- Les principes du cloud :
- Libre-service à la demande. Les utilisateurs peuvent accéder aux services informatiques via le cloud quand ils en ont besoin, sans action de la part du fournisseur de services.
- Accès étendu via le réseau.
- Mutualisation des ressources.
- Élasticité rapide.
- Service mesuré
- Oui, notamment si les accès physiques des datacenters sont sécurisés. Afin que seules les personnes autorisées puissent pénétrer dans le datacenter, on maintient un contrôle strict des accès. Il peut impliquer un large éventail de mesures, par exemple :
- Accès par badge sans contact
- Reconnaissance biométrique à l’entrée
- Accompagnement permanent des visiteurs extérieurs
- La sécurité du cloud inclut la sûreté physique des serveurs et la mise en place d'un accès sécurisé à l'environnement cloud ; La sécurité des données dans le cloud concerne, entre autres, le chiffrement et l'encryptage de ces données, la mise en place d'une liaison réseau chiffrée
- Il existe deux types de tests d'intrusion : interne (elle se fait depuis internet par un agent qui n’est pas forcement de l’entreprise et sans accès physique aux ressources) et externe (elle se fait au sein de l’entreprise par un accès physique aux ressources de l’entreprise).
EXERCICE II :
- La cybercriminalité représente tout acte malveillant commis sur le réseau Internet.
Elle touche en premier lieu les entreprises et les particuliers
- Les techniques de lutte contre la cybercriminalité sont :
- L’utilisation de firewall (pares-feux)
- Le cryptage des données
- Représentation par un tableau
|
Service
|
Type d’attaque visant ce service
|
|
Authentification
|
Usurpation d’identité
|
|
Confidentialité
|
Sniffing, Interception de message
|
|
Intégrité
|
Modification du message ou brouillage
|
|
Non répudiation
|
Modification du journal
|
|
Disponibilité
|
Dos, Bombardement et saturation du réseau
|
EXERCICE III :
- Un Dos : est une attaque ou un objectif d’attaques qui vise à mettre à plat une partie ou tout le système informatique.
DoS réseau local filaire : ex : Sniffer, DoS réseau sans fil : Jamming
-
- Le numéro de séquence indique le numéro du premier octet de données contenu dans le datagramme.
- Le numéro d'acquittement fournit un d'accusé de réception, et indique le numéro du prochain octet de données attendu par la machine.
*Si tout se passe bien (pas de perte de données, de retransmission, etc.), le numéro d'acquittement du récepteur
Est identique au numéro de séquence du prochain datagramme envoyé par l'émetteur.
Donc, il suffit d’intercepter un ACK et l’attaquant connait le prochain SEQ (num de séquence). Il pourra alors l’exploiter pour confectionner de faux paquets et les injecter dans le réseau et ils seront bien acceptés par le récepteur, ça pourra être une attaque d’injection de fausses infos, ou pourra aller jusqu’à un DoS si l’envoi est intensif.
-
Cela pourrait facilement être exploité pour générer un trafic très intensif et donc une attaque par inondation indirecte. Cela peut donc causer un DoS.
-
Reprenons : Une attaque par déni de services SYN flood est une technique visant à saturer un serveur en envoyant une multitude de paquets TCP, avec le flag SYN. Les connexions sont alors établies vers la machine, mais restent à moitié ouvertes, car le client malveillant (hacker) ne renvoie pas de confirmation (ACK). Le serveur attend pendant un certain délai la réponse et la connexion semi-ouverte consomme alors un certain nombre de ressources. En multipliant ce type de connexions, le hacker peut arriver à créer un déni de service qui rendra la machine inopérante.
Solutions :
-Attendre pendant un certain temps, si pas d’ACK, l’entrée dans la table sera supprimée
-Limiter le nombre d’entrées initiées pour éviter que la table ne déborde
- Le Firewall doit bloquer une @IP qui envoie un nombre important de SYN.
EXERCICE IV :
- Une attaque MIM est une attaque d’usurpation d’identité, qui permet de surveiller mais aussi d’espionner le Traffic réseau, a des fins de sécurité ou de contrefaçon.
Avec TLS, les données qui transitent dans le réseau sont cryptes et donc non accessible par l’espion s’il ne peut pas trouver la clé adéquate.
- Le fichier hosts est un fichier utilises par le système d’exploitation pour mapper des noms d’hôtes a des adresses IP.
