|
Ministère de l'Enseignement Supérieur et
de la Recherche
REPUBLIQUE TOGOLAISE
Travail-Liberté-Patrie
|
|
|
|
CENTRE INFORMATIQUE ET DE CALCUL (CIC)
|
|
|
N° d'ordre : 2020/MRI-015
MEMOIRE DE FIN DE FORMATION
pour
l'obtention du diplôme de
LICENCE PROFESSIONNELLE
Domaine : Sciences et Technologies
Mention : Informatique
Spécialité : Maintenance et
Réseaux Informatiques (MRI)
Thème :
ETUDE ET MISE EN PLACE D'UN SIEM (SECURITY INFORMATION
AND EVENT MANAGEMENT) OPEN
SOURCE : CAS DE « BANKeVI GROUPE
»
Présenté et soutenu publiquement le 26/10/2020
par :
KUAOVI KOKO Essen Obed
Devant le jury composé de :
Président du jury :
Examinateur :
Directeur de mémoire :
Dr Kossi TEPE (Enseignant chercheur au
CIC-UL)
M. Mohamed BARATE (Technicien en informatique
au CIC-UL)
Dr Venant PALANGA (Maître de
conférences et Enseignant au CIC-UL)
i
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Dédicaces
Gloire à Jéhovah, Dieu des cieux, le Tout
Puissant pour Sa faveur imméritée, Son amour infini, Son
assistance, Sa miséricorde, Lui grâce à qui j'ai pu arriver
à réaliser ce modeste travail que je dédie :
À mon cher père KUAOVI Urbain et à ma
chère mère ANIKA Adjovi, eux qui n'ont jamais cessé de me
soutenir, grâce à qui je ne baisserai jamais les bras. Vos
prières et vos bénédictions m'ont été d'un
grand soutien pour mener à bien mes études. Aucune
dédicace ne saurait être assez éloquente pour exprimer ce
que vous méritez pour tous les sacrifices que vous n'avez cessé
de m'accorder depuis ma naissance, durant mon enfance et même à
l'âge adulte. Vous avez fait plus que des parents puissent faire pour que
leurs enfants suivent le bon chemin dans leur vie et leurs études.
Puisse Dieu, le Tout Puissant, vous préserver et vous accorder
santé, longue vie, bonheur et prospérité.
À mon frère, ma soeur, mes cousins, mes oncles
et tantes pour le soutien qu'ils m'ont fourni. À tous mes camarades de
promotion qui ont toujours été là pour moi. À tous
ceux qui m'ont encouragé, je ne saurais citer tous les noms de peur d'en
oublier, mais je vous remercie du fond du coeur.
Essen Obed KUAOVI KOKO
ii
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Remerciements
Nous remercions d'abord Dieu Tout Puissant pour la
santé et l'intelligence sans lesquelles ce travail ne saurait
aboutir.
Nous adressons particulièrement nos remerciements aux
membres du Jury, Dr Kossi TEPE le Président du Jury et M. Mohamed BARATE
l'examinateur qui nous ont fait l'honneur de leur présence lors de notre
soutenance. Nous profitons de l'occasion pour leur adresser nos sincères
respects. Leurs remarques et suggestions nous ont été très
utiles et fructueuses pour la finalisation de notre formation.
Nous remercions ceux qui, de près ou de loin, nous ont
aidés ou soutenus d'une manière ou d'une autre pour
l'élaboration de ce mémoire. Notre gratitude va
particulièrement à :
· Dr Kossi ATCHONOUGLO, Maître de
conférences, Directeur du CIC, pour tous les efforts qu'il ne cesse de
déployer pour le CIC pour le porter à son plus haut niveau ;
· Dr Tchamye Tcha-Esso BOROZE, Directeur adjoint du CIC,
pour son dévouement en faveur de la cause estudiantine ;
· Dr Venant Eyouléki PALANGA,
Maître-Assistant, Ex-Directeur Adjoint au CIC, notre Directeur de
mémoire, qui a supervisé et encadré notre travail de
mémoire pour l'orientation, la confiance, la patience, les conseils et
suggestions qui ont constitué un apport considérable sans lequel
ce travail n'aurait pas pu être mené à bon port. Merci
également à lui pour son encadrement et ses efforts consentis
pour la réussite de notre cursus scolaire. Nous avons admiré sa
disponibilité malgré ses nombreuses occupations. Qu'il trouve
dans ce travail un hommage vivant à sa haute personnalité ;
· Monsieur Francis TOSSOU, Directeur Système
d'Information à BANKeVI GROUPE, notre maître de stage ;
· Tout le personnel de BANKeVI GROUPE ;
· Mon père Urbain KUAOVI pour son
indéfectible soutien, ses conseils, la confiance qu'il a toujours dans
ce que j'entreprends et pour ses encouragements ;
· Ma mère Adjovi ANIKA, pour son affection et son
soutien ;
· Mon frère Shalom et ma soeur Jessica KUAOVI
;
· Tout le personnel Enseignant, Administratif et
Technique du CIC pour leur disponibilité et soutien durant notre
période de formation ;
· Nos promotionnaires, avec qui nous avons connu et
continuons par vivre des moments de partage, d'échanges et d'ambiance
fraternelle, spécialement Etsè FIATSI, Hervé K. VEYATO
AKPAKU, Cédric KOUDAYAH, Emmanuel P. AMOU, Zourkalaïni BOUBAKAR,
Maxime E. N'GNAMA et Igor BESSAN.
iii
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Résumé
Le renforcement de la sécurité informatique est
devenu une nécessité primordiale aujourd'hui, étant
donné l'apparition des diverses formes d'attaques informatiques. De ce
fait, ce sont les réseaux d'entreprises, d'institutions, de
gouvernements qui ont le plus besoin de cette sécurisation car elles
sont fréquemment les cibles des attaques d'intrusion. Lors de notre
stage
effectué à BANKeVI GROUPE, nous avons
étudié et mis en place un outil de sécurité
informatique.
L'objectif du travail était d'améliorer la
sécurité du système informatique de l'entreprise à
travers un outil qui puisse gérer les information et
évènements de sécurité. Pour atteindre cet
objectif, une étude générale des systèmes de
gestion d'évènements et d'informations de sécurité
a été faite. Ensuite, la solution AlienVault OSSIM a
été choisie parmi celles qui existent. Enfin, une
implémentation de la solution retenue a été faite dans un
environnement virtuel.
Comme résultats, l'on a pu avoir une gestion
centralisée des équipements informatiques de l'entreprise,
détecté en temps réel les activités, les
informations et évènements du système, et alerté en
cas d'intrusions ou d'anomalies. En somme, l'implémentation du
système de gestion d'information et d'évènements de
sécurité OSSIM est toujours en phase d'essai afin d'être
optimisé au mieux.
iv
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Abstract1
Strengthening computer security has become a primary
necessity today, given the emergence of various forms of cyber-attacks. As a
result, it is the networks of companies, institutions and governments that need
this security the most because they are frequently the targets of intrusion
attacks. During the internship carried out at BANKeVI GROUPE,
we studied and implemented a network security system.
The objective of the work was to improve the security of the
company's IT system through a tool that can manage security information and
events. To achieve this goal, a general study of event management and security
information systems was carried out. Then, the AlienVault OSSIM solution was
chosen among those that exist. Finally, an implementation of the chosen
solution was made in a virtual environment.
As a result, we were able to have centralized management of
the company's IT equipment, detected in real time system activities,
information and events, and alerted in the event of intrusions or anomalies. In
short, the implementation of the OSSIM security information and event
management system is still in the testing phase in order to be optimally
optimized.
1 Traduit à l'aide de Google Translate
v
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Dédicaces i
Remerciements ii
Résumé iii
Abstract iv
Table des matières v
Liste des figures ix
Liste des tableaux xi
Introduction générale 1
Chapitre 1 : Présentation du C.I.C. et de BANKeVI GROUPE
2
Introduction 3
Présentation du C.I.C. 3
1.2.1. Les missions du C.I.C. 4
1.2.2. Organisation administrative du C.I.C. 4
1.2.3. Offres de formation 5
Présentation de BANKeVI GROUPE 6
1.3.1. Organisation structurelle 7
1.3.2. Les Départements de BANKeVI GROUPE 8
1.3.3. Missions de BANKeVI GROUPE 9
Conclusion 10
Chapitre 2 : Etude préalable du sujet 11
2.1. Introduction 12
2.2. Etude et critique de l'existant 12
2.2.1. Etude de l'existant 12
2.2.1.1. Réseau informatique 12
2.2.1.2. Matériel informatique 13
2.2.2. Critique de l'existant 14
2.3. Problématique 15
2.4. Objectifs du projet 16
2.4.1. Objectif général 16
2.4.2. Objectifs spécifiques 16
2.5. Résultats attendus 16
2.6. Périmètre du projet 16
vi
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
2.7. Méthodologie 17
2.8. Conclusion 17
Chapitre 3 : Généralités sur les
réseaux et la sécurité informatique 18
3.1. Introduction 19
3.2. Les réseaux informatiques 19
3.2.1. Définition 19
3.2.2. Les protocoles réseaux 19
3.2.3. Faiblesses des réseaux 19
3.3. La sécurité informatique 20
3.3.1. Définition 20
3.3.2. Différents aspects de la sécurité
20
3.3.3. Objectifs de la sécurité informatique 21
3.3.4. Les menaces 22
3.4. Les principales attaques 22
3.4.1. Attaque des réseaux 22
3.4.2. Attaques du système d'exploitation 23
3.4.3. Attaques applicatives 24
3.5. Mise en place d'une politique de sécurité
réseau 24
3.5.1. Définition 24
3.5.2. Objectif d'une politique de sécurité
réseau 25
3.5.3. Les différents types de politiques de
sécurité 25
3.6. Les techniques de parade aux attaques 26
3.6.1. La suite de sécurité IPsec 26
3.6.2. Pare-feu ou Firewall 26
3.6.3. Serveur Proxy 27
3.6.4. DMZ (Demilitarized zone) 27
3.6.5. Antivirus 28
3.6.6. Les IPS et IDS 28
3.7. S.I.E.M. (Security Information and Event Management) 30
3.7.1. Historique des S.I.E.M. 30
3.7.2. S.I.M., S.E.M. et S.I.E.M. 30
3.7.3. Rôles et fonctionnement des S.I.E.M. 31
3.7.3.1. Rôles 32
3.7.3.2. Fonctionnement des S.I.E.M. 32
vii
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
3.7.4. Avantages et inconvénients des S.I.E.M. 34
3.7.4.1. Avantages 35
3.7.4.2. Inconvénients 36
3.8. Propositions et choix de solutions 37
3.8.1. Présentation de quelques solutions S.I.E.M. 37
3.8.1.1. SPLUNK Enterprise 37
3.8.1.2. IBM QRadar 38
3.8.1.3. ELK 39
3.8.1.4. AlienVault OSSIM/USM 40
3.8.2. Choix de solution 41
3.9. Etude d'AlienVault OSSIM 42
3.9.1. La détection 42
3.9.1.1. Méthodes de détection 43
3.9.2. L'analyse 43
3.9.2.1. Définition de la priorité des alarmes
44
3.9.2.2. Evaluation des risques 45
3.9.2.3. Corrélation 45
3.9.3. Le monitoring 46
3.9.4. Architecture d'OSSIM 46
3.9.5. Mode de fonctionnement d'OSSIM 48
3.10. Conclusion 49
Chapitre 4 : La mise en oeuvre 50
4.1. Introduction 51
4.2. Nouvelle architecture 51
4.2.1. Avantages de l'architecture retenue 52
4.2.2. Inconvénients de l'architecture retenue 52
4.3. Préparation de l'environnement de travail 52
4.4. Configuration de pfsense 53
4.5. Configuration de D.V.W.A. 61
4.6. Configuration de la machine Windows 62
4.6.1. Configuration réseau 62
4.6.2. Configuration d'OSSEC 62
4.7. Configuration d'OSSIM 63
4.8. Les tests 71
viii
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
4.9. Résultat final du déploiement 75
4.10. Evaluation financière 76
4.11. Conclusion 78
Conclusion générale 79
Bibliographie 80
ix
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 1 : Image satellite du C.I.C. par Google Earth 3
Figure 2 : Organigramme du C.I.C. 5
Figure 3 : Plan de localisation de BANKeVI GROUPE 7
Figure 4 : Structure organisationnelle de la
société BANKeVI GROUPE 8
Figure 5 : Architecture réseau actuelle de BANKeVI
GROUPE 13
Figure 6 : Pare-feu dans un réseau 27
Figure 7 : Serveur proxy 27
Figure 8 : DMZ 28
Figure 9 : Logo de SPLUNK 38
Figure 10 : Logo d'IBM QRADAR 39
Figure 11 : Logo d'ELK 40
Figure 12 : Logo d'AlienVault 41
Figure 13 : Logo d'AlienVault OSSIM 41
Figure 14 : Architecture d'OSSIM 46
Figure 15 : Flux de données du serveur OSSIM 47
Figure 16 : Représentation du fonctionnement d'OSSIM
en environnement de production 49
Figure 17 : Nouvelle architecture de « BANKeVI GROUPE
» 51
Figure 18 : Assignation des interfaces de PfSense 54
Figure 19 : Tableau de bord de PfSense 54
Figure 20 : Les Packages installés 55
Figure 21 : Les alias des interfaces et des ports 55
Figure 22 : Les règles de filtrage de l'interface WAN
56
Figure 23 : Les règles de filtrage de l'interface
DMZWEB 56
Figure 24 : Les règles de filtrage de l'interface
DMZ-Monit 57
Figure 25 : Les règles de filtrage de l'interface
interne (INT) 57
Figure 26 : La configuration du paquet Snort 58
Figure 27 : La configuration générale de Snort
59
Figure 28 : La configuration de Barnyard2 60
Figure 29 La configuration de système de Logs 60
Figure 30 : Page d'accueil de DVWA 61
Figure 31 : Interface des attaques de DVWA 61
Figure 32 : Configuration de l'adresse IP de la machine
Windows 62
Figure 33 : Configuration d'OSSEC 62
Figure 34 : Interface OSSIM 63
Figure 35 : Interface de configuration de base d'OSSIM 63
Figure 36 : Configuration d'adresse IP de OSSIM 64
Figure 37 : Interface graphique d'OSSIM 64
Figure 38 : Interface web OSSIM 65
Figure 39 : Base de données OSSIM 66
Figure 40 : Statistiques des évènements des
agents OSSEC 66
Figure 41 : « Rules » de Snort 67
Figure 42 : Tableau de bord de la supervision « Nagios
» 67
Figure 43 : Détection en temps réel d'OSSIM
68
x
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 44 : Configuration du relais de messagerie d'OSSIM
68
Figure 45 : Spécification des informations des
messages mails à envoyer par OSSIM 69
Figure 46 : Résultats d'analyses de
vulnérabilités par services et par réseaux 69
Figure 47 : Classement des résultats d'analyse de
vulnérabilités par hôtes analysés 70
Figure 48 : Anomalies et vulnérabilités
détectées sur le système 70
Figure 49 : Résultat du scan de la machine de la
victime 71
Figure 50 : Accès à l'invite de commande de la
victime 72
Figure 51 : Détection en temps réel de
l'intrusion par OSSIM 72
Figure 52 : Création d'un dossier depuis la machine de
l'attaquant vers la machine de la victime
73
Figure 53 : Création d'un fichier depuis la machine de
l'attaquant vers la victime 74
Figure 54 : Vérification de la création du
dossier sur la machine de la victime 74
Figure 55 : Vérification de la création du
fichier sur la machine de la victime 75
xi
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Tableau 1 : Serveurs de BANKeVI GROUPE 14
Tableau 2 : Achat des matériels 76
Tableau 3 : Coût de l'implémentation 77
Tableau 4 : Coûts de la formation de l'administrateur
système 77
Tableau 5 : Coût d'entretien du serveur 77
1
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Introduction générale
La notion du réseautage constitue une base importante
du monde moderne. Tout le système universel fonctionne en réseau,
que ce soit économiquement, socialement ou politiquement. En effet,
cette notion est appliquée aussi dans le domaine technologique. Le
réseau représente le noyau de chaque système informatique.
Le réseau informatique est devenu un outil irremplaçable pour les
activités des entreprises. La sécurité de ces derniers est
dès lors devenue une préoccupation majeure à cause des
menaces qui s'y rapportent. De ce fait, la sécurité informatique
est devenue une notion très importante et primordiale dans le domaine
informatique. L'évolution de la technologie oblige beaucoup
d'organisations et gouvernements à mettre en place des systèmes
d'information très développés pour être viables. Ces
systèmes d'information, ouverts à internet, contiennent donc des
informations très critiques pour le bon déroulement des
activités organisationnelles. Cependant, de nombreuses entreprises et
institutions sont victimes d'attaques et d'intrusions au niveau de leur
système et leur base de données. Les logiciels malveillants,
surtout les chevaux de Troie bancaires, les attaques de « phishing »,
le vol et la perte de périphériques mobiles, les logiciels
malveillants pour smartphones et tablettes sont des menaces qui affectent de
plus en plus les entreprises et les utilisateurs en Afrique [1]. La
multiplication des « Ransomwares » ou « Rançongiciels
» depuis 2016 a atteint un niveau critique de menaces informatiques [2].
