Le concept et le rôle du bastion en informatique

Les techniques d'analyse

L'analyse des bastions informatiques, également connue sous le nom d'analyse de la sécurité périmétrique, consiste à évaluer la sécurité des points d'entrée ou des points de contrôle dans un réseau informatique. Ces points d'entrée, souvent appelés bastions, sont des éléments clés de la défense de réseau.

Les bastions peuvent exécuter plusieurs types de surveillance. Ils doivent, comme dit précédemment assurer la sécurité de l’infrastructure. Pour cela, le rôle de bastion ne se limite pas à bloquer certaines connexions mais à analyser plusieurs paramètres pour avoir une sécurité maximale.

Il convient avant tout d’analyser et de déterminer quels sont les ports ouverts et fermés. En effet, les attaques peuvent se dérouler en utilisant un port de communication ouvert sur l’infrastructure du client. Il est donc nécessaire de déterminer les ports autorisés à communiquer et surtout de déterminer quels services des applications installées sur l’infrastructure ont le droit de communiquer avec l’extérieur.

En concentrant les efforts sur le contrôle d’accès, il est possible de mettre en place une politique de sécurité stricte empêchant les communications non autorisées et ainsi protéger son infrastructure.

En parallèle, une surveillance continue des communications entrantes et sortantes est nécessaire pour détecter des tentatives d’intrusions. Ceci permet d’avoir des alertes en quasi temps réel si jamais une connexion ou une communication non autorisée était détectée. Même si ce procédé engendre une part non négligeable des ressources réseau de l’infrastructure, il est nécessaire de prévoir ces ressources afin d’assurer un bon niveau de sécurité de l’ensemble du réseau d’entreprise. 

En agissant ainsi, il est possible de construire une politique de sécurité pour l’utilisation du réseau d’entreprise. Ce n’est que par cette solution en agissant comme gendarme du réseau de l’entreprise, qu’il sera possible d’élever le réseau vers un niveau de sécurité acceptable.

Des journaux et des alertes pour détecter les modèles d'attaques

L'utilisation de journaux (logs) et d'alertes est essentielle pour détecter les modèles d'attaques informatiques et pour surveiller l'activité sur un réseau ou un système. Il s’agit d’un fichier au départ vide qui va être au fur et à mesure automatiquement rempli par la solution de protection déployée.

Les journaux sont indispensables pour les équipes chargées de la protection réseau afin de pouvoir être informées de toutes les communications et / ou tentatives d’intrusions détectées par le système. Pour cela, chaque fois qu’une communication ou qu’un comportement réseau inhabituel est détecté, il est automatiquement envoyé dans ce fichier appelé « log » pour y être consigné. L’équipe pourra ensuite analyser le comportement ou la communication suspecte pour décider si jamais elle doit être autorisée ou interdite. Il est toujours préférable d’interdire au préalable les connexions dites suspectes et le cas échéant l’autoriser après analyse plutôt que le contraire.

L’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) recommande d’appliquer la politique dite « du pire » et d’autoriser manuellement les connections recensées après analyse.

Pour avoir un bon niveau de sécurité du réseau, il est nécessaire de pratiquer une collecte régulière des journaux d’analyse. Ces journaux doivent être normalisés en vue de pouvoir être analysés par les outils de la solution de sécurité. 

De plus, il est très important de consigner ces journaux d’analyse dans un espace de stockage sécurisé en cas de contrôle par les forces de l’ordre. En effet, les entreprises doivent être en mesure de prouver que leur système est opérationnel et qu’il est capable de bloquer un nombre suffisant d’attaque informatique.  Vous retrouverez dans ce lien les recommandations de l’ANSSI en ce qui concerne la journalisation des fichiers logs :

ssi.gouv.fr

Il est aussi tout à fait possible de coupler une solution de sécurité et de monitoring réseau avec un SIEM (Système de Gestion de l’Évènement de Sécurité) pour corréler les évènements avec les attaques recensées.

Enfin, la création de règles personnalisées est une étape cruciale dans la configuration d'un système de sécurité réseau. Ces règles personnalisées sont spécifiquement conçues pour s'adapter aux besoins et aux usages spécifiques de l'entreprise. Cependant, leur importance ne se limite pas seulement à l'optimisation des opérations réseau ; elles jouent également un rôle essentiel en cas d'attaques qui échappent initialement aux règles de sécurité standard du système.

