Guide : comment réduire les menaces contre Microsoft Windows NT 4.0 et Windows 98
Chapitre 2 : application d'une discipline de gestion du risque de sécurité au scénario Trey Research
Ce chapitre décrit les principes fondamentaux régissant l'application d'une méthode structurée et réutilisable d'analyse des risques aux systèmes informatiques. Toutes les entreprises devraient instaurer un processus rigoureux de gestion du risque afin de déterminer à quel niveau l'investissement en temps et en efforts consenti pour sécuriser les systèmes produira le plus de sécurité et offrira le meilleur retour sur investissement. Pour qui cherche à améliorer la sécurité d'applications et clients anciens sur un réseau d'entreprise, la première étape consiste à effectuer une analyse détaillée des menaces et des risques associés à l'environnement, aux applications, aux utilisateurs et au réseau. Microsoft recommande d'analyser chaque réseau grâce à un processus parfaitement défini tel que la discipline de gestion du risque de sécurité SRMD (Security Risk Management Discipline). La discipline SRMD est un processus structuré et réutilisable d'évaluation des actifs d'une entreprise, des risques qui les menacent, des vulnérabilités pouvant permettre à un attaquant de voler ou d'endommager des actifs et des contre-mesures pouvant être appliquées pour limiter ou transférer les risques. Un examen approfondi du processus SRMD sort du cadre de ce guide. Il suffit de se rappeler que le SRMD fournit une méthodologie permettant d'identifier les actifs et d'en quantifier la valeur, et qu'il identifie et quantifie également les menaces qui pèsent sur ces actifs afin que les entreprises puissent déterminer en connaissance de cause les mesures de sécurité les plus appropriées et économiques. Remarque : pour obtenir de plus amples renseignements sur le SRMD, voir les références fournies dans la section "Informations complémentaires" à la fin de ce chapitre. Sur cette page
Présentation détaillée du scénarioTrey Research est une société spécialisée dans l'analyse, le suivi et le traitement des eaux usées. Son siège social se trouve à Seattle. La société possède également des bureaux locaux en Géorgie, en Floride, en Arizona et en Pennsylvanie. Le personnel de Trey compte près de 500 personnes : travailleurs sur site, techniciens de laboratoire, scientifiques et quelques employés administratifs. Les clients de Trey Research sont des organismes gouvernementaux locaux et nationaux spécialisés dans les services d'analyse (tels que la mesure des taux de mercure dans les eaux souterraines) ; des entreprises de construction devant réaliser des tests sur site avant, pendant et après la construction ; des sociétés industrielles et de fabrication contrôlant en continu leurs locaux et d'autres sociétés requérant un suivi ou un nettoyage d'urgence de l'environnement. Les données réunies par Trey, et les analyses qui en sont faites, sont souvent de nature confidentielle aussi bien au niveau financier que juridique. Lorsque les ingénieurs de Trey sont appelés à témoigner en tant qu'experts, ils doivent respecter des processus de preuve spécifiques pour tout le cycle de vie des données qu'ils réunissent. Les travailleurs sur site notent leurs relevés dans des carnets avant de les saisir manuellement à leur retour à leur bureau. Quelques ingénieurs utilisent des ordinateurs mobiles équipés de Microsoft® Windows® 98 pour saisir directement leurs données lorsqu'ils sont sur site, mais ce système d'analyse est réservé à certains des plus gros clients de Trey. Au cours des trois dernières années, Trey s'est développée de près de 20 pour cent par an. Ce taux de croissance a finalement convaincu le PDG de la compagnie d'engager un directeur informatique chargé d'élaborer et de superviser un plan de modernisation des systèmes informatiques. Le directeur informatique a pris ses fonctions vers la fin de l'année 2003 et sa première tâche a consisté à analyser les risques afin de mieux comprendre la valeur des actifs informatiques de la société et d'appréhender leurs vulnérabilités. Suite à cette analyse, Trey a très rapidement apporté plusieurs modifications à son environnement informatique. Le premier changement important a été la mise à niveau de la structure de domaine vers le service d'annuaire Microsoft Active Directory® et vers Microsoft Windows Server™ 2003. Cette mise à niveau a