Le virus escroc « Wannacry » et l'attaque « Petya » ont
montré que l'Afrique n'est pas épargnée par les attaques
électroniques globalisées [3]. C'est un problème majeur
que des intrus aient accès aux données confidentielles et ceci
peut conduire à la perte de crédibilité, et peut aussi
coûter une fortune aux victimes (individus, entreprises privées,
entreprises gouvernementales, institutions, etc.). L'intrusion informatique est
en fait un délit passible d'une pénalisation. Il est donc capital
d'être en mesure d'avoir une gestion centralisée des
évènements et des informations qui transitent dans son
réseau, d'analyser les évènements de
sécurité en temps réel afin de se protéger des
attaques : c'est l'objectif principal des « Security Information and Event
Management (S.I.E.M.) », qui désignent un ensemble de technologies
de détection des attaques informatiques destinés aux entreprises
afin d'avoir une vue globale de l'état de sécurité de leur
système informatique. C'est ainsi qu'on peut se poser les questions
suivantes : qui attaque le système ? D'où provient l'attaque ?
Quand est-ce-que l'intrusion a-t-elle eu lieu ? Comment le pirate a-t-il pu
compromettre le système ? Comment se protéger ? Comment anticiper
de futures attaques ? Pour résoudre ce problème majeur, une
solution efficace doit être adoptée, par exemple la mise en place
d'un système de gestion d'évènements et d'informations du
système informatique. Afin de combler ce besoin imminent de
sécurité, plusieurs solutions ont été mises en
place pour prévenir et détecter les intrusions. C'est dans ce
cadre que s'inscrit le projet intitulé : ETUDE ET MISE EN PLACE D'UN
S.I.E.M. (SECURITY INFORMATION AND EVENT
MANAGEMENT) OPEN SOURCE : CAS DE « BANKeVI GROUPE
». « AlienVault
OSSIM » est le S.I.E.M. « open source » qui
fait l'objet de ce mémoire de fin d'étude. Le travail est
divisé en quatre (04) chapitres dont le premier présente le
centre de formation et le cadre de
stage, « BANKeVI GROUPE » ; le deuxième est
consacré à l'étude préalable du sujet ; le
troisième chapitre traite des
généralités sur les réseaux et la
sécurité informatiques et de l'étude des systèmes
de gestion d'informations et d'évènements de
sécurité. Le dernier chapitre est dédié à la
mise en oeuvre d'AlienVault OSSIM qui est l'outil de base qui fait l'objet du
projet.
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Chapitre 1 : Présentation du C.I.C. et
de
BANKeVI GROUPE
|
|
2
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
3
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Introduction
Tout d'abord, une présentation du C.I.C. qui est le
cadre d'étude et ensuite de BANKeVI GROUPE, le cadre du stage dans
lequel le projet a été réalisé sera faite.
Présentation du C.I.C.
Le Centre Informatique et de Calcul (C.I.C.) est un
établissement et un centre de ressources de l'Université de
Lomé créé par arrêté N°67/MENRS du 26
Septembre 1988 pour apporter un appui logistique en informatique aux
établissements et à l'administration de l'Université de
Lomé et pour former des cadres supérieurs en informatiques
[4].
A ce titre, le C.I.C. développe des applications
informatiques et délivre des services au profit de l'administration
universitaire de Lomé, et aussi offre un cadre pour la formation en
informatique.
Comme le montre la figure 1, le C.I.C. se trouve dans
l'enceinte de l'Université de Lomé (U.L.), et est situé
entre la Faculté Des Sciences (F.D.S.) et la Faculté des Sciences
de la Santé (F.S.S.).
Figure 1 : Image satellite du C.I.C. par Google
Earth
Le C.I.C. abrite en son sein :
· L'académie CISCO pour la formation et la
préparation du C.C.N.A. (CISCO Certified Network Associate) ;
· Le Centre Virtuel Africain (C.V.A.) ouvert aux
enseignants pour le partage des cours en ligne ;
4
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
· Le projet Pan Africain e-Network, un programme de
télé-enseignement en partenariat avec quatre (4)
Universités Indiennes dont les Universités de Madras, Delhi,
Amity International et Birla Institute of Technology and Science (B.I.T.S.)
pour des formations en Master en informatique, des MBA, des certifications en
comptabilité et en électronique [4].
Depuis l'avènement du système LMD
(Licence-Master-Doctorat) en 2009, le C.I.C. forme en parcours Licence
Professionnelle, spécialités génie logiciel et maintenance
et réseaux informatiques. Depuis mars 2016, il a ouvert ses portes au
Master en collaboration avec l'Institut Africain d'Informatique (I.A.I.) et
l'Université de Technologie Belfort-Montbéliard (U.T.B.M.) en
France.
1.2.1. Les missions du C.I.C.
Le C.I.C. est le centre de formation en informatique de
l'Université de Lomé. Parmi les objectifs du C.I.C. on peut citer
:
· Résoudre les problèmes informatiques
à l'Université de Lomé ;
· Fournir une assistance technique aux institutions
(mise en place des systèmes d'information) ;
· Apporter une assistance (mise à la disposition
et formation pour l'utilisation des outils de la nouvelle technologie) aux
chercheurs de l'université ;
· Assurer la formation académique des
étudiants ;
· Gérer l'accès internet de
l'Université de Lomé ;
· Gérer le site web de l'Université de
Lomé.
1.2.2. Organisation administrative du C.I.C.
[4]
Le Centre Informatique et de Calcul (C.I.C.) est
dirigé par un directeur assisté d'un directeur adjoint. La
structure administrative du C.I.C. est composée de :
· L'Assemblée d'établissement ;
· La Commission Scientifique et Pédagogique (C.S.P.)
;
· La Direction ;
· Le collège des chefs de division ;
· Le service des examens ;
· La Cellule d'Information Pédagogique (C.I.P.) ;
· La Commission des finances et du budget ;
· La Cellule Assurance Qualité.
Le Centre Informatique et de Calcul (C.I.C.) dispose
actuellement de quatre (4) divisions :
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
· Division enseignement en
charge de la formation universitaire au grade Licence et Master.
· Division système d'information
chargée de l'étude, de la conception, de la mise en
oeuvre de la gestion du système d'information global de
l'Université de Lomé.
· Division Développement
chargée des études informatiques nécessaires
à l'informatisation des différentes entités de
l'Université de Lomé, de la conception et du développement
des applications informatiques et de la maintenance des logiciels
développés.
· Division Maintenance
informatique, chargée de la maintenance des
équipements informatiques de l'Université de Lomé, de la
mise en oeuvre des programmes d'assemblage de micro-ordinateurs initiés
par le C.I.C., de la réalisation des différentes études
nécessaires à l'informatisation de toutes les entités de
l'Université de Lomé en collaboration avec les autres
divisions.
L'organigramme du C.I.C. est présenté à la
figure 2 :
Figure 2 : Organigramme du C.I.C.
1.2.3. Offres de formation
Le Centre Informatique et de Calcul offre, dans le domaine des
Sciences et Technologie (ST), un (1) parcours Licence dans les
spécialités suivantes :
5
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
6
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
· Génie Logiciel (GL) ;
· Maintenance et Réseaux Informatiques (MRI).
Le C.I.C. offre également en partenariat avec
l'Université de Technologie de Belfort-Montbéliard (U.T.B.M.) de
France et l'Institut Africain d'Informatique (I.A.I.), une formation de Master
Informatique [4]:
· Master Informatique, Spécialité
Génie Logiciel ;
· Master Informatique, Spécialité
Systèmes et Réseaux.
En dehors de ces deux principales formations, le C.I.C. forme
à la préparation au CISCO Certified Network Associate
(C.C.N.A.).
L'accès à la formation en Licence au C.I.C. est
conditionné par la réussite au concours d'entrée ouvert
aux titulaires du diplôme de Baccalauréat, séries C, D, E
ou équivalent avec un excellent niveau en mathématiques.
Présentation de BANKeVI GROUPE
BANKeVI GROUPE est une société qui
évolue dans plusieurs domaines d'activités avec ses
départements :
· B-COM : c'est le département produisant tout ce
qui est lié à la visibilité et à la communication
;
· BANK'EVENT : c'est le département qui s'occupe
des prestations évènementielles ;
· B-TECH : c'est le département informatique.
Fondée par deux jeunes entrepreneurs togolais aux
compétences complémentaires, elle a su orienter ses
activités, en ne se contentant pas de gérer des projets
classiques mais en misant sur des collaborateurs aux compétences et
domaines d'activités variés. Il en résulte aujourd'hui,
une grande expérience, et une véritable ouverture d'esprit qui
lui permet de proposer des services d'une grande qualité adaptée
aux besoins de ses clients. Située dans le quartier
d'Attiégou, non loin de Togo 2000, BANKeVI GROUPE est
joignable aux adresses suivantes :
· BP : 01BP4929 Lomé-TOGO ;
· Téléphone : +228 22 26 79 96 ;
· E-mail :
contact@bankevi.com ;
· Site web:
https://www.bankevi.com.
La figure 3 montre le plan de localisation de BANKeVI GROUPE
:
7
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 3 : Plan de localisation de BANKeVI
GROUPE
1.3.1. Organisation structurelle
La figure 4 présente l'organisation structurelle de la
société BANKeVI GROUPE :
8
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Directeur General
|
|
|
|
|
Comptabilité
|
|
|
Division
BANK'EVENT
|
|
Figure 4 : Structure organisationnelle de la
société BANKeVI GROUPE
1.3.2. Les Départements de BANKeVI
GROUPE
· Division B-TECH
Secretariat
Division
Division
B-COM
Ce département conçoit et gère des
solutions qui améliorent l'efficacité des organisations et le
pouvoir d'achat des individus. Elle est spécialisée en
développement de logiciels appliqués aux besoins des entreprises
et particuliers. Elle propose des solutions performantes pour la
création, le déploiement et la maintenance de progiciels. A
l'écoute des besoins de ses clients, les équipes de la B-TECH
apportent une réponse personnalisée à la
réalisation de leurs projets. Ils développent une gamme
complète de services pour accompagner sa clientèle dans la mise
en oeuvre de ses projets.
C'est dans ce département que le stage a
été effectué.
· Division B-COM
La publicité est un élément constitutif
du mix et des stratégies marketing. Comment briser le mur de
l'indifférence autour des marques et produits. Comment jeter un regard
différent sur des produits souvent connus, banalisés et des codes
publicitaires déjà bien établis. Comment émerger et
développer un territoire d'expression qui correspond pleinement à
la clientèle. La B-COM mobilise ses talents créatifs pour donner
au message de sa clientèle la force et l'impact nécessaire pour
produire des résultats. A l'heure où le potentiel
économique d'Internet est indéniable, l'élaboration d'une
stratégie Web efficace est aujourd'hui une nécessité.
9
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Comment construire une stratégie digitale qui soit le
véritable reflet de la stratégie d'entreprises sur Internet, et
qui permette d'en optimiser l'efficacité et la performance ? La B-COM a
acquis de solides compétences dans la réalisation et la promotion
de sites internet publicitaire, vitrines, marchands et responsives.
Au-delà des dispositifs 100% digitaux, elle intervient dans
l'élaboration de dispositifs digitaux innovants qui plongent les clients
dans des univers interactifs et créatifs.
· Division B-EVENT
Quel que soit le besoin, le département
évènementiel propose un panel complet de services à forte
valeur ajoutée. Voici quelques exemples de prestations et
d'accompagnement qu'il pourrait vous offrir :
Ø organiser des road show dans plusieurs villes pour
aller à la rencontre de son public ;
Ø piloter la conception, le montage et la
réalisation de conventions, congrès et rendezvous business ;
Ø élaborer des programmes éditoriaux et
d'information à travers la sélection des thématiques et
des intervenants ;
Ø dynamiser un stand sur un salon, du design
jusqu'à l'aménagement ;
Ø concevoir des campagnes de communication
multicanales en print, web, digital et réseaux sociaux ;
Ø imaginer des concepts originaux pour rencontrer et
engager ses clients : petits déjeuners, soirées, voyages
inventives, jeux concours, challenges ... [5]
1.3.3. Missions de BANKeVI GROUPE
BANKeVI GROUPE conçoit et gère des solutions qui
améliorent l'efficacité des organisations
et le pouvoir d'achat des individus. Elle est
spécialisée en développement de produits et services
appliqués aux besoins des entreprises et particuliers. Elle propose des
solutions performantes à travers la création, le
déploiement et le suivi post-lancement des produits qu'elle
développe
pour ses clients. A l'écoute de leurs besoins,
l'équipe de BANKeVI GROUPE apporte une
réponse personnalisée à la
réalisation des projets de sa clientèle. Elle développe
une gamme complète de services pour accompagner sa clientèle dans
l'atteinte de ses objectifs de productivité :
· une approche et création personnalisée
pour chaque projet : spot publicitaire, film documentaire, histoire de vie, etc
;
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
· une gamme complète de services : caravane,
lancement de marque, prestation d'hôtesses, couverture
d'évènements, etc ;
· une conception intégrant la dimension
commerciale : infographie, imprimerie, sérigraphie, etc ;
· une équipe performante à la pointe des
technologies : création d'application mobile, de logiciel, site
internet, etc.
Dans un domaine en perpétuel mouvement, BANKeVI GROUPE
anticipe les évolutions technologiques et innovations afin de proposer
un service de qualité. Convaincu de la vocation économique de
l'informatique et de la bonne stratégie d'entreprise, elle adopte une
approche commerciale dès la conception des projets de sa
clientèle et lui propose un accompagnement au développement de sa
stratégie [6].
Conclusion
Le Centre Informatique et de Calcul (C.I.C.) est une
institution de l'Université de Lomé ayant pour mission d'apporter
un appui logistique et technique en informatique à l'administration de
l'université. C'est aussi un cadre de formation en informatique dans les
spécialités Génie
Logiciel et Maintenance et Réseaux Informatiques.
BANKeVI GROUPE est une société qui
conçoit et gère des solutions qui
améliorent l'efficacité des organisations et le pouvoir d'achat
des individus. Elle accueille aussi des stagiaires en fin de formation afin de
leur faciliter l'insertion en entreprise. Dans le chapitre suivant,
l'étude et la critique de l'existant de
BANKeVI GROUPE sera faite.
10
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Chapitre 2 : Etude préalable du
sujet
|
|
11
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
2.1. Introduction
Dans ce chapitre, l'étude et la critique de l'existant de
la société BANKeVI GROUPE seront
abordées afin de faire ressortir la problématique
et les objectifs à atteindre. Ensuite, la méthodologie ainsi que
les résultats attendus seront présentés.
2.2. Etude et critique de l'existant
Pour débuter ce travail, il serait nécessaire
d'avoir une idée claire et précise sur l'existant de BANKeVI
GROUPE, par rapport à son réseau informatique et au
matériel informatique à sa
disposition. Ensuite, une critique sera faite en fonction des
besoins pour la réalisation de notre projet.
2.2.1. Etude de l'existant
Cette étape permettra de rassembler des informations
sur l'existant de la société afin d'avoir une connaissance bien
définie du travail à effectuer.
2.2.1.1. Réseau informatique
La société dispose d'un réseau local auquel
se connectent tous ses membres. Un point d'accès
wifi permet à toute l'équipe de BANKeVI GROUPE
se trouvant dans ce réseau local d'avoir accès à internet.
La connexion internet est fournie par l'opérateur TOGOCOM via une
liaison ADSL (Asymetric Digital Subscriber Line, en Anglais). Cette
connexion à internet permet aussi d'accéder, depuis le local de
la société, à son serveur qui est hébergé en
ligne. Ce serveur est destiné au déploiement des projets de
l'entreprise à savoir les sites web, les applications, etc. La
société dispose également d'une zone
démilitarisée. Une zone démilitarisée ou DMZ
(Demilitarized Zone, en Anglais) est un sous-réseau
séparé du réseau local et isolé de celui d'internet
par un pare-feu. Ce sous-réseau contient les machines susceptibles
d'être accédées
depuis internet, et qui n'ont pas besoin d'accéder au
réseau local [7]. La DMZ de BANKeVI GROUPE comporte un serveur de noms
de domaine (DNS) et un serveur de vidéoconférence (Jitsi). La
figure 5 présente l'architecture réseau actuelle de la
société :
12
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
13
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 5 : Architecture réseau actuelle de
BANKeVI GROUPE
2.2.1.2. Matériel informatique
La société dispose de deux ordinateurs, la
première machine de marque HP destinée aux travaux du
secrétaire et la seconde machine destinée au comptable. Le reste
de l'équipe dispose chacun d'ordinateur portable personnel.
Un routeur pfsense est aussi présent au sein de la
société et tourne sur un serveur HPE ProLiant DL360 Gen9. Il
permet d'interconnecter entre eux les différents réseaux,
à savoir le réseau local LAN (Local Area Network), la
DMZ et internet, assurant ainsi le routage des paquets d'une interface
réseau vers une autre. Un pare-feu est également configuré
sur ce routeur. Il permet de filtrer les paquets qui entrent et sortent tout
d'abord du réseau local vers la DMZ et internet, ensuite de la DMZ vers
le réseau local et internet, et enfin d'internet vers la DMZ et le
réseau local.
L'entreprise dispose aussi d'un serveur DNS pour la
résolution des noms de domaine internet en adresse IP (Internet
Protocol, en Anglais) ou autres enregistrements et d'un serveur Jitsi
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
utilisé par les applications de
vidéoconférence de l'entreprise. Le tableau 1 présente
leurs caractéristiques :
Tableau 1 : Serveurs de BANKeVI
GROUPE
Type de serveurs
|
Caractéristiques
|
Rôle des serveurs
|
Système
d'exploitation
|
|
Processeur : Intel Xeon
|
Serveur DNS :
|
|
|
E3-1225 v6
|
|
|
|
Mémoire : 8 Go DDR4
Disque Dur : 2 × 1 To 3,5» SATA
7200 RPM
Contrôleur Raid : Oui
|
Domain Name System est un service permettant de traduire
un nom de domaine en une
adresse IP et
inversement. Le serveur
|
|
Serveur Fujitsu
|
|
DNS fonctionne en utilisant le service
|
|
PRIMERGY TX1310 M3
|
|
« Bind9 »
|
Ubuntu 18.04
|
|
|
Serveur Jitsi : Jitsi est utilisé pour
la messagerie instantanée, la voix sur IP et la visioconférence.