Lorsqu'une attaque inconnue ou non bloquée par les règles de sécurité standard se produit, les règles personnalisées peuvent intervenir en renforçant la sécurité du réseau. Ces règles spécifiques peuvent identifier et bloquer des comportements ou des schémas de trafic suspects qui ne sont pas pris en compte par les règles génériques du système. En conséquence, elles contribuent à améliorer la résilience du réseau et à réduire les risques potentiels.

Ainsi, en cas d'attaque non bloquée par le système de sécurité réseau, la mise en place de règles personnalisées est fortement recommandée pour combler les éventuelles lacunes de sécurité et garantir une protection adéquate du réseau d'entreprise.

Les outils et les méthodes de détection

Les outils de détection

Il existe de nombreux outils de détection d'attaques informatiques disponibles, chacun ayant ses propres caractéristiques et fonctionnalités spécifiques. Il convient cependant de distinguer 3 grands types d’outils pour la détection des attaques informatiques :

Les systèmes IDS :

Les IDS ou Intrusion Detection System est un système de détection d'intrusion utilisé en sécurité informatique pour surveiller les activités sur un réseau ou un système informatique concernant des comportements ou des activités qui pourraient indiquer une intrusion ou une violation de sécurité. L'objectif principal d'un IDS est de détecter les menaces et les attaques potentielles, qu'elles soient internes ou externes, en identifiant des schémas d'activité suspects. Il fonctionne sur un système basé sur des signatures ou sur des comportements suspects. Parmi les outils les plus populaires présents sur le marché, on peut distinguer deux outils bien distincts.

Les systèmes IPS :

Un IPS, ou Intrusion Prevention System, est un système de prévention d'intrusion utilisé en sécurité informatique pour détecter, bloquer et répondre aux tentatives d'intrusion ou aux activités malveillantes sur un réseau ou un système informatique. Contrairement à un IDS qui se contente de détecter les intrusions et de générer des alertes, un IPS est conçu pour prendre des mesures actives pour empêcher ou bloquer ces intrusions. Là aussi, plusieurs outils sont mentionnés comme leaders du marché. Parmi eux on peut retenir deux outils :

Les systèmes SIEM :

Un SIEM, (Gestion de l'Information et des Événements de Sécurité en Français), est une solution logicielle ou matérielle qui offre une vue centralisée et une gestion intégrée des informations de sécurité et des événements sur un réseau ou un système informatique. Le SIEM combine la gestion de l'information (SIM, Security Information Management) et la gestion des événements (SEM, Security Event Management) pour fournir une solution complète de surveillance, de détection, d'analyse et de réponse aux menaces et aux incidents de sécurité. La combinaison des deux systèmes (SIM et SEM) offre un rendement de protection très important du fait de la combinaison des deux outils. Il est d’ailleurs tout à fait possible de combiner un IDS et un IPS dans un système SIEM pour bénéficier de l’une des protections les plus abouties du marché actuel.

Les outils les plus populaires permettent de centraliser tous les événements survenus. Parmi eux on peut noter l'existence de deux outils :

Les méthodes de détection

La détection d'attaques informatiques est essentielle pour protéger les systèmes et les réseaux contre les menaces potentielles. Il existe plusieurs méthodes de détection d'attaques informatiques, chacune ayant ses propres avantages et inconvénients.

Détection basée sur des signatures :

Cette méthode repose sur l'utilisation de signatures ou de modèles préétablis d'attaques connues. Les IDS (Systèmes de Détection d'Intrusion) et les antivirus utilisent souvent cette approche.

Lorsqu'une correspondance est détectée entre le trafic réseau, le code malveillant ou les journaux d'événements et une signature connue, une alerte est envoyée.

Détection basée sur le comportement :

Cette méthode analyse le comportement normal du réseau, des systèmes ou des utilisateurs pour détecter les anomalies.

Les systèmes d'analyse comportementale peuvent identifier des schémas d'activité inhabituels qui pourraient indiquer une intrusion.

Détection d'anomalies :

Cette méthode se concentre sur la détection d'événements ou de comportements qui sont statistiquement anormaux par rapport à un modèle de référence.

