez vigilant lorsque vous travaillez sur des documents professionnels dans les transports en commun, lors de déjeuners professionnels ou lors de vos conversations téléphoniques.
+  * Ne laissez pas de périphériques visibles dans la voiture.
+  * Veillez à ne pas diffusez d’informations confidentielles concernant votre entreprise.
 ===== Être prudent lors de l’utilisation de sa messagerie =====
+La huitième règle rappelle qu’il est nécessaire d’être prudent lors de l’utilisation de sa messagerie, puisque les courriels et leurs pièces jointes sont souvent le vecteur central dans la réalisation des attaques informatiques.
+Il est fréquent de recevoir des courriels frauduleux avec des liens ou des pièces jointes piégées semblant provenir de ses contacts.
+Pour éviter la compromission de votre poste via un courriel frauduleux, il est nécessaire de prendre les précautions suivantes :
+  * Vérifier l'adresses mail de l'expéditeur et la cohérence de l'émetteur du message avec son contenu. Notez que sur les courriels, **rien ne prévoit en général d'authentifier l'émetteur** d'un message, sauf s'il utilise un certificat. Pour créer une adresse de messagerie votre identité n'es pas vérifiée.
+  * N'ouvrez pas les pièces jointes d'émetteurs inconnus dont le titre ou le format paraissent incohérents. Il est important de noter qu' un virus peit se cacher dans un fichier de bureautique (traitement de texte, tableur, présentation, fichier PDF, etc) e dans d'autres fichiers (.bat, .exe, etc) soyez vigilant !
+  * Vérifiez les fautes d'orthographe, même si cette technique ne garantit pas la fiabilité d'un mail, elle peut toutefois vous alerter.
+  * Ne pas répondre à un courriel qui vous demande des informations personnelles ou confidentielles (code de carte bancaire, RIB, etc).
+  * Ne cliquez pas trop vite sur des liens. Si des liens figurent dans le courriel, pensez à vérifier l'URL réelle correspondant à ce qui est affiché (survoler le lien sans cliquer pour faire apparaître l'URL dans la zone d'état). Le préfixe HTTPS est souvent un indicateur de confiance.
+Enfin, lancez une analyse antivirale avant d’ouvrir les pièces jointes de votre messagerie pour vérifier qu’ils ne contiennent aucune charge virale connue (contactez votre responsable informatique pour connaître la procédure de votre entreprise).
+Pour résumer, soyez prudent : l’Internet est une rue peuplée d’inconnus !
+Si par exemple un correspondant bien connu et avec lequel on échange régulièrement du courrier en français vous fait parvenir un message avec un titre en anglais (ou toute autre langue), il convient de ne pas l’ouvrir. En cas de doute, il est toujours possible de confirmer la provenance du message de votre interlocuteur en lui téléphonant.
+D’une façon générale, il ne faut pas faire confiance machinalement au nom de l’expéditeur qui apparaît dans le message et ne jamais répondre à un inconnu sans un minimum de précaution.
+Enfin, ne relayez pas de canulars ou de messages de type chaînes de lettres, porte-bonheur, pyramides financières, appel à solidarité, alertes virales, etc
+Quel que soit l’expéditeur, détruisez ce type de message qui, la plupart du temps, vise à alimenter des bases de données d’adresses ou à diffuser largement des infections.
 ===== Télécharger ses programmes sur les sites officiels des éditeurs =====
+La neuvième règle consiste à télécharger ses logiciels uniquement sur les sites officiels des éditeurs.
+En effet, la situation présentée n’est pas rare aujourd'hui puisque de nombreux utilisateurs pensent que les programmes trouvés sur Internet sont systématiquement de « confiance ».
+Or, la plupart des contenus numériques présents sur des sites Internet ne sont pas garantis par le site qui les héberge. Vous prenez le risque d’enregistrer sur votre ordinateur des programmes ne pouvant être mis à jour, qui peuvent contenir des virus ou des chevaux de Troie.