Il supporte le protocole
|
|
|
|
« SIP » pour l'audio et intègre « Jingle
» pour la vidéoconférence, entre autres.
|
|
|
2.2.2. Critique de l'existant
En se basant sur l'architecture réseau, on note un
certain nombre d'insuffisances en matière de sécurité :
· l'inexistence de Systèmes de Détection
et/ou de Prévention d'Intrusion (I.D.S. / I.P.S.) ;
· l'absence de surveillance des activités du
réseau ;
· l'absence d'un système qui permettra de
gérer les évènements et les informations au sein du
réseau.
L'absence de services de sécurité
présente un réel danger pour l'entreprise et son fonctionnement
car le système est semblable à un bâtiment renfermant des
objets de grandes valeurs mais ne possédant pas des agents de
sécurité qui surveillent les entrées, sorties et les
14
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
15
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
activités à l'intérieur du
bâtiment. De plus, étant donné que la majorité des
attaques informatiques proviennent de sources externes, la
société risque d'être exposée à celles-ci. Il
est donc nécessaire qu'un système de sécurité soit
mis en place dans la société. Ce système la
protégera en réduisant le risque de compromission du
système informatique, tant depuis le réseau interne qu'en dehors
de celui-ci. Pour cela, il s'avère nécessaire d'équiper la
société d'un système qui lui permettra d'avoir une vue
d'ensemble sur chaque équipement et matériel du réseau, de
surveiller en temps réel les activités qui s'effectuent sur
chacun d'eux afin de détecter les éventuelles attaques et
réagir rapidement et avec précision face à ces
attaques.
2.3. Problématique
La sécurité informatique est devenue l'une des
préoccupations majeures des entreprises de notre ère. Les
attaques informatiques devenant de plus en plus grandissantes, les entreprises
ne se demandent plus si elles subiront des attaques. Elles se demandent
plutôt quand ces dernières
surviendront. Malgré quelques dispositions prises par
BANKeVI GROUPE, le réseau n'est pas
à l'abri d'intrusions ou de menaces d'attaques connues
des réseaux d'entreprise, car en sécurité informatique, le
risque zéro n'existe pas ; une sureté totale ne pouvant pas
être garantie. Pour assurer la sécurité des systèmes
informatiques, les pare-feu comme celui mis en place dans le
réseau de BANKeVI GROUPE permettent de réduire
partiellement ces risques. Cependant un réseau protégé par
un pare-feu demeure tout de même pénétrable vu qu'une
menace peut accéder au réseau à travers lui, ce qui est un
problème important à gérer. Mais ce n'est pas tout.
Archiver les traces, journaux et autres données circonstancielles issus
des équipements de sécurité, assurer la corrélation
entre les différents évènements produits au sein d'une
structure, générer des tableaux de bords et des rapports suite
aux différents évènements : telles sont les
différentes tâches qu'effectuent de manière distincte la
plupart des systèmes de sécurité. L'inquiétude est
que le fait de réaliser ces tâches distinctes demande beaucoup de
travail. Il va falloir par exemple analyser les évènements de
chaque équipement pour ensuite les fusionner afin d'avoir une vue
d'ensemble de ces évènements. Cela amène à se poser
des questions comme celles-ci : Comment répondre en une fois à
ces différentes tâches et besoins fondamentaux à travers un
seul système au lieu de plusieurs ? Comment savoir qui attaque le
système informatique de l'entreprise ? Quand est-ce-que l'attaque
a-t-elle eut lieu ? Comment
l'attaque a été effectuée ? Et quoi
faire en cas d'intrusion ? Comment BANKeVI GROUPE
peut se protéger des intrusions et/ou des menaces
d'attaques afin de protéger ses informations confidentielles ? Comment
avoir une gestion centralisée de tous les équipements de
sécurité (pare-feu, systèmes de détection et de
prévention d'intrusion, etc...) de l'entreprise et de tout son
système d'information ?
Dans cette optique, des recherches ont été
effectuées afin de proposer un système qui permettra à la
fois de collecter en temps réel les évènements issus des
différents matériels présents au sein de la
société, de surveiller les activités ayant lieu dans le
réseau afin de détecter les éventuelles intrusions et
menaces pour protéger la société contre celles-ci.
16
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
2.4. Objectifs du projet
Le projet à réaliser contient un objectif
général et des objectifs spécifiques décrits
ci-dessous :
2.4.1. Objectif général
L'objectif général du projet est
d'améliorer le système de sécurité informatique de
BANKeVI
GROUPE, à travers la mise en place d'un système
qui puisse gérer les informations et évènements de
sécurité, mais qui soit libre et à code source ouvert.
2.4.2. Objectifs spécifiques
Les objectifs spécifiques, qui aideront à
atteindre l'objectif général sont entre autres :
· être en mesure de collecter les traces des
évènements qui surviennent dans le système d'information,
les corréler pour en proposer une vision globale facile à
exploiter ;
· être en mesure d'avoir une vue d'ensemble et une
gestion centralisée des équipements informatiques présents
au sein du système informatique de l'entreprise ;
· être capable de détecter les tentatives
d'intrusion sur le système d'information.
2.5. Résultats attendus
A la fin du projet, le système adopté devra
permettre de :
· avoir une vue d'ensemble et une gestion
centralisée de tous les équipements informatiques de la
société ;
· disposer de rapports relatifs aux
évènements s'étant produits dans le système
d'information de la société ;
· avoir des alertes de sécurité après
combinaison des données des différents systèmes de
sécurité ;
· surveiller en continu le système d'information de
l'entreprise, en particulier au niveau sécuritaire ;
· optimiser la sécurité du système
informatique de la société.
2.6. Périmètre du projet
Notre projet s'inscrit dans le cadre d'une étude pour une
éventuelle implémentation dans le cas où les
résultats obtenus lors de l'étude sont concluants, c'est pour
cela que toutes les fonctionnalités (résultats attendus) du
projet doivent être implémentées. Notre projet a pour
but
d'assurer la sécurité de BANKeVI GROUPE, mais peut
également être implémenté dans
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
d'autres institutions, entreprises ou organisations qui
désirent sécuriser leur système informatique.
2.7. Méthodologie
Après une étude et analyse poussée des
objectifs et des résultats attendus, l'implémentation d'un
système de gestion des informations et évènements de
sécurité ou S.I.E.M. (Security Information and Event
Management, en Anglais) retiendra l'attention. La démarche
méthodologique suivie est celle-ci : après une recherche
bibliographique pour l'étude des généralités, des
solutions existantes et des différents outils nécessaires, nous
avons fait une analyse de l'architecture réseau de l'entreprise en vue
d'en proposer une nouvelle pour l'implémentation de la solution retenue.
Enfin, nous avons mis en place une solution test fonctionnelle dans un
environnement virtuel.
2.8. Conclusion
Dans ce chapitre, les problèmes de sécurité
auxquels fait face le réseau informatique de
BANKeVI GROUPE ont été présentés.
Pour remédier aux problèmes posés, la mise en place d'un
système de gestion d'informations et d'évènements de
sécurité a été choisie. Les résultats
attendus du projet et la démarche méthodologique à suivre
ont été exposés. Le prochain chapitre fera un bref
aperçu sur les réseaux informatiques, la sécurité
informatique, les menaces et les attaques que subissent les systèmes
informatiques de nos jours ainsi que les mesures de protection.
17
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Chapitre 3 : Généralités sur les
réseaux et la
sécurité informatique
|
|
18
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
19
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
3.1. Introduction
Les systèmes d'information sont aujourd'hui de plus en
plus ouverts sur Internet. Cette ouverture, a des avantages. Cependant, elle
pose un problème majeur : le nombre croissant d'attaques que subissent
ces systèmes. La mise en place d'une politique de sécurité
autour de ces systèmes est donc primordiale. Dans ce chapitre, les
méthodes de protection efficace des systèmes face aux menaces
seront abordées. Mais avant cela, il est important, pour comprendre le
rôle précis de ces systèmes, de faire un rappel sur les
réseaux informatiques, les menaces, les risques, les principales
attaques et les moyens de protection.
3.2. Les réseaux informatiques
Tout d'abord, une définition des réseaux sera
présentée, ainsi que les différents protocoles et
topologies des réseaux existants.
3.2.1. Définition
Le réseau informatique est l'interconnexion
d'équipements informatiques en vue d'échange et du partage des
ressources (disque dur, imprimantes, données, etc.) et cet ensemble est
géré par des logiciels [8]. Le terme générique
réseau définit un ensemble d'entité (objet, personnes,
...) interconnectées les unes avec les autres. Un réseau permet
ainsi de faire circuler des éléments matériels ou
immatériels entre chacune de ses entités selon des règles
bien définies [9]. Le réseau est l'ensemble des ordinateurs ou
périphériques qui sont connectés les uns aux autres.
3.2.2. Les protocoles réseaux
Comme définition générale, un protocole
réseau est un langage utilisé pour communiquer entre les machines
dans un réseau informatique. On peut citer le protocole ICMP
(Internet Control Message Protocol, en Anglais) qui permet de
contrôler les erreurs de transmission et aide au débogage
réseau, le protocole IP (Internet Protocol, en Anglais) qui est
le protocole de base du réseau Internet, le protocole TCP
(Transmission Control Protocol, en Anglais) qui permet aux
applications de communiquer de façon sûre (grâce au
système d'accusés de réception ACK) indépendamment
des couches inférieures, le protocole UDP (User Datagram
Protocol, en Anglais) qui permet l'envoi des messages appelés
datagrammes en évitant la surcharge du réseau, entre autres. Le
protocole IP est le plus courant des protocoles utilisés.
3.2.3. Faiblesses des réseaux
Les faiblesses des réseaux proviennent essentiellement
du fait que les protocoles réseaux n'aient pas été
conçus avec une prise en compte des problèmes sécuritaires
dès le départ. A cela se
20
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
rajoute les faiblesses issues de l'erreur humaine. Ainsi, on
peut classifier les faiblesses réseaux comme suit [10] :
· faiblesses des protocoles : les protocoles
réseaux n'ont pas été conçus pour contrecarrer les
attaques de sécurité potentielles ; ainsi les protocoles
réseaux ne s'appuient pas sur une couche "sécurité" et
offrent donc plusieurs vulnérabilités ;
· faiblesses d'authentification : la majorité des
protocoles ne s'appuient sur aucun mécanisme d'authentification. Ceci
facilite les attaques se basant sur l'usurpation d'identité comme «
IP Spoofing » ;
· faiblesses d'implémentation : certains
protocoles sont mal implémentés ou mal programmés ce qui
offre certaines vulnérabilités exploitables comme TCP SYN ou
« Ping-of-the-death » ;
· faiblesses de configuration : beaucoup d'attaques sont
dues à l'erreur humaine qui se manifeste, par exemple à travers
une mauvaise configuration de pare-feu, des serveurs, des routeurs, ou des
commutateurs.
3.3. La sécurité informatique
La sécurité informatique étant une
notion très abordée de nos jours, il va falloir définir ce
que c'est, évoquer ses différents aspects, énoncer ses
objectifs et dire brièvement de ce que c'est qu'une menace
informatique.
3.3.1. Définition
Du latin « securitas », qui veut dire absence de
soucis, tranquillité de l'âme, et qui est dérivé de
« securus », qui signifie exempt de soucis, exempt de crainte,
tranquille, la sécurité est définie selon le dictionnaire
Larousse comme étant la situation dans laquelle quelqu'un, quelque chose
n'est exposé à aucun danger, à aucun risque, en
particulier d'agression physique, d'accidents, de vol, de
détérioration. En informatique, la sécurité des
systèmes d'information est l'ensemble des moyens techniques,
organisationnels, juridiques et humains nécessaires à la mise en
place des moyens visant à empêcher l'utilisation
non-autorisée de l'information. On peut aussi la définir comme
étant l'ensemble des moyens mis en oeuvre pour minimiser la
vulnérabilité d'un système contre des menaces
accidentelles ou intentionnelles.
3.3.2. Différents aspects de la
sécurité
La sécurité des systèmes d'information
s'effectue sous plusieurs aspects. Ainsi on parlera de sécurité
physique, de sécurité logicielle, de l'aspect humain et
organisationnel :
· parlant de la sécurité physique ou
matérielle, le but sera de sécuriser l'accès aux
infrastructures matérielles comme les serveurs, les commutateurs et les
routeurs à travers un contrôle d'accès ou des salles
blindées par exemple ;
21
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
· pour ce qui concerne la sécurité
logicielle, elle consistera à sécuriser les données pour
que seules les personnes qui sont destinées à les consulter et
les traiter puissent y avoir accès. Pour cela, il va falloir
procéder par authentification par exemple ;
· l'aspect humain et organisationnel consiste à
former les utilisateurs sur les notions de sécurité et les
impacts d'une compromission de la sécurité des systèmes
informatiques. Cela permettra de limiter des comportements à risque.
D'un autre côté, il va falloir que le responsable
sécurité se forme et s'informe sur les nouvelles attaques et
failles en vue de maintenir son système régulièrement
à jour.
3.3.3. Objectifs de la sécurité
informatique
On appelle objectif de sécurité, le niveau de
risque acceptable qu'on souhaite atteindre en mettant en place une mesure ou
une politique de sécurité. La sécurité des
systèmes d'information vise les objectifs suivants :
· Disponibilité
Cet objectif stipule que le système doit fonctionner
sans faille durant les plages d'utilisation prévues et garantir
l'accès aux services et ressources installés avec le temps de
réponse attendu.
· Confidentialité
Cet objectif signifie que seules les personnes
autorisées ont accès aux informations qui leur sont
destinées. Tout accès indésirable doit être
empêché.
· Intégrité
L'intégrité exige que les données
demeurent celles que l'on attend, et ne doivent pas être
altérées de façon illicite ou malveillante. Les
éléments considérés doivent donc être exacts
et complets.
Ces trois objectifs sont les fondamentaux de la
sécurité informatique et forment ce qu'on appelle la triade de
sécurité. A ces trois objectifs s'ajoutent :
· L'Authentification
L'authentification pour un système informatique est un
processus permettant au système de s'assurer de la
légitimité de la demande d'accès faite par une
entité (être humain ou un autre système) afin d'autoriser
l'accès de cette entité à des ressources du système
(systèmes, réseaux, applications...)
· La non-répudiation
C'est la garantie qu'aucune entité ne peut nier son
implication dans une action à laquelle elle a participé.
22
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
· La traçabilité
C'est la garantie que les accès et tentatives
d'accès aux éléments considérés sont
tracés et que ces traces sont conservées et exploitables.
3.3.4. Les menaces
Le risque en termes de sécurité informatique,
est la probabilité qu'une attaque survienne. Il est
généralement caractérisé par l'équation
suivante :
menace x vulnérabilité
La menace (ou « threat » en anglais) est
toute cause potentielle d'incident. Tout ordinateur connecté à un
réseau informatique est potentiellement vulnérable à une
attaque, tandis que la vulnérabilité (« vulnerability
» en anglais), appelée parfois faille ou
brêche représente le niveau d'exposition face à la
menace. Elle peut être une erreur de conception (bug) pouvant
altérer la sécurité du système. On peut trouver des
vulnérabilités au niveau du système d'exploitation, au
niveau applicatif ou bien au niveau du réseau. Enfin la contre-mesure
est l'ensemble des actions mises en oeuvre en prévention de la menace.
Les contre-mesures à mettre en oeuvre ne sont pas uniquement des
solutions techniques mais également des mesures de formation et de
sensibilisation à l'intention des utilisateurs, ainsi qu'un ensemble de
règles clairement définies. Afin de pouvoir sécuriser un
système, il est nécessaire d'identifier les menaces potentielles,
et donc de connaître et de prévoir la façon de
procéder de l'ennemi.
3.4. Les principales attaques
Une attaque informatique est l'exploitation d'une faille d'un
système informatique (système d'exploitation, logiciel ou bien
même de l'utilisateur) à des fins non connues par l'exploitant du
système et généralement préjudiciables. Les
attaques touchent généralement trois composantes du
système à savoir la couche réseau, le
système d'exploitation et la couche applicative.
3.4.1. Attaque des réseaux
a) « Man in the middle »
Encore connus sous le nom de « l'attaque de l'homme du
milieu », c'est une attaque qui a pour but d'intercepter les
communications entre deux parties, sans que ni l'un ni l'autre ne puisse se
douter que le canal de communication entre elles a été
compromis.
23
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
b) Déni de Service (DoS)
Une « attaque par déni de service » (Denial
of Service en anglais), est une attaque ayant pour but de rendre indisponible
un service, d'empêcher les utilisateurs légitimes d'un service de
l'utiliser. Il peut s'agir de :
· l'inondation d'un réseau afin d'empêcher son
fonctionnement ;
· la perturbation des connexions entre deux machines,
empêchant l'accès à un service particulier ;
· l'obstruction d'accès à un service
à une personne en particulier.
L'attaque par déni de service peut ainsi bloquer un
serveur de fichiers, rendre impossible l'accès à un serveur web
ou empêcher la distribution de courriel dans une entreprise. Même
si seulement 15 % des entreprises en ont été victimes, selon
l'étude TELUS-Rotman, une telle cyberattaque peut causer de lourdes
pertes financières si elle vise un site web transactionnel par exemple
[11].
c) Usurpation d'adresse IP
« L'usurpation d'adresse IP » (également
appelé mystification ou en anglais « IP spoofing ») est une
technique consistant à remplacer l'adresse IP de l'expéditeur
d'un paquet IP par l'adresse IP d'une autre machine. Cette technique permet
ainsi à un pirate d'envoyer des paquets anonymement. Il ne s'agit pas
pour autant d'un changement d'adresse IP, mais d'une mascarade de l'adresse IP
au niveau des paquets émis. Le but peut être de masquer sa propre
identité lors d'une attaque d'un serveur, ou usurper en quelque sorte
l'identité d'un autre équipement du réseau pour
bénéficier des services auxquels il a accès.