Elle peut identifier des activités telles que des pics de trafic inattendus, des connexions suspectes ou des tentatives de connexion infructueuses répétées.

Détection d'attaques de réseau :

L'analyse du trafic réseau à l'aide d'outils tels que Wireshark ou Snort peut révéler des anomalies, des attaques par déni de service (DDoS) ou d'autres comportements malveillants.

Ces outils peuvent également aider à détecter des attaques spécifiques, comme les attaques par injection SQL ou les scans de ports.

Chaque méthode de détection, et une approche différente pour sécuriser le réseau. Il est également important de mettre à jour régulièrement les signatures et les règles de détection, ainsi que de surveiller les alertes et les journaux de manière proactive pour répondre rapidement aux menaces.

Identifier les attaques complexes et les campagnes d'attaques

L’identification des attaques

L'identification des attaques informatiques complexes peut être un défi, car ces attaques sont souvent conçues pour être furtives et échapper à la détection. Cependant, il existe des méthodes et des outils que les professionnels de la sécurité informatique peuvent utiliser pour repérer ces attaques complexes. L’analyse comportementale de ces attaques reste le meilleur moyen de pouvoir bloquer des tentatives d’attaques ou d’intrusions.

Il est aussi important d’appliquer la politique « du pire » afin d’éviter tout risque d’attaque. C’est-à-dire que toutes les connexions sont, de fait, bloquées sauf celles qui seront approuvées par les administrateurs systèmes.

C’est pour cela que les systèmes doivent être équipés d’une solution de pare-feu efficace afin de bloquer tous les ports de communications non utilisés. Il sera ainsi beaucoup plus difficile pour un pirate informatique de pouvoir entrer dans un système bien protégé.

Dernier point important, il est primordial de sensibiliser les utilisateurs de ne pas générer de comportements suspects afin de permettre à une attaque d’avoir lieu. Pour cela, il faut reporter tout ce qui semble suspect comme par exemple : les mails demandant de se rendre sur un site et de donner des moyens d’authentification, des faux mails alertant sur la sécurité et demandant une action de l’utilisateur, ou encore l’utilisation de périphériques externes pouvant infecter un périphérique communiquant sur le réseau de l’entreprise.

Identification des attaques et les indicateurs de compromission

MéthodeLes techniques de corrélation des événements

La corrélation des événements est une technique utilisée en sécurité informatique pour analyser et interpréter les données d'événements provenant de multiples sources dans le but de détecter et de bloquer les attaques informatiques de manière plus efficace. Pour avoir une idée bien précise des évènements qui ont eu lieu, une certaine méthode doit être employée afin de pouvoir répondre au mieux aux dites exigences de sécurité.

Pour cela il faut suivre la méthode suivante :

Tout d'abord, il est essentiel de collecter des données d'événements à partir de différentes sources, telles que les journaux système, les dispositifs de sécurité réseau, les applications, les serveurs, les points finaux, etc. C’est la collecte de données d'événements.

Les données d'événements collectées sont inscrites dans un format défini pour les rendre cohérentes et comparables, quel que soit leur format d'origine. Cela facilite la comparaison et l'analyse ultérieure des événements. C’est la normalisation des données.

Une fois les données collectées et normalisées, elles sont mises en commun afin d’être analysées par le système de sécurité déployé. Ce système appelé SIEM, analyse les données collectées et normalisées et en déduit si l’évènement analysé est sûr ou non conforme à la politique de sécurité de l’entreprise. C’est la corrélation des évènements.

Une fois toutes ces étapes effectuées, le système SIEM définit une action pour autoriser ou interdire l’action en cours. Si l’évènement est considéré comme sûr, il est autorisé. Dans le cas contraire, il est bloqué avant d’accéder à l’équipement ciblé et ainsi protéger la ressource en question. L'événement en question est ensuite consigné dans le journal.

La corrélation des événements permet de détecter les attaques informatiques en analysant le contexte global des activités de sécurité au sein d'un réseau ou d'un système. Elle aide les équipes de sécurité à identifier rapidement les menaces potentielles et à prendre des mesures pour les bloquer ou les atténuer. Cependant, il est important de noter que la corrélation des événements peut également générer des fausses alertes, il est donc essentiel de configurer et de gérer ces systèmes de manière appropriée pour minimiser les erreurs.

