Etude, conception et mise en ?uvre d?un systeme de surveillance par detection d?intrusion dans un reseau informatique (cas de la banque finca)

3.2.3. L'analyse des risques

Nous allons à présent présenter les différentes étapes suivies et nos résultats après l'application d'EBIOS et OCTAVE sur un système compte bancaire qui utilise et stocke des données(argents) des clients sur ses serveurs. Le but de l'étude est de permettre de faire une analyse des risques pour le SIBF (système d'information bancaire de FINCA).

3.2.3.1 L'objectif de l'étude :

Gérer les risques de SSI sur le long terme et élaborer une politique de sécurité de l'information. Nous souhaitons que les risques de sécurité de l'information qui pourraient empêcher la banque FINCA d'atteindre ses objectifs soient gérés, et ce, de manière continue. Nous avons pour objectifs de : Optimiser les processus métiers en maîtrisant les risques de sécurité de l'information ;

3.2.3.2 L'organisme étudié

C'est un établissement de microfinance, ci-après dénommé, par abréviation « FINCA », c'est un établissement privé à caractère spécifique, doté de la personnalité morale et de l'autonomie financière, sous la tutelle administrative du Ministre de la Finance par le biais de la Banque Centrale du Congo (BCC) en sigle.

3.2.3.3. Les principaux métiers représentés :

Les chefs des branches, le IT Manager, les officiers (pour la gestion du système informatique) et le personnel administratif.

3.2.3.4 Normes et principes directeurs adoptés par la banque FINCA

Cette Banque visé à fournir « des services financiers aux entrepreneurs de faibles revenus du monde permettant ainsi de créer des emplois, générer des capitaux, et améliorer leur niveau de vie faible. Le principal processus métier concerné par l'étude est la fourniture des capitaux.

3.2.3.5 Description du système informatique

Le système informatique du FINCA se compose de serveurs, des Switches, d'unmodem, un routeur, l'antenne WIMAX, de machines et les utilisateurs, ainsi que d'un système d'information. Comme présenter dans la figure 14 dans le deuxième chapitre. La banque FINCA dispose également d'un site internet non isolé physiquement du SI.

La majorité des services utilisent les dossiers papiers en plus de l'outil informatique. Cependant, presque tous les services sont entièrement informatisés (à 95%), le personnel de ces services utilisent les papiers pour les formalités administratives.

Le bâtiment est en étage relier à l'aide de câbles en fibres optiques. Les machines clients sont également reliées entre les switches à l'aide de liaisons par câbles, modem, routeur, switch. Cependant, pour l'accès à internet.

Cinq serveurs sont installés dans un local sécurisé. Ils sont interconnectés entre eux. Si l'un des serveurs tombe en panne les autres prennent automatiquement en charge les tâches qui devaient être effectuer. Les données sont stockées sur des NAS (Network Area Storage), ce qui garantit également la sauvegarde des données même en cas de pannes physiques de l'un des serveurs, puisque ceux-ci ne stockent sur leurs disques durs que les systèmes d'exploitation.

Le sujet de l'étude représente la partie du système d'information de FINCA indispensable pour qu'il exerce son coeur de métier. L'ensemble du patrimoine informationnel des clients est créé, traité et stocké sur ce système d'information.

3.2.3.6 Les participants à l'étude sont définis comme suit :

La population de l'étude est l'ensemble des collaborateurs travaillant dans le périmètre choisi (Les chefs des branches, le IT Manager, les officiers, les utilisateurs). Au moins une personne de chaque catégorie participe à l'étude ; d'autres personnes peuvent également participer à l'étude afin d'apporter un point de vue extérieur. Les critères de sélection sont les meilleures connaissances du métier en général.

3.2.3.7 Identification des paramètres à prendre en compte lors de l'étude

3.2.3.7.1 Contraintes relatives au personnel :

Le personnel doit avoir accès aux dossiers clients FINCA se trouvant dans son service. Nous faisons la remarque que cette contrainte est imposée par la politique de gestion des accès à l'information de FINCA.

Tout le personnel utilisant l'informatique (les ordinateurs ainsi que le logiciel métier) n'est pas spécialisé en informatique.

3.2.3.7.2 Référence communautaire, légale et réglementaire à appliquer :

L'aspect éthique et déontologique de la microfinance doit être appliqué. La législation relative à la protection des données personnelles doit être appliquée.

3.2.3.7.3 Contrainte conjoncturelle :

La continuité du service doit être garantie même en cas de grève ou de crise grave.

3.2.3.7.4 Contrainte fonctionnelle :

La disponibilité maximale des informations bancaires des clients doit être garantie à tout instant.