3.4.2. Attaques du système
d'exploitation
a) L'écran bleu de la mort
Elle se réfère à l'écran
affiché par le système d'exploitation Windows lorsqu'il est au
point critique d'une erreur fatale. En général, la vue de cet
écran signifie que l'ordinateur est devenu complètement
inutilisable. Pour certains « Black Hat », leur but est d'arriver
à provoquer cet « écran bleu de la mort » sur plus
d'ordinateurs possibles.
b) « Fork Bomb »
Une « fork bomb » fonctionne en créant un
grand nombre de processus très rapidement afin de saturer l'espace
disponible dans la liste des processus gardée par le système
d'exploitation. Si la table des processus se met à saturer, aucun
nouveau programme ne peut démarrer tant qu'aucun autre ne se termine.
Même si cela arrive, il est peu probable qu'un programme utile
démarre étant donné que les instances de la bombe
attendent chacune d'occuper cet emplacement libre. Non seulement les «
fork-bombs » utilisent de la place dans la table des processus, mais elles
utilisent chacune du temps processeur et de la mémoire. En
conséquence,
24
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
le système et les programmes tournant à ce
moment-là ralentissent et deviennent même impossibles à
utiliser.
3.4.3. Attaques applicatives
Les attaques applicatives se basent sur des failles dans les
programmes utilisés, ou encore des erreurs de configuration.
a) Exploit
Un « exploit » est un élément de
programme permettant à un individu ou un logiciel malveillant
d'exploiter une faille de sécurité informatique dans un
système d'exploitation ou dans un logiciel que ce soit à distance
ou sur la machine sur laquelle cet exploit est exécuté ; ceci,
afin de prendre le contrôle d'un ordinateur ou d'un réseau, de
permettre une augmentation de privilège d'un logiciel ou d'un
utilisateur, ou encore d'effectuer une attaque par déni de service.
b) Dépassement de tampon
Un « dépassement de tampon » est un bug par
lequel un processus, lors de l'écriture dans un tampon, écrit
à l'extérieur de l'espace alloué au tampon,
écrasant ainsi des informations nécessaires au processus. Lorsque
le bug se produit non intentionnellement, le comportement de l'ordinateur
devient imprévisible. Il en résulte souvent un blocage du
programme, voire de tout le système. Le bug peut aussi être
provoqué intentionnellement et être exploité pour violer la
politique de sécurité d'un système. Cette technique est
couramment utilisée par les pirates.
3.5. Mise en place d'une politique de
sécurité réseau
Une chose est de connaitre les différentes attaques qui
existent, une autre est de prendre des mesures pour se protéger contre
ces attaques. Pour y arriver, il va falloir définir une politique de
sécurité. Qu'est-ce que c'est qu'une politique de
sécurité ? Quels sont ses objectifs ? Quels sont les
différents types de politique de sécurité qui existent ?
Les réponses à ces questions sont abordées dans la
suite.
3.5.1. Définition
Une politique de sécurité réseau est un
document générique qui définit les règles à
suivre pour les accès au réseau informatique et pour les flux
autorisés ou non, détermine comment les politiques sont
appliquées et présente une partie de l'architecture de base de
l'environnement de sécurité du réseau. La mise en place
d'une politique de sécurité adéquate est essentielle
à la bonne sécurisation des réseaux et systèmes
d'information. Les politiques de sécurité sont à la base
de l'infrastructure de sécurité d'une organisation. Toutefois,
leur but n'est pas de garantir
25
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
une sécurité absolue du système, ce qui
n'est pas évident vu qu'il n'existe pas de sécurité
absolue. Leur but est plutôt de réduire les risques de
compromission du système.
3.5.2. Objectif d'une politique de sécurité
réseau
La définition d'une politique de sécurité
n'est pas un exercice de style, mais une démarche de toute l'entreprise
visant à protéger son personnel et ses biens d'éventuels
incidents de sécurité dommageables pour son activité. La
définition d'une politique de sécurité réseau fait
intégralement partie de la démarche sécuritaire de
l'entreprise. Elle s'étend à de nombreux domaines, dont les
suivants :
· audit des éléments physiques, techniques
et logiques constituant le système d'information de l'entreprise ;
· sensibilisation des responsables de l'entreprise et du
personnel aux incidents de sécurité et aux risques
associés ;
· formation du personnel utilisant les moyens
informatiques du système d'information ;
· structuration et protection des locaux abritant les
systèmes informatiques et les équipements de
télécommunications, incluant le réseau et les
matériels ;
· ingénierie et maîtrise d'oeuvre des
projets incluant les contraintes de sécurité dès la phase
de conception ;
· gestion du système d'information de
l'entreprise lui permettant de suivre et d'appliquer les recommandations des
procédures opérationnelles en matière de
sécurité ;
· définition du cadre juridique et
réglementaire de l'entreprise face à la politique de
sécurité et aux actes de malveillance, 80% des actes malveillants
provenant de l'intérieur de l'entreprise ;
· classification des informations de l'entreprise selon
différents niveaux de confidentialité et de criticité.
3.5.3. Les différents types de politiques de
sécurité
Une politique de sécurité réseau couvre les
éléments suivants :
· sécurité de l'infrastructure
: couvre la sécurité logique et physique des
équipements et des connexions réseau, aussi bien internes que
celles fournies par des fournisseurs d'accès internet (FAT) ;
· sécurité des accès
: couvre la sécurité logique des accès locaux et
distants aux ressources de l'entreprise, ainsi que la gestion des utilisateurs
et de leurs droits d'accès au système d'informations de
l'entreprise ;
· sécurité du réseau
intranet face à Internet ou aux autres parties : couvre la
sécurité logique des accès aux ressources de l'entreprise
(Intranet) et l'accès aux ressources extérieures (Extranet).
26
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Pour résumer, la définition d'une politique de
sécurité réseau vise à la fois à
définir les besoins de sécurité de l'entreprise, à
élaborer des stratégies de sécurité afin de
protéger les biens les plus critiques et à définir le
référentiel des contrôles de sécurité.
3.6. Les techniques de parade aux attaques
Les différentes techniques de parades aux attaques
informatiques sont présentées dans cette rubrique afin de mieux
protéger son système informatique.
3.6.1. La suite de sécurité
IPsec
Les différents types de cryptographies
présentées dans les sections précédentes sont
utilisés dans divers protocoles de sécurité, tels
qu'IPsec, SSH (Secure Shell), SSL (Secure Sockets Layer), etc. Pour faire face
aux faiblesses de sécurité du protocole IPv4 (faiblesse
d'authentification des paquets IP, faiblesse de confidentialité des
paquets IP), une suite de protocoles de sécurité pour IP,
appelée IPsec (IP Security), a été définie par
l'I.E.T.F. (Internet Engineering Task Force, en Anglais) afin d'offrir
des services de chiffrement et d'authentification. IPsec est issu
d'études menées sur la future génération du
protocole IPv6, appelée I.P.N.G. (Internet Protocol Next
Generation, en Anglais), afin de faire face, entre autres, à la
pénurie future d'adresses IP et à l'impossibilité
d'allouer de la bande passante pour les applications multimédias. Cette
suite de sécurité s'impose aujourd'hui comme une solution majeure
pour créer des réseaux privés virtuels, sur Internet par
exemple. IPsec offre des services de contrôle d'accès,
d'intégrité des données, d'authentification de l'origine
des données, de parade contre les attaques de type paquets
rejoués (replay) et de confidentialité. De plus, il encapsule
nativement tous les protocoles IP (TCP, UDP, ICMP, etc.).
3.6.2. Pare-feu ou Firewall
Un pare-feu, de l'anglais « firewall », est un
système permettant de protéger un ordinateur ou un réseau
d'ordinateurs des intrusions provenant d'un réseau tiers. C'est un
logiciel et/ou un matériel qui inspecte les paquets entrants et sortants
du réseau afin d'autoriser ou d'interdire leur passage en se basant sur
un ensemble de règles appelées ACL (« Access Control List
»). Il enregistre également les tentatives d'intrusions dans un
journal transmis aux administrateurs du réseau et permet de
contrôler l'accès aux applications et d'empêcher le
détournement d'usage. Un pare-feu dans un réseau a pour but de
déterminer le type de trafic qui sera acheminé ou bloqué,
de limiter le trafic réseau et accroître les performances,
contrôler le flux de trafic, fournir un niveau de sécurité
d'accès réseau de base, autoriser un administrateur à
contrôler les zones auxquelles un client peut accéder sur un
réseau, filtrer certains hôtes afin de leur accorder ou de leur
refuser l'accès à une section de réseau. Le schéma
d'un pare-feu ou « firewall » est illustré à la figure
6 :
27
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 6 : Pare-feu dans un
réseau
3.6.3. Serveur Proxy
Un serveur proxy ou serveur mandataire, est une machine qui
fait l'intermédiaire entre un matériel (ordinateur, smartphone,
tablette...) et un autre réseau, généralement internet. Un
proxy est donc un ensemble de processus permettant d'éliminer la
connexion directe entre les applications des clients et les serveurs. Les
organisations utilisent les proxys pour permettre à des machines de leur
réseau d'utiliser Internet sans risque et sans que les utilisateurs
externes ne soient capables d'accéder à ce réseau, comme
le montre la figure 7.
Figure 7 : Serveur proxy
3.6.4. DMZ (Demilitarized zone)
Une DMZ (Demilitarized zone) est une zone tampon d'un
réseau d'entreprise, située entre le réseau local et
Internet, derrière le pare-feu. Il s'agit d'un réseau
intermédiaire regroupant des serveurs publics (HTTP, DHCP, mails, DNS,
etc.). Ces serveurs devront être accessibles depuis le réseau
interne de l'entreprise et, pour certains, depuis les réseaux externes.
Le but est ainsi d'éviter toute connexion directe au réseau
interne. La figure 8 illustre ce que c'est qu'une DMZ :
28
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 8 : DMZ
3.6.5. Antivirus
Les antivirus sont des programmes qui permettent de
détecter la présence de virus ou programmes malveillants sur un
ordinateur et de les supprimer. L'antivirus analyse les fichiers entrants
(fichiers téléchargés ou courriers électroniques)
et, périodiquement, la mémoire vive de l'ordinateur et les
périphériques de stockage comme les disques durs, internes ou
externes, les clés USB et les cartes à mémoire Flash. La
détection d'un logiciel malveillant peut reposer sur trois
méthodes :
· Reconnaissance d'un code déjà connu
(appelé signature) et mémorisé dans une base de
données.
· Analyse du comportement d'un logiciel (méthode
heuristique).
· Reconnaissance d'un code typique d'un virus.
3.6.6. Les IPS et IDS
Un IDS (Intrusion Detection System), signifie système
de détection d'intrusion. C'est un logiciel, un matériel ou une
combinaison des deux utilisé pour détecter l'activité d'un
intrus dans un réseau [14]. Ce système informatique a le
rôle de détecter toute tentative d'intrusion. Un IDS fait une
analyse de certaines informations en vue de détecter des
activités malveillantes qui seront notifiées aux responsables de
la sécurité du système dans le plus bref délai
possible. Cette raison fait de la majorité des IDS des systèmes
qui opèrent en temps réel. Pourtant, il y a des IDS qui
réagissent en mettant fin à une connexion suspecte par exemple
suite à la détection d'une intrusion. On a plusieurs types d'IDS
disponibles de nos jours qui sont caractérisés par des
surveillances différentes et des approches d'analyse. On cite
essentiellement trois types d'IDS :
29
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
a) Network-Based IDS (NIDS) ou Systèmes de
détection d'intrusion réseau :
Le rôle essentiel d'un IDS réseau est l'analyse
et l'interprétation des paquets circulant sur ce réseau.
L'implantation d'un NIDS sur un réseau se fait de la façon
suivante : des capteurs sont placées aux endroits stratégiques du
réseau et génèrent des alertes s'ils détectent une
attaque. Ces alertes sont envoyées à une console
sécurisée, qui les analyse et les traite éventuellement
[15]. Cette console est généralement située sur un
réseau isolé, qui relie uniquement les capteurs et la console sur
ce réseau.
Un capteur est une machine dont la carte réseau est
configurée en mode « promiscuous » (le mode dans
lequel la carte réseau lit l'ensemble du trafic). Pour cela, un capteur
possède en général deux cartes réseaux, une
placée en mode furtif sur le réseau, l'autre permettant de le
connecter à la console de sécurité [15]. Du fait de leur
invisibilité sur le réseau, il est beaucoup plus difficile de les
attaquer et de savoir qu'un IDS est utilisé sur ce réseau. Il est
fréquent de trouver plusieurs IDS sur les différentes parties du
réseau. On trouve souvent une architecture composée d'une sonde
placée à l'extérieure du réseau afin
d'étudier les tentatives d'attaques et d'une sonde en interne pour
analyser les requêtes ayant traversé le pare-feu.
Mais, la plupart de NIDS ne peuvent pas indiquer si une
attaque réussie ou non. Ils reconnaissent seulement qu'une attaque a
été initialisée. C'est-à-dire qu'après le
NIDS détecte une attaque, l'administrateur doit examiner manuellement
chaque host s'il a été en effet pénétré.
b) Host Based IDS (HIDS) ou Systèmes de
détection d'intrusion de type hôte :
Les systèmes de détection d'intrusion
basés sur l'hôte ou HIDS (Host IDS) analysent le fonctionnement et
l'état des machines sur lesquelles ils sont installés afin de
détecter les attaques en se basant sur des démons de services.
L'intégrité des systèmes est alors vérifiée
périodiquement et des alertes peuvent être
générées.
Comme ils n'ont pas à contrôler le trafic du
réseau mais "seulement" les activités d'un hôte ils se
montrent habituellement plus précis sur les types d'attaques subies. Par
exemple dans le cas d'une attaque réussie par un utilisateur, les HIDS
utilisent deux types de sources pour fournir une information sur
l'activité de la machine : les logs et les traces d'audit du
système d'exploitation. Les traces d'audit sont plus précises et
détaillées et fournissent une meilleure information [16].
c) Les systèmes de détection d'intrusion
hybrides
Ces types d'IDS sont utilisés dans des environnements
décentralisés. Ils centralisent les informations en provenance de
plusieurs emplacements (capteurs) sur le réseau. Le but de ce type d'IDS
est d'avoir une vision globale sur les composants constituant un système
d'information en permettant une supervision centralisée en
matière d'alertes d'intrusions remontées par les NIDS et les HIDS
présents sur l'architecture du réseau supervisé. Les IDS
hybrides présentent les avantages des NIDS et HIDS sans leurs
inconvénients avec la normalisation des formats et centralisation des
événements.
30
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Concernant les systèmes de prévention
d'intrusion (IPS, Intrusion Prevention System en Anglais), ils ont fait leur
apparition au début des années 2000 sous l'idée qu'un
système de détection d'intrusion peut certes détecter des
attaques contre un réseau mais ne peut empêcher l'intrusion. Cela
a mené certaines entreprises utilisatrices à se poser la question
: pourquoi s'investir dans une solution de détection des intrusions si
on ne peut pas empêcher l'intrusion ? La réaction des fournisseurs
a été rapide et c'est ainsi que le concept IPS a vu le jour. Un
système de prévention d'intrusion est un ensemble de composants
logiciels et/ou matériels dont la fonction principale est
d'empêcher toute activité suspecte détectée au sein
d'un système.
3.7. S.I.E.M. (Security Information and Event
Management)
Pour optimiser leur sécurité informatique, les
organisations et entreprises de toutes tailles doivent pouvoir surveiller leurs
réseaux et systèmes d'information, afin d'identifier les actions
malveillantes qui les menacent et se prémunir de potentielles attaques
avant qu'elles ne causent de graves dommages.
3.7.1. Historique des S.I.E.M.
Le terme S.I.E.M. a été conçu en 2005 par
Mark Nicolett et Amrit Williams, deux analystes du GARTNER. À
l'époque, deux types de solutions complémentaires mais distinctes
géraient les données de sécurité des
systèmes d'information : les S.E.M. et les S.I.M. Mark Nicolett et Amrit
Williams ont noté le rapprochement évident des outils de gestion
des journaux ou S.I.M. (Security Information Management, Gestion des
informations de sécurité en Français) et des
programmes de suivi d'événements de sécurité ou
S.E.M. (Security Event Manager, Gestion des événements de
sécurité en Français). Ces derniers analysent, en
temps réel, les événements du réseau, puis
effectuent une corrélation afin de détecter la cause initiale du
problème. Ils peuvent ensuite déclencher l'alerte adaptée
vers l'administrateur pouvant corriger la faille, arrêter un processus ou
fermer un port. Nicolett et Williams mettent en évidence la
nécessité de combiner ces deux outils pour mieux piloter la
sécurité et créent le terme S.I.E.M. (Security
Information and Event Management). Le S.I.E.M. devient alors un outil
actif de la sécurité. Depuis, les S.I.E.M. ont beaucoup
évolué. Par rapport à la définition de 2005, il
faut rajouter aujourd'hui dans les capacités des S.I.E.M. des
capacités de combinaison avec les C.T.I. (Cyber Threat Intelligence,
renseignements sur les cyber menaces en Français) externe ou encore
des fonctionnalités d'Intelligence Artificielle telles que le «
machine learning » pour améliorer les capacités de
détection.
