Sécurité opérationnelle Conseils pratiques pour sécuriser le SI par Alexandre Fernandez-Toro

Présentation de l'éditeur

Pour sécuriser les systèmes d'information, certains agissent sur la technique alors que d'autres privilégient le management. Quelle que soit l'approche, les questions liées à la sécurité opérationnelle se posent très vite : quels processus mettre en place ? À quel niveau les gérer, comment les formaliser, comment s'assurer que ces processus fonctionnent correctement dans la durée ? Cet ouvrage, très pragmatique, donne des exemples concrets sur comment sécuriser un SI. Il liste les processus opérationnels à déployer en signalant les pièges concrets à éviter. Il comporte enfin un corpus documentaire complet (exemptes de politiques et de procédures) pouvant être appliqué en entreprise.

En abordant des questions telles que la sécurité des réseaux, la maîtrise du cloud, les accès distants ou la surveillance du système, ce livre donne des clés pour améliorer de façon durable la maturité de la sécurité du SI.
À qui s'adresse ce livre ?
Aux responsables sécurité (RSSI) des grands comptes et des PME, ainsi qu'à leurs équipes
Aux personnes prenant la fonction de RSSI
Aux personnes chargées de sécuriser le SI
Aux chefs de projet chargés de mettre en place des processus de sécurité opérationnelle
Aux experts de la gouvernance des SI
À toute personne intéressée par les aspects opérationnels de la sécurité de l'information

Le livre sur le site de l'éditeur Eyrolles

La critique du Genma

Ecoutant depuis les premiers numéros Le Comptoir Sécu podcast qui traite des enjeux de la sécurité informatique, je connassais déjà beaucoup de choses (voir la quasi totalité de ce qui est abordé dans le livre). Mais ce livre a l'avantage d'être une synthèse du domaine de la sécurité opérationnelle et sera une référence pour le RSSI (Reponsable de la Sécurité des Systèmes Informatiques), pour toute personne exerçant déjà ce métier et souhaitant le faire comprendre, ou pour quelqu'un qui voudrait se lancer dans cette carrière.

La première partie du livre est consacrée aux aspects concrets de la sécurité opérationnelle. Sont abordés la sécurité des réseaux, la gestion des comptes utilisateurs, la gestion des mots de passe... Toutes les thématiques dans lesquelles officie un RSSI sont abordés. Il y a une forme de sensibilisation, des conseils, des mises en avant des points clefs à ne pas négliger, des conseils sur la mise en place et le déroulement de tests...

La seconde partie du livre est consacré aux normes ISO27001, avec des explications sur son contenu et sa mise en place.

Enfin la troisième et dernière partie du livre est un ensemble d'annexes, de fiches donnant des checklistes thématiques, permettant d'avoir une bonne base de travail sur laquelle se reposer pour mettre en place la sécurisation d'un Système d'Information au sein d'une entreprise.

Donc, avec une bonne moitié du livre abordant l'ensemble des aspects de la sécurisation d'un S.I., une partie norme et un certain nombre de conseils pratiques et de fiches, ce livre sera une bonne entré en matière voir une référence pour toute personne s'intéressant au domaine de la Sécurité opérationnelle et au monde RSSI. Un RSSI le fera lire pour faire comprendre la différence entre son métier et celui du DSI ; un étudiant dans le domaine lire ce livre pour valider ses connaissances et avoir une synthèse du domaine ; une personne curieuse le lire et y trouvera de bons conseils à appliquer pour sécuriser un ensemble de postes utilisateurs.

Enfin, ce livre n'a aucun exemple de fichier de configuration, de mise en place de sécurisation en terme d'administration d'un serveur par exemple et n'est donc pas destiné à des personnes techniques comme des Ingénieurs Systèmes et Réseaux par exemple. Il reste destiné à des décisionnaires et des responsables, de types chefs de projets, RSSI et leurs équipes.

Ceci est une traduction libre/mix de deux billets en anglais à savoir :
Tor Browser 4.5 is released
Tor Browser 4.5 introduces security slider and improvements

L'équipe de Tor Browser a publié Tor version 4.5 pour tous les systèmes d'exploitation supportés. La mise à jour est considérée comme significative ce qui explique pourquoi les mises à jour automatiques ont été retardés pendant une semaine. Les utilisateurs de Tor exécutant une ancienne version du navigateur peuvent télécharger la version la plus récente depuis la page officielle du projet. https://www.torproject.org/download/download-easy.html

Rappel : Tor Browser est une version à la sécurité renforcée et personnalisée de Firefox qui utilise le réseau Tor pour protéger votre vie privée sur Internet. Le navigateur vient avec Tor intégré par défaut (et des extensions de sécurité tels que NoScript et HTTPS Everywhere) ce qui signifie que vous n'avez qu'à le télécharger et le lancer pour rester anonyme sur Internet et à améliorer la sécurité et la confidentialité de votre navigation.

L'Historique de navigation et les données ne sont pas enregistrées qui signifie Tor Browser fonctionne en mode de navigation privée de façon permanente à moins que la fonction ne soit désactivée. En outre, les plugins sont désactivés les cookies tiers restreints.