+Comme nous l’avons vu précédemment, une fois installés, ces programmes vont permettre à des personnes malveillantes de prendre le contrôle à distance de votre machine. Ils pourront alors espionner les actions réalisées sur votre ordinateur, voler vos données personnelles, lancer des attaques, etc.
+Pour se prémunir de l’installation de logiciels malveillants sur votre ordinateur personnel, il est nécessaire de suivre quelques conseils :
+  * Télécharger les programmes sur les sites de **leurs éditeurs**;
+  * Lancer une analyse antivirus avant d'ouvrir le fichier téléchargé;
+  * Lors de l'installation décocher tous les logiciels complémentaires.
+Enfin, restez vigilants concernant les liens sponsorisés et contrôlez la destination des liens en les survolant avec votre souris avant de les cliquer !
+Dans le cadre de votre utilisation professionnelle, l’installation de ces outils est réservée au service informatique de votre entreprise.
 ===== Être vigilant lors d'un paiement sur Internet =====
+La dixième règle consiste à être vigilant lors d’un **paiement sur Internet**.
+Lors de la réalisation d’achats sur Internet via un ordinateur ou un smartphone, les coordonnées bancaires peuvent être **interceptées par des attaquants** directement sur votre ordinateur ou dans les fichiers clients du site marchand.
+Avant d’effectuer un paiement en ligne, il est nécessaire de procéder à des **vérifications sur le site** :
+  * S’assurer que la mention « **https** » apparaît bien au début de l’adresse du site Internet;
+  * Vérifier la **légitimité** du site Internet en prenant garde aux fautes d’orthographe par exemple (même si cela ne vous garantit pas complètement sa légitimité).
+  * Vérifier la présence d’un cadenas vert dans la barre d’adresse de votre navigateur.
+N’hésitez pas à vous rapprocher de votre banque pour connaître et utiliser les moyens sécurisés qu’elle propose (ex : e-carte bleue, paiement sécurisé par code envoyé sur mobile, etc.)
 ===== Séparer les usages personnels et professionnels =====
+La onzième règle rappelle de séparer les usages personnels des usages professionnels. En effet, les usages et les mesures de sécurité sont différents sur les équipements de communication (ordinateur, smartphone, etc.) **personnels et professionnels**.
+Le **AVEC** ((**A**pportez **V**otre **E**quipement personnel de **C**ommunication)) plus connu sous le nom de **BYOD** ((**B**ring **Y**our **O**wn **D**evice)) est une pratique qui consiste, pour les collaborateurs, à utiliser leurs équipements personnels (ordinateur, smartphone, tablette, etc.) dans un contexte professionnel.
+Cette méthode pose des problèmes, notamment lors de la perte ou le vol d’un équipement, puisque des données d’entreprises potentiellement sensibles y transitent. Notez que l'inverse est également vrai : il ne faut pas utiliser les moyens professionnels à la maison.
+Si le BYOD est aujourd’hui de plus en plus utilisé, il pose toutefois des problèmes en matière de sécurité des données : vol ou perte des appareils, intrusions, manque de contrôle sur l’utilisation des appareils par les collaborateurs, ou encore fuite de données lors du départ du collaborateur.
+En cas de perte d'un PDA, il faut prévenir au plus vite le support technique.
+Dans ce contexte, il est vivement recommandé de séparer les usages personnels des usages professionnels. Il est donc préconisé de :
+  * Ne pas faire suivre les messages électroniques professionnels sur des services de messagerie personnelles.
+  * Ne pas laisser des équipements professionnels en vue dans les véhicules.
+  * Ne pas héberger de données professionnelles sur les équipements personnels (clé USB, téléphone, etc.) ou sur des moyens personnels de stockage en ligne.
+  * Ne pas connecter de supports amovibles personnels (clés USB, disques durs externes, etc.) aux ordinateurs de l’entreprise.
+Le non-respect de ces bonnes pratiques offre la possibilité à des personnes malveillantes de voler des informations sensibles de votre entreprise après avoir réussi à prendre le contrôle de votre machine personnelle.
 ===== Prendre soin de son identité numérique =====
