Outils d'audit et d'analyse

1. Équipements et matériels

Lorsque nous utilisons un équipement informatique quel qu’il soit, il n’y a rien de plus instructif que de connaître le matériel sur lequel on travaille. Cela permet d’en connaître les moindres ressources, les éventuelles failles et de l’améliorer le cas échéant. Généralement, en entreprise, il n’est pas rare que les serveurs de production soient qualifiés. Cela signifie que l’on doit fournir l’ensemble des matériels, mémoires, disques, cartes et périphériques utilisés, afin d’en évaluer la moindre capacité.

Un serveur se compose généralement :

Nous pouvons schématiser cela de la façon suivante :

La première étape consiste à lister tous les matériels branchés au bus PCI (Peripheral Component Interconnect). Il existe une commande particulière permettant de connaître l’état de ces ressources :

# lspci|more
 

Pour compléter les informations précédemment obtenues, utilisons la commande dmidecode permettant d’afficher l’ensemble des fonctions DMI (Desktop Management Interface), de l’interface d’interaction...

1. Renifleur réseau

Un renifleur est un merveilleux outil permettant d’étudier le trafic d’un réseau. Il sert, la plupart du temps, aux administrateurs, pour diagnostiquer les problèmes, ou pour connaître le trafic en cours de négociation. Les détecteurs d’intrusion (aussi abrégé en IDS : Intrusion Detection System) sont généralement basés sur un sniffer capturant les trames et utilisant une base de données de règles permettant de détecter les trames suspectes. Malheureusement, comme beaucoup d’outils d’administration, le renifleur peut aussi servir à des personnes malveillantes, ayant un accès physique au réseau, afin de collecter des informations sensibles. De ce fait, nous considérons ce phénomène comme faisant partie de l’éventail des tentatives d’intrusions potentielles. Ce risque est encore plus prégnant sur les réseaux sans fil, car il est très difficile de confiner les ondes hertziennes dans un périmètre délimité. Ainsi, des personnes malveillantes peuvent écouter le trafic, à notre insu, en étant simplement à proximité ou dans le voisinage. Rappelons aussi que la majorité des protocoles Internet font transiter les informations en clair (non...

1. Généralités et définitions

Dans le contexte d’un réseau informatique, le paquet est l’entité de transmission de la couche réseau (c’est-à-dire de la couche 3 du modèle OSI). En effet, afin de transmettre un message d’une machine à une autre au travers du réseau, celui-ci sera découpé en plusieurs paquets émis séparément. Chaque paquet inclut un en-tête (ou header en anglais), comprenant l’ensemble des informations nécessaires pour acheminer et reconstituer le message initial, tout en encapsulant une partie des données.

Exemple

En-tête du paquet IPv6 :

Le paquet ne doit pas être confondu avec la trame, qui correspond, lui, au message de la couche liaison de données (soit la couche 2 du modèle OSI). Lorsqu’un ordinateur communique avec un autre ordinateur, sur le réseau d’entreprise, ils s’envoient chacun des paquets de données permettant entre autres :

Ce qui nous intéresse ici, en plus de l’analyse du trafic réseau abordée précédemment, c’est collecter et historiser les informations concernant les paquets échangés, afin de pouvoir en tirer un audit clair concernant les différents messages transmis ou reçus depuis un point quelconque du réseau. Ainsi, pour pouvoir traiter ce besoin, nous utiliserons des utilitaires équivalents à nmap, capables d’interpréter chaque paquet. Ces logiciels s’appellent respectivement wireshark et tcpdump. Ils font partie de la classe des sniffer (ou renifleurs) evoqués précédemment et vont permettre de récupérer l’ensemble des données transitant à travers le réseau, des couches 2 à 7 du modèle OSI :

2. L’outil tcpdump

Il s’agit d’un outil de capture et d’analyse réseau, qui permet d’analyser en direct le trafic réseau, ou d’enregistrer la capture dans un fichier afin de l’analyser plus tard. Il permet de filtrer les paquets à capturer et/ou analyser. Ce logiciel...