3.7.2. S.I.M., S.E.M. et S.I.E.M.
Deux (02) briques constituent une solution de S.I.E.M. :
31
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
· La première brique appelée S.E.M.
pour Security Event Manager (Gestion des événements de
sécurité en Français), permet l'analyse des
« logs » (journal d`évènements en
Français) en temps réel (ou quasi réel) en provenance des
systèmes de sécurité, réseaux, d'exploitation et
applicatifs. Le S.E.M. effectue aussi d'autres actions :
Ø il est capable de traiter un volume très
important de données en temps réel,
Ø lorsqu'il identifie des événements
douteux, il les enrichit dans un format dédié à la
détection d'intrusion,
Ø il propose des capacités de
corrélation avancées en temps réel des
événements,
Ø il dispose d'outils nécessaires au suivi et
à l'exploitation des alertes,
Ø enfin, il est capable d'effectuer une «
réponse aux incidents » sur des menaces internes comme externes.
· La seconde brique appelée S.I.M. pour
Security Information Management (Gestion des informations de
sécurité en Français). Son rôle par contre est
de gérer l'historique des traces, de fournir des rapports en
conformité avec la réglementation existante au sein de
l'entreprise, et de surveiller les menaces internes. Le S.I.M effectue d'autres
actions comme :
Ø il permet de stocker des volumes très
importants de données brutes peu structurées (issues
généralement du découpage des journaux),
Ø il propose parfois un format de normalisation mais
ce format est généralement très simpliste,
Ø il offre des capacités d'indexation et de
recherche à des fins d'analyse et d'investigation numérique.
En regroupant ces deux fonctions, les systèmes S.I.E.M.
accélèrent l'identification et l'analyse des
événements de sécurité, ainsi que la restauration
qui s'en suit. Ils permettent aux responsables de la sécurité du
système d'information de satisfaire aux exigences légales de
conformité de l'entreprise. Il est possible de superviser la
sécurité d'un système d'information avec uniquement un
module S.I.M. mais cela nécessitera plus de travail et une
compétence plus forte pour analyser les données recueillies, ou
uniquement avec un S.E.M. Mais l'absence de stockage à long terme peut
pénaliser pour l'analyse et l'investigation numérique.
Aujourd'hui la meilleure assurance pour détecter le maximum d'anomalies,
de tentatives d'intrusions ou d'A.P.T. (Advanced Persistent Threat, menaces
avancées persistantes en Français) est de combiner les
fonctions S.I.M. et S.E.M. dans un seul outil comme le font les S.I.E.M.
modernes. Dans la pratique, il existe 3 types de S.I.E.M. : les S.I.E.M.
internes, les S.I.E.M. basé dans le cloud et les S.I.E.M.
gérés / managés.
3.7.3. Rôles et fonctionnement des
S.I.E.M.
Ici, une description des rôles et fonctionnements des
S.I.E.M. sera présentée.
32
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
3.7.3.1. Rôles
La solution S.I.E.M. permet de surveiller des applications,
des comportements utilisateurs et des accès aux données. A
travers les fonctionnalités fournis par cette solution, il est donc
possible de collecter, de mettre dans un format de normalisation,
d'agréger, de corréler et d'analyser les données des
événements issus des machines, systèmes et applications
(pare-feu, systèmes de prévention d'intrusion, machines
réseau, machines de sécurité, applications, bases de
données, serveurs). Le principe d'un S.I.E.M. consiste à examiner
depuis un guichet unique les données relatives à la
sécurité de l'entreprise qui sont générées
en de nombreux points. Cette approche facilite l'identification
d'éventuels comportements inhabituels au sein du système
informatique de l'entreprise. Concrètement, le S.I.E.M. permettra
à une entreprise de centraliser toutes les informations de
sécurité en un seul outil.
3.7.3.2. Fonctionnement des S.I.E.M.
Pour permettre au système d'identifier des
événements anormaux, il est important que l'administrateur
S.I.E.M. élabore en premier lieu un profil du système dans des
conditions normales de fonctionnement.
Au niveau le plus simple, un système S.I.E.M. peut
reposer sur des règles ou utiliser un moteur de corrélation
statistique pour établir des relations entre les entrées du
journal des événements. Sur certains systèmes, un
pré-traitement peut intervenir au niveau des collecteurs. Seuls certains
événements sont alors transmis au noeud d'administration
centralisé. Ce pré-traitement permet de réduire le volume
d'informations communiquées et stockées. Toutefois, cette
approche comporte le risque de filtrer des événements pertinents
de manière précoce.
Les SIEM permettent : 1) La collecte
Le principe de la collecte est de fournir au S.I.E.M. des
données à traiter. Ces données peuvent être de
nature diverse en fonction de l'équipement ou du logiciel, mais aussi
être envoyées de manières tout à fait
différentes. On distingue deux modes de fonctionnement :
· Mode actif : la plupart des S.I.E.M.
fonctionnent en déployant une multitude d'agents de collecte de
manière hiérarchique sur les équipements à
superviser. Ces agents ont pour fonction de récupérer les
informations des appareils des utilisateurs, des serveurs, des
équipements réseau, voire des équipements
spécialisés de sécurité, tels que les pare-feu, ou
encore les systèmes antivirus et anti-intrusions, et aussi des logiciels
de sécurité et de les envoyer au S.I.E.M. Un
élément de sécurité qui a été
conçu nativement pour être un agent du S.I.E.M. est appelé
une « sonde » ;
· Mode passif : le S.I.E.M. est en
écoute directe sur les équipements à superviser. Pour
cette méthode, c'est l'équipement ou le logiciel qui envoie des
informations sans intermédiaire au S.I.E.M.
33
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
2) La normalisation
Les informations collectées viennent
d'équipements et logiciels hétérogènes ayant pour
la plupart leurs propres moyens de formater les données. Cette
étape permet d'uniformiser les informations selon un format unique pour
faciliter le traitement par le S.I.E.M. Des formats sont mis au point par
l'I.E.T.F. (Internet Engineering Task Force) sous forme de R.F.C.
(Request For Comments, en Anglais) pour structurer les
informations de sécurité et pouvoir les échanger et les
traiter plus facilement. C'est pourquoi il est plus judicieux de les
énumérer :
· IDMEF (Intrusion Détection Message
Exchange Format) :
C'est un standard, défini dans la R.F.C. 4765,
permettant l'interopérabilité entre les systèmes
commerciaux, libres et à codes sources ouverts et de recherche. Il est
basé sur le format XML et est un format conçu pour définir
les évènements et des alertes de sécurité. Il est
également adapté pour le stockage en base de données,
l'affichage et la gestion des informations.
· IODEF (Incident Object Description and Exchange
Format) :
C'est un standard, défini dans la R.F.C. 5070,
représentant les informations de sécurité
échangées entre les équipes C.S.I.R.Ts. (Computer
Security Incident Response Teams, en Anglais). Il est basé sur le
format XML (eXtensible Markup Language, en Anglais) et est un format
conçu pour transmettre des incidents de sécurité entre les
domaines administratifs et les parties qui ont une responsabilité
opérationnelle. Ce modèle de données encode l'information
des hôtes, des réseaux, des services, etc.
La normalisation permet ainsi de faire des recherches
multi-critères, sur un champ ou sur une date. Ce sont ces
événements qui seront enrichis avec d'autres données puis
envoyés vers le moteur de corrélation.
3) L'agrégation
L'agrégation est le premier traitement des
évènements de sécurité. Il consiste en un
regroupement d'évènements de sécurité selon
certains critères. Ces critères sont généralement
définis à travers des règles appelées «
règles d'agrégation » et s'appliquent à des
évènements ayant des similarités. Plusieurs règles
de filtrage peuvent être appliquées. Ils sont ensuite
agrégés selon les solutions, puis envoyés vers le moteur
de corrélation.
4) La corrélation
La corrélation correspond à l'analyse
d'évènements selon certains critères. Ces critères
sont généralement définis à travers des
règles appelées « règles de corrélation
». Le but de cette étape est d'établir des relations entre
évènements, pour ensuite pouvoir créer des alertes de
corrélations, des incidents de sécurités, des rapports
d'activité. La corrélation se différencie sur plusieurs
points :
34
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
· Auto-apprentissage et connaissances
rapportées : Pour pouvoir fonctionner, les moteurs de
corrélation ont besoin d'informations sur les systèmes et
réseaux de l'infrastructure. Ces informations peuvent être
collectées automatiquement et/ou saisies manuellement par un
opérateur ;
· Temps réel et données
retardées : Dans certains cas, les évènements
bruts sont forgés et envoyés directement pour être
corrélés en temps réel. Dans d'autres cas, les
évènements sont d'abord stockés, et envoyés
après un premier traitement (ex : agrégation), leur envoi peut
être alors conditionné ;
· Corrélation active et passive :
La corrélation active a la possibilité de
compléter les évènements reçus en recueillant des
informations supplémentaires pour prendre des décisions. La
corrélation passive est une corrélation qui ne peut pas interagir
avec son environnement, elle reçoit des évènements et
prend des décisions.
Les règles de corrélation permettent
d'identifier un événement qui a causé la
génération de plusieurs autres (un hacker qui s'est introduit sur
le réseau, puis a manipulé tel équipement, etc). Elles
permettent aussi de remonter une alerte via un courriel, SMS ou ouvrir un
ticket si la solution S.I.E.M. est interfacée avec un outil de gestion
de tickets.
5) Le reporting
Les S.I.E.M. permettent également de créer et
générer des tableaux de bord et des rapports. Ainsi, les
différents acteurs du système d'information, responsables
sécurité du système d'information, administrateurs,
utilisateurs peuvent avoir une visibilité sur le système
d'information (nombre d'attaques, nombre d'alertes par jour...).
6) L'archivage
Les solutions S.I.E.M. sont utilisées également
pour des raisons juridiques et réglementaires. Un archivage à
valeur probante permet de garantir l'intégrité des traces. Les
solutions peuvent utiliser du chiffrement par exemple pour garantir
l'intégrité des traces.
7) Le rejeu des évènements
La majorité des solutions permettent également
de rejouer les anciens événements pour mener des enquêtes
post-incidentes. Il est également possible de modifier une règle
et de rejouer les événements pour voir son comportement.
3.7.4. Avantages et inconvénients des
S.I.E.M.
Il faut le reconnaître, s'équiper d'une solution
de type S.I.E.M. nécessite un investissement conséquent en raison
de la complexité de sa mise en oeuvre. Toutefois, bien qu'initialement
destiné aux grandes entreprises, le S.I.E.M. offre des avantages
à tous les types d'organisations :
35
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
3.7.4.1. Avantages
· Détection proactive
d'incidents
Un S.I.E.M. s'avère capable de détecter des
incidents de sécurité qui seraient passés
inaperçus. Pour une raison simple : les nombreux hôtes qui
enregistrent des événements de sécurité ne
disposent pas de fonctions de détection d'incidents.
Le S.I.E.M. dispose de cette faculté de
détection grâce à sa capacité de corrélation
des événements. Contrairement à un système de
prévention d'intrusion qui identifie une attaque isolée, le
S.I.E.M. regarde au-delà. Les règles de corrélations lui
permettent d'identifier un événement ayant causé la
génération de plusieurs autres (attaque à travers le
réseau, puis manipulation sur un équipement précis, etc.).
Dans de tels cas de figure, la plupart des solutions ont la capacité
d'agir indirectement sur la menace. Le S.I.E.M. communique avec d'autres outils
de sécurité mis en place dans l'entreprise et pousse une
modification afin de bloquer l'activité malveillante. Résultat,
des attaques qui n'auraient même pas été remarquées
dans l'entreprise sont contrecarrées.
Pour aller encore plus loin, une organisation peut choisir
d'intégrer à son S.I.E.M. une « Cyber Threat Intelligence
» (C.T.I., renseignement sur les cyber menaces, en
Français). Selon la définition de GARTNER, la C.T.I. est «
la connaissance fondée sur des preuves, y compris le contexte, les
mécanismes, les indicateurs, les implications et des conseils concrets,
concernant une menace nouvelle ou existante ou un risque pour les actifs d'une
organisation qui peuvent être utilisés afin d'éclairer les
décisions concernant la réponse du sujet à cette menace ou
un danger ». La C.T.I. consiste donc à collecter et organiser
toutes les informations liées aux menaces et cyber-attaques, afin de
dresser un portrait des attaquants ou de mettre en évidence des
tendances (secteurs d'activités visés, les méthodes
d'attaque utilisées, etc.). Cela permet une meilleure anticipation des
incidents.
· Conformité et reporting
À l'heure où les normes et certifications de
cyber-sécurité sont de plus en plus nombreuses, le S.I.E.M.
devient un élément clé de tout système
d'information. C'est un moyen relativement simple de répondre à
plusieurs exigences de sécurité (ex : historisation et suivi des
logs, rapports de sécurité, alerting, ...). D'autant que le
S.I.E.M. peut générer des rapports hautement personnalisables
selon les exigences des différentes réglementations. Ce seul
bénéfice suffit à convaincre des organisations de
déployer un S.I.E.M. Et pour cause: la génération d'un
rapport unique traitant tous les événements de
sécurité pertinents quelle que soit la source des fichiers
journaux (générés en outre dans des formats
propriétaires) fait gagner un temps précieux.
· Amélioration des activités de
gestion des incidents
Un S.I.E.M. contribue aussi à une meilleure
réaction aux incidents. Disposer d'un S.I.E.M. c'est l'assurance
d'identifier rapidement des menaces et de réduire le temps de
réaction avec des ressources réduites. Là encore, c'est la
vue d'ensemble des événements de sécurité
reçus de la part des applications, des systèmes d'exploitation et
des divers équipements de sécurité qui
36
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
permet l'identification des attaques et compromissions
potentielles. Notez que les solutions S.I.E.M. intègrent
également des fonctionnalités d'analyse comportementale des
utilisateurs et des entités. Des fonctions précieuses pour aider
les entreprises à détecter les menaces provenant des personnes et
des logiciels.
Les solutions S.I.E.M. n'ont pas que des avantages. Elles
comportent également des inconvénients.
3.7.4.2. Inconvénients
Déployer un S.I.E.M. ne suffit pas pour autant
à sécuriser complètement votre organisation. Les solutions
S.I.E.M. présentent des limites qui ne les rendent pas optimales sans un
accompagnement à la hauteur et sans solutions tierces. Contrairement
à une solution de sécurité de type IPS ou Firewall, un
S.I.E.M. ne surveille pas les événements de
sécurité mais utilise les données de fichiers journaux
enregistrées par ces derniers. Il est donc essentiel de ne pas
négliger la mise en place de ces solutions.
· Une configuration quelques fois trop
complexe
Les S.I.E.M. sont des produits complexes qui appellent un
accompagnement pour assurer une intégration réussie avec les
contrôles de sécurité de l'entreprise et les nombreux
hôtes de son infrastructure. Il est important de ne pas se contenter
d'installer un S.I.E.M. avec les configurations du constructeur et/ou par
défaut, car ces configurations sont souvent insuffisantes. Elles doivent
être personnalisées et adaptées aux besoins des
utilisateurs.
· Des coûts de déploiement qui peuvent
être élevés
Réaliser les fonctions des S.I.E.M. par rapport aux
événements de sécurité est une tâche qui
semble relativement simple. Cependant, leur collecte, stockage et
l'exécution des rapports de conformité, l'application des
correctifs et l'analyse de tous les événements de
sécurité se produisant sur le réseau d'une entreprise
n'est pas facile. Taille des supports de stockage, puissance informatique pour
le traitement des informations, temps d'intégration des
équipements de sécurité, mise en place des alertes, etc.
L'investissement initial peut se compter en centaines de milliers FCFA auquel
il faut ajouter le support annuel, au cas où une solution payante est
adoptée. Intégrer, configurer et analyser les rapports
nécessite la compétence d'experts. Faire appel à des
prestataires externes disposant de l'expertise dans le domaine reste souvent
une solution adoptée par plusieurs entreprises.
· Un grand volume d'alertes à
réguler
Les solutions S.I.E.M. s'appuient généralement
sur des règles pour analyser toutes les données
enregistrées. Cependant, le réseau d'une entreprise
génère un nombre très important d'alertes (en moyenne 10
000 par jours) qui peuvent être positives ou non. En conséquence,
l'identification de potentielles attaques est compliquée par le volume
de fichiers journaux non
37
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
pertinents. La solution consiste à définir des
règles précises et le périmètre à
surveiller: que faut-il surveiller en priorité? L'interne?
Réseau/système/application ? Quelle technologie à
prioriser ? Etc. En raison du grand nombre de volume d'alertes à
réguler, un personnel formé ou une équipe
dédiée sont requis pour consulter les journaux, effectuer des
examens réguliers et extraire les rapports pertinents.
3.8. Propositions et choix de solutions
Il existe une panoplie de solutions qui sont proposées
par plusieurs entités avec leurs avantages et leurs
inconvénients. Il existe des solutions qui sont propriétaires, et
donc payantes, et des solutions qui sont libres et à codes sources
ouverts, donc gratuites. Afin de déterminer la solution qui convient le
mieux au présent projet, une brève présentation de
certaines solutions sera faite :
3.8.1. Présentation de quelques solutions
S.I.E.M.
Le S.I.E.M. étant le logiciel le plus important du
projet il faut d'abord effectuer une étude des quelques solutions pour
choisir un bon logiciel et l'implémenter ensuite. Après une
recherche ciblée, quelques solutions concurrentes ont été
proposées.
3.8.1.1. SPLUNK Enterprise
L'un des leaders du marché, SPLUNK
est relativement simple à utiliser et rapide à mettre en
oeuvre. Il existe sur le marché depuis 2006. A titre d'information,
Splunk est entre autres utilisé par des entreprises comme Adobe,
Coca-Cola... Il possède une interface graphique conviviale. De plus
SPLUNK rime avec évolutivité : Votre
réseau peut s'agrandir, Splunk suivra.
