Correction exercice I La description et pratique de la sécurité informatique
Correction exercice I
a) Le système d'information est un ensemble organisé de ressources qui permet de collecter, stocker, traiter et distribuer de l'information grâce à un ordinateur.
b) La confidentialité est le fait de s’assurer qu’une information est accessible uniquement par les entités qui ont le droit d’accéder à celle-ci.
c) L'intégrité, c’est le fait garantir que les données sont bien celles que l'on croit être; consiste à déterminer si les données n'ont pas été altérées durant la communication (de manière fortuite ou intentionnelle).
d) Un compte d'utilisateur est l'ensemble des ressources informatiques attribuées à un utilisateur ou à un appareil (ordinateur, périphérique...).
e) Un mot de passe est une chaîne de caractères qui sert de code d’accès à un compte utilisateur.
f) Sécuriser son espace de travail c’est protéger l’espace de travail d’un utilisateur non autorisé.
g) La compression de données ou codage de source est l'opération informatique consistant à transformer une suite de bits A en une suite de bits B plus courte pouvant restituer les mêmes informations, ou des informations voisines, en utilisant un algorithme de décompression.
h) Un virus est un programme malveillant pouvant nuire au fonctionnement logiciel ou matériel de l’ordinateur.
i) Les antivirus sont des programmes conçus pour contenir l’action des virus.
j) Le chiffrement est l’opération qui consiste à transformer une donnée qui peut être lue par n’importe qui (donnée dite "claire") en une donnée qui ne peut être lue que par son créateur et son destinataire (donnée dite "chiffrée" ou encore cryptogramme).
k) La cryptographie est une discipline alors que le chiffrement un procédé (une opération).)
Correction exercice II La description et pratique de la sécurité informatique
Correction exercice II
Réponse aux questions suivantes
1. Les menaces contre le système d'information peuvent être :
• L’atteinte à la disponibilité des systèmes et des données,
• La destruction de données,
• La corruption ou falsification de données,
• Le vol ou espionnage de données,
• L’usage illicite d'un système ou d'un réseau,
2. Pour éviter toutes menaces contre le système d'information, on doit :
• Mettre sur pied une politique de sécurité informatique
• Effectuer une analyse des risques
• Établir une politique de sécurité
• Mettre en œuvre des techniques de sécurisation
3. Les techniques de sécurisation des systèmes d’information sont :
• L’évaluation des vulnérabilités et les Tests de pénétration (Pen-Test) ;
• La sécurisation des données:
• La sécurité du réseau: Pare-feu, IDS ;
• La surveillance des informations de sécurité ;
• L’éducation des utilisateurs ;
4. La sécurité des systèmes d'information vise les objectifs suivants regroupés sous l’appellation de principes fondamentaux de la sécurité informatique (C.I.D.) :
1) Confidentialité (C),
2) Intégrité (I)
3) Disponibilité (D)
a) La confidentialité
La confidentialité est le fait de s’assurer qu’une information est accessible uniquement par les entités qui ont le droit d’accéder à celle-ci. Seules les personnes autorisées peuvent avoir accès aux informations qui leur sont destinées (notions de droits ou permissions). Tout accès indésirable doit être empêché.
b) L’Intégrité
L'intégrité, c’est le fait garantir que les données sont bien celles que l'on croit être; consiste à déterminer si les données n'ont pas été altérées durant la communication (de manière fortuite ou intentionnelle).
Les données doivent être celles que l'on attend, et ne doivent pas être altérées de façon fortuite, illicite ou malveillante. En clair, les éléments considérés doivent être exacts et complets. Cet objectif utilise généralement des méthodes de calculs de checksum ou de hachage.
c) Disponibilité :
La disponibilité est le fait de s’assurer que l’information soit toujours disponible peu importe le moment choisit.
L’accès aux ressources du système d'information doit être permanent et sans faille durant les plages d'utilisation prévues.
5. Un système de sécurité doit avant tout:
• Assurer la protection externe et interne du système d’information ;
• Garantir en tout temps la confidentialité des communications ;
• S’aligner à la culture de l’entreprise ;
• Contrôler l’accès à la ressource informatique avec certitude ;
• Garantir le retour sur investissement ;
• Flexible et souple : invariable quelques soit l’état de l’entreprise.
Implanter un système de sécurité fiable et efficace permet aux entreprises d’assurer en quelque sorte leur progression dans le temps et de diffuser une image positive, notamment pour les entreprises faisant du commerce via internet et/ou qui privilégient un extranet avec leurs collaborateurs.