Les Indicateurs de Compromission (IoC) utilisés dans l'identification des attaques

Les Indicateurs de Compromission (IoC) sont des éléments spécifiques et tangibles qui peuvent être utilisés pour identifier une compromission de sécurité ou une attaque informatique. Ils sont essentiels pour la détection précoce des incidents de sécurité et la réponse aux incidents

Comme pour la détection des attaques, il existe plusieurs niveaux d’attaques et de compromissions des attaques informatiques. Il est donc indispensable de pouvoir identifier comment les attaques informatiques sont apparues et surtout comment peut-on bloquer les futures attaques à venir. Pour cela, il est important de collecter certaines informations à l’aide d’indicateurs appelés IoC afin de pouvoir renseigner la base de données.

Les IoC peuvent capter les informations suivantes :

Adresses IP malveillantes :

Les adresses IP utilisées par des attaquants pour accéder à des systèmes ou des réseaux.

Les plages d'adresses IP associées à des pays ou des régions à haut risque peuvent également être considérées comme des IoC.

Noms de domaine malveillants :

Les domaines de site web ou les noms de domaine utilisés par des attaquants pour héberger des sites web malveillants, des serveurs de Commande et de Contrôle (C&C) ou des liens de phishing.

Fichiers malveillants :

Les fichiers exécutables, les scripts, les documents Office, les PDF, etc., qui ont été identifiés comme malveillants à la suite d'une analyse antivirus ou de l'analyse de sable (sandboxing).

Hash de fichiers malveillants :

Les valeurs de hachage (MD5, SHA-256, etc.) de fichiers malveillants connus.

Ces valeurs de hachage peuvent être utilisées pour vérifier l'intégrité des fichiers et pour les identifier rapidement.

Signatures de logiciels malveillants :

Les signatures spécifiques aux logiciels malveillants, y compris les empreintes numériques, les chaînes de caractères ou les comportements associés à des logiciels malveillants connus.

URL malveillantes :

Les URL utilisées pour diriger les utilisateurs vers des sites web malveillants, des sites de phishing ou des sites d'exploitation de vulnérabilités.

Certificats SSL/TLS compromis :

Les certificats SSL/TLS utilisés par des attaquants pour masquer le trafic malveillant ou tromper les utilisateurs.

En renseignant avec la plus grande précision ces indicateurs de compromission, il est possible de bâtir des défenses solides pour éviter ces attaques ou intrusions. En fonction de la gravité des attaques recensées, les IoC nous renseignent sur la gravité de ces attaques et nous donnent des indications non négligeables sur les mesures à prendre pour assurer la protection de l’infrastructure ciblée.

La collecte, la gestion et l'analyse de ces IoC sont essentielles pour la détection proactive des menaces et la réponse aux incidents de sécurité. Les IoC peuvent être utilisés pour configurer des règles de détection, mettre en place des alertes en temps réel et améliorer la sécurité en identifiant rapidement les indicateurs potentiels de compromission.

Les outils d’analyses existants

Présenter des outils d'analyse spécifiques utilisés dans l'analyse des attaques Wireshark ; Snort, etc.

Wireshark et Snort sont deux outils importants utilisés dans l'analyse des attaques réseaux et des problèmes de sécurité. Ils permettent d’analyser de manière précise d’où proviennent les attaques et donnent des informations importantes pour pouvoir s’en prémunir.

Wireshark :

Wireshark est un analyseur de protocole réseau open source qui permet de capturer et d'inspecter le trafic réseau en temps réel.

Il peut être utilisé pour examiner en détail les paquets de données qui circulent sur un réseau, ce qui est particulièrement utile pour diagnostiquer des problèmes de réseau, comprendre le comportement des applications et détecter des activités suspectes.

Wireshark prend en charge un large éventail de protocoles réseau, ce qui en fait un outil polyvalent pour l'analyse du trafic réseau.

Pour l'analyse des attaques, Wireshark permet d'identifier les anomalies de trafic, les tentatives d'exploitation de vulnérabilités, les attaques par déni de service (DDoS) et d'autres activités malveillantes.

Snort :

Snort est un Système de Détection d'Intrusion (IDS) open source qui analyse le trafic réseau en temps réel pour détecter les attaques et les comportements malveillants.