+Enfin, la douzième règle de ce guide rappelle de prendre soin de ses informations personnelles, professionnelles et de son identité numérique.
+Internet n’est pas un lieu complètement anonyme et préservé, les informations que l’on y laisse nous échappent instantanément !
+Dans ce contexte, une bonne pratique consiste à ne jamais laisser de données personnelles dans des forums ou des jeux concours.
+De même, ne saisissez pas de coordonnées personnelles et sensibles (comme des coordonnées bancaires) sur des sites qui n’offrent pas toutes les garanties requises. Dans le doute, mieux vaut s’abstenir.
+Notez que sur Internet, des personnes malveillantes pratiquent l’ingénierie sociale, c’est-à-dire qu’elles récoltent des informations personnelles, le plus souvent frauduleusement et à l’insu de l’utilisateur, afin de déduire vos mots de passe, d’accéder à votre système informatique, voire d’usurper votre identité ou de conduire des activités d’espionnage industriel.
+Une grande prudence est conseillée dans la diffusion de vos informations personnelles sur Internet :
+  * Vigilance vis-à-vis des formulaires à remplir (ne transmettre que les informations strictement nécessaires et penser à décocher les cases qui autoriseraient le site à conserver ou à partager les données.)
+  * Vérifier régulièrement les paramètres de sécurité et de confidentialité;
+  * Ne donner qu'un accès minimal aux données personnelles et professionnelles sur les réseaux sociaux et être vigilant lors des interactions avec les autres utilisateurs.
+  * Utiliser plusieurs adresses électroniques dédiées à vos différentes activités sur Internet : une adresse réservée aux activités dites sérieuses (banques, recherches d'emploi, activité professionnelle, etc) et une adresse destinée aux autres services en ligne (forums, jeux, etc).
+Enfin, notez qu’il est important d’ajouter une autre consigne non comprise dans le guide proposé afin d’établir une charte informatique en entreprise. En effet, au sein d’une entreprise, il est important d’établir avec ses salariés, une stratégie en matière de sécurité des systèmes d’information, comme une charte informatique. L’objectif de cette charte est d’**informer** chacun des acteurs de ce qu’il peut faire (bonnes pratiques) ou de ce qu’il doit faire (obligations) pour maîtriser les risques. Elle rappelle par exemple la nécessité de changer les mots de passe régulièrement. La charte peut ainsi prévoir par exemple de verrouiller systématiquement son poste de travail en quittant son bureau durant les pauses et à la fin de la journée de travail ou encore d’accompagner les visiteurs dans leurs déplacements ou de ranger ses documents confidentiels.
 ===== Conclusion =====
+En résumé, comme nous l’avons vu dans les différentes unités, la sécurité du numérique ne doit pas se cantonner à des outils, **l’effort humain est nécessaire**.
+Pour se protéger, il est nécessaire d’adopter une **défense en profondeur** qui vise à couvrir l’ensemble du spectre des menaces avec des mesures cohérentes et pragmatiques vis-à-vis de l’activité du foyer personnel ou de l’entreprise concernée.
+En tant qu’utilisateur du système d’information vous devez être attentif, humble et lucide vis-à-vis des menaces. Notez que ces mesures de sécurité seront inutiles si celles-ci ne sont pas entièrement respectées: par exemple, une politique ordonnant d’avoir un mot de passe fort ne vaut rien si le mot de passe est écrit sur un Post-it® en dessous du clavier !
+Comme vous avez pu le constater, la sécurité du numérique est l’affaire de tous !
+Plus que les outils, **ce sont les précautions prises qui protègent** vos données sensibles. N’oubliez pas de suivre les quelques règles que nous avons vu pour limiter les attaques.
 ===== Pour en savoir plus =====
+  * https://www.ssi.gouv.fr/particulier/precautions-elementaires/dix-regles-de-base/
+  * https://www.gouvernement.fr/risques/conseils-aux-usagers

wikinotes

Outils pour utilisateurs

Outils du site

Différences

Outils de la page