Correction exercice III La description et pratique de la sécurité informatique
Correction exercice III
1. Pour éviter que les élèves aient accès aux épreuves séquentielles
• Il faut protéger son espace de travail ;
• Il faut sécuriser les données ;
• Il faut créer les comptes utilisateurs.
2. Les comptes que nous pouvons créer :
On pourra créer deux comptes ; l’un appartenant au personnel enseignant et l’autre appartenant à tout autre utilisateur.
3. Les particularités de ces différents comptes d’utilisateurs sont :
• Le compte personnel enseignant est protégé par un mot de passe ;
• Le compte des autres utilisateurs n’est pas protégé par un mot de passe.
Correction exercice IV La description et pratique de la sécurité informatique
Correction exercice IV
1. Sous Windows, nous allons présenter la procédure pour sécuriser un document Word avec un mot de passe.
Lorsque votre document est saisi,
Cliquez sur le bouton fichier \( \mapsto \) enregistrer sous;
Sélectionnez un emplacement dans lequel enregistrer le fichier (ordinateur, OneDrive ou site web, Mes documents…), puis cliquez sur Parcourir;
Dans la boîte de dialogue Enregistrer sous \( \mapsto \) cliquez sur Outils\( \mapsto \) Options général.
Dans la boîte de dialogue options d’enregistrement, sous partage de fichier, ajoutez des mots de passe pour votre fichier :
Mot de passe de protection : ce mot de passe est nécessaire pour ouvrir le fichier ;
Mot de passe de réservation d’écriture : tout le monde peut lire le fichier, seules les personnes qui disposent de ce mot de passe peuvent apporter des modifications.
2. Windows offre désormais nativement la possibilité de sécuriser un dossier ou un fichier. Pour ce faire, il suffit de créer le dossier à protéger, cliquer avec le bouton droit sur ce dossier et choisir "Propriétés". Dans l'onglet Général, choisir "Avancé".
Une boîte de dialogue "Attributs avancés" s'ouvre alors. Cocher la case "Chiffrer le contenu pour sécuriser les données" et valider.
Les autres utilisateurs du système n'auront alors plus accès aux données de ce dossier et aux fichiers qu'il contient.
Correction exercice V La description et pratique de la sécurité informatique
Correction exercice V
1. Définir
Compte utilisateur est un ensemble d’informations indiquant au système d’exploitation les fichiers et dossiers auxquels l’utilisateur concerné peut accéder et modifier.
2. Sécuriser son espace de travail distant consiste à :
• Déposer ses fichiers dans un espace privé ;
• Limiter tout risque d'usurpation d'identité (mot de passe complexe ; déconnexion de sa session ; etc.)
3. il existe trois comptes utilisateur à savoir :
• Comptes Administrateur,
• Compte utilisateur standard
• Compte invité.
4. Le compte administrateur est distinct des autres compte en ce sens que l'administrateur dispose de tous les droits sur les autres comptes.
5. On distingue deux types de clés.
• Les clés symétriques : il s’agit de clés utilisées en même temps pour le chiffrement et le déchiffrement. On parle alors de chiffrement symétrique ou de chiffrement à clé secrète.
• Les clés asymétriques : ici les clés utilisées pour le chiffrement et le déchiffrement sont différentes. On parle alors de chiffrement asymétrique ou de chiffrement à clé publique.
Correction exercice VI La description et pratique de la sécurité informatique
Correction exercice VI
1. Créer un compte utilisateur
• Sélectionnez le bouton Démarrer , puis Paramètres > Comptes et sélectionnez Famille et autres utilisateurs (dans certaines éditions de Windows, vous verrez Autres utilisateurs).
• Sélectionnez Ajouter un autre utilisateur sur ce PC.
• Sélectionnez Je ne possède pas les informations de connexion de cette personne, puis sur la page suivante, choisissez Ajouter un utilisateur sans compte Microsoft.
• Entrez un nom d’utilisateur, un mot de passe, une indication de mot de passe ou choisissez les questions de sécurité, puis sélectionnez Suivant.
2. Modifier un compte d’utilisateur local en compte d’administrateur
Sous Paramètres > Comptes > Famille et autres utilisateurs, sélectionnez le nom du propriétaire du compte, puis sélectionnez Modifier le type de compte.
Sous Type de compte, sélectionnez Administrateur et OK.
Connectez-vous avec le nouveau compte Administrateur.
Correction exercice VII La description et pratique de la sécurité informatique
Exercice VII
1. les risques potentiels sur les informations sensibles sont :
• La perte de données suite à une défaillance matérielle ou humaine.