3.2.3.7.5 Contrainte relative aux méthodes :

La confidentialité des informations bancaires ne doit pas être au détriment de la qualité du service.

3.2.3.7.6 Contrainte d'environnement :

Du fait que la ville de Lubumbashi se trouve dans une zone plus peuplé et vaste, qu'elle serait l'impact un client emprunte un capital disparait ?

3.2.3.7.7 Contrainte relative au personnel :

Le responsable de l'informatique est ingénieur de formation.

3.2.7.8 Les critères de sécurité retenus :

Afin d'exprimer les besoins de sécurité, les critères de sécurité retenus sont les suivants :

- La disponibilité : propriété d'accessibilité au moment voulu des biens essentiels.

- L'intégrité : propriété d'exactitude et de complétude des biens essentiels.

- La confidentialité : propriété des biens essentiels de n'être accessibles qu'aux utilisateurs autorisés.

3.2.3.7.9 Échelle de disponibilité

Nous avons établi l'échelle suivante pour exprimer les besoins de sécurité en termes de disponibilité :

Tableau 6.III: Echelle de disponibilité retenue

Niveau de l'échelle	Description détaillées de l'échelle
Disponibilité immédiate	Le bien essentiel ne peut pas être indisponible
Disponibilité dans les 4 heures	Le bien essentiel ne peut pas être indisponible plus de quatre heures

3.2.3.7.10. Échelle d'intégrité

L'échelle suivante sera utilisée pour exprimer les besoins de sécurité en termes d'intégrité :

Tableau 7.III:Echelle d'intégrité retenue

Niveaux de l'échelle	Description détaillée de l'échelle
Détectable	Le bien essentiel peut ne pas être intègre si l'altération est identifiée.
Maîtrisé	Le bien essentiel peut ne pas être intègre, si l'altération est identifiée et l'intégrité du bien essentiel retrouvée.
Intègre	Le bien essentiel doit être rigoureusement intègre

3.2.3.7.11. Echelle de confidentialité

L'échelle suivante sera utilisée pour exprimer les besoins de sécurité en termes de confidentialité :

Tableau 8.III: Echelle de confidentialité retenue

Niveaux de l'échelle	Description détaillée de l'échelle
Public	Le bien essentiel est public
Limité	Le bien essentiel ne doit être accessible qu'au personnel et aux partenaires.
Réservé	Le bien essentiel ne doit être accessible qu'au personnel (interne) impliqué.
Privé	Le bien essentiel ne doit être accessible qu'à des personnes identifiées et ayant le besoin d'en connaître.

3.2.3.7.12. Echelle de gravité

L'échelle suivante sera utilisée pour estimer la gravité des événements redoutés et des risques :

Tableau 9.III: Echelle de gravité retenue

Niveaux de l'échelle	Description détaillée de l'échelle
Négligeable	Gravité négligeable
Limitée	Gravité limitée
Importante	Gravité importante
Critique	Gravité critique

3.2.3.7.13. Echelle de vraisemblance

L'échelle suivante sera utilisée pour estimer la vraisemblance (apparence de vérité) des scénarios de menaces et des risques :

Tableau 10.III: Echelle de gravité retenue

Niveaux de l'échelle	Description détaillée de l'échelle
Minime	Cela ne devrait pas se (re)produire
Significative	Cela pourrait se (re)produire
Forte	Cela devrait se (re)produire un jour ou l'autre
Maximale	Cela va certainement se (re)produire prochainement.

3.2.3.7.14. Les biens essentiels identifiés :

Chaque métier sélectionné précédemment dans l'étude est lié à plusieurs processus. Ces processus sont des fonctions qui traitent des informations essentielles en entrée et en sortie. Dans le cadre de l'étude nous avons retenu les processus suivants en tant que bien essentiel :

Tableau 11.III: Les biens essentiels identifiés

Système d'information et logiciel métier utilisé	La gestion des clients FINCA informatisés le logiciel l'Orbit Banking. La gestion des résultats d'analyse. La gestion du Site internet de l'établissement
La transmission des données	La gestion des transmissions informatiques

3.2.3.7.15. Les biens support

Le schéma suivant décompose les biens supports et les positionne les uns par rapport aux autres :

Tableau 12.III: Les biens supports

Biens support	Le réseau de FINCA
Logiciel métier utilisé	· Le SGBD contenant les bases de données ainsi que les résultats d'analyse (MYSQL) · Le logiciel métier utilisé l'Orbit Banking
Le matériel informatique	L'ensemble des machines clients utilisée pour le traitement des données ainsi que les serveurs informatiques.
Le canal informatique	L'ensemble des périphériques réseau utilisés.