SPLUNK est un S.I.E.M. propriétaire
mais qui possède une version gratuite. Cette version gratuite permet de
stocker jusqu'à 500Mo de fichiers journaux par jour. SPLUNK
se suffit à lui-même pour ingérer les
données, les transformer et les analyser. SPLUNK
dispose également de plusieurs «
forwarders » à installer sur les
équipements à superviser afin qu'ils puissent envoyer leurs
fichiers journaux vers SPLUNK.
SPLUNK est très complet et
très simple d'installation. En effet, il suffit de
récupérer l'archive sur leur site officiel, de suivre les
procédures d'installation et l'interface de Splunk est
déjà accessible. Pour ce qui est de la configuration, elle est
aussi relativement simple puisqu'elle se fait principalement via l'interface
web. L'envoi de données à SPLUNK est
relativement facile. Depuis l'interface web, il est possible d'importer
directement des données ou de configurer un port d'écoute (pour
les données syslog des équipements réseaux par exemple) ou
encore de transmettre d'autres types de données grâce aux
différents « forwarders » de Splunk.
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
SPLUNK présente quelques
Inconvénients. La plus grande critique que l'on peut faire sur Splunk
est qu'il soit propriétaire donc payant. La tarification peut être
très chère, par rapport aux offres libres et à codes
sources ouverts. De plus les utilisateurs ont la possibilité de
créer et de sauvegarder des requêtes. Comme dans les
requêtes de base de données, certaines sont plus efficaces que
d'autres. Les grandes requêtes inefficaces peuvent nécessiter
beaucoup de ressources. Si l'on remarque des lenteurs dans les requêtes
quotidiennes, une navigation dans l'interface utilisateur ou l'utilisation de
ressources en conflit, il faut garder un oeil sur les requêtes
enregistrées et les pratiques des utilisateurs. Le logo de
SPLUNK est présenté à la figure 9.
38
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Figure 9 : Logo de SPLUNK
3.8.1.2. IBM QRadar
QRadar est une solution plutôt
orientée grandes entreprises d'où peut-être une utilisation
un peu plus complexe lorsqu'il s'agit de la personnaliser. Cependant la
solution possède déjà un large choix de cas
prédéfinis. Mais QRadar a un coût plus
élevé. IBM QRadar a la possibilité de
collecter les logs et les flux venant d'applications sur le Cloud. La solution
peut être déployée en SaaS (Software
as a Service, logiciel en tant que service en Français)
grâce à l'offre « IBM Cloud ». Il est possible, en
option, d'utiliser les autres produits IBM tel que « IBM Security X-Force
Threat Intelligence » (Utilise le score et la catégorie de menace
pour identifier une menace). L'offre « IBM QRadar Security Intelligence
» inclut les modules de gestion des risques, de gestion des
vulnérabilités, d'analyse d'investigation numérique et les
réponses aux incidents.
S'il est vrai que QRadar est un produit
à la pointe de la technologie, lui permettant de détecter
rapidement les vulnérabilités, il peut toutefois
générer parfois des notifications qui ne sont pas d'une telle
priorité, ce qui entraîne des retards dans l'analyse. De plus,
comme SPLUNK, il est payant. Son logo est
présenté à la figure 10 :
39
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 10 : Logo d'IBM QRADAR
3.8.1.3. ELK
ELK est utilisé par des entreprises comme Ebay,
Netflix, Cisco... ELK est composé de trois logiciels
libres et à codes sources ouverts : Logstash, ElasticSearch
et Kibana
Logstash est un outil qui ingère
différentes données du parc informatique d'une organisation :
fichiers journaux, base de données, service web, etc. Logstash
récupère toutes les données, les ingère,
les transforme et les envoie ensuite à la base de données
ElasticSearch. ElasticSearch est un moteur de
recherche qui permet de retrouver les données que l'on recherche dans
Logstash. Kibana est l'interface graphique qui permet de
naviguer dans les données d'ElasticSearch. On peut ensuite
générer des tableaux, des graphiques à partir de
Kibana.
Enfin, il existe autre alternative à Logstash pour
mettre dans un format et expédier différents types de
données dans ElasticSearch. Il s'agit de « Beats », comme par
exemple « Filebeat », qui est un outil à
installer sur les serveurs pour que les données soient transmises
à Logstash. Cela permet de régler le problème de Logstash
qui est connu pour ses longues périodes de démarrage et qui
était avant la principale option pour l'envoi de données à
ElasticSearch.
Bien que gratuit et libre et à code source ouvert,
l'installation d'ELK et sa configuration sont plus complexes.
Pour ELK, il est nécessaire de configurer Logstash de sorte que celui-ci
transmette les données à ElasticSearch. La configuration de
Logstash peut être compliquée pour ceux qui ne travaillent pas
avec les langages de script tels que « Bash, Python ou Ruby ». Il
existe tout de même un bon support en ligne et une communauté
importante.
40
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
ELK repose sur trois solutions libres et
à codes sources ouverts mais si l'on veut profiter de plusieurs
fonctionnalités comme les alertes, le monitoring, il est possible
d'investir dans le « X-Pack ». Ce pack comporte un ensemble de
plugins qui viendront complémenter la pile de base ELK. Il est à
noter que « X-Pack » est gratuit pour 30 jours puis nécessite
une licence. Le logo de ELK est présenté
à la figure 11 :
Figure 11 : Logo d'ELK
3.8.1.4. AlienVault OSSIM/USM
OSSIM est un projet « open source » de «
management de la sécurité de l'information ». Cette solution
s'appuie sur une gestion des logs basée sur la corrélation de
ceux-ci ainsi qu'une notion d'évaluation des risques. OSSIM (Open Source
Security Information Management) est un gestionnaire d'évènements
et d'informations sécurisé libre et à code source ouvert
qui intègre une sélection d'utilitaires destinés à
aider les administrateurs réseaux dans la sécurisation, la
détection d'intrusion et la prévention. Il est porté par
AlienVault. La compagnie propose deux éditions du S.I.E.M. L'une,
totalement libre et à code source ouvert est « OSSIM » et
l'autre, payante, est disponible en logiciel, « Appliance » ou
services orientés Cloud et est généralement appelée
« USM ». Ces alternatives payantes ont pour avantage la gestion des
logs, le support dédié e-mail et mobiles, les documentations en
ligne et les bases de connaissances, les tableaux de bord et la visualisation
de données.
41
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
La solution OSSIM est née du constat selon lequel il
est difficile encore à ce jour d'obtenir un instantané de son
réseau et des informations qui y transitent avec un niveau d'abstraction
suffisant pour permettre une surveillance claire et efficace. Le but d'OSSIM
est donc de combler ce vide constaté quotidiennement par les
professionnels de la sécurité
Un inconvénient d'OSSIM est que, parfois, si la
solution n'est pas correctement dimensionnée, cela peut nuire aux
performances. En particulier, si OSSIM est implémenté en tant que
machine virtuelle, les performances des autres machines virtuelles de
l'hyperviseur utilisé en seraient également affectées. Son
logo est présenté à la figure 12 :
Figure 12 : Logo d'AlienVault
3.8.2. Choix de solution
Concernant le S.I.E.M. à mettre en place, OSSIM, le
S.I.E.M. libre et à code source ouvert soutenu par AlienVault a
été choisi. Ce choix est motivé par le caractère
libre de la solution, ce qui ouvre de larges possibilités d'adaptation
sur mesure et de personnalisation. Malgré le fait que la documentation
ne sera pas officiellement accessible, une communauté de
développeurs plutôt active est disponible en cas de soucis. De
plus, OSSIM est un concurrent des logiciels propriétaires et il est le
S.I.E.M. libre et à code source ouvert le plus utilisé
actuellement. Son logo est présenté à la figure 13.
Figure 13 : Logo d'AlienVault OSSIM
42
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
3.9. Etude d'AlienVault OSSIM
OSSIM pour Open Source Security Information Management est un
S.I.E.M. (Security Information and Event Management). Il intègre une
belle sélection d'outils sur mesure ayant pour but d'aider les
administrateurs du réseau dans la sécurité informatique,
la prévention et la détection d'intrusion. En tant que
gestionnaire d'évènements, OSSIM a pour mission de fournir en
temps réel une analyse détaillée de la
sécurité et des rapports administratifs de tous les aspects
relatifs à la sécurisation du système en combinant la
gestion des logs et la gestion, découverte des ressources avec les
informations des systèmes de contrôles de l'information et de
détection dédiés. Ces données sont alors mises en
corrélation pour fournir un aspect de l'information alors invisible par
l'analyse d'une seule pièce. OSSIM dispense ces fonctions en utilisant
d'autres logiciels libres bien connus et en les unifiant sous une unique
interface utilisateur. C'est cette interface qui fournit les graphiques les
outils d'analyse relatifs aux informations collectées via ces logiciels
libres et permet une gestion centralisée des options de
configuration.
Les objectifs d'OSSIM sont :
· Fournir un cadre de gestion centralisé ;
· Fournir une console d'organisation ;
· Améliorer la détection et l'affichage des
alarmes de sécurité.
Le but commun des trois principaux objectifs décrits
ci-dessus est de permettre une réduction des faux positifs et des faux
négatifs. Ce but est d'autant plus difficile à atteindre du fait
qu'un volume considérable d'alarmes est présent. Il est donc
nécessaire de relier ces différentes alarmes entre elles afin
d'obtenir des informations pertinentes et d'éliminer les alarmes
inutiles (levées pour rien). Cet objectif peut être atteint
à l'aide d'un procédé d'analyse des données
nommé « Corrélation ». Le principe de
fonctionnement d'OSSIM est forme de trois grandes catégories :
· La detection;
· L'analyse et le monitoring ;
· La gestion.
Les différents procédés cités
ci-dessus seront détaillés dans les sections suivantes.
3.9.1. La détection
Celle-ci est effectuée à l'aide de sondes
capables de traiter l'information en temps réel et d'émettre des
alarmes lorsqu'une situation à risque est détectée.
43
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
3.9.1.1. Méthodes de détection
Une sonde peut utiliser différentes approches afin de
déterminer si un évènement est à risque ou non. En
effet, deux grands principes complémentaires sont présents dans
la détection d'intrusions : la détection basée sur les
signatures et la détection basée sur les anomalies.
1) La détection par signatures
La détection par signatures identifie des
évènements de sécurité qui tentent d'utiliser un
système de façon non standard. Les représentations
d'intrusions sont donc stockées et comparées à
l'activité' du système. Lorsqu'une intrusion connue est
repérée lors de l'utilisation du système, une alarme est
levée.
La détection par signatures a des limites. Elle ne
connait pas l'objectif de l'activité correspondant à une
signature et va donc déclencher une alerte même si le trafic est
normal. De plus, la détection par signature exige de connaitre
préalablement l'attaque afin de générer la signature
précise correspondante (fonctionnement par liste noire comme dans le cas
des antivirus par exemple). Ceci implique qu'une attaque encore inconnue ne
pourra pas être détectée par signature.
2) Détection d'anomalies
La détection d'anomalies identifie une activité
suspecte en mesurant une activité normale du système sur un
certain temps. Une alerte est ensuite générée lorsque le
modèle s'éloigne de l'activité normale du
système.
Le principal avantage de la détection d'anomalies est
qu'elle n'exige aucune connaissance préalable des attaques. Si le module
de détection par anomalie détermine qu'une attaque diffère
de façon significative de l'activité normale, il peut la
détecter.
La détection d'anomalies possède ses limites.
Toute la difficulté réside dans la période de collecte des
données correspondant à une activité
désignée' comme normale pour alimenter la base de données
de référence.
3.9.2. L'analyse
La méthode de traitement des données peut
être décomposée en trois phases distinctes :
· le preprocessing ou la génération des
alarmes et envoi de celles-ci ;
· le rassemblement où toutes les alarmes
précédemment envoyées (preprocessing) sont
emmagasinées dans un serveur central ;
· le Post-processing ou le traitement des données
que l'on a emmagasiné.
Les deux premières étapes (preprocessing et
rassemblement) ne présentent rien de nouveau dans le cadre d'OSSIM.
Celles-ci font principalement partie des méthodes de détection
mentionnées ci-dessus. OSSIM offrira uniquement de nouvelles
méthodes d'analyse et
44
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
d'affichage des données récoltées. Il
n'apportera en aucun cas de nouvelles solutions dans la détection et le
rassemblement des données.
Différentes méthodes d'analyse sont
implémentées dans le cadre d'OSSIM :
· définition de la priorité des alarmes ;
· évaluation des risques ;
· corrélation.
3.9.2.1. Définition de la priorité des
alarmes
Ce procédé permettra de déduire la
priorité d'une alarme en fonction de son type, de la source de
l'éventuelle attaque ainsi que de sa cible. Les exemples suivants
illustrent facilement l'utilité de cette étape d'analyse :
· Une machine fonctionnant avec le système
d'exploitation UNIX et hébergeant un serveur Web Apache est
mentionnée comme cible d'une attaque. Cette attaque a
précédemment été détectée comme
possible à l'aide d'un scanner de vulnérabilités. La
priorité de l'alerte sera donc maximale puisque le serveur Web est
vulnérable à l'attaque en question ;
· Si la connexion à un serveur
génère une alarme, la définition de politique de
sécurité en fonction des utilisateurs permettra facilement la
définition de la priorité de celle-ci. En effet,
différents cas sont envisageables :
Ø Priorité maximale de l'alarme si
l'utilisateur (source de `'l'attaque») est extérieur au
réseau de l'entreprise et que la connexion a pour cible une base de
données importantes ;
Ø Basse priorité si l'utilisateur (source de
`'l'attaque») est interne au réseau de l'entreprise et que la
connexion a pour cible une imprimante ;
Ø Alarme discréditée si l'utilisateur
(source de `'l'attaque») fait partie de l'équipe de
développement et que la cible de la connexion est un serveur de test.
La définition de priorité fait partie d'une
étape de mise en place de contextes des alarmes. Celle-ci est uniquement
possible si l'environnement de l'entreprise est défini dans une base de
données des connaissances. Cette base de données est
définie par l'inventaire des biens informatiques ainsi que sur des
politiques d'accès à des serveurs et/ou services. La
définition de ces différentes politiques de
sécurité implique la mise à disposition d'un outil de
management permettant une configuration précise des politiques de
sécurité ainsi que des machines du réseau.
Cette étape représente une part importante du
filtrage des alarmes et nécessitera une constante mise à jour de
la base de données des connaissances.
45
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
3.9.2.2. Evaluation des risques
Le risque peut être défini comme étant la
probabilité qu'une attaque survienne. En d'autres termes, cette
étape tente de définir si une menace est réelle ou pas.
L'importance à donner à un évènement dépend
principalement de trois facteurs :
· La valeur du bien attaqué ;
· La menace représentée par l'attaque ;
· La probabilité que l'attaque apparaisse.
3.9.2.3. Corrélation
Ce procédé permet notamment de retrouver
certaines relations entre différentes alarmes indépendantes. Ceci
permettra par exemple de découvrir des attaques noyées dans le
flot des alarmes ou encore de discréditer des alarmes (découverte
de faux positifs).
La corrélation peut être simplement
définie comme un procédé traitant des données
(inputs) et retournant un résultat (outputs). OSSIM
utilise deux types d'inputs :
· Informations du moniteur (qui fournit normalement des
indications à l'administrateur) ;
· Informations des détecteurs (qui fournissent
normalement des alarmes).
Le résultat de ce traitement sera lui aussi d'un des
deux genres cités ci-dessus (du moniteur ou des détecteurs). Les
modèles de corrélations utilisés par OSSIM ont les
objectifs suivants :
· Utilisation de méthodes par signatures, pour la
détection d'évènements connus et détectables ;
· Utilisation de méthodes sans signature, pour la
détection d'évènements non connus ;
· Utilisation d'une machine d'états configurable
par l'utilisateur, pour la description de signatures complexes ;
· Utilisation d'algorithmes évolués, pour
l'affichage général de la sécurité.
OSSIM met en oeuvre plusieurs méthodes de
corrélation complémentaires :
· Corrélation utilisant des séquences
d'évènements, basées sur les signatures connues et
détectables ;
· Corrélation utilisant des algorithmes
heuristique (Technique consistant à apprendre petit à petit, en
tenant compte de ce que l'on a fait précédemment pour tendre vers
la solution d'un problème), utilisée pour la détection
d'attaques non connues ;
· Cross-corrélation permettant la recherche de
relations entre les scans effectués et des alertes
détectées.
46
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
3.9.3. Le monitoring
Le monitoring consiste en l'affichage des informations
fournies. Les consoles de monitoring utilisent les différentes
données produites par les procédés de corrélation
pour la construction d'un affichage efficace.
3.9.4. Architecture d'OSSIM
L'architecture d'OSSIM est divisée en 2 principaux
étages :
· Pre-processing, remontée
d'évènements des moniteurs et détecteurs dans une base de
données commune ;
· Post- processing, analyse centralisée.
La figure 14 illustre le fonctionnement en 2 étages
(comme mentionné ci-dessus). Il est à remarquer que ces deux
étages disposent de différentes bases de données
permettant la sauvegarde des informations intermédiaires
(corrélées).
Figure 14 : Architecture d'OSSIM
· EDB est la base de données des
évènements (la plus grande), stockant toutes les alarmes
individuelles ;
· KDB est la base de données des
connaissances, sauvegardant les configurations établies par
l'administrateur en charge de la sécurité ;
· UDB est la base de données des
profils, stockant toutes les informations du moniteur de profil.