immédiatement amélioré la sécurité des comptes de domaine et a rendu possible l'application de contrôles des stratégies de groupe supplémentaires à des ordinateurs sensibles tels que ceux utilisés par les cadres et leurs collaborateurs. De plus, la société a accéléré son plan de modernisation technologique de sort que le déploiement initial de son nouveau système d'analyse et de collecte (basé sur Windows XP et sur Windows XP Tablet PC Edition) débutera plus tôt que prévu. Toutefois, Trey a également décidé d'investir dans le renforcement de ses systèmes existants afin de limiter le risque de perte de données ou de compromission, en attendant que le nouveau système soit totalement déployé. Le PDG a accordé un mois au directeur informatique pour identifier les menaces les plus immédiates, déterminer leur degré de priorité et les limiter et pour étudier comment mettre à niveau les systèmes Windows NT® 4.0 de la société. Bien que ce délai soit très court, Trey prend les menaces de sécurité concernées très au sérieux et cherche proactivement à se protéger du mieux possible. RéseauLes recommandations et les configurations décrites dans ce document on été testées dans une simulation du réseau de la société Trey dont la configuration est représentée dans le graphique ci-dessous : Structure d’Active DirectoryTrey Research utilise un seul domaine Active Directory dans toute l'entreprise. Ce choix a été motivé par sa facilité d'entretien et son bon contrôle. Tous les bureaux locaux sont connectés au siège social de Trey par l'intermédiaire de lignes allouées privées de sorte qu'il est inutile de développer des sous-domaines pour les bureaux individuels. Exigences au niveau de l'entrepriseEn matière de sécurité de ses systèmes et réseaux, Trey doit respecter cinq exigences principales au niveau de l'entreprise :
Application de la discipline de gestion du risque de sécurité (SRMD)L'objectif de la discipline SRMD est de fournir le moyen de quantifier les risques et de les réduire ceux sur lesquels l'entreprise peut intervenir pour les minimiser. À cette fin, le SRMD définit la gestion des risques comme étant un processus continu comportant quatre étapes de base illustrée dans la figure ci-dessous :
Le guide de Microsoft intitulé Microsoft Security Risk Management Discipline Guide (publication prévue plus tard dans l'année 2004) décrit le SRMD de façon détaillée. Le personnel informatique de Trey IT a étudié le matériel SRMD et a développé un plan pour :
Ce chapitre s'intéressera principalement aux deux premières étapes et expliquera comment le personnel informatique de Trey a adapté la discipline SRMD à son environnement afin d'aider la société à commencer à appliquer un processus de gestion des risques basé sur SRMD. Les autres chapitres traiteront principalement de la troisième étape, c'est-à-dire de l'application des contrôles réels. Évaluation des risquesLa première mesure importante que Trey doit prendre pour initier son processus de renforcement de la sécurité consiste à évaluer les risques et les menaces que la société doit réellement affronter. Dans le cadre de ce processus, Trey doit relier différentes étapes entre elles et notamment :
Identification des rôlesPour la plupart des ordinateurs, le processus d'identification des rôles qu'ils jouent sur le réseau est extrêmement simple. En consultant l'inventaire physique des systèmes que possède la société, le département informatique de Trey a généré les données réunies dans le tableau ci-dessous qui répertorie les principaux rôles actuellement en vigueur sur son réseau, les systèmes d'exploitation utilisés par ces rôles et enfin le type et l'emplacement des machines qui jouent ces divers rôles. Toutes ces informations sont pertinentes et se rapportent au processus de modélisation des menaces. Tableau 2.1 : Rôles des ordinateurs de Trey
