Professional Documents
Culture Documents
marche de r
marche de r
alisation d
alisation d
une
une
mission d
mission d
Audit S
Audit S
curit
curit
tail de la D
tail de la D
marche
marche
Etude Cas Pratique
Etude Cas Pratique
Audi t Ni veau 1 (AOP,AR) Audi t Ni veau 1 (AOP,AR)
Audi t Ni veau 2 (AT) Audi t Ni veau 2 (AT)
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
13 13
Audit Niveau 1
Audit Niveau 1
Audit Organisationnel & Physique (AOP), Analyse Audit Organisationnel & Physique (AOP), Analyse
de Risque de Risque
Obj ect i f
Droul ement de l audi t ni veau 1
t ude Cas val uat i on du ni veau de scuri t dun SI
Anal yse de Ri sque
Dl i vrabl es de l a phase dAOP
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
14 14
Objectif
Objectif
Cette premire phase de l audit scurit permet :
- Davoir une vision qual itative et quantitative des
diffrents facteurs de l a scurit informatique du site
audit
- Didentifier l es points critiques du systme di nformation
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
15 15
- Comprendre l a dmarche d'observation : niveau gl obal
pui s niveau spci fique
- Prsenter l es objectifs de l a dmarche daudit scurit avant
l es entretiens
- Instaurer un cl i mat de confiance , viter l a cul pabil it
Fact eurs cl s de succs de cet t e t ape :
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
16 16
Audit Niveau 2 (AT)
Contenu de la prsentation
Audit Technique (AT)
Dfi ni t i on des phases de l t ape dAT
Audi t de l archi t ect ure du syst me
Reconnaissance du rseau et du plan dadressage
Sondage des Systmes
Sondage des Services rseau
Audit des applications
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
17 17
Anal yse Anal yse des Vul n des Vul n rabi l i t rabi l i t s (i nt rusi f i nt erne) s (i nt rusi f i nt erne)
Analyse des vuln Analyse des vuln rabilit rabilit s des serveurs en exploitation s des serveurs en exploitation
Analyse des vuln Analyse des vuln rabilit rabilit s des postes de travail s des postes de travail
Anal yse Anal yse des Vul n des Vul n rabi l i t rabi l i t s (i nt rusi f ext erne) s (i nt rusi f ext erne)
Audi t de l Audi t de l Archi t ect ure de S Archi t ect ure de S curi t curi t exi st ant e exi st ant e
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
18 18
Venant en suite l ogi que l audit de niveau 1, l audit de
niveau 2 ou l audit technique sattache identifier l es
vul nrabil its techniques prsentes sur l es systmes
i nformatiques criti ques du site audit.
Droul ement de l t ape :
Laudit technique sera ral is sel on une succession de
phases respectant une approche mthodique al l ant de l a
dcouverte et l a reconnaissance du rseau audit jusqu l a
ral isation des scnarios dattaques expertes.
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
19 19
Laudi t t echni que permet l a dt ect i on des t ypes de
vul nrabi l i t s sui vant es, savoi r :
- Les erreurs de programmati on et erreurs darchi tecture.
- Les erreurs de confi gurati ons des composants l ogi ques
i nstal l s tel s que l es servi ces (ports) ouverts sur l es
machi nes, l a prsence de fi chi ers de confi gurati on i nstal l s
par dfaut, l uti l i sati on de comptes uti l i sateurs par dfaut.
- Les probl mes au ni veau de trafi c rseau (fl ux ou trafi c
non rpertori s, coute rseau, etc ).
- Les probl mes de confi gurati on des qui pements di nterconnexi on et
de contrl e daccs rseau
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
20 20
Cet audit sappl ique aux environnements sui vants :
- Rseau daccs Internet, rseau di nterconnexi on i nter-
si tes (Frame Rel ay , X25, Fai sceau Hertzi en, etc..).
- Serveurs i nternes du si te audi t et l es postes sensi bl es du LAN.
- Systmes cri ti ques spci fi ques.
- Composants et qui pements acti fs de l i nfrastructure
rseau du si te audi t (fi rewal l s, routeurs fi l trants, commutateurs
ni veau 3, etc)
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
21 21
Principales phases : Principales phases :
Phase 1 : Audi t de l archi t ect ure du syst me
OReconnai ssance du rseau et du pl an d adressage
O Sondage des Systmes
O Sondage Rseau
O Audi t des appl i cati ons
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
22 22
Phase 2 : Anal yse des Vul nrabi l i t s (i nt rusi f i nt erne)
OAnal yse des vul nrabi l its des serveurs en expl oitation
OAnal yse des vul nrabi l its des postes de travail
Phase 3 : Anal yse des Vul nrabi l i t s (i nt rusi f ext erne)
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
23 23
Phase 4 : Audi t de l archi t ect ure de scuri t exi st ant e
OAudi t des Fi rewal l s et Rgl es de Fi l trage
OAudi t des routeurs et des ACLs (Li ste de Contrl e d'Accs )
OAudi t des Sondes et des passerel l es anti vi ral es
OAudi t des stati ons proxy/Reverseproxy
OAudi t des serveurs DNS, dauthenti fi cati on
Ce document est Ce document est la propri la propri t t de Mr Khemiri de Mr Khemiri
Elyes Elyes - - Mai 2009 Mai 2009
24 24
OAudi t de l a zone dadmi ni strati on de l archi tecture de scuri t exi stante
OAudi t des commutateurs (swi tchs) et de l a confi gurati on en VLANs
OAudi t de l a pol i ti que dusage de mots de passe
OAudi t de l a sol i di t du systme, face aux essai s di ntercepti on des fl ux
OAudi t de l a rsi stance aux attaques de dni de servi ce