Formation Sécurité du Système d’Information pour non informaticien

Objectif opérationnel :

Savoir les outils de sécurisation des systèmes d’information.

Objectifs pédagogiques :

À l’issue de cette formation Sécurité du Système d’information pour non informaticien vous aurez acquis les connaissances et les compétences nécessaires pour :

• Comprendre le fonctionnement des infrastructures des systèmes d’information (SI)
• Savoir comment le SI s’ouvre vers l’extérieur, techniquement et au niveau des applications
• Comprendre la place du cloud et ses solutions pour l’entreprise
• Connaître les outils de sécurisation des systèmes d’information
• Connaître les différents types d’attaques informatiques et leur fonctionnement

Ce cours pour non-informaticiens est destiné à toute personne qui désire comprendre en quoi consiste la sécurisation du système d’information de l’entreprise. Même sans connaissance IT particulière, les éléments techniques présentés dans cette formation, y compris dans la maquette, restent concrets et accessibles.

Travailler quotidiennement sur un poste de travail en réseau (naviGustur WEB, explorateur de fichiers, messagerie, etc.).

Infrastructure système (OS), aspects essentiels à comprendre pour la sécurité

• Comptes utilisateurs, groupes et droits sur les ressources L’annuaire Active Directory de Microsoft Intégration de postes informatiques dans l’annuaire Stratégies de sécurité appliquées aux ordinateurs et utilisateurs de l’annuaire Authentification LDAP et SSO Travailler sous Linux au quotidien (shell, processus, navigation dans l’arborescence) En quoi consiste la virtualisation d’un OS (système d’exploitation) ? Qu’est-ce que cela change au niveau sécurité ?

Travaux Pratiques :

Mise en place d’un annuaire d’entreprise Active Directory (AD)
Création de groupes utilisateurs et mise en place de droits sur les dossiers partagés
Tests depuis des ordinateurs distants physiques et virtuels (VM)
Exemples de stratégies (GPO) de limitations d’accès aux ressources (applications, données) selon les profils
Connexion sur un serveur Linux, localisation d’un fichier, modification d’un paramètre du site web et redémarrage d’Apache

Le Cloud pour l’entreprise, aspects essentiels à comprendre pour la sécurité

• Liens entre Cloud, Datacenter et Virtualisation Intégrer tout ou partie de l’infrastructure d’entreprise dans le Cloud (cloud hybride) Vocabulaire associé : IaaS, PaaS, SaaS Les offres du marché : Azure, Amazon, G Suite, Apps, Office 365, etc. Exemples de coûts associés aux exemples présentés Est-on mieux protégé dans le Cloud ?

Travaux Pratiques :

Mise en place d’un serveur Microsoft dans le Cloud abritant un annuaire d’entreprise (AD)
Mise en place d’un serveur web sous Linux dans le Cloud (une simple page d’accueil)
Accès distants sécurisés aux serveurs précédents (RDP, Putty)
Utilisation de Office 365 avec des comptes crées en séance dans l’annuaire précédent puis utilisés par les participants
Partage des données autour d’un Google Drive
Mise en place de la sécurité dans l’annuaire AD sur le Cloud

Architecture et services réseau

• Comprendre le réseau et son vocabulaire de base : adresse IP, masque, passerelle, routage Différences entre adresses IP publiques et privées ? Principes de fonctionnement d’une Box Internet, personnelle ou professionnelle Comment reconnaître un équipement (PC, mobile, imprimante, etc.) physiquement sur le réseau ? Automatiser la configuration IP des équipements (DHCP) Comment résoudre les noms (www.site.fr) en adresse IP (DNS) ? Comment relier le réseau Wifi et le réseau filaire (Point d’accès) ? Les différents modes de sécurisation du Wifi La place (physique) et le rôle du firewall dans le réseau Gestion de la sécurité des équipements mobiles en entreprise (BYOD, MDM, etc.) Comment les routeurs se « parlent » entre eux Vue générale de l’acheminement d’un paquet de notre PC jusqu’à un site web Un mot sur les adresses IPV6

Travaux Pratiques :

Présentation de la maquette d’un réseau d’entreprise inter-agences
Exemple de configuration réseau IP basique d’un PC accédant à Internet et/ou à une autre agence
Exemple de configuration basique d’un serveur DHCP en entreprise
Exemple de configuration réseau d’un équipement mobile accédant à Internet
Présentation d’un serveur DNS et de son paramétrage de base chez un hébergeur, pour comprendre les différentes résolutions effectuées par un DNS relatives comme les noms de domaine www.site.fr ou les mails

Sécurisation du réseau

• Les éléments de filtrage de base (@IP, n°port, @Mac) Philosophie d’un firewall (règles) Philosophie et apport d’une DMZ Éléments de cryptographie Principes de fonctionnement d’un VPN (Virtual Private Network) Architecture et apports des certificats Architecture et apports d’un serveur d’authentification (RADIUS)

Travaux Pratiques :

Exemples de règles de sécurité simples sur un firewall en production
Installation d’un certificat de type bancaire sur un PC
Exemple commenté de maquette d’une architecture d’entreprise avec accès distant sécurisé (VPN)

Fonctionnement des sites / applications web, aspects essentiels à comprendre pour la sécurité

