Protéger un système ou un réseau, c'est garantir trois choses : les données restent accessibles, exactes, et lisibles seulement par les personnes autorisées. Face à une menace, tu cherches laquelle des trois elle attaque, puis la mesure qui la bloque. Exemple : un rançongiciel (ransomware) rend illisibles les fichiers du serveur d'une entreprise et réclame une rançon ; l'accès est perdu, et ce qui le rend, c'est une sauvegarde restée débranchée, pas l'antivirus.
Les trois critères à protéger
Définition : la disponibilité, c'est pouvoir utiliser un service ou une donnée au moment voulu ; l'intégrité, c'est la garantie qu'une donnée n'a pas été modifiée sans autorisation ; la confidentialité, c'est la garantie que seules les personnes autorisées y accèdent.
Exemple : demande-toi ce qui est perdu. Un site saturé de requêtes ne répond plus : l'accès, donc la disponibilité. Un intrus modifie les prix d'une boutique en ligne : l'exactitude, donc l'intégrité. Un fichier clients est copié : le secret, donc la confidentialité.
Au bac pro CIEL (cybersécurité, informatique et réseaux, électronique), la compétence « Exploiter un réseau informatique » comprend « les bonnes pratiques en sécurité informatique » (arrêté du 13 février 2023).
Les menaces et leurs parades
Un logiciel malveillant (malware) est un programme écrit pour nuire. L'ingénierie sociale, comme l'hameçonnage, manipule la personne plutôt que la machine.
| Menace | Ce qu'elle fait | Parade principale |
|---|---|---|
| Virus | Se cache dans un fichier et se propage quand on l'ouvre. | Antivirus à jour. |
| Ver | Se propage seul par le réseau, souvent grâce à une faille, une erreur dans un logiciel. | Mises à jour. |
| Cheval de Troie | Se fait passer pour un logiciel utile et ouvre un accès caché à l'attaquant. | Logiciels de source sûre, droits limités. |
| Rançongiciel | Chiffre les fichiers, c'est-à-dire les rend illisibles sans une clé, et réclame une rançon. | Sauvegardes hors ligne. |
| Hameçonnage (phishing) | Faux message qui imite un service connu pour voler tes identifiants. | Vigilance, double authentification. |
| Déni de service (DoS) | Inonde un serveur de requêtes pour le rendre indisponible ; en DDoS, depuis de nombreuses machines. | Filtrage du trafic en amont. |
| Homme du milieu | S'intercale entre deux machines pour lire ou modifier leurs échanges. | Protocoles chiffrés (HTTPS, SSH). |
Piège classique : l'antivirus ne protège pas de l'hameçonnage, car le faux message ne contient souvent aucun programme : c'est toi qui tapes ton mot de passe sur la fausse page. Ce qui protège : ta vigilance, puis la double authentification.
Contrôler les accès
Première règle, le moindre privilège : chaque compte n'a que les droits utiles à son travail. Le guide d'hygiène informatique de l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, demande aussi un compte nominatif par personne, pour savoir qui a fait quoi, et un compte séparé pour administrer : jdupont au quotidien, adm-jdupont pour configurer.
Avec un mot de passe seul, la CNIL (Commission nationale de l'informatique et des libertés) fixe un minimum : 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou 14 sans caractère spécial obligatoire, ou une phrase de passe d'au moins 7 mots (recommandation du 21 juillet 2022). Utilise un mot de passe par service, rangé dans un gestionnaire de mots de passe, un logiciel qui les garde chiffrés.
La même recommandation demande de ne plus imposer de changement de mot de passe à date fixe, sauf pour les comptes d'administration : on le change quand il a pu fuiter.
La double authentification, que l'ANSSI recommande dès que possible, combine deux preuves de familles différentes : ce que tu sais (un mot de passe), ce que tu possèdes (un téléphone qui reçoit un code), ce que tu es (une empreinte digitale).
Piège classique : mot de passe plus question secrète, ce n'est pas une double authentification : deux choses que tu sais, une seule famille. Mot de passe plus code reçu sur ton téléphone, si.
Protéger les postes et les serveurs
Les mises à jour referment les failles déjà connues des attaquants, dans le système d'exploitation, les logiciels et jusqu'au micrologiciel (firmware), le programme interne d'un switch ou d'une caméra IP.
Sur chaque poste, l'antivirus repère les programmes malveillants, et le pare-feu local, que l'ANSSI demande d'activer, filtre les connexions entrantes et sortantes. Sur un portable, qui peut être perdu ou volé, on chiffre le disque.
Reste la sauvegarde, ta dernière ligne de défense. L'ANSSI recommande fortement une politique écrite : quelles données, à quelle fréquence, sous quelle forme (hors ligne, par exemple) et comment tester la restauration. Une sauvegarde jamais restaurée n'a rien prouvé.
Protéger le réseau
Dans un réseau « à plat », chaque machine joint toutes les autres : un attaquant entré sur un poste peut rebondir jusqu'aux serveurs. La parade est la segmentation : chaque zone a son VLAN (un réseau virtuel séparé sur les mêmes switchs) et son sous-réseau IP, et un pare-feu filtre entre les zones.