Il utilise des règles de détection personnalisables pour identifier les modèles de trafic correspondant à des attaques connues ou suspectes.

Snort peut fonctionner en mode IDS (Détection d'Intrusion) pour générer des alertes en cas de détection d'une attaque ou en mode IPS (Prévention d'Intrusion) pour bloquer activement le trafic malveillant.

C'est un outil puissant pour la détection précoce des menaces et la protection des réseaux contre les attaques.

Snort est extensible grâce à des modules et des règles personnalisées qui peuvent être adaptées aux besoins spécifiques de sécurité de l'organisation.

En combinant Wireshark et Snort, les analystes de sécurité peuvent capturer et analyser le trafic réseau en temps réel, détecter des attaques potentielles et des schémas d'activité malveillante, et prendre des mesures pour répondre rapidement aux menaces. Ces outils sont essentiels pour renforcer la sécurité des réseaux et des systèmes informatiques.

Les avantages des solutions d’analyses

Les solutions d'analyse de réseau informatique offrent de nombreux avantages aux organisations en matière de surveillance, de détection des problèmes et de sécurité.

Visibilité complète du réseau :

Les solutions d'analyse de réseau offrent une visibilité complète sur l'ensemble du réseau informatique, y compris les flux de données, le trafic, les performances des appareils et des applications.

Elles permettent de comprendre comment les données circulent à travers le réseau et d'identifier les goulets d'étranglement, les problèmes de latence et les congestions.

Détection précoce des problèmes :

Les outils d'analyse de réseau peuvent détecter rapidement les problèmes de réseau, tels que les pannes d'appareils, les erreurs de configuration, les collisions, les ralentissements et les dysfonctionnements des applications.

Cela permet aux équipes informatiques de réagir rapidement pour résoudre les problèmes avant qu'ils n'affectent les utilisateurs finaux.

Optimisation des performances :

En surveillant le trafic réseau et les performances des applications, les solutions d'analyse de réseau permettent d'optimiser les performances en identifiant les domaines où des améliorations sont nécessaires.

Cela peut inclure l'ajustement des règles de routage, la mise à jour des configurations ou la répartition de la charge.

Sécurité renforcée :

Les solutions d'analyse de réseau sont essentielles pour la détection des menaces et des activités malveillantes. Elles peuvent identifier les comportements suspects, les tentatives d'intrusion et les attaques DDoS.

En intégrant des fonctionnalités de détection d'intrusion, elles peuvent contribuer à renforcer la sécurité globale du réseau.

Utilisation des outils d’analyses

Démonstration de l’outil d’analyse Wireshark

L’outil Wireshark est un analyseur de réseau appelé aussi sniffer. Il informe en temps réel l’utilisateur de toute l’activité réseau existant entre le poste sur lequel il est installé. De plus il permet d’analyser plusieurs types de protocoles comme TCP/IP, UDP, HTTP, FTP, DNS, SNMP, SSH, TLS/SSL, entre autres.

Il peut aussi analyser des protocoles de communications dit « propriétaires » comme des protocoles Cisco ou Microsoft par exemple.

En fonction des besoins, il est possible de paramétrer Wireshark pour concentrer l’analyse de réseau sur des protocoles bien spécifiques. Il peut ainsi filtrer et rechercher des paquets en fonction de critères tels que les adresses IP source et destination, les ports, les numéros de séquence, les motifs de données, les types de paquets, etc.

En fonction des paramètres choisis, il est possible de filtrer la recherche entre deux équipements bien spécifiques, ce qui est utile pour déterminer avec précision d’où provient une tentative d’intrusion. Les résultats d’analyses seront discriminés en fonction des paramètres choisis et des adresses IP renseignées.

Wireshark est aussi extrêmement puissant pour déterminer si une attaque de type MITM (une attaque Man-In-The-Middle (MITM) est une technique où un attaquant s'insère entre deux parties pour intercepter ou modifier leurs communications) est en cours. En effet, il peut détecter si des transmissions anormales sont en cours comme par exemple :

Identifier les anomalies dans le trafic, telles que les retransmissions, les fragments mal formés, les flux de données inhabituels, etc.

