titre
Chaque figure doit avoir un numéro et un titre.
Auparavant pour interconnecter deux LANs distants, il n'y
avait que deux solutions, soit les deux sites distants étaient
reliés par une ligne spécialisée permettant de
réaliser un WAN entre les deux sites, soit les deux réseaux
communiquaient par le RTC.
Une des premières applications des VPN est de permettre
à un hôte distant d'accéder à l'Intranet de son
entreprise ou à celui d'un client grâce à Internet. Il
utilise la connexion avec son fournisseur d'accès pour se connecter
à Internet et grâce aux VPN, il crée un réseau
privé virtuel entre l'appelant et le serveur de VPN de l'entreprise.
Cela dit, les VPN peuvent également être utilisés à
l'intérieur même de l'entreprise, sur l'Intranet, pour
l'échange de données confidentielles.
Ces VPN n'ont pas comme seul intérêt l'extension
des WAN à moindre coût mais aussi l'utilisation de services ou
fonctions spécifiques assurant la QOS (La qualité de service) et
la sécurité des échanges. Les fonctionnalités de
sécurité sont matures mais par contre la réservation de
bandes passantes pour les tunnels est encore un service en développement
limité par le concept même d'Internet.
La sécurité des échanges est
assurée à plusieurs niveaux et par différentes fonctions
comme le cryptage des données, l'authentification des deux
extrémités communicantes et le contrôle d'accès des
utilisateurs aux ressources.
II.2.7. IDS (intrusion detection system):
La détection d'intrusion est définie comme "la
capacité à identifier les individus utilisant un système
informatique sans autorisation (i.e. 'crackers'), identifier ceux qui ont un
accès légitime au système mais qui abusent de leurs
privilèges" et l'identification des tentatives d'utilisation d'un
système informatique sans autorisation et des abus de
privilèges.
Un système de détection d'intrusion (IDS) est un
logiciel capable d'effectuer cette fonction par combinaison de
différentes techniques. Un IDS sera plus performant en réalisant
sa tâche en temps réel.
Les IDS sont basés soit sur des machines hôtes
(ils sont dans ce cas appelés basé hôte) soit sur le
réseau complet (basé réseau). Les systèmes dits
basés hôte fondent leurs décisions sur des informations
obtenues via des hôtes uniquement (habituellement trace d'audit "audit
trail") alors que les systèmes dits basés réseau
obtiennent leurs informations à partir du réseau sur lequel les
stations sont connectées.
On peut noter que la définition d'un IDS n'inclut pas
la prévention contre les intrusions, il se contente de les
détecter et de les reporter à un opérateur ou de mener une
action définie d'avance après qu'un intrus soit
détecté ou de lancer une alarme qui peut être fausse.
Les méthodes utilisées contre les intrusions
sont :
ü Prévention : ne pas se
connecter si le besoin ne s'en fait pas sentir.
ü Préemption : prévenir
plutôt que guérir.
ü Dissuasion : découragement des
attaquants en lui exposant, par exemple, les risques encourus.
ü Tromperie : leurrer l'attaquant en lui
faisant croire qu'il a réussi alors que non.
ü Détection : détecter
l'intrus pour mieux le combattre.
ü Contre-mesures : contrer
automatiquement toute tentative.
La figure suivante montre bien cette approche.
Vue globale d'un système qui
implémente les différentes techniques de
sécurité
II.3. SAUVEGARDE DES DONNEES
ET DOCUMENTS
La sauvegarde régulière des données et de
la documentation qui permet de les utiliser est bien sûr un
élément indispensable de la sécurité du
système d'information, elle constitue un sujet d'étude à
elle seule, qui justifierait un livre entier.
Aussi ne ferons-nous, dans le cadre du présent travail
de fin cycle, que l'évoquer brièvement, sans aborder les aspects
techniques. Mentionnons ici quelques règles de bon sens :
Ø Pour chaque ensemble de données il convient de
déterminer la périodicité des opérations de
sauvegarde en fonction des nécessités liées au
fonctionnement de l'entreprise.
Ø Les supports de sauvegarde doivent être
stockés de façon à être disponibles après un
sinistre tel qu'incendie ou inondation : armoires ignifugées
étanches ou site externe.
Ø Les techniques modernes de stockage des
données, telles que Storage Area Network (SAN) ou Network
Attached Storage (NAS), conjuguées à la disponibilité
de réseaux à haut débit, permettent la duplication de
données à distance de plusieurs kilomètres (voire plus si
l'obstacle financier n'est pas à considérer), et ce
éventuellement en temps réel ou à intervalles très
rapprochés ; ce type de solution est idéal pour un site de
secours.
De l'alinéa précédent, on déduit
que, dans un système d'information moderne, toutes les données
doivent être stockées sur des SAN ou des NAS, rien ne justifie
l'usage des disques attachés directement aux serveurs, qui seront
réservés aux systèmes d'exploitation et aux données
de petit volume.
Ø Les dispositifs et les procédures de
sauvegarde et, surtout, de restauration doivent être
vérifiés régulièrement (cf. la section
suivante).
II.4. Vérifier les dispositifs de
sécurité
Le dispositif de sécurité le mieux conçu
ne remplit son rôle que s'il est opérationnel, et surtout si ceux
qui doivent, en cas de sinistre par exemple, le mettre en oeuvre, sont eux
aussi opérationnels. Il convient donc de vérifier
régulièrement les capacités des dispositifs
matériels et organisationnels.
Les incidents graves de sécurité ne surviennent
heureusement pas tous les jours : de ce fait, si l'on attend qu'un tel
événement survienne pour tester les procédures
palliatives, elles risquent fort de se révéler
défaillantes. Elles devront donc être exécutées
« à blanc » périodiquement, par exemple en effectuant
la restauration d'un ensemble de données à partir des sauvegardes
tous les six mois, ou le redémarrage d'une application à partir
du site de sauvegarde. Outre ces vérifications régulières,
l'organisation d'exercices qui simulent un événement de
sécurité impromptu peut être très profitable. De
tels exercices, inspirés des manoeuvres militaires,
révéleront des failles organisationnelles telles que rupture de
la chaîne de commandement ou du circuit d'information. Un rythme
bisannuel semble raisonnable pour ces opérations.
| 