47
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Afin d'aider à la compréhension, le cheminement
d'une alarme dans l'architecture définie par la figure
précédente sera détaillé. Le schéma de la
figure 15 illustre le fonctionnement décrit ci-dessous :
1. détection d'un évènement suspect par un
détecteur (par signatures ou par l'heuristique).
2. si nécessaire, des alarmes sont regroupées
(par le détecteur) afin de diminuer le trafic réseau.
3. le collecteur reçoit la/les alarme(s) via
différents protocoles de communications ouverts.
4. le parseur normalise et sauvegarde les alarmes dans la
base de données d'évènements (EDB).
5. le parseur assigne une priorité aux alarmes
reçues en fonction de la configuration des politiques de
sécurité définies par l'administrateur
sécurité.
6. le parseur évalue le risque immédiat
représenté par l'alarme et envoie si nécessaire une alarme
interne au `'panneau de contrôle».
7. l'alerte est maintenant envoyée à tous les
processus de corrélation qui mettent à jour leurs états et
envoient éventuellement une alerte interne plus précise (groupe
d'alerte provenant de la corrélation) au module de centralisation.
8. le moniteur de risque affiche périodiquement
l'état de chaque risque calcules par les algorithmes heuristiques.
9. le panneau de contrôle affiche les alarmes les plus
récentes et met à jour les indices des états qui sont
comparés aux seuils définis par l'administrateur. Si les indices
sont supérieurs aux seuils configurés, une alarme interne est
émise.
10. depuis le panneau de contrôle, l'administrateur a
la possibilité de visualiser et rechercher des liens entre les
différentes alarmes à l'aide de la console forensic.
Figure 15 : Flux de données du serveur
OSSIM
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
3.9.5. Mode de fonctionnement d'OSSIM
Le schéma de la figure 16 explique le comportement
d'une installation OSSIM dans un réseau. Quand il est
déployé, un serveur OSSIM commence par faire un scan complet du
réseau pour détecter et localiser ses utilisateurs. C'est
l'étape de « l'assets discovering ». Son travail
débutera vraiment quand il commencera par respecter les lignes
directrices et de définition d'un S.I.E.M. Ses traits
caractéristiques sont :
LMS (Log Management System). C'est un système qui
collecte et conserve des fichiers d'enregistrement log (des systèmes
d'exploitation, applications...) de plusieurs hôtes et systèmes de
manière centralisée. Il peut permettre l'accès à
ces données sur un serveur central ou depuis chacun des
systèmes.
SLM/SEM (Security Log/Event Management). C'est un
système un peu comme un LMS, mais commercialisé vers des
analystes de sécurité plutôt que des administrateurs
système. SEM consiste à mettre en évidence les
entrées de journal comme étant plus importantes pour la
sécurité que d'autres.
SIM (Security Information Management). C'est un système
de gestion d'actifs, mais avec des fonctionnalités pour intégrer
des informations de sécurité aussi. Les hôtes peuvent avoir
des rapports de vulnérabilité répertoriés dans
leurs résumés, les alertes de détection d'intrusion et
d'antivirus peuvent être montrées mappées aux
systèmes concernés.
SEC (Security Event Corrélation). Pour un logiciel
particulier, trois tentatives de connexion échouées au même
compte d'utilisateur provenant de trois clients distincts ne sont que trois
lignes dans leur fichier journal. Pour un analyste, il s'agit d'une
séquence particulière d'événements dignes
d'investigation, et de log Corrélation (recherche de motifs dans les
journaux), ce qui est un moyen d'augmenter les alertes lorsque ces choses se
produisent.
48
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
49
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 16 : Représentation du fonctionnement
d'OSSIM en environnement de
production
OSSIM dispose de logiciels servant d'agents et d'un autre qui
sert de serveur. OSSIM-agent récupère simplement les informations
des fichiers de journalisation et les envoie directement au serveur OSSIM
permettant ainsi le traitement temps réel de celles-ci. De plus, l'agent
OSSIM s'occupera de la mise en marche et de l'arrêt des
différentes sondes qui lui sont connectées. OSSIM-server
constitue le noyau de l'architecture. En effet, celui-ci comporte les modules
d'analyse et de corrélation des données ainsi qu'un serveur Web
permettant l'interaction avec l'utilisateur (administrateur réseau).
3.10. Conclusion
Au cours de ce chapitre, une connaissance des
différents aspects liés à la sécurité des
réseaux informatiques a été faite ; une découverte
des attaques qui menacent cette dernière et comment se protéger
afin de réduire les intrusions et attaques des pirates a
été effectuée ; une étude des S.I.E.M. a
été aussi faite de même qu'une présentation de
l'outil de la mise en place qui est AlienVault OSSIM. La sécurité
des systèmes informatiques est vitale pour le bon fonctionnement des
systèmes d'information. Il est donc nécessaire d'assurer sa
protection. Dans le chapitre suivant, la mise en place du S.I.E.M. sera
effectuée.
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
|
Chapitre 4 : La mise en oeuvre
|
50
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
51
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
4.1. Introduction
Dans le cadre de ce chapitre l'architecture proposée
sera présentée, ainsi que la mise en place de tous les
équipements informatiques d'une architecture type et la mise en valeur
de la configuration des logiciels libres et à codes sources ouverts de
la sécurité informatique.
4.2. Nouvelle architecture
Afin de remédier aux diverses lacunes du réseau de
« BANKeVI GROUPE », il s'avère
nécessaire de penser à améliorer
l'architecture du réseau déjà existant, pour offrir un
niveau de sécurité bien meilleur que le précédent.
Ainsi une nouvelle architecture du réseau différente de
l'ancienne a été proposée, comme le montre la figure 17
:
Figure 17 : Nouvelle architecture de « BANKeVI
GROUPE »
Comme le montre la figure, une topologie en étoile a
été retenue pour l'implémentation du S.I.E.M. Cette
nouvelle architecture présente plusieurs différences par rapport
à la figure 5. Cette architecture type peut être mise en place
dans les petites entreprises. Elle est composée de différentes
parties comme suit :
· La partie interne (le réseau
LAN) : On trouve les ordinateurs locaux des personnels de
l'entreprise.
· La DMZWEB (DMZ) : On y trouve un
serveur DNS et un serveur Jitsi ;
52
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
· DMZMONIT (ou DMZ de supervision du
réseau) : On y trouve la machine sur laquelle est installée le
S.I.E.M.
· La partie externe : Cette zone nous
mène au monde extérieur, « Internet » à travers
un pare-feu/routeur.
Une telle architecture a été retenue pour
faciliter le travail de supervision et de gestion des évènements
au niveau du S.I.E.M. En effet, si le S.I.E.M. est positionné entre le
pare-feu et le réseau LAN, il ne s'occupera que des
évènements ayant lieu au sein du réseau LAN au
détriment de la DMZ. De même, si le S.I.E.M. est positionné
entre le pare-feu et la DMZ (DMZWEB), il ne gèrera que les actions qui
ont lieu au sein de la DMZ au détriment du réseau LAN. Par
contre, si le S.I.E.M. est positionné entre le pare-feu et le
réseau internet, le risque de faux positif sera accru, ce qui
surchargera le S.I.E.M. d'alertes non urgentes et pourra ainsi réduire
des performances. Le positionnement optimal est donc de placer le S.I.E.M. dans
un réseau carrément différent, qui lui sera
dédié (DMZMONIT). De cette façon, il pourra avoir une vue
d'ensemble tant sur les activités ayant lieu au sein du réseau
LAN que sur les activités ayant lieu au sein de la DMZ. Ainsi, il pourra
protéger ces différents réseaux d'attaques
éventuels pouvant survenir.
4.2.1. Avantages de l'architecture retenue
L'architecture en étoile a été retenue
en raison des différents avantages qu'elle présente comme :
· souplesse en matière de gestion et de
dépannage des pannes ;
· ajout facile de nouveaux terminaux ;
· le débranchement d'une connexion ne paralyse pas
le reste du réseau.
4.2.2. Inconvénients de l'architecture
retenue
L'architecture en étoile présente, certes de
nombreux avantages, mais cette architecture présente également un
inconvénient majeur : si le noeud central est défaillant, tout le
réseau tombe ainsi en panne. De plus, le périphérique
réseau central détermine les performances et le nombre de noeuds
que le réseau peut gérer.
4.3. Préparation de l'environnement de
travail
Vu l'importance des informations et des services fournis par les
serveurs de « BANKeVI
GROUPE », le travail sera effectué dans un
environnement virtuel avec `'Virtual Box». Cinq (05) machines virtuelles
ont été créées, qui sont :
· VM1 : c'est sur cette machine que sera
installé AlienVault OSSIM. Ses caractéristiques sont les
suivantes :
53
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Ø Mémoire RAM : 8Go ;
Ø Nombre de processeurs : 2 ;
Ø Disque dur : 20Go ;
Ø Nombre de cartes réseaux : 1.
· VM2 : c'est sur cette machine que sera
installé le routeur/pare-feu `'pfsense». Ses
caractéristiques sont les suivantes :
Ø Mémoire RAM : 1Go ;
Ø Nombre de processeurs : 1 ;
Ø Disque dur : 20Go ;
Ø Nombre de cartes réseaux : 4.
· VM3 : cette machine sera utilisée
comme serveur vulnérable D.V.W.A. (Damn Vulnerable web application). Des
scans de vulnérabilité seront effectués sur cette machine
afin de tester la fonction d'analyse de vulnérabilités du
S.I.E.M. mis en place. Ses caractéristiques sont les suivantes :
Ø Mémoire RAM : 2Go ;
Ø Nombre de processeurs : 1 ;
Ø Disque dur : 20Go ;
Ø Nombre de cartes réseaux : 1 ;
Ø Système d'exploitation : Linux (Ubuntu).
· VM4 : cette machine sera utilisée pour
faire des tests d'attaques sur le réseau afin de tester le
fonctionnement du S.I.E.M. mis en place. Les caractéristiques de cette
machine sont les suivantes :
Ø Mémoire RAM : 1Go ;
Ø Nombre de processeurs : 1 ;
Ø Disque dur : 40Go ;
Ø Nombre de cartes réseaux : 1 (utilisée
pour se connecter au réseau) ;
Ø Système d'exploitation : Kali Linux
2019.1.
· VM5 : cette dernière sera
utilisée pour simuler un utilisateur normal dans le réseau
interne. Ses caractéristiques sont les suivantes :
Ø Mémoire RAM : 1Go ;
Ø Nombre de processeurs : 1 ;
Ø Disque dur : 40Go ;
Ø Nombre de cartes réseaux : 1 (utilisée
pour se connecter au réseau) ;
Ø Système d'exploitation : Windows 7
Professional.
4.4. Configuration de pfsense
Le travail a débuté par l'installation le
pare-feu dans l'architecture réseau. Puis ses fonctionnalités ont
été configurées pour assurer une meilleure activité
du trafic réseau. La figure 18 montre l'assignation des interfaces
réseaux de pfsense.
54
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 18 : Assignation des interfaces de
PfSense
L'on a ensuite assigné les interfaces du pare-feu
« PfSense » liées avec les autres réseaux ; cependant
l'adresse de l'interface web est 192.168.56.102. Il faut d'abord ouvrir
l'interface graphique pour le paramétrage de ce dernier. L'on ouvre par
la suite le navigateur web et l'on saisit l'adresse de l'interface.
Après avoir écrit le nom d'utilisateur et le mot de passe
(admin/pfsense) l'on trouve le tableau de bord comme le montre la figure 19 et
l'on obtient donc :
Figure 19 : Tableau de bord de
PfSense
55
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Ensuite, des « packages » ont été
installés : Les « packages » installés sont : Mod
Security + apache, NTOP et SNORT, comme l'indique la figure 20 :
Figure 20 : Les Packages
installés
Afin de faciliter la configuration des listes d'accès
et d'éviter la redondance des adresses des interfaces, des hôtes
et des ports utilisés, des alias ont été
désignés, comme l'indique la figure 21 :
Figure 21 : Les alias des interfaces et des
ports
56
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Des règles ont été ensuite
configurées dans le pare-feu. L'image de la figure 22 présente
tout d'abord la configuration des règles de l'interface WAN :
Figure 22 : Les règles de filtrage de
l'interface WAN
Les règles de filtrage de l'interface WAN sont faites en
vue de permettre le trafic de n'importe quelle adresse source vers la
destination D.V.W.A. à travers le port_web (80 et 443).
Ensuite, les règles de filtrage de l'interface DMZWEB ont
été configurées, comme l'indique l'image de la figure 23
:
Figure 23 : Les règles de filtrage de
l'interface DMZWEB
57
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Les règles de filtrage de l'interface DMZWEB sont les
suivantes : Ouvrir le trafic de l'adresse source DMZWEB vers l'interface
DMZMONIT par le port_syslog (514 et 1514) et vers l'interface WAN par le
port_navig (80, 443, 110, 53 et 25).
Les règles de l'interface DMZMONIT ont
été définies comme le montre la figure 24, de la
manière suivante :
Figure 24 : Les règles de filtrage de
l'interface DMZ-Monit
Les règles de filtrage de l'interface DMZMONIT sont les
suivantes : Ouvrir le trafic de l'adresse source DMZMONIT vers l'interface WAN
à travers le port_syslog (514 et 1514) et vers l'interface DMZWEB et la
partie interne (INT).
Enfin, les règles de l'interface INT ont été
définies, comme le montre l'image de la figure 25 :
Figure 25 : Les règles de filtrage de
l'interface interne (INT)
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Les règles de filtrage de l'interface INT sont les
suivantes : Ouvrir le trafic de l'adresse source INT vers l'interface DMZMONIT
à travers le port_syslog (514 et 1514) ainsi que vers l'interface DMZWEB
par le port_web (80 et 443) et une liaison à distance par un poste admin
et une machine distante « administrateur » par le port_admin (80,
443, 22, 21, 3389).
L'étape suivante a été la configuration
du paquet Snort qui a été installé. La figure 26
l'illustre :
Figure 26 : La configuration du paquet
Snort
Après l'installation de paquet Snort, il faut
obligatoirement le mettre en marche et le configurer. Nous avons ajouté
Snort par le bouton « + » dans trois sondes du pare-feu.
Snort exige le téléchargement des règles,
qui sont mis à jour par la communauté Snort. L'image de la figure
27 présente la configuration générale de Snort :
58
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
59
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 27 : La configuration générale
de Snort
Snort dispose d'une base de données propre à
lui, dans le but d'envoyer correctement les logs dont on a besoin pour les
alertes par l'outil « Barnyard2 ». La figure 28 montre la
configuration de l'outil « Barnyard2 ».
60
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 28 : La configuration de
Barnyard2
Il faut aussi configurer le système des journaux et les
centraliser pour les envoyer a un serveur bien déterminé, comme
l'illustre la figure 29 :
Figure 29 La configuration de système de
Logs
61
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
4.5. Configuration de D.V.W.A.
L'on a installé le serveur web vulnérable D.V.W.A.
(Damn Vulnerable web application) qui est basé sur le système
d'exploitation Linux.
Ensuite l'on a appliqué des attaques web avant et
après la configuration du pare-feu « PfSense » pour mettre le
point sur la sécurité des systèmes d'information.
La figure 30 représente la page d'accueil du serveur web
DVWA :
Figure 30 : Page d'accueil de DVWA
Après avoir installé le serveur web «
D.V.W.A. », l'on commence par l'ouvrir et appliquer les attaques web.
L'interface web de D.V.W.A. comporte plusieurs attaques web comme l'indique la
figure 31 :
Figure 31 : Interface des attaques de
DVWA
62
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
4.6. Configuration de la machine Windows 4.6.1.
Configuration réseau
La figure 32 montre la configuration des adresses IP de la
machine Windows :
Figure 32 : Configuration de l'adresse IP de la
machine Windows
4.6.2. Configuration d'OSSEC
La figure 33 représente la communication entre la
machine et le serveur OSSIM, pour lui envoyer les « logs » par le
pare-feu à travers le port syslog. Il faut donc générer le
code de l'authentification d'OSSEC server.
Figure 33 : Configuration d'OSSEC
63
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
4.7. Configuration d'OSSIM
La figure 34 montre l'interface d'OSSIM après installation
:
Figure 34 : Interface OSSIM
Après avoir saisi le nom d'utilisateur et le mot de
passe définis pour le serveur OSSIM, on obtient, comme le montre la
figure 35, l'interface de configuration de base d'OSSIM :
Figure 35 : Interface de configuration de base
d'OSSIM
64
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
L'on remarque sur la figure 35 un message stipulant que l'on
peut accéder à l'interface graphique d'OSSIM en utilisant
l'adresse `'
https://192.168.57.101». La
figure 36 décrit l'adressage statique de l'adresse IP en mettant comme
passerelle l'adresse de l'interface PfSense 192.168.57.102.
Figure 36 : Configuration d'adresse IP de
OSSIM
Cette figure 37 présente l'interface graphique d'OSSIM
où l'on insert le nom d'utilisateur et le mot de passe :
Figure 37 : Interface graphique
d'OSSIM
Afin de simuler le fonctionnement d'OSSIM et d'avoir des
évènements provenant de sources
multiples, l'on a
ajouté pour un temps très court des machines à notre
environnement virtuel.
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Ces machines ont été retranchées
après un certain temps, à cause des limites matérielles
que présentait la machine qui servait d'hôte aux machines
virtuelles. A la figure 38, l'on a le tableau de bord d'OSSIM, comportant
plusieurs fonctionnalités.
