La valeur de notre civilisation se déplace inéluctablement vers la sphère immatérielle. La
miniaturisation continue de l’électronique, l’accélération des performances des réseaux de
communication et le déploiement inexorable des infrastructures informatiques édifient une
urbanisation digitale qui favorise l’accès à l’information et facilite la communication. Cette
évolution de l’informatique, de l’électronique, et surtout des systèmes distribués a
malheureusement contribué à faire évoluer de manière considérable les menaces
informatiques. Les risques auxquels sont confrontées les entreprises et les organisations
aujourd’hui sont tels que la sécurité informatique prend une place de plus en plus
prépondérante et vitale au sein des institutions privées et publiques. Il ne s’agit plus de
considérer la sécurité comme un luxe réservé aux grandes organisations ou entreprises car il
n’est pas rare d’assister de nos jours à des prises d’otages de petits systèmes ou réseaux afin
de s’en servir comme relais pour réaliser des attaques de grandes envergures sur de gros
systèmes ou réseaux.
Au même moment, le niveau de connaissance requis pour devenir pirate ne cesse de diminuer
en raison de la prolifération d’outils et de logiciels malfaisants (malwares) disponibles
gratuitement sur le web. Vue cette situation inquiétante, pour survivre et poursuivre, avec un
minimum de sécurité leurs activités, les entreprises et les organisations doivent adopter et
mettre en oeuvre des stratégies de sécurité. Ces dernières sont en fait des ensembles cohérents
et compatibles de mesures de sécurité qui visent à protéger les systèmes d’informations des
entreprises des attaques et d’incidents de toutes sortes, ou d’en réduire autant que possible les
impacts.
Toutefois, il arrive parfois que des incidents de types intrusions ou attaques surviennent
malgré toutes les mesures et stratégies de sécurité mises en place. Ces incidents qui sont de
plus en plus nombreux peuvent provenir de l’intérieur comme de l’extérieur des réseaux des
entreprises ou des organisations. Face à cette situation, de nouveaux systèmes de surveillance
(les systèmes de détection d’intrusion ou IDS) et de protection (les systèmes de prévention
d’intrusion ou IPS) sont développés depuis quelques années par les éditeurs de solutions de
sécurité. Malheureusement, ces outils sont encore méconnus et très rarement utilisés en
Afrique.
Dans la première partie de ce document, nous avons réalisé une étude concernant l’évolution
des menaces et solutions en matière de sécurité informatique qui a débouchée sur un état des
lieux de la sécurité informatique dans le monde. Dans la deuxième partie, nous avons mis en
évidence la nécessité pour les organisations d’aller vers une vision plus large de la sécurité de
leurs systèmes d’informations à travers les stratégies et politiques de sécurité. C’est dans ce
sens que nous avons concrétisé cette approche par l’application de la méthode MEHARI à une
PME du Bénin. La troisième et dernière partie de ce document a pour objectif de montrer
l’intérêt pour nos entreprises (ouest africaines dans une moindre mesure et africaines en
général) d’une mise en place efficace et stratégique de nouveaux systèmes de surveillance et
de protection contre les intrusions afin de renforcer la sécurité au sein des infrastructures
informatiques et réseaux.
Plan :
Chapitre 1 : Evolutions de la sécurité informatique
I.1 Evolutions de l’informatique
I.2 Les menaces en matière de sécurité informatique
I.2.1 Les attaques informatiques
I.2.2 Le cas spécial des intrusions
I.3 Les solutions en matière de sécurité informatique
I.3.1 Les services et mécanismes de sécurité informatique
I.3.2 Classification et principes des mesures de sécurité
I.4 Etat des lieux de la sécurité informatique dans le monde
Chapitre 2 : Les stratégies de sécurité des systèmes d’information
II.1 Définitions et concepts des stratégies de sécurité
II.1.1 Définitions
II.1.2 Concepts des stratégies de sécurité
II.1.2.1 Pourquoi les stratégies de sécurité ?
II.1.2.2 Conditions de succès d’une démarche sécuritaire
II.2 Mise en place d’une démarche sécuritaire
II.2.1 Méthodes et normes d’élaboration de démarches sécuritaires
II.2.1.1 Principales méthodes françaises
II.2.1.2 Normes internationales ISO/IEC 17799
II.2.2 La stratégie globale d’entreprise
II.2.3 Les stratégies de sécurité des systèmes d’information
II.2.3.1 Identification des valeurs et classification des ressources
II.2.3.2 Analyse des risques
II.2.4 Les politiques de sécurité
II.3 Cas pratiques d’une démarche sécuritaire au sein d’une PME
II.3.1 Présentation de la PME
II.3.1.1 Présentation générale
II.3.1.2 Patrimoine informatique
II.3.1.3 La sécurité
II.3.1.4 Contexte
II.3.2 Application de la démarche MEHARI
II.3.2.1 Présentation de la méthode MEHARI
II.3.2.2 Le plan stratégique de sécurité
II.3.2.2.1 Métrique des risques et objectifs de sécurité
II.3.2.2.2 Valeurs de l’entreprise : classification des ressources
II.3.2.2.3 La politique de sécurité
II.3.2.2.4 La charte de management
II.3.2.3 Plan opérationnel de sécurité
II.3.2.3.1 Préliminaires
II.3.2.3.2 Audit de l’existant
II.3.2.3.3 Evaluation de la gravité des scénarii
II.3.2.3.4 Expression des besoins de sécurité
II.3.2.4 Plan opérationnel d’entreprise
II.3.2.4.1 Choix d’indicateurs représentatifs
II.3.2.4.2 Elaboration d’un tableau de bord de la sécurité de l’entreprise
II.3.2.4.3 Rééquilibrages et arbitrages entre les unités
II.3.2.4.4 Synthèse
Chapitre 3 : Les systèmes de protection contre les intrusions
III.1 Situation de la sécurité des systèmes d’information dans la sous-région Ouest
africaine
III.2 Concepts des systèmes de protection contre les intrusions
III.2.1 Définition et principes de fonctionnement
III.2.2 Avantages des systèmes de protection contre les intrusions
III.3 Typologies et familles des systèmes de protection contre les intrusions
III.3.1 Typologies des systèmes de protection contre les intrusions
III.3.2 Familles des systèmes de protection contre les intrusions
III.3.2.1 Les IDS réseaux (NIDS) : Une solution plus courante
III.3.2.2 Le Host IDS : Une solution qui monte
III.4 Limites des systèmes de protection contre les intrusions
III.4.1 Faux positifs et faux négatifs
III.4.2 Le mode ‘‘promiscuous’’
III.4.3 La définition et la maintenance des signatures
III.4.4 L’apprentissage et la configuration des IDS
III.5 Etudes comparatives de quelques systèmes de protection contre les intrusions
III.6 Présentation de Snort, SnortSAM et de BASE .
III.6.1 Description
III.6.2 Installation
III.6.3 Configuration
III.6.5 Exécution
III.6.6 Création de nouvelles règles
III.6.7 SnortSam
III.6.8 La console BASE
Conclusion