3.2.3.7.16. Liens entre biens supports et biens essentiels :

Tableau 13.III: Liens entre biens supports et bien essentiels

Bien essentiel Bien support	La gestion des clients FINCA informatisés le logiciel l'Orbit.	La gestion des résultats d'analyse.	La gestion du Site internet de l'établissement	La gestion des transmissions informatiques
Logiciel métier utilisé	X	X
Canal informatique			X	X
Le matériel informatique				X

3.2.3.8. Les mesures de sécurité existantes sur le système :

Tableau 14.III: Les mesures de sécurité existantes

Thème ISO 27799	Mesure de sécurité	Description
7.6.1. Zone sécurisée	Périmètre de sécurité physique	Les serveurs se trouvent dans une salle sécurisée, l'accès est protégé par une porte blindée, seul le chef du service informatique et son adjoint possèdent les clés pour y accéder.
9.2 sécurité du matériel	Protection de l'Emplacement des équipements,	Le matériel est protégé des coupures de courant par des onduleurs, l'établissement possède en outre un groupe de courant en cas de coupure de longue durée.
7.8.2.1 Gestion des accès utilisateurs	Gestion des privilèges	Les droits d'accès aux dossiers clients sont restreints, un utilisateur ou un personnel ne peut accéder qu'aux dossiers des clients dans son service.
7.8.2.1 Gestion des accès utilisateurs	Gestion des accès aux postes Client	L'accès et l'utilisation des machines client sont restreints par une connexion via Active directory de Windows server.
Iso 27002 14.1 Aspects de la sécurité de l'information en matière de gestion de l'activité	Plan de continuité de l'activité en cas de panne	Cinq serveurs sont interconnectés entre eux et les bases de données sont stockées sur des serveurs NAS, si l'un des serveurs crache, ses tâches seront automatiquement divisées entre les autres.
ISO27002 12.3 backup des données	Etablissement d'une politique de sauvegarde Régulière	Des sauvegardes régulières sont effectuées et stockées.
Contrôle antivirus et logiciel malveillant	Installation d'un antivirus	Un antivirus est installé sur les serveurs mais pas sur les machines clients.
Contrôles sur le réseau	Utilisation d'un Pare feu Logiciel	Un pare feu logiciel est installé sur le réseau, celui-ci est édité par Microsoft, L'administrateur réseau mais pas un pare feu matériel prévu.

3.2.3.9. Les sources de menaces :

Les sources de menace ont été identifiées et les plus plausibles sont :

· Un code malveillant accidentellement ou intentionnellement introduit (Virus, ver, spyware...) ;

· Un pirate informatique cherchant des informations sur les antécédents clients d'une personne en particulier, ou cherchant à prouver que le système est vulnérable ou qu'il y a négligence au sein de la Banque FINCA ;

· Le personnel de FINCA a aussi été identifié comme étant une source de menace que ce soit délibérément ou bien par négligence ou par curiosité mal placée ;

· L'administrateur système, les help desk ou le personnel de maintenance qui peuvent être soudoyés pour voler l'argents, ou bien dans une volonté de nuire délibérément au système afin de se venger d'un licenciement par exemple ;

· Les accidents et les catastrophes naturelles (panne de courant, les intempéries...).

Il est à noter que le personnel administratif n'est pas sensibilisé à l'éthique, au secret de la banque ainsi qu'à la sécurité informatique. L'étude a consisté par la suite à déterminer les risques à partir des éléments définis précédemment, et à estimer leur gravité et probabilité d'occurrence en prenant en compte les mesures de sécurité existantes.

3.2.3.10. Étude des événements redoutés :