Figure 38 : Interface web OSSIM
La figure 39 décrit la base de données où
sont inscrits les informations générées par défaut
et les informations des agents SNORT et OSSEC :
65
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
66
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 39 : Base de données
OSSIM
La figure 40 montre les statistiques faites par OSSIM des
événements envoyés par les agents HIDS et la liste des
agents connectés :
Figure 40 : Statistiques des
évènements des agents OSSEC
67
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
La figure 41 représente les règles de SNORT, car
il génère quotidiennement des mises à jour des
règles de détection d'intrusion :
Figure 41 : « Rules » de
Snort
La figure 42 représente une vue globale des packages de
monitoring fait par l'outil de supervision de Nagios :
Figure 42 : Tableau de bord de la supervision «
Nagios »
68
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
La figure 43 montre la détection qu'effectue OSSIM en
temps réel des évènements et informations qui surviennent
au sein du système :
Figure 43 : Détection en temps réel
d'OSSIM
Afin de pouvoir alerter l'administrateur de certains
évènements qui surviennent dans le système, comme des
attaques ou des intrusions, l'on a configuré OSSIM pour qu'il puisse
envoyer un mail à l'administrateur lorsqu'OSSIM générera
des alertes. Les figures 44 et 45 montrent quelques étapes de cette
configuration. La figure 44 montre le serveur OSSIM qui a été
configuré pour utiliser le protocole SMTP (Simple Mail Transfert
Protocol) et le service de messagerie `'Gmail» :
Figure 44 : Configuration du relais de messagerie
d'OSSIM
69
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
La figure 45 illustre la configuration qui a été
faite pour spécifier les informations que doivent contenir les mails
à envoyer ainsi que les adresses mails source et de destination :
Figure 45 : Spécification des informations
des messages mails à envoyer par OSSIM
Ensuite, l'on a effectué de brèves analyses de
vulnérabilités sur certains hôtes et sur les réseaux
de notre système. La figure 46 montre quelques résultats de ces
analyses. Ils ont été classés par services et
réseaux les plus vulnérables aux moins vulnérables, en
fonction de l'architecture réseau définie :
Figure 46 : Résultats d'analyses de
vulnérabilités par services et par réseaux
70
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
La figure 47 montre le même classement, mais cette
fois-ci, par rapport aux informations recueillies lors de l'analyse de
vulnérabilités et par rapport aux hôtes analysés
:
Figure 47 : Classement des résultats
d'analyse de vulnérabilités par hôtes
analysés
La figure 48 montre quelques-unes des
vulnérabilités ou anomalies détectées lors des
analyses et le degré de priorité de chacune d'elles :
Figure 48 : Anomalies et
vulnérabilités détectées sur le
système
71
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
4.8. Les tests
Comme décrit précédemment,
l'environnement dans lequel le travail a été effectué est
un environnement virtuel constitué de 5 machines. L'on va effectuer des
tests d'intrusions en local, car, effectuer des attaques depuis internet
nécessite des compétences d'un « hacker » ou pirate
informatique. Le scénario de l'intrusion se présente comme suit,
avec les adresses IP des machines en jeu :
· Machine de l'attaquant (Kali linux) : 172.16.0.8 ;
· Machine de la victime (Windows) : 172.16.0.22.
Nous allons effectuer une attaque nommée «
EternalBlue ». EternalBlue est un programme permettant à un
individu ou à un logiciel malveillant d'exploiter une faille de
sécurité dans un système informatique. Il utilise une
faille de sécurité présente dans la première
version du protocole SMB (Server Message Block) à travers le port 445.
Le protocole SMB est un protocole permettant le partage de ressources (fichier,
imprimantes, etc) sur des réseaux locaux avec des machines
exécutant le système d'exploitation Windows.
Tout d'abord, nous allons vérifier si la machine de la
victime est vulnérable face à cette attaque. Nous allons pour
cela effectuer une analyse de vulnérabilité depuis la machine de
l'attaquant vers le port 445 de la machine de la victime. La figure 49 montre
le résultat : la machine de la victime est vulnérable face
à l'attaque « EternalBlue ».
Figure 49 : Résultat du scan de la machine
de la victime
72
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Ensuite, nous avons effectué l'attaque sur la machine
de la victime. Un fois que l'attaque a réussi, nous avons eu
accès à l'invite de commande de la machine de la victime, comme
l'illustre la figure 50 :
Figure 50 : Accès à l'invite de
commande de la victime
En analysant la figure 50, on se rend compte de l'attaque a
eu lieu à 13 :17. La figure 51 nous permet de voir comment OSSIM a
réagi face à cette intrusion. Il est à noter que l'heure
à laquelle OSSIM a détecté l'intrusion est la même
que l'heure à laquelle l'intrusion a effectivement eu lieu (13 :17).
Cela confirme la récolte en temps réel des informations et
évènements de sécurité par OSSIM.
Figure 51 : Détection en temps réel
de l'intrusion par OSSIM
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
On remarque sur cette figure 51 qu'OSSIM a notifié
l'heure de l'intrusion, le nom de l'évènement, qui est lié
à une intrusion sur le réseau, le nom de l'attaque et du
programme malveillant, les adresses IP source et de destination de l'attaque
ainsi que les ports source et de destination.
Afin de montrer que l'on a réellement eu accès
à la machine de la victime, l'attaquant va créer un dossier
depuis sa machine sur la machine de la victime, comme l'indique la figure 52.
Le nom du dossier sera `'You've been hacked».
Figure 52 : Création d'un dossier depuis la
machine de l'attaquant vers la machine de la
victime
Ensuite, dans le dossier créé, l'on a
créé un fichier nommé `'Hacked» dans lequel l'on a
inséré le texte `'You get hacked». La figure 53 indique
l'exécution de cette opération :
73
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Figure 53 : Création d'un fichier depuis la
machine de l'attaquant vers la victime
A présent, nous allons vérifier si effectivement
le dossier a été créés sur la machine de la victime
et à quel moment.
Figure 54 : Vérification de la
création du dossier sur la machine de la victime
74
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
75
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Vérifions si le fichier `'Hacked» a
été créé sur la machine de la victime.
Figure 55 : Vérification de la
création du fichier sur la machine de la victime
Comme l'indique la figure 54, le dossier `'You've been
hacked» a été créé sur la machine de la
victime. Une analyse de l'heure de la création du dossier
mentionnée sur la figure 54 et de l'heure à laquelle
l'opération a été effectuée chez l'attaquant (voir
figure 52) montre la simultanéité de l'opération chez
l'attaquant et la victime.
La même analyse (figure 53 et figure 55) permet de
parvenir à la même conclusion en rapport avec le fichier
`'Hacked».
L'on constate ainsi que l'attaquant a effectivement eu
accès à la machine de la victime. D'un autre côté,
OSSIM a généré une alerte face à cette intrusion
détectée sur le réseau local.
4.9. Résultat final du
déploiement
Pour ce qui concerne le travail effectué, l'on a
commencé par installer tous les logiciels de sécurité des
équipements d'information proposés au début de ce
chapitre. Notre choix technique est porté sur le SIEM « AlienVault
OSSIM » qui représente le coeur du système. Nous avons
installé le système de détection d'intrusion réseau
« SNORT », mais aussi configuré des règles de filtrages
afin d'assurer la bonne communication entre les différentes machines et
serveurs. Nous avons aussi installé « SNORT » sur les sondes
du DMZWEB « 192.168.56.0 /24 » et sur la partie interne « INT
» « 172.16.0.0 » pour minimiser la marge des erreurs et les
intrusions. Ensuite nous avons installé des systèmes de
détection d'intrusion H.I.D.S. dites OSSEC pour les hôtes (serveur
web, machine Windows) qui contrôlent les activités de la machine.
Les logs de ces diverses solutions seront transmis vers le serveur « OSSIM
» à travers l'interface du pare-feu « pfsense » par le
biais des ports « syslog » (514 ; 1514). OSSIM est inscrit dans le
DMZMONIT et il contient non seulement plusieurs sous-serveurs faisant
référence aux agents mais aussi un outil de supervision «
NAGIOS ». Les tests ont montré qu'OSSIM a joué le
rôle
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
pour lequel il a été choisi : il a
détecté les différents évènements en temps
réel survenus sur le système et surtout, il a
détecté l'intrusion que nous avons simulé et à
donner les informations relatives à celle-ci, ce qui alertera les
responsables du système informatique de l'entreprise et permettra une
intervention par rapport à cette intrusion détectée.
4.10. Evaluation financière
Afin de pouvoir réussir ce projet, l'évaluation
des coûts s'avère nécessaire. Les coûts ont
été évalués en tenant compte des ressources
matérielles, de la main d'oeuvre (coûts liés à
l'implémentation) et de la formation des utilisateurs du système.
Les coûts liés à l'implémentation ont
été établis en tenant compte de la durée exacte de
la mise en place du système et non de la durée du stage. Pour les
coûts de la formation, ils sont liés à la formation
des administrateurs réseaux de BANKeVI GROUPE sur
AlienVault OSSIM.
Nous proposons un Serveur HPE ProLiant DL60 Gen9 avec les
caractéristiques suivantes :
· 8 Go DIMM de type DDR4 SmartMemory ;
· Processeur Intel Xeon E5-2609v4 1.7 GHz ;
· 20 Mo de mémoire cache avec six coeurs pour des
performances optimisées ;
· Un kit d'alimentation HPE 550W intégré en
usine.
Ø Coût lié à l'achat du
matériel :
Tableau 2 : Achat des
matériels
Matériel
|
Quantité
|
Prix Unitaire (FCFA)
|
Montant (FCFA)
|
HPE ProLiant DL60 Gen9
|
01
|
1.500.000
|
1.500.000
|
Câble réseau FTP catégorie 6
pré sertis de 3 mètres
|
01
|
2.500
|
2.500
|
Total (1)
|
1.502.500
|
|
76
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
77
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Ø Coûts liés à
l'implémentation :
Tableau 3 : Coût de
l'implémentation
Nombre de
Personnes
|
Durée de
l'implémentation
|
Prix horaire
(FCFA)
|
Prix total (FCFA)
|
1
|
Le projet sera
réalisé sur
une
période de 30 jours.
Ce qui fait 150
heures à raison
de 5
heures par jour.
|
5.000
|
750.000
|
Total (2)
|
750.000
|
|
Ø Coûts liés à la formation :
Tableau 4 : Coûts de la formation de
l'administrateur système
Nombre de
Personnes
|
Durée de la
formation
|
Prix horaire (FCFA)
|
Coût de la
formation (FCFA)
|
1
|
4 jours ouvrables en raison de 5 heures par jour
|
5.000
|
100.000
|
Total (3)
|
100.000
|
|
Ø Coût lié à la maintenance
Tableau 5 : Coût d'entretien du
serveur
Nombre de
Personnes
|
Durée de la maintenance
préventive
|
Cout de la
maintenance (FCFA)
|
1
|
La maintenance s'effectuera une fois à chaque 2 mois en
raison de 4h de travail par jour sur une période de 12 mois et ce
à un prix forfaitaire
|
200.000
|
Total (4)
|
200.000
|
|
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Ø Évaluation du coût total du Projet
Le coût de la réalisation du projet est la somme
des coûts liés à l'achat des matériels, coûts
liés à l'implémentation, coûts liés à
la formation sur l'utilisation d'OSSIM et les coûts liés à
l'entretien du système mis en place.
|
Coût total = Total (1) + Total (2) + Total (3) +
Total (4)
= 1.502.500 + 750.000 + 100.000 + 200.000 =
2.552.500
|
Ce qui fait que le coût du projet s'élève
à 2.552.500 FCFA.
4.11. Conclusion
Ce chapitre contient la création de l'architecture d'un
réseau type ainsi que la configuration des solutions des logiciels
libres pour ainsi faire le déploiement du réseau. Il a
présenté également une évaluation financière
totale du projet.
78
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
79
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Conclusion générale
Il est démontré au cours de ce travail la
faisabilité de la mise en place du système de gestion des
informations et évènements de sécurité avec l'outil
AlienVault OSSIM, de manière à pouvoir mettre en place une
sécurité efficace du réseau informatique. Le
problème était de savoir s'il est possible d'analyser les
évènements de chaque équipement du réseau pour
ensuite les fusionner afin d'avoir une vue d'ensemble de ces
évènements à travers un seul système au lieu de
plusieurs ; s'il était possible de savoir qui attaque le système
informatique de l'entreprise et quand une attaque a lieu ; s'il était
possible d'avoir une gestion centralisée de tous les équipements
de sécurité (pare-feu, systèmes de détection et de
prévention d'intrusion, etc...) de l'entreprise et de tout son
système d'information. Pour apporter une solution à ces
inquiétudes, nous avons analysé les objectifs à atteindre
notamment le fait d'améliorer le
système de sécurité informatique de
BANKeVI GROUPE, à travers la mise en place d'un
système qui puisse gérer les informations et
évènements de sécurité, mais qui soit libre et
à code source ouvert. Pour atteindre ces objectifs, nous avons pris
connaissance des réseaux informatiques, des différents types
d'attaques, des techniques de protection des systèmes informatiques, des
systèmes de gestion des informations et évènements de
sécurité. Nous avons également étudié
AlienVault OSSIM qui est l'outil de gestion des informations et
évènements de sécurité (S.I.E.M., Security
Information and Event Management en anglais) retenu pour la mise en place.
Pour assurer son efficacité, il a fallu installer et configurer des
outils complémentaires comme des sondes Snort, Nagios qui est un outil
de supervision. La réalisation a montré qu'il est possible de
détecter des différentes attaques, la date de la mise en oeuvre
de l'attaque ainsi que d'autres informations sur l'intrusion. En fait,
grâce à AlienVault OSSIM,
BANKeVI GROUPE peut et corriger les failles du réseau
suivant les types attaques détectées ainsi que de connaître
en tout moment si elle est la cible d'une attaque d'intrusion ou pas.
Cependant, AlienVault OSSIM présente des insuffisances,
par exemple si l'outil est installé en virtuel, il peut devenir gourmand
en ressources matérielles. De plus, il ne dispose pas en son sein d'un
système de prévention d'intrusions qui soit
intégré. Comme perspectives à ce travail, nous souhaitons
introduire davantage de composants à notre architecture système
et intégrer un système de prévention d'intrusion à
notre l'outil AlienVault OSSIM. Nous souhaitons également
intégrer un système qui permettra d'alerter par SMS les
responsables du système informatique de l'entreprise à chaque
fois qu'une nouvelle intrusion, anomalie ou attaque est détectée
sur le système. Nous souhaitons également mettre en place un
document spécifiant un ensemble d'actions à mener lorsqu'une
attaque ou intrusion est détectée par OSSIM. Ce document
permettra une meilleure gestion face aux incidents répertoriés au
seins du système informatique de l'entreprise.
Au terme de ce stage, nous avons pu acquérir des
connaissances et expériences en sécurité informatique. En
effet, dans le cadre de ce stage, nous avons développé nos
connaissances dans l'utilisation des outils libres et à codes sources
ouverts. Nous nous sommes familiarisées avec le logiciel libre OSSIM et
nous avons appris comment maîtriser les différents aspects de la
sécurité informatique en intégrant plusieurs solutions et
en agissant face aux multiples problèmes rencontrés. Ces acquis
pourront être directement appliquées à des choix
d'intégration et de conception dans le milieu professionnel.
80
Mémoire de Licence - MRI KUAOVI KOKO E. O. / CIC -
UL
Etude et mise en place d'un S.I.E.M. (Security Information
and Event Management) Open Source :
cas de « BANKeVI GROUPE
»
Bibliographie
[1] M. Lahdidi, « Les entreprises africaines ne
réalisent toujours pas le danger des
cyberattaques », 26-mai-2017. [En ligne]. Disponible
sur:
https://afrique.latribune.fr/africatech/2017-05-26/les-entreprises-africaines-ne-realisent-toujours-pas-le-danger-descyber-attaques-722984.html.
[Consulté le: 01-oct-2019].
[2] Symantec, « Ransomware and Businesses 2016 »,
2017.
[3] M. Lahdidi, « Cyberattaques : l'Afrique sur le
qui-vive », 28-juin-2017. [En ligne].
Disponible sur:
https://afrique.latribune.fr/africa-tech/2017-06-28/cyberattaques-l-
afriquesur-le-qui-vive-742056.html.
[Consulté le: 01-août-2019].
[4] « Centre Informatique et de calcul (CIC) |
Université de Lomé ». [En ligne]. Disponible sur:
https://www.univ-lome.tg/fr/universite/organisation/etablissements/cic.
[Consulté le: 04-juill-2019].
[5] « Nos Départements ». [En ligne].
Disponible sur:
https://bankevi.com/Nos-D%C3%A9partements/.
[Consulté le: 04-juill-2019].
[6] « A propos ». [En ligne]. Disponible sur:
https://bankevi.com/A-propos/.
[Consulté le: 04-juill-2019].
[7] « Zone démilitarisée (informatique)
», Wikipédia. 27-déc-2018.
[8] G. Pujolle, Les réseaux. Paris: Eryolles,
2008.
[9] S. Lohier, Transmissions et réseaux 3e
édition. Paris: Dunod, 2003.
[10] L. Levier, Tableaux de bord de la
sécurité réseau. Paris: Eryolles, 2006.
[11] G. Safia, « Algorithme d'intelligence artificielle
pour la classification d'attaques réseaux à partir de
données TCP », M'hamed BOUGARA de Boumerdes, 2010.
[12] J.-L. CARUFEL, « Cryptographie et
sécurité informatique », Laval.
[13] Bonecaze, S. Ballet, et Alexis, Courbes Elliptiques
Application à la Cryptographie. Ecole polytech de Marseille.
[14] R. Rehman, Intrusion Detection Systems with Snort
Advanced IDS Techniques Using Snort, Apache, MySQL, PHP, and ACID, Livre.
2003.
[15] J. Burton, Cisco Security Professional's Guide to
Secure Intrusion Detection Systems, Syngress. .
[16] B. Karle, NT réseau IDS et IPS. Paris,
2003.
| 