Mappage des communicationsUne fois que les rôles des ordinateurs ont été identifiés, il devient possible de déterminer le type de communications de réseau qui s'établissent entre les différents rôles. Cette détermination permet de préciser les types de trafic qui doivent être autorisés ou interdits entre le réseau global et les segments de ce réseau qui contiennent des ordinateurs exploitant des versions antérieures du système d'exploitation Windows. Modélisation du réseauLa modélisation du réseau est très simple. Les ingénieurs de la société Trey se sont tout simplement basés sur un schéma de leur réseau actuel et s'en sont servi pour élaborer la carte de leur réseau. De telles cartes doivent indiquer l'emplacement physique, l'adresse réseau et le type de sytème d'exploitation de chacun des ordinateurs du réseau. Dans l'idéal, elles devraient également représenter visuellement l'emplacement des routeurs et des pare-feu et matérialiser le mode de segmentation du réseau. Ajout d'informations sur les flux de donnéesUne fois la carte du réseau établie, il faut ensuite y superposer des informations sur les flux de données. Ceci est généralement réalisé à l'aide de la méthode de formalisation des flux de données Yourdon-DeMarco (DFD) qui représente les échanges de données entre les systèmes ou les objets par des lignes fléchées. Chaque ligne peut indiquer le numéro de port ou le protocole utilisé. On obtient ainsi un schéma illustrant les flux de communications entre chaque ensemble de rôles. Grâce à ce schéma, il devient très facile de configurer les pare-feu et les filtres pour port/paquet afin de n'autoriser que les types de trafic indiqués. De plus, les informations sur les flux de données pourront facilement être utilisées à une date ultérieure pour développer des règles de filtrage IPsec pour les entreprises ayant déployé Windows 2000, Windows XP et Windows Server 2003. Identification et modélisation des menacesLa modélisation des menaces consiste à tenter d'améliorer la sécurité d'un système distribué en réalisant un inventaire de toutes les menaces pesant sur le système, indépendamment de leur origine. Le concept sous-jacent à cette modélisation est l'idée que l'identification du plus grand nombre possible de menaces et la prise de conscience de leur existence facilitent les efforts de minimisation ou de suppression de ces menaces. Les décisions seront prises selon que la minimisation est impossible, trop difficile ou trop chère, ou que la menace est trop faible ou improbable pour exiger des mesures de limitation des risques. Lors de la création d'un modèle de ce type, il convient d'énumérer toutes les menaces réalistes — y compris celles contre lesquelles vous savez que vous êtes déjà protégé. Quelques fois, en effet, l'examen de menaces contre lesquelles vous possédez déjà des défenses révèle d'autres types d'attaques similaires ou parallèles. Identification des menacesQuand les ingénieurs informatiques de Trey IT ont fini d'élaborer la carte de leur réseau indiquant les rôles joués et les méthodes de communication entre les ordinateurs et les différents rôles, ils étaient prêts à se lancer dans l'identification et la prioritisation de menaces spécifiques. Ces menaces se répartissent en plusieurs catégories :
Chaque catégorie de menace réunit diverses menaces individuelles dont certaines ont déjà été minimisées mais dont d'autres s'avèrent très difficiles à limiter dans l'environnement de la société Trey. Chacune des sections présentées ci-dessous décrit une classe de menaces et les mesures dont dispose Trey pour les minimiser. N'oubliez pas que, dans certains cas, les mesures de minimisation présentées ne sont que partiellement efficaces. Seules les mesures disponibles dans Windows NT 4.0 ou Windows 98 sont présentées mais les versions plus récentes de Windows comprennent des mesures bien plus efficaces. Menaces physiques contre la sécuritéLe tableau ci-dessous présente les principales menaces physiques contre la sécurité identifiées par Trey comme présentant un risque pour son réseau. La plupart de ces menaces découlent principalement de facteurs échappant au contrôle de la société. La seule façon efficace de les minimiser consiste donc à prévoir des stratégies de récupération après incident grave et un processus de maintien de l'activité d'entreprise qui sortent du cadre de ce guide. Remarque : les colonnes "Impact et portée" et "Probabilité" des tableaux ci-dessous présentent la meilleure estimation de la nature, de l'étendue et de la probabilité de chaque menace telle qu'elle a été déterminée par les informaticiens de la société Trey. Les différentes valeurs de ces valeurs peuvent fortement varier d'une entreprise à une autre. Tableau 2.2 : Menaces physiques contre la sécurité et minimisation
