Architecture sécurisée Flashcards
les règles de base de sécurité pour les ordinateurs utilisateurs avant d’établir une connexion entre le réseau interne et Internet.
Pour rappel, il est important de :
- Maintenir à jour tous les équipements du réseau.
- Accorder aux utilisateurs uniquement les privilèges et les droits nécessaires à leurs tâches (sans accorder un accès de niveau “administrateur” à leur machine).
- Désactiver les services inutiles.
- Activer et configurer soigneusement un pare-feu personnel sur chaque ordinateur.
- Établir une politique de sécurité pour le réseau, y compris la gestion des supports amovibles.
- Surveiller le réseau, conserver des journaux et établir une structure de gestion des incidents.
- Sensibiliser les utilisateurs aux risques et aux menaces potentiels.
Compromission (fuite) de données sensibles depuis le réseau de l’entreprise vers Internet
Cela se produit lorsque des informations confidentielles sont accidentellement ou intentionnellement diffusées depuis le réseau interne de l’entreprise vers Internet, rendant ces données vulnérables aux accès non autorisés.
Défiguration du serveur web
Dans ce cas, un individu malveillant vise à altérer le contenu du serveur web. Cette altération peut avoir des objectifs de désinformation, nuire à la réputation de l’entreprise ou revendiquer des intentions malveillantes.
Le choix de chaque composant de la passerelle doit être guidé par trois critères principaux :
- Sa contribution à renforcer la sécurité ( correspond à sa fonction de sécurité principale,) Par exemple, la fonction principale d’un pare-feu est de bloquer les flux réseau non autorisés;
- Sa propre résistance aux attaques ;
- La capacité de l’équipe technique chargée de sa mise en place à le gérer efficacement tout en le maintenant dans un état sécuritaire.
DMZ (Zone Démilitarisée)
DMZ (Zone Démilitarisée) : C’est une zone de services. Elle peut abriter des services applicatifs (serveurs web, serveurs de messagerie) ou des services de sécurité (serveurs mandataires, proxy ou reverse proxy). Son appellation provient de sa position typique dans l’architecture d’une passerelle (comme décrit ci-dessous).
Firewall rappel
C’est un dispositif de filtrage de paquets, fonctionnant au niveau des couches réseau et transport (couches 3 et 4, typiquement IP et TCP/UDP). Il n’analyse pas le niveau applicatif des paquets, basant ses décisions sur des informations des couches inférieures (adresses IP source et destination, ports TCP et UDP). Il gère également le routage des paquets entre ses interfaces.
Protection serveur Web (défiguration)
La protection du serveur web contre les altérations se fait essentiellement grâce au reverse proxy de la DMZe. Cependant, il est primordial de comprendre que cette mesure à elle seule ne garantit pas la sécurité absolue du serveur web. détails archi sécurisée 1 er partie double DMZ
Problématique de la mutualisation des ressources
Risque de déni de service( dysfonctionnement d’une application entraîner l’indisponibilité de tous les services s’exécutant sur cette machine) et Risque de compromission des services( en utilisant des techniques d’escalade de privilèges, par exemple.)
En conclusion, la décision de faire fonctionner plusieurs services sur une même machine doit être prise en tenant compte des recommandations suivantes :
Il est recommandé de faire coexister sur une même machine uniquement des services de nature similaire. Par exemple, il est risqué de faire fonctionner sur la même machine un serveur web et un reverse proxy web.
Il est conseillé d’isoler sur une même machine physique les services connus pour être moins sécurisés.
Évidemment, il n’est pas souhaitable de faire tourner sur une même machine physique un serveur principal et son éventuel serveur de secours.
Problématique des postes nomades, quelles contraintes considérées dans la sécurisation
- Durcissement des postes nomades : es postes nomades devraient être gérés comme des postes d’infrastructure du LAN = es utilisateurs ne devraient pas être administrateurs de leur machine, les mises à jour et l’authentification doivent être strictes et en ligne avec la politique du LAN.)
- Usages spécifiques aux postes nomades : Les usages spécifiques aux postes nomades doivent être pris en compte, notamment la désactivation des interfaces sans fil lorsque cela est possible pour réduire les vulnérabilités, le chiffrement du disque dur pour minimiser l’impact d’une perte ou d’un vol, et la sensibilisation des utilisateurs à la politique de sécurité (éviter d’accéder à des informations sensibles dans des lieux publics).
- Architecture de la passerelle: Au niveau de l’architecture de la passerelle, une configuration adaptée est recommandée pour gérer les flux provenant des postes nomades. Cette architecture peut inclure :
- Un mécanisme d’accès distant sécurisé, tel qu’un VPN (réseau privé virtuel), qui permet aux utilisateurs nomades de se connecter au réseau interne de l’entreprise de manière sécurisée via Internet.
- Un filtrage strict des flux web via la passerelle d’interconnexion pour garantir que toutes les communications passent par les mécanismes de sécurité prévus. Les utilisateurs nomades devraient être obligés d’utiliser ces points d’entrée sécurisés pour accéder aux ressources internes.
- Une authentification renforcée en raison de la nature nomade des postes, pour s’assurer de l’identité des utilisateurs et empêcher les accès non autorisés.
- Des mécanismes de surveillance et de journalisation pour suivre les activités des utilisateurs nomades et détecter toute anomalie.
- Éventuellement, l’utilisation de technologies de détection d’intrusion pour repérer toute tentative d’accès non autorisé ou toute activité malveillante.
Certains aspects sont extrêmement importants lors de la conception d’une passerelle d’interconnexion :
Mise à jour rapide : Il est crucial d’avoir une politique de mise à jour efficace et rapide pour tous les éléments de la passerelle. Cela garantit que les vulnérabilités sont corrigées au plus vite.
Supervision en temps réel : Surveiller la passerelle en temps réel et analyser les alertes est essentiel. Toute connexion inattendue entre les différents équipements doit être considérée comme une possible tentative d’attaque.
Éviter le DNS : Il est préférable de ne pas utiliser le protocole DNS pour résoudre les noms de machines au sein de la passerelle. Les machines devraient communiquer en utilisant uniquement leurs adresses IP. De plus, il est possible de limiter l’utilisation du protocole ARP et de configurer les associations entre adresses Ethernet et adresses IP de manière statique. Cette approche réduit le risque de fausse identification depuis l’un des composants du réseau.
Diversification technologique : Il est conseillé d’utiliser différentes technologies dans la mesure où cela reste gérable. Cette diversification aide à minimiser les risques en cas de vulnérabilités découvertes sur un type d’équipement.