Tableau 15.III: Étude des événements redoutés

Evènement redouté	Bien essentiel	Critère	Besoin de sécurité	Source de menace	Impact	Gravité
Indisponibilité des dossiers clients	Gérer les dossiers Clients informatiques	Disponibilité	Disponibilité immédiate	· Membre du service informatique, · Personnel utilisateur peu sérieux ou malveillant · Virus informatique, · Script kiddies, · Agence gouvernementale étrangère	Impossibilité de consulter les dossiers des clients, donc de fournir l'argent, peut s'avérer perte de gain pour le client.	Critique
Modification non autorisée d'un compte client	Gérer les comptes clients informatiques.	Intégrité	Intègre	Personnel du service informatique ou utilisateur malveillant, Virus informatique	Données comptes clients transmises non intègres, risques très important pour le client	Critique
Divulgation d'un compte client à une personne non autorisée	Gérer les comptes clients informatiques	Confidentialité	Réservé	· Membre du service informatique ou utilisateur système peu sérieux ou malveillant · Virus informatique script kiddies Agence gouvernementale étrangère	Divulgation du secret client, donc risques de préjudice importants pour le client et pour la réputation de la banque	Critique
Site internet indisponible	Gérer le contenu du site web	Disponibilité	Entre 4 et	24 · Virus informatique, · Script kiddies	Site web piraté	Limitée
Modification non autorisée du site internet	Gérer le contenu du site web	Intégrité	Détectable	· Script kiddies	Site web piraté	Limitée
indisponibilité du réseau et des transmissions	Gérer les transmissions	Disponibilité	Disponibilité immédiate	· Membre du service informatique ou utilisateur du système peu sérieux ou malveillant · Virus informatique · script kiddies	peut causer un préjudice grave au compte client et à la réputation de la banque	Critique
Interception et modification des données transitant sur le réseau	Gérer les transmissions	Intégrité	Détectable	· Membre du service informatique ou utilisateur système peu sérieux ou malveillant · Virus informatique · Script kiddies · agence gouvernementale étrangère	Risque pour le Compte client et pour la réputation de la banque	Critique
Interception des données transitant sur le réseau	Gérer les transmissions réseau,	Confidentialité	Réservé	· Virus informatique · Script kiddies · agence gouvernementale étrangère,	Divulgation du secret compte client et préjudice pour le client et la réputation de la banque	Critique

3.2.3.11. Evaluation des événements redoutés :

Il existe 9 événements à la gravité critique, L'importance relative des événements redoutés précédemment analysés (identifiés et estimés) est évaluée à l'aide du tableau suivant (critères de gestion des risques) :

Tableau 16.III: Evaluation des événements redoutés

Gravité	Evénement redouté
Critique	· Altération des comptes clients · Divulgation des comptes clients (secret de la banque) ; · Modification non autorisée des compte clients ; · Altération des résultats d'analyse modification des résultats d'analyse ; · Divulgation des résultats d'analyse à des personnes non autorisées ; · Interception des transmissions transitant sur le réseau ; · Indisponibilité du réseau ou du système ; · Modification des données transitant sur le réseau.
Limitée	· Modification non autorisée du site internet, · Indisponibilité du site internet.

3.2.3.12. Etude des risques

Nous avons établi la liste des risques à partir des événements redoutés et des scénarios de menaces précédemment appréciés.

Tableau 17.III: Les risques identifié

Evénement redouté	Besoin de sécurité	Sources de menace	Impact	Gravité
Indisponibilité de réseau ou des résultats d'analyse	Disponibilité immédiate	· Employé peu sérieux ou malveillant, · Incendie des locaux ou panne de courant ; · Script kiddies	Impossibilité de prodiguer les comptes nécessaires à un client	Critique
Intégrité des données stockées sur la base de données ou sur le réseau compromise	Intègre	· Employé peu sérieux ou malveillant · Script kiddies	Les données transmises sont fausses	Critique
Confidentialité des données stockées sur le réseau compromise	Réservée	· Employé malveillant ou ayant une curiosité mal placée	Divulgation du secret des comptes clients et d'informations à caractère personnel	Critique
Disponibilité du site internet	Disponible dans les 24h	· Employé malveillant	Atteinte à la crédibilité de l'établissement	Limitée
Intégrité du site internet	Intègre	· Employé malveillant	Atteinte à la crédibilité de l'établissement	Limitée

3.2.3.13. Les mesures proposées pour l'amélioration de la sécurité du système :

Le risque d'accès illégitime et de la modification non désirée des données personnelles des comptes bancaires des clients, les interruptions des réseaux doivent être évité ou réduit à un niveau acceptable. C'est pourquoi les contre-mesures que nous avons citées tout au long de cette partie du chapitre ne suffisent pas, il faut en outre se prémunir contre les intrusions destinées à détruire ou corrompre les données, ou à en rendre l'accès impossible. Les techniques classiques contre ce risque sont l'usage de pare-feu (firewalls) physique et le filtrage des communications réseauxqui permettent de protéger la partie privée d'un réseau dont les stations pourront communiquer avec internet sans en être « visibles ». Le terme visible est ici une métaphore qui exprime que nul système connecté à internet ne peut de sa propre initiative accéder aux machines du réseau local (seules ces dernières peuvent établir un dialogue) et que le filtre interdit certains types de dialogues ou de services, ou certains correspondants (reconnus dangereux) et un serveur Linux doté de Bro IDS et post-détecteurs placer au carrefour pour surveiller tous les paquets qui circulent dans le réseau qui semblent être suspects en vue d'alerter à l'amiable pour trouver une solution.