Semaine 27-28 : Gestion des Vulnérabilités 🔎
Objectifs pédagogiques
- Effectuer des audits de sécurité en utilisant des outils de scan de vulnérabilités.
- Mettre en place un processus efficace de gestion des mises à jour et des patches.
- Comprendre le cycle d’un test d’intrusion et l’utiliser pour identifier les failles.
- Maîtriser les concepts de gestion des incidents, de continuité d’activité et de conformité.
Sommaire de Navigation
1 — Scan de Vulnérabilités et Audit de Sécurité
La gestion des vulnérabilités est le processus continu d’identification, d’évaluation, de traitement et de signalement des faiblesses de sécurité dans les systèmes.
Qu’est-ce qu’une Vulnérabilité ?
Une vulnérabilité est une faiblesse dans la conception, l’implémentation, le fonctionnement ou la gestion d’un système qui pourrait être exploitée pour violer la politique de sécurité.
Outils de Scan de Vulnérabilités
Ces outils automatisés parcourent le réseau et les systèmes pour identifier les faiblesses connues (logiciels obsolètes, ports ouverts, mauvaises configurations).
- Exemples : **Nessus**, **OpenVAS**, **Qualys**.
- Rapport : Le résultat est un rapport classé selon la gravité (Critique, Élevée, Moyenne, Faible) basé sur le score CVSS.
CVSS (Common Vulnerability Scoring System)
Le CVSS est un standard ouvert permettant d’attribuer une note numérique (de 0.0 à 10.0) à une vulnérabilité en fonction de facteurs comme la complexité d’exploitation, l’impact sur la confidentialité, l’intégrité et la disponibilité (CIA).
2 — Gestion des Mises à Jour (Patch Management)
Le Patch Management est le processus de mise à jour des logiciels et des systèmes d’exploitation pour corriger les vulnérabilités et les bugs. C’est l’une des mesures de sécurité les plus importantes.
Cycle de Vie du Patch Management
- Détection : Identification et notification d’un nouveau patch de sécurité.
- Évaluation : Détermination de la pertinence et de la priorité du patch (basée sur le score CVSS).
- Test : Application du patch dans un environnement de test (pré-production) pour vérifier qu’il ne cause pas de régression ou de panne.
- Déploiement : Application du patch en production, souvent via des outils centralisés (WSUS pour Windows, Ansible pour Linux, ou outils de gestion IaC).
- Vérification : S’assurer que le patch a été appliqué correctement et que le service fonctionne.
Stratégies de Déploiement
- Déploiement par vagues (Ring Deployment) : Commencer par un petit groupe de machines (Ring 1 – machines de test), puis étendre progressivement à des groupes plus larges.
- Fenêtres de maintenance : Planifier l’application des patches pendant les périodes de faible activité pour minimiser l’impact.
3 — Tests d’Intrusion (Pen Testing)
Le test d’intrusion est une simulation d’attaque contre un système informatique, un réseau ou une application web pour évaluer sa sécurité. Il va plus loin qu’un simple scan de vulnérabilités en exploitant activement les failles trouvées.
Approches du Test d’Intrusion
| Approche | Description | Objectif |
|---|---|---|
| Boîte Blanche (White Box) | L’attaquant dispose de toutes les informations sur la cible (schémas réseau, code source, accès privilégiés). | Tester la sécurité interne et l’efficacité des contrôles de sécurité. |
| Boîte Noire (Black Box) | L’attaquant n’a aucune information préalable sur la cible (comme un attaquant externe réel). | Tester les failles publiques et les défenses périphériques. |
| Boîte Grise (Gray Box) | L’attaquant dispose d’informations partielles (ex: un compte utilisateur standard). | Simuler une attaque par un utilisateur interne malveillant ou un partenaire. |
Les Étapes d’un Test
- Reconnaissance (Information Gathering) : Collecte d’informations.
- Scan : Découverte des ports, services et des vulnérabilités.
- Exploitation : Tentative d’accès non autorisé via les vulnérabilités.
- Post-Exploitation : Maintien de l’accès et élévation des privilèges.
- Rapport : Documentation des failles et recommandations de correction.
4 — Gestion des Incidents, Continuité d’Activité et Conformité
Ces concepts englobent la réaction de l’organisation face aux menaces et le respect des cadres réglementaires.
Gestion des Incidents (Incident Response)
C’est le processus organisé de détection, de tri et de réponse à un incident de sécurité (ex: intrusion, rançongiciel). Un plan de réponse aux incidents (IRP) bien défini est essentiel.
- Étapes : Préparation → Détection et Analyse → Contention (Isolation de l’attaque) → Éradication → Récupération → Leçons Apprises.
Continuité d’Activité (BCP) et Reprise après Sinistre (DRP)
- BCP (Business Continuity Plan) : Plan global pour maintenir les fonctions essentielles de l’entreprise pendant et après une perturbation majeure.
- DRP (Disaster Recovery Plan) : Se concentre spécifiquement sur la récupération des infrastructures informatiques après un sinistre.
Conformité et Réglementations
La conformité exige de respecter les lois, normes et réglementations qui régissent l’utilisation des données.
- RGPD (Règlement Général sur la Protection des Données) : Cadre européen pour la protection des données personnelles.
- PCI DSS (Payment Card Industry Data Security Standard) : Norme obligatoire pour toute entité qui stocke, traite ou transmet des données de cartes de paiement.