• L'indiscrétion ou l'atteinte volontaire à l'intégrité des données par une personne.
• La révélation des habitudes de navigation.
• L'attaque du système par un logiciel malveillant ou un pirate.
2. La sécuriser de l’espace de travail local passe par :
• La sauvegarde régulièrement des données sur des supports amovibles ou distants.
•La limitation de l'accès à son espace de travail et ses fichiers.
• La protection de son système des logiciels malveillants.
• L’identification des situations à risques.
• La restauration de l'intégrité de son système en cas de défaillance.
3. On peut sécuriser son espace de travail distant en:
• Déposant ses fichiers dans un espace privé.
• Limitant tout risque d'usurpation d'identité (mot de passe complexe ; déconnexion de sa session ; etc.)
4. Nous distinguerons ici la sécurité d'un poste de travail sous Windows (2000, XP ou Vista) et la sécurité d'un poste de travail sous une distribution de Linux. Nous limiterons notre étude à la sécurité logique.
Un moyen simple permettant d'ajouter une couche importante de sécurité est l'utilisation de machine virtuelle, d'avoir un pare-feu et un anti-virus mis à jour tous les jours (voir toutes les heures...).
Les conseils qui suivent ne sont pas exhaustifs, il s'agit selon nous d'une prévention acceptable.
Machine Windows :
• Désactiver le compte Invité
• Affecter les permissions sur les dossiers et les fichiers partagés
• Désactiver les partages inutiles
• Désactiver les services inutiles
• Utiliser Active Directory pour la gestion des utilisateurs
Machine Unix (Linux) :
• Utiliser "sudo" pour que chaque application dispose d'un mot de passe. Ceci permettra de limiter les privilèges des utilisateurs
• Désactiver les services inutiles
• Utiliser chroot pour vos comptes
• Enregistrer les événements des applications via le démon syslogd
Correction exercice VIII La description et pratique de la sécurité informatique
Correction exercice VIII
1. La plupart des virus visent à déclencher une action.
Certaines actions sont sans danger : affichage d'un message, exécution d'une musique, dessin d'une spirale sur l'écran, etc. D'autres ont une action beaucoup plus nuisible.
2. Les formes possibles de virus informatiques :
• Le virus programme (ou virus d'application) infecte les programmes exécutables. Il se glisse dans une partie du code et sera exécuté en même temps que l'application. Il en profitera pour se reproduire, contaminer d'autres exécutables et déclencher l'action prédéterminée par son auteur.
• Le virus de script infecte les pages HTML chargées par un internaute. Une page HTML est composée de balises interprétées par le navigateur. Il est possible d'ajouter dans une page HTML des programmes écrits dans un autre langage pour enrichir les pages et les rendre dynamiques. Les plus utilisés sont VB-Script et JavaScript. VB-Script est à l'origine de nombreux virus. Exemple : « I love you (mai 2000) ».
• Le virus macro est un virus qui infecte des documents (courrier, tableau, etc...). Il est possible d'insérer dans un document des actions programmées pour automatiser certaines tâches : création de formulaires, mises en forme automatisées, etc. Ces tâches sont réalisées à l'aide d'un langage de programmation (Visual Basic pour Application pour les applications de la suite Office de Microsoft). Le virus se sert de ce langage pour se reproduire et déclencher une action destructrice. Exemple : « Concept (1995) »
• Le virus système (ou virus de secteur d'amorce) infecte les zones systèmes des disques durs ou des disquettes. Ces virus remplacent le secteur d'amorce du disque infecté par une copie de leurs codes.
Exemple : « Stoned (1988) », « Form (1991) », « AnticMos (1994) »
• Le virus de mail, également appelés ver. Ce virus se sert des programmes de messagerie (notamment Microsoft Outlook et Outlook Express) pour se répandre à grande vitesse, en s'envoyant automatiquement à tout ou partie des personnes présentes dans le carnet d'adresses. Le ver est une variante de virus qui a la particularité de ne pas avoir besoin de support pour se reproduire, il se suffit à lui-même. Exemple : « KakWorm (1999) », « Melissa (1999) » « Happy99 (1999).
• Le cheval de Troie ou Troyen est un logiciel apparemment inoffensif, installé ou téléchargé et au sein duquel a été dissimulé un programme malveillant qui peut par exemple permettre la collecte frauduleuse, la falsification ou la destruction de données.
3. Un logiciel espion est un logiciel introduit dans un ordinateur sans l'autorisation explicite de son utilisateur pour collecter des informations et les transmettre à un tiers.