1. Utilisation d’un IDS

On appelle Intrusion Detection System (ou IDS), tout mécanisme écoutant le trafic du réseau de manière furtive, afin de repérer des activités anormales ou suspectes. Cela permet ainsi de préciser une action de prévention spécifique lors de la détection d’intrusion.

Il existe ainsi deux grandes familles d’IDS :

Les systèmes NIDS nécessitent un matériel dédié, constituant alors un mécanisme apte à contrôler les paquets circulant sur un ou plusieurs brins réseau, dans le but de découvrir un acte malveillant ou du moins, anormal. Ce système place une ou plusieurs cartes d’interface réseau, du système en observation, en mode promiscuité (appelé aussi mode promiscuous). Ces cartes sont alors déclarées être en mode "furtif", permettant alors de n’être associées à aucune adresse IP. Ces interfaces n’ont d’ailleurs aucune pile de protocole attaché. Il n’est d’ailleurs pas inédit de trouver plusieurs systèmes IDS, sur les différentes sections du réseau.

Nous pouvons placer ce genre de sondes à l’extérieur du réseau pour étudier les tentatives d’attaques et à l’intérieur afin d’analyser les requêtes traversant le pare-feu ou dirigées depuis l’intérieur :

Le système HIDS réside sur un hôte en particulier et la gamme des logiciels doit couvrir ainsi une grande partie des systèmes d’exploitation : Microsoft Windows, Solaris, GNU/Linux... Cet outil se comporte comme un daemon ou un service standard, sur le système hôte. Traditionnellement, le HIDS analyse les informations particulières, au sein des journaux de traces (syslog, messages, lastlog, wtmp...), ainsi que les captures des paquets réseau entrant et sortant de la machine, afin d’y déceler des signaux d’intrusion (déni de service, porte dérobée...

1. Présentation

L’outil nessus est un mécanisme de sécurité informatique signalant les faiblesses potentielles ou avérées des machines testées. Ceci inclut entre autres :

Nessus peut être apparenté à un scanner de vulnérabilités. Nous ne sommes donc plus dans le domaine de la simple détection, mais dans celui de la prévention des incidents en testant les différents scénarios possibles. L’outil détecte les machines vivantes sur un réseau, balaie les ports ouverts, identifie les services actifs (en validant, au passage, leur version) et tente diverses attaques. L’outil se divise en deux parties :

Ce découpage est bien évidemment un grand classique. Le daemon tourne avec des privilèges élevés (super-utilisateur root), alors que l’interface graphique, plus complexe (et surtout plus vulnérable), fonctionne sous l’identité d’un utilisateur non privilégié. Les tests sont joués par des modules (ou plug-ins), dont certains sont compilés en C, mais dont la majorité...

1. Les audits pentesting

Afin d’illustrer ces propos et de démontrer l’utilité d’outils de tests et de détection d’intrusion, nous allons maintenant développer une plateforme permettant d’effectuer les analyses et audits de détection d’intrusion. Il s’agit de l’outil BackBox Linux développé, une fois n’est pas coutume, sur une distribution Ubuntu et proposant un environnement de travail clair et bien conçu, tout en offrant un éventail d’outils de sécurité très complet. Cela fait de l’outil, la plateforme idéale pour les "pentesteur".

Ce genre de stratégie est de plus en plus développée en entreprise, du fait des nombreuses attaques ayant eu lieu jusqu’à tout récemment. Le test d’intrusion est d’autant plus souhaitable qu’il est automatisé à l’aide d’applications logicielles, mais certains administrateurs ne rechignent pas à effectuer eux-mêmes ces audits, manuellement. Le processus standard comprend généralement les étapes suivantes :

En ce qui concerne le pentesteur, on peut aussi rencontrer les termes de "Ethical hacker" ou "White hat hacker", ceux-ci faisant référence au fait que la personne pratiquant ce genre de technique doit obtenir l’accord de sa hiérarchie ainsi que de l’administrateur de la machine ciblée pour effectuer ces tests d’intrusion....