Menaces de refus de serviceDans un refus de service, l'accès aux services ou au ordinateurs du réseau est perdu suite à une tentative intentionnelle de blocage ou d'engorgement de l'équipement et des ordinateurs du réseau par du trafic fictif. Généralement, ces attaques sont minimisées au niveau du périmètre du réseau. Le tableau ci-dessous présente les principales menaces de refus de service identifiées par Trey présentant un risque important pour son réseau. Tableau 2.3 : Menaces de refus de service et minimisations
Menaces de codes malveillantsLe tableau ci-dessous présente les principales menaces physiques contre la sécurité identifiées par Trey comme présentant un risque pour son réseau. Tout comme les menaces physiques, ces menaces découlent principalement de facteurs échappant au contrôle de la société. La seule façon efficace de les minimiser consiste donc à prévoir des stratégies de récupération après incident grave et un processus de maintien de l'activité d'entreprise qui sortent du cadre de ce guide. Tableau 2.4 : Menaces de codes malveillants et minimisation
Menaces de divulgation d'informationsLes menaces de divulgation d'informations comprennent les fuites accidentelles de données confidentielles, la divulgation délibérée d'informations à des tiers non autorisés par des utilisateurs autorisés et les attaques ciblées visant à divulguer des données. Tableau 2.5 : Menaces de divulgation d'informations et minimisation
Menaces de compromission de comptesIl existe deux grandes catégories de menaces de compromission de comptes : les compromissions causées lorsqu'un attaquant parvient physiquement à accéder à un ordinateur (ce qui lui permet de supprimer le mot de passe de l'administrateur local, d'installer un mécanisme d'enregistrement des touches utilisées ou de saboter l'ordinateur d'une autre façon) et les attaques venant du réseau. Le tableau suivant présente les plus importantes menaces de compromission de comptes qui inquiètent Trey. Tableau 2.6 : Menaces de compromission de compte et minimisation
Prise de décisions en matière de risquesQuand le personnel informatique de la société Trey a fini d'identifier les risques les plus importants qui menaçaient la société (risques répertoriés et classés par degré de priorité dans les tableaux précédents), il a été en mesure de décider des mesures de minimisation à prendre en fonction de l'impact potentiel de menaces particulières et de la probabilité de les voir se produire. Il est impossible de minimiser efficacement certaines des menaces les plus importantes sur des ordinateurs exploitant Windows 98 et Windows NT 4.0. C'est pourquoi Trey a décidé de faire migrer ses systèmes d'infrastructure vers Windows Server 2003. D'autres risques peuvent être minimisés en associant des étapes spécifiques aux systèmes d'exploitation, des configurations de réseau et des modifications des règles. En examinant chaque menace potentielle et en calculant le coût d'une défense en conséquence, Trey a développé un plan de minimisation pour le plus grand nombre possible de risques sévères. Les autres chapitres de ce guide décrivent les mesures spécifiques choisies par Trey. RésuméCe chapitre vous a décrit certaines des considérations régissant l'appliquant d'une discipline SRMD à un scénario client classique. Toutes les informations fournies dans cet exemple sont basées sur des données réelles ; cependant, ces informations ne constituent qu'une petite partie de l'ensemble des renseignements requis pour qu'une entreprise puisse effectuer une évaluation détaillée des risques de sécurité. En effet, présenter l'intégralité des analyses des risques ou l'ensemble des risques de sécurité dans des tableaux n'aurait fait que rendre les informations de ce chapitre plus confuses. C'est pourquoi il a été jugé préférable de mettre en avant quelques exemples appropriés pour en simplifier la compréhension et faciliter les références. Les conseils contenus dans ce chapitre ont été mis en application pour créer une liste des risques contre lesquels des mesures protectrices spécifiques ont été développées. Une fois cette liste créée, les ingénieurs de la société Trey seront en mesure de chercher à identifier les actions requises pour limiter les risques en sécurisant leurs systèmes contre les vulnérabilités répertoriées. Les autres chapitres de ce guide examinent ces actions en détail. Informations complémentairesPour plus d'informations sur la façon d'appliquer la discipline SRMD à un environnement d'entreprise, consulter les ressources suivantes :
|
Dans cet article
|
