Cours 1 : Introduction

Question 1

Pourquoi est-ce difficile de securiser un systeme?

Answer 1

Développement de nouveaux usages,
Ouverture du système d’information,
Multiplication de projets complexes, Refonte du système d’information, Essor de la mobilité intra et inter entrepriss, Accès distants, Technologies sans fil, Architectures multi-tiers, Infonuagique (Cloud computing), fog computing,Internet des objects (IoT)

Télémaintenance

Diversité et multiplicité des acteurs

Complexité technologique, organisationnelle, juridique, Dépendance et vulnérabilité

Question 2

Quels sont les points cles de la securite?

Answer 2

Authentification :
Garantie de l’identité du correspondant ;
Contrôle basé sur des critères prédéfinis (savoir, avoir, être).
Contrôle d’accès :
Contrôle de l’accès à une ressource.
Non-répudiation :
L’expéditeur d’une information ne peut rejeter, renoncer, démentir, récuser, contester, nier en être l’auteur.
Protection de la vie privée (‘privacy’)
Simplicité :
Simplification des mécanismes de contrôle d’accès, d’authentification, etc.
Adaptation aux environnements et situations propres à l’activité.
‘Anti-replay’ :
S’assurer que les données ne peuvent être émises / traitées, un nombre de fois, à l’insu des correspondants.

Question 3

Quels sont les trois piliers de la securite informatique?

Answer 3

Memes qu’en INF4420A : Confidentialite, integrite, disponibilite

Question 4

Qu’est-ce que l’accessibilite?

Answer 4

Accessibilité ‘Accessibility’: capacité de limiter, contrôler, et de déterminer le niveau d’accès que les entités ou utilisateurs ont sur un système et la quantité d’informations qu’ils peuvent recevoir,

Question 5

Qu’est-ce que la responsabilite?

Answer 5

Responsabilité ‘Accountability’: La capacité de suivre ou de vérification des activités d’un individu ou une entité sur un système.

Question 6

Qu’est-ce que l’authenticite?

Answer 6

Authenticité ‘Authenticity’: La propriété d’être en mesure de vérifier l’identité d’un utilisateur, processus, ou un dispositif, souvent comme une condition préalable à permettre l’accès aux ressources dans un système d’information.

Question 7

Qu’est-ce que la confidentialite?

Answer 7

Confidentialité ‘Confidentiality’: Préserver les restrictions sur l’accès à l’information et de communication, y compris les moyens de protéger la vie privée et des renseignements exclusifs.

Question 8

Qu’est-ce que la prevention de fautes?

Answer 8

Prévention des fautes ‘Fault Avoidance (Prevention)’: Une technique utilisée dans une tentative pour empêcher l’apparition de défauts.

Question 9

Qu’est-ce que l’isolation de fautes?

Answer 9

Isolation des fautes ‘Fault Containment’: Le processus consistant à isoler une faute et la prévention de l’effet de multiplication

Question 10

Qu-est-ce que la detection de fautes?

Answer 10

Détection d’une faute ‘Fault Detection’: Le processus de détection qu’une faute s’est produite

Question 11

Qu’est-ce que la prevision des fautes?

Answer 11

Prévision des fautes Fault Forecasting (Prediction)’: Les moyens utilisés pour estimer le nombre actuel, l’incidence future, et la conséquence probable de fautes

Question 12

Qu’est-ce que la localisation de fautes?

Answer 12

Localisation de fautes ‘Fault Location’: Le processus de détermination où la faute s’est produit alors une reprise peut être utilisé

Question 13

Qu’est-ce que l’integrite?

Answer 13

Intégrité ‘Integrity’: Protection contre la modification ou la destruction de l’information, et consiste à veiller pour la non-répudiation et l’authenticité de l’information

Question 14

Qu’est-ce que la maintenabilite?

Answer 14

Maintenabilité ‘Maintainability’: La facilité avec laquelle un système ou un composant peut être modifié pour corriger les fautes, améliorer les performances, ou de s’adapter à un environnement modifié

Question 15

Qu’est-ce que la non-repudiation?

Answer 15

Non-répudiation ‘Non-Repudiation’: l’assurance que l’expéditeur de l’information est fourni avec une preuve de livraison et le destinataire est fourni avec une preuve d’identité de l’expéditeur, de sorte que ni peut ensuite nié avoir traité l’information

Question 16

Qu’est-ce que la performabilite

Answer 16

Performabilité ‘Performability’: La mesure dans laquelle un système ou un composant accomplit ses fonctions désignés au sein de contraintes, comme la vitesse, l’exactitude ou l’utilisation de mémoire. Il est également défini comme une mesure de la probabilité que certain sous-ensemble des fonctions est effectuée correctement

Question 17

Qu’est-ce que la securite

Answer 17

Sécurité ‘Safety’: La propriété d’un système qui tombe en panne de façon de ne pas des dommages catastrophiques pendant une période de temps spécifiée

Question 18

Qu’est-ce que la fiabilite?