• Le vocabulaire du développeur (source, exécutable, interpréteur, runtime, scripts, bibliothèque, module, etc.) Les modes de fonctionnement des applications (connecté / déconnecté, synchrone / asynchrone) Comment une application « utilise » le réseau ? Les grandes lignes du protocole TCP Identifier les applications par des numéros (port) Exemples parmi les standards (web, messagerie, bureau à distance, etc.) Pourquoi d’autres protocoles (UDP, RTCP, etc.) ? L’omniprésence du XML/JSON dans les échanges Le langage de base du web (HTML) Un mot sur la place du JavaScript et des CSS dans une application web Les échanges entre un naviGustur et un site / application web (http) Vue générale des SGBDR et du langage SQL Principes d’un site web dynamique avec accès à une base de données

Travaux Pratiques :

Comprendre le dialogue avec une application distante depuis un naviGustur ou un client lourd à travers l’observation des sessions en cours depuis le PC de chaque participant
Exemples de requêtes SQL sur une base MySQL
Analyse détaillée du téléchargement d’une page web accédant à une base MySQL depuis la saisie de httpp://www.site.fr/page.php jusqu’à l’affichage des données par le naviGustur (il s’agit donc de comprendre les différentes phases traversées, les technologies sous-jacentes et dans le prolongement logique des explications les failles de sécurité potentielles associées)

Sécurisation des sites / applications web

• Ouvrir les applications vers l’extérieur : clients, fournisseurs, public… Principe général de fonctionnement d’un Web Service (API REST) Différences techniques entre une liaison https et http La protection de base des SGBD et des sites web (utilisateurs et droits) La protection « réseau » des applications Comment ouvrir son site web à la monétisation Rôle du firewall dans l’architecture applicative de l’entreprise

Travaux Pratiques :

Comprendre le dialogue avec une application distante depuis un naviGustur ou un client lourd à travers l’observation des sessions en cours
Exemple d’attaque par injection SQL dans un formulaire web
Exemple de règles de firewall relatives aux applications

Les attaques informatiques

• La faille humaine (ingénierie sociale) Typologie des différents mails malveillants Comprendre le fonctionnement des Virus, Antivirus, Malwares, Ransomwares Protection par défaut de Windows : où en est-on ? Charte du « bon » comportements à adopter L’espionnage de trames réseaux (sniffing) Saturer un service volontairement (Déni de Service) Piratage de session (Hijacking) Hacking de serveur web Le ciblage des équipements mobiles Apports d’un MDM (Mobile Device Management) Risques avec les objets connectés (IoT) Les attaques non détectées

Travaux Pratiques :

Exemples de journaux avec traces d’attaques sur un firewall
Exemple de prise en main d’un serveur web sous Linux sans le mot de passe associé si certaines conditions ne sont pas respectées
Panel de mails malveillants et « dégâts » associés (réalisés sur des machines virtuelles isolées donc sans risque de propagation)
Observation de serveurs en production exposés sur le web (applications disponibles et vulnérabilités)
Simulation de saturation d’un serveur web

Cette formation Sécurité du système d’information s’adresse aux non informaticiens. Concrète et complète, elle constitue une introduction aux briques techniques fondamentales présentes dans toutes les infrastructures systèmes, réseaux et applicatives des Systèmes d’Information (SI).

Au cours ce cette formation Sécurité du Système d’information pour un non informatique, nous vous expliquerons le fonctionnement des différentes infrastructures des systèmes d’information, ainsi que les failles de sécurité auxquelles toute entreprise est exposée, quelle que soit sa taille. Vous découvrirez les leviers sur lesquels agir pour se protéger, puis comment le SI s’ouvre vers l’extérieur, techniquement et au niveau des applications. Vous comprendrez ainsi pourquoi la transformation digitale des entreprises (ouverture du SI aux clients, aux fournisseurs, etc.) couplée à la place grandissante du Cloud dans les architectures doit être accompagnée de mesures de sécurité spécifiques à chaque outil ou fonctionnalité -infrastructure, poste de travail, annuaire d’entreprise, téléphonie, messagerie, Office 365, G Suite, applications, toutes les variantes « as a service », etc. Plus que jamais, le fait de comprendre votre architecture IT et son évolution programmée, tout en disposant d’une vue claire et objective sur la sécurité, vous sera indispensable afin d’échanger avec les acteurs internes et externes du système d’information de votre entreprise.

Le formateur s’appuie sur une maquette représentant l’architecture d’une entreprise composée de plusieurs agences communiquant entre elles et accédant à Internet (sites web, Cloud, etc.).
Cette maquette permet d’illustrer progressivement les applications incontournables (partage de fichiers, sites web, messagerie…), les bases de données accédées à distance par des applications et des sites web, les connexions distantes sécurisées sur les postes de travail des utilisateurs et les serveurs à travers différents modes de sécurisation (RDP, VPN, ssh, certificats, etc.), ainsi qu’une architecture réseau intégrant le Wi-Fi et les équipements mobiles. Une importance toute particulière est accordée au paramétrage de la sécurité des différents composants (poste de travail, serveur, base de données, site web…) avec un zoom sur les règles standards des firewalls de l’entreprise.