Exemple : postes dans le VLAN 10, serveurs dans le VLAN 20, Wi-Fi des visiteurs dans le VLAN 30 ; le pare-feu bloque tout ce qui part du VLAN 30 vers les deux autres.
Le pare-feu suit une liste de règles. Chacune donne une source, une destination, un port (le numéro du service, comme 445 pour le partage de fichiers Windows) et une décision : autoriser ou refuser. L'ANSSI conseille de tout refuser par défaut, puis de n'ouvrir que le nécessaire.
Piège classique : sur la plupart des pare-feu, la première règle qui correspond décide. Un refus placé sous une règle qui autorise déjà ce trafic ne sert donc à rien : règles précises en haut, refus général tout en bas.
Sur chaque routeur, switch ou point d'accès, change le mot de passe d'usine dès l'installation : les attaquants connaissent les identifiants par défaut.
Pour le Wi-Fi, l'ANSSI demande un chiffrement robuste (WPA2 avec AES) et un réseau séparé pour les visiteurs ; WPA3, son successeur, résiste mieux aux essais de mots de passe. Pour administrer un équipement à distance, préfère SSH, qui chiffre la connexion, à Telnet, qui transmet le mot de passe en clair.
Exercices corrigés
Exercice 1 : Une entreprise sauvegarde chaque soir son serveur de fichiers sur un disque USB toujours branché. Un rançongiciel frappe le serveur. Quel critère est touché ? Que devient la sauvegarde, et que proposes-tu ?
Correction :
La disponibilité : les fichiers sont toujours là, mais illisibles. Si l'attaquant a aussi copié les données pour menacer de les publier, la confidentialité est touchée en plus.
Le disque, toujours branché, est chiffré comme le reste : l'entreprise perd ses fichiers et leur copie d'un coup.
Il faut une copie hors ligne, par exemple deux disques utilisés à tour de rôle, chacun débranché après la sauvegarde et rangé ailleurs. Et on teste la restauration.
Exercice 2 : Un logiciel d'attaque essaie $10^9$ mots de passe par seconde (donnée fictive). Compare deux mots de passe tirés au hasard : A, 8 caractères parmi 62 (minuscules, majuscules, chiffres) ; B, 12 lettres minuscules. Calcule pour chacun le nombre de combinaisons et le temps pour toutes les essayer. Lequel résiste le mieux ?
Correction :
A : chacun des 8 caractères a 62 valeurs possibles, d'où $62^8 \approx 2{,}18 \times 10^{14}$ combinaisons. Temps : $2{,}18 \times 10^{14} \div 10^9 = 2{,}18 \times 10^5$ s, soit environ $2{,}5$ jours, car un jour dure $86\,400$ s.
B : $26^{12} \approx 9{,}54 \times 10^{16}$ combinaisons, donc $9{,}54 \times 10^7$ s, soit environ $3$ ans, car un an dure environ $3{,}15 \times 10^7$ s.
B tient environ $440$ fois plus longtemps : la longueur compte plus que la variété. Piège : ce calcul suppose un tirage au hasard. Un mot du dictionnaire tombe bien plus vite, car l'attaquant essaie d'abord les mots, les prénoms, les dates et leurs variantes.
Exercice 3 : Dans le réseau de l'exemple des VLAN (données fictives), le serveur de fichiers 192.168.20.5 partage ses dossiers sur le port TCP 445. Règles du pare-feu, dans l'ordre :
- VLAN 10 vers 192.168.20.5, TCP 445 : autoriser.
- VLAN 30 vers tout, tous ports : autoriser.
- Tout vers tout, tous ports : refuser.
a) Un poste du VLAN 10 ouvre un dossier du serveur : quelle règle s'applique ?
b) Un visiteur du VLAN 30 tente de joindre le serveur sur le port 445 : que se passe-t-il, et quel critère est menacé ?
c) Corrige les règles pour limiter les visiteurs à Internet.
Correction :
a) La règle 1 : source, destination et port correspondent.
b) La règle 2 correspond, car « tout » inclut le VLAN 20 : la connexion passe, la règle 3 n'est jamais lue. Le visiteur peut alors attaquer le serveur : la confidentialité des fichiers est menacée.
c) Remplace « tout » par « Internet » dans la règle 2 : le trafic vers les VLAN 10 et 20 tombe alors sur la règle 3. Un refus ajouté avant la règle 2 marche aussi ; placé dessous, il ne servirait à rien.
À retenir
À retenir :
- Disponibilité, intégrité, confidentialité : nomme le critère attaqué, puis la parade.
- Moindre privilège, un compte par personne, double authentification dès que possible.
- Mot de passe seul : 12 caractères de quatre types au minimum, un par service.
- Mises à jour, pare-feu actif, sauvegardes hors ligne testées.
- Réseau en VLAN, tout refusé par défaut, règles précises en haut.
- Mots de passe d'usine changés, Wi-Fi en WPA2 ou WPA3, SSH plutôt que Telnet.
Sources
- Arrêté du 13 février 2023 créant le bac pro CIEL : texte sur Légifrance.
- ANSSI, Guide d'hygiène informatique, 42 mesures, janvier 2017 : présentation et téléchargement.
- CNIL, délibération n° 2022-100 du 21 juillet 2022 sur les mots de passe : texte sur cnil.fr.