Answer 18

La fiabilité (reliability) désigne ici la capacité d’un réseau d’exécuter, dans certaines conditions, un ensemble de fonctions pendant des durées d’opérations spécifiées. On peut la mesurer de deux façons:
la disponibilité (availability), soit la capacité d’un réseau d’exécuter ses fonctions, à n’importe quel instant donné, sous certaines conditions incluant la dégradation du service (Probabilité pour qu’un système soit en fonctionnement à un instant t donné)
La fiabilité : Probabilité pour qu’un système soit continûment en fonctionnement sur une période donnée (entre 0 et t).

Question 19

Quels sont les items de la gestion du risque?

Answer 19

Dommage physique
Interaction humaine
Problème fonctionnement équipement
Attaques internes/externes
Perte de données
Erreur application

Question 20

Quels sont les points de vue de la gestion du risque?

Answer 20

Risque pour organisationnelle
Risque pour l’entreprise et les clients
Risque pour les données

Question 21

Qu’est-ce que le principe du point faible?

Answer 21

Une personne cherchant à pénétrer un système utilisera tous les moyens possibles de pénétration, mais pas nécessairement le plus évident ou celui bénéficiant de la défense la plus solide.

Question 22

Qu’est-ce que le principe de la protection adequate?

Answer 22

La durée de la protection doit correspondre à la période pendant laquelle l’importance et la valeur sont présentes, et pas plus .
Le niveau et le coût de la protection doivent correspondre à l’importance et à la valeur de ce qu’on veut protéger:
Choisir la contre-mesure avec le meilleur rapport
“qualité” (réduction de risque) vs. “prix” (coût total)

Question 23

Qu’est-ce que l’analyse qualitative des risques?

Answer 23

Méthode principalement utilisée
On utilise le coût potentiel de perte : Voir classification des ressources
On utilise des relations entre les ressources et/ou
Vulnérabilités
Menaces
Contrôles (Prévention, Correction, Détection)

Question 24

Qu’est-ce que la classification des ressources?

Answer 24

Classification des ressources en fonction de la continuité des activités
Étendue et pourcentage de perturbation : combien d’éléments, quelle gravité des dommages ?
Impact financier d’un ralentissement ou d’un arrêt

Classification des ressources en fonction du coût des réparations

Par exemple, classification des données/risques:
Données vitales : logiciels clefs, plans de reprise, données « maîtresses », données d’E/S clefs…
Données essentielles : logs, historiques…
Données importantes : documentations, données de test…
Données utiles… quoique

Question 25

Qu’est-ce que l’analyse quantitative

Answer 25

Analyse de la gravité de la menace (pertes escomptées)
Le coût de l’attaque en cas de réussite multiplié par la probabilité de réussite de l’attaque
Exprimé par rapport à un intervalle de temps, comme une année

Valeur de la protection
La réduction de la gravité de la menace (bénéfice) moins le coût de la contre-mesure
N’investir dans la contre-mesure que si la valeur de la protection est positive.

Priorité
Investir en premier dans les dispositifs affichant les plus grandes valeurs de protection

Question 26

Quelles sont les menaces et differentes formes d’attaque?

Answer 26

Menaces non défaites par des canaux sécurisés ou autres techniques de cryptographie ;

Attaques déni de service : Utilisation excessive de ressources afin de les rendre indisponibles aux autres utilisateurs

Chevaux de Troie (Trojan horses) et autres virus :
Virus peut entrer dans un ordinateur seulement si un programme est importé ;
Les usagers ont besoin de nouveaux programmes (Nouvelle installation de logiciels, code mobile téléchargé dynamiquement par des logiciels existant, exécution accidentelle de programmes transmis clandestinement) ;
Défenses : authentification de code (code signé), validation de code (vérification de type, démonstration), confinement (sandboxing).

pionnage (Eavesdropping) :
Obtenir une information secrète ou privée

Personnification (Masquerading) :
réception ou envoi de messages en utilisant l’identité d’un autre

Falsification (Tampering) :
Modification non autorisée d’information en transite.

Retransmission (Replaying) :
Stockage et retransmission à une date ultérieure d’un message.

Déni de service (Denial of service) :
innonder un canal ou toute autre ressource, niant l’accès à d’autres.