Amélioration de l'usabilité

Sur le plan de l'usabilité, nous avons amélioré l'expérience utilisateur au niveau du lancement de Tor pour les utilisateurs de Windows et Linux. Pendant l'installation les utilisateurs de Windows se voient proposés les choix d'ajouter le Tor Browser au menu Démarrer/Mes Programmes, ce qui permet de faciliter le lancement de ce dernier. Ce choix est par défaut, mais il peut être désactivé, et n'affecte que la création de raccourcis, la version du Tor Browser actuelle reste une application portable (tout ce qui lui est nécessaire se trouvant dans son dossier).

Pour les utilisateurs de Linux, il est désormais possible de lancer le Tor Browser via un nouveau lanceur qui vient s'ajouter dans le menu Application, sur le bureau, ou dans le Gestionnaire de fichiers. Le même lanceur peut être également utilisé depuis la ligne de commande.

Nous avons également simplifié le menu Tor (l'oignon vert) et les fenêtres de configuration associés. Le menu fournit désormais des informations sur le Circuit Tor en cours d'utilisation pour une page, et fournit également une option pour demander un nouveau circuit Tor pour un site. Le Tor Browser fait aussi mieux dans la manipulation de circuits Tor en général : tant qu'un site reste en utilisation active, toutes les demandes associées continueront à être effectuées via le même circuit Tor. Cela signifie que les sites ne devraient plus changer brusquement de langues, des comportements, ou vous déconnecter alors que vous les utilisez.

Améliorations de la sécurité

Sur le plan de la sécurité, les nouveautés les plus excitantes sont le nouveau curseur de sécurité. Le curseur de sécurité prévoit la réduction de la surface de la vulnérabilité de façon conviviale - lorsque le niveau de sécurité est augmentée, les fonctionnalités de navigation qui ont été montrées comme ayant des vulnérabilités historiques élevées par les Partenaires ISEC sont progressivement désactivées. Cette fonctionnalité est disponible depuis le menu de l'Oignion, champ "Paramètre de confidentialité et de sécurité".

Si vous passez de "Faible" à Moyen-Bas", des modifications sont apportées au navigateur. Voici une liste de ce que chacun des changements de niveau impliquent :
Haut - JavaScript est désactivé sur tous les sites par défaut, certains types d'images sont désactivées.
Moyen-Haut - Tous les optimisations de performances JavaScript sont désactivés, certains police fonctionnalités de rendu sont désactivées, JavaScript est désactivé sur tous les non-sites HTTPS par défaut.
Moyen-Bas - HTML5 audio et vidéo sont en mode click-to-play, quelques optimisations de performances JavaScript sont désactivés, les fichiers JAR à distance sont bloqués et quelques méthodes pour afficher des équations mathématiques sont désactivées.
Faible (par défaut) - Toutes les fonctions du navigateur sont activés.
La compatibilité diminue et la sécurité augmente avec chaque niveau de sécurité.

Nos paquets pour Windows sont maintenant signés avec un token de signature matériel gracieusement offert par DigiCert. Cela signifie que les utilisateurs de Windows ne devraient plus être alerté par une mention sur un Tor Browser provenant d'une source inconnue. En outre, nos mises à jour automatiques sont maintenant signés individuellement avec une clé de signature déconnecté. Dans les deux cas, ces signatures peuvent être retirées de manière reproductible, de sorte que les constructeurs peuvent continuer à vérifier que les paquets qu'ils produisent correspondent aux binaires officiels construits.

La série 4.5 dispose également d'une réécriture de l'obfs2, obfs3 (protocole d'offuscation) et du protocole de transport ScrambleSuit dans le langage golang, ainsi que l'introduction du nouveau protocole obfs4. Le protocole obfs4 offre des fonctionnalités supplémentaires de résistance au DPI (Deep Packet Inspection) permettant d'empêcher le scan/balayage automatisé de ponts Tor (Bridge). Tant qu'ils ne sont pas découverts par d'autres mécanismes, les adresses récentes de ponts obfs4 seront effectifs en Chine dès aujourd'hui. En outre, à moins de nouvelles attaques, les adresses de ponts obfs4 privés devraient continuer à travailler indéfiniment.

Améliorations pour la vie privée

Sur le plan de la vie privée, la série 4.5 améliore sur notre mise en œuvre préexistante d'un premier compartimentage pour prévenir le suivi/tracking par un tiers. Le cloisonnement premier fait en sorte que les publicités de tiers, comme les boutons, et contenu multimédia qui sont inclus sur un seul site ne sauront que pour votre activité sur ce site, et ne seront pas en mesure de le faire correspondre à votre activité lorsque vous êtes sur tout autre site. En d'autres termes, ce compartimentage, Facebook, Twitter, Google+ et ne peut pas vous suivre tout autour du web en utilisant leur infâme boutons "j'aime", "+1"...