L'objectif des espiogiciels n'est pas de détruire mais d'envoyer des informations à une société ou à un pirate sans se faire remarquer.
Ces logiciels sont parfois présentés par des sociétés commerciales comme des outils de suivi des habitudes d'un utilisateur dans le but d'améliorer les produits de la société, mais cette collecte effectuée sans le consentement de l'utilisateur est une intrusion dans la vie privée.
On les trouve notamment dans les bandeaux publicitaires de page HTML, dans les logiciels de téléchargement et d'échange de morceaux de musique. Certains sont installés par des chevaux de Troie et peuvent collecter des informations privées comme l'identité, le carnet d'adresses, les mots de passe ou les codes de carte bancaire.
4. Le spam (ou pourriel) est un courrier électronique abusif et indésirable.
Le spam se réfère aux courriers électroniques publicitaires envoyés en masse à des milliers d'internautes qui n'ont pas donné leur accord pour les recevoir. On surnomme les émetteurs de ces messages « spammeurs ».
5. Les dommages des virus, espiogiciels et spam
Si certains parasites sont inoffensifs, d'autres ont un comportement beaucoup plus nuisible et préjudiciable pour les données et parfois pour la machine elle-même :
• Destruction de fichiers : elle peut être partielle en s'attaquant à un type de fichiers (programme, document, image, son) ou totale lors d'un formatage du support.
• Corruption de fichiers : l'objectif est de modifier la structure du fichier pour le rendre inutilisable : caractères parasites dans un document, son inaudible, images dégradées, programme inutilisable. Lorsqu'il s'agit de données de gestion, le coût pour une organisation peut être très élevé.
• Destruction matérielle : certains virus vont exécuter des instructions à répétition pour provoquer un échauffement qui détruira un composant ou bien détruire le programme qui gère les entrées-sorties d'information (BIOS) de la carte mère d'un ordinateur. L'appareil est détruit sans savoir s'il s'agit d'une panne matérielle ou d'un acte volontaire de destruction.
• Instabilité du système : d'autres virus rendent le système instable par un blocage aléatoire qui oblige à redémarrer l'ordinateur.
• Dégradation des ressources du système : le virus utilise les ressources de l'ordinateur (mémoire, disque dur) pour se répliquer, il ralentit le système jusqu'au blocage complet par saturation des disques ou de la mémoire.
• Compromission des paramètres de sécurité : il s'agit d'une action courante des chevaux de Troie qui installe des modules pour intercepter les frappes au clavier (KeyLogger) notamment les mots de passe et les envoyer vers une machine à l'extérieur du réseau.
• Blocage de la sécurité : le virus s'attaque aux programmes anti-virus ou pare-feu en les désactivant pour les empêcher de fonctionner.
6. La prévention passe par une protection du poste de travail.
Elle forme un tout. S'il manque un élément, c'est la sécurité complète de l'ordinateur qui peut être compromise. Lorsqu'un poste de travail appartient à un réseau important c'est le rôle de l'administrateur réseau de garantir la sécurité des machines et des données.
Sur de petits réseaux (cas des PME ou des petites structures) ou sur un poste isolé c'est à l'utilisateur de prendre en charge cette protection.
Les logiciels de protection
Pour protéger son poste, il importe de disposer de logiciels qui vont empêcher toute action nuisible et éventuellement neutraliser un programme dangereux.
Les principaux logiciels utilisés sont :
L'anti-virus : Programme qui empêche les virus de contaminer un ordinateur. Il peut parfois, ne pas toujours, neutraliser un virus déjà présent.
Le rôle essentiel d'un anti-virus est d'interdire l'arrivée d'un virus dans la machine. Si le virus a réussi à pénétrer à l'intérieur du système, l'action de l'anti-virus sera beaucoup moins efficace. Il faudra alors recourir à un antidote que l'on télécharge sur le site d'un éditeur d'anti-virus ou sur des sites spécialisés dans la sécurité.
Pour être efficace un anti-virus doit :
• être présent sur la machine avant toute source de contamination ;
• être à jour : base antivirale et moteur de détection ;
• être actif en permanence.
Le pare-feu : Un pare-feu (firewall en anglais), est un logiciel permettant de protéger un ordinateur des intrusions provenant d'un réseau. Il doit protéger aussi bien le poste des attaques provenant d'Internet que celles provenant d'un réseau interne. Le pare-feu doit empêcher certains logiciels comme les chevaux de Troie d'entrer en contact avec d'autres ordinateurs situés dans un réseau local ou sur Internet et de leur fournir des informations présentes sur l'ordinateur.