- Sous Windows, il se trouve sous C:\windows\hosts
Sous linux, il se trouve sous /etc/hosts
- Chaque fois qu’une machine communique avec une autre, il y’a échange des données de reconnaissance (adresse IP + adresse MAC) ses données la sont stockes dans le fichier hosts.
- Les protocoles intervenants sont :
ICMP : car l’attaquant émet des requetés dans le réseau vers la cible pour pouvoir lui faire croire que c’est lui son destinataire.
ARP : car l’attaque permet de modifier les données du cache ARP
- Cette attaque viole le principe de confidentialité et l’intégrité des données.
- Description des attaques
ARP poisoning : il s’agit d’une attaque d’usurpation d’identité par modification du cache ARP de la machine cible.
ICMP redirect : il s’agit d’une attaque d’usurpation d’identité par détournement de paquets dans un réseau.
NDP poisoning : il s’agit d’une attaque d’usurpation d’identité par émission de message broadcast usurpant le NDP de la cible
Port stealing : il s’agit d’une prise d’accès sur une machine cible.
DHCP Spoofing : il s’agit ici d’usurper l’identité d’un serveur DHCP afin de pouvoir avoir la main mise sur la distribution d’adresse dans un réseau.
- Les deux principales méthodes de protection contre les attaques MITM sont :
Le cryptage des données avec TLS (sur le web le Traffic HTTPS est crypte contrairement au Traffic HTPP).
L’utilisation des outils d’analyse réseau ou des scripts.
EXERCICE V :
- Les différents types d’attaques :
Les attaques passives : elles ne modifient pas l’information et porte essentiellement sur la
confidentialité.
Les attaques actives : elles modifient le contenu de l’information ou le comportement
des systèmes de traitement.
- Tableaux représentatifs des attaques, méthodes, exemples :
|
Attaques
|
Méthodes
|
Exemples
|
|
Passive
|
Consultation d’information, analyse du réseau, détection des défaillances, …
|
-L’Homme du milieu passif
-scan réseau
-Flooding passif
|
|
Active
|
Interception de paquets dans le réseau, usurpation d’identité, forçage d’accès,
|
-Botnet
-DDoS actif
-L’homme du milieu actif
|
EXERCICE VI :
- DDoS : Distributed Deny of Service
- C’est une attaque qui a pour but de saturer un serveur afin de le rendre moins performant pour les autres utilisateurs.
- Selon le type de DDoS les protocoles suivants peuvent être mis en jeu : TCP, HTTP, DNS, ARP, …
- Du point de vue de l’attaquant, cette attaque a pour but de rendre indisponible ou incompétent un service d’un réseau et du point de la sécurité cet attaques permet de tester le comportement du réseau face à ce type d’attaque.
- Il en existe plusieurs mais celui utiliser en TP est : hping3.
- DoS est un deny de service lance depuis un seul poste attaquant, tandis que DDoS est un deny de service lance depuis plusieurs postes attaquants.
- Pour lancer une attaque de type MITM il faut être dans le même réseau que les machines cible, contrairement aux attaques DoS et DDoS qui n’ont pas cette contrainte.
Une attaque DoS est une attaque visant à rendre a indisponible ou incompétent un service d’un réseau depuis un poste attaquant, contrairement aux attaques DDoS qui sont des DoS depuis plusieurs postes attaquants, contrairement aux attaquants MITM qui ne sont de l’espionnage réseau.
- Il s’agit d’une attaque DDoS, car on veut saturer de requêtes un serveur depuis plusieurs postes attaquants.
- Depuis chacun des postes, on envoie des hping3 de types (TCP, ICMP, ARP, …) vers le serveur cible dont ils connaissent l’adresse IP.
- Sur la machine cible, il faut analyser la performance réseau (Ethernet ou WIFI), si le taux est trop élevé, cela veut dire que le serveur traite un grand nombre de requêtes (TCP, ICMP, ARP, …) ce qui sature ce dernier.
- Script utiliser par les black hands, dans ce script l’adresse du serveur est supposée être toujours correcte.
# !/bin/sh
hping3 -1 --flood $1
- Les types d’attaques DoS
Le ping flood attack, qui est une saturation d’un serveur par des requêtes ICMP.
Le TCP flood attack, qui consiste à saturer le serveur par des requêtes SYN.