Enfin, pour des usages bien spécifiques, il est aussi possible de configurer Wireshark pour mettre en place un suivi bien spécifique. Cela peut être sur un ou plusieurs protocoles, sur différents types de transmissions en discriminant s’il s’agit de transmissions locales ou de transmissions vers internet.

Démonstration de l’outil d’analyse SNORT

Snort est un outil de Détection d'Intrusion (IDS) open source qui surveille le trafic réseau en temps réel pour détecter les activités suspectes ou malveillantes. À la différence de Wireshark, Snort est un outil IDS, qui permet en plus de gérer l’analyse de trafic, de bloquer des connexions suspectes et ainsi arriver à protéger le réseau.

Snort fonctionne de la manière suivante :

Il commence par capturer le trafic réseau à partir d'une ou de plusieurs interfaces réseau. Il peut fonctionner en mode « promiscuous » pour capturer tout le trafic passant par l'interface, même s'il n'est pas destiné à l'ordinateur sur lequel Snort est installé.

Analyse des paquets :

Une fois les paquets capturés, Snort analyse chaque paquet individuellement à la recherche de correspondances avec des règles prédéfinies. Ces règles décrivent des schémas de trafic correspondant à des attaques connues ou suspectes.

Correspondance des règles :

Snort compare le contenu de chaque paquet avec les règles de détection qu'il a chargées. Si un paquet correspond à une règle, il déclenche une alerte.

Alertes et actions :

Lorsqu'une correspondance est trouvée, Snort génère une alerte. Cette alerte peut être enregistrée dans des fichiers journaux, envoyée par e-mail, affichée sur la console ou transmise à un système de gestion d'événements de sécurité (SIEM). Il peut également être configuré pour effectuer des actions spécifiques en réponse à des alertes, telles que bloquer le trafic provenant d'une adresse IP suspecte (mode IPS) ou journaliser l'alerte pour une analyse ultérieure.

Bases de données de signatures :

Snort utilise des bases de données de signatures (règles) pour identifier des modèles de trafic malveillants. Ces règles sont régulièrement mises à jour pour inclure de nouvelles menaces et des signatures actualisées.

Tout comme l’utilitaire Wireshark, Il est important de rappeler qu’il est tout à fait possible de personnaliser les règles afin d’obtenir une analyse réseau personnalisée afin de pouvoir répondre à des besoins spécifiques. Pour cela Il est possible d’agréger des modules supplémentaires pour répondre à des besoins spécifiques. Cela permet entre autres chose, de rendre le logiciel plus réactif a certains types d’attaque ou d’intrusions mais aussi d’élargir son champ de couverture.

L’importance de l’analyse du trafic réseau

L'analyse du trafic réseau revêt une importance cruciale dans le domaine de la gestion de réseau, de la sécurité informatique et de la résolution de problèmes. Voici quelques raisons qui soulignent son importance :

Détection des problèmes de performance :

L'analyse du trafic permet de surveiller les performances du réseau en temps réel. Elle permet d'identifier les goulets d'étranglement, les congestions, les délais de transmission élevés et d'autres problèmes susceptibles de nuire à la qualité du service.

En examinant le trafic réseau, les administrateurs peuvent diagnostiquer rapidement les pannes, les erreurs de configuration, les dysfonctionnements des équipements réseau, les interférences électromagnétiques, etc.

Optimisation de la bande passante :

L'analyse du trafic permet d'identifier les applications ou les utilisateurs qui utilisent le plus de bande passante. Cela permet de prendre des mesures pour optimiser l'utilisation de la bande passante et garantir une expérience utilisateur satisfaisante.

Détection des menaces de sécurité :

Les attaques informatiques, telles que les tentatives d'intrusion, les malwares, les attaques par déni de service (DDoS) et d'autres menaces, génèrent souvent des schémas de trafic spécifiques. L'analyse du trafic peut aider à détecter ces modèles malveillants et à prendre des mesures pour contrer les attaques.

Sécurité des données :

En surveillant le trafic réseau, les organisations peuvent détecter les fuites de données ou les comportements anormaux qui pourraient indiquer une violation de la sécurité. Cela permet une réponse rapide pour protéger les données sensibles.

Conformité et audit :

De nombreuses réglementations et normes de l'industrie exigent que les organisations surveillent et conservent des journaux de leur trafic réseau pour se conformer aux exigences de sécurité et de conformité.