Plus précisément, dans la version 4.5, nous nous assurons maintenant que les blobs d'URL (Voir Codes UTM et vie privée) ont une portée limitée à l'adresse URL qui les a créés, et que l'API SharedWorker a été désactivée pour éviter le cross-site et la communication à un tiers. Nous faisons aussi maintenant pleinement usage du compartimentage des circuits Tor pour nous assurer que toutes les demandes de tout contenu tiers inclus par un site passe par le même Circuit Tor. Cet isolement assure également que les requêtes vers le même site tiers utilisent effectivement des Circuits Tor séparés lorsque l'adresse URL est différente. Cet isolement reste applique même si des connexions longue-durée "HTTP Keep-Alive" sont utilisés.

Nous avons également amélioré notre empreinte locale de défense, et nous désactivons maintenant les capteurs/senseurs des appareils et les API de statistiques vidéo.

Nouveau moteur de recherche

Notre moteur de recherche} par défaut a également été changé pour Disconnect. Disconnect fournit des résultats de recherche Google privées aux utilisateurs Tor sans captchas ou interdictions.

A lire sur le même sujet :
Le TorBrowser Bundle est un bundle
Comment vérifier l'intégrité du TorBrowser quand on le télécharge ?
Tor à travers un proxy - vulgarisation
Vous voulez que Tor marche vraiment ?

Sébastien Gambs est un chercheur à l'INRIA, Université de Rennes dont le domaine de recherche est la protection de la vie privée. Sur la page du site de l'université qui lui est consacré, on retrouve différents cours/td/tp universitaires qu'il donne et le tout est accessible à quiconque s'intéresserait à ces sujets.

J'ai donc récupéré l'ensemble des cours qu'il donne dans les thématiques suivantes
Introduction à la sécurité informatique
Autour de l'authentification (AUTH)
Protection de la vie privée (PVP)

Soit 3 fois 16h de cours et 16h de TP, soit un total de 96h de cours à potasser. De quoi bien m'occuper pendant quelques temps pour avoir encore plus de connaissances à dispenser lors des prochains Café vie privée que je serai amener à animer.

Dans ce billet, je voudrais raconter une petite anecdote qui doit vous amener à réfléchir.

Mon anecdote

Samedi dernier, mon beau-frère et ma soeur était chez mes parents et voulait se connecter au wifi fournit par la Freebox (Mes parents sont abonnés Free). Je n'étais pas là et c'est moi qui suis en charge de l'informatique familiale (je fais les mises à jour et c'est moi qu'on appelle quand ça marche pas). Ce jour là, je n'étais pas disponible (en train d'animer un café vie privée), mes parents ignorent les codes et mots de passe permettant de se connecter au site web de Free pour accéder à l'interface d'administration permettant de connaitre le nom du réseau Wifi et surtout la clef de chiffrement WPA2.

Mais mon beau-frère qui s'y connait un peu a eu l'idée de brancher le boitier télé et d'aller dans l'application dédiée au paramétrage et de faire afficher le nom du réseau Wifi et le code associé. C'est là une des fonctionnalités de la Freebox partie télévision, bien connue.

Le nom du réseau et la clef du Wifi (une belle phrase de passe, bien compliqué, avec des caractères spéciaux, des chiffres, et des mots sans lien entre eux) étant compliqué à taper, il l'a pris en photo... sur son Iphone. Pour pouvoir la saisir ensuite dans le téléphone de ma soeur puis dans son smartphone. Et ils ont pu se connectés au Wifi.

Ce que nous apprend cette histoire

Parfois les moyens les plus simples sont les meilleurs. Pour avoir la clef du Wifi, certains auraient sortis tout un arsenal, mais vu le niveau de chiffrement que j'ai mis, ce serait plus simple d'attendre que je sois disponible.

Je n'ai pas mis en place de filtrage par adresse MAC, pas d'IP fixe (DHCP activé par défaut), je n'ai donc pas poussé à l'extrême la non possibilité de se connecter au réseau de mes parents. Le faire maintenant, je vais en entendre parler...

Sur un Iphone, il y a une belle photo la phrase de passe qui est utilisée chez mes parents. Certe Free la connait aussi (vu qu'elle est utilisée sur la Freebox). Mais là, c'est sur un téléphone. Il se le fait voler. On trouve la photo... On a le mot de passe. Il serai noté sur un post-it que ce serait pareil... Si (mais ce n'est pas le cas) cette phrase de passe est utilisée ailleurs (compte personnel ou autre), j'aurais à considérer qu'elle est compromise...

A lire sur le même sujet :
Des mots de passe que l'on utilise au quotidien...
Les phrases de passe

Je souhaiterai préparer une conférence sur les relations des journalistes à tout ce qui tout touche à la "au chiffrement" (au sens large) dans le cadre de leur travail de journaliste.

J'aimerais donc recueillir des témoignages autour des questions suivantes :
comment travaillez-vous de façon "sécurisé" ?
pourquoi ne chiffrez vous pas (manque de connaissances, temps) ?
quelles sont les difficultés rencontrées ? (logiciel compliqué...) ?
connaissez vous l'initiative Café vie privée et y avez vous déjà participé ?
quelles seraient vos besoins/attentes pour ce type d'événement ?
Tout complément de réponse, anecdote ou autre est le bienvenu.

Contactez moi, par Twitter, mail avec GPG ou non (clef publique disponible sur les serveurs) ou autre. Merci d'avance.