La cybersécurité, analyse des menaces et solutions

Ce MON présente une analyse des cyberattaques, depuis les protocoles réseau jusqu'aux vulnérabilités applicatives, en passant par la gestion des incidents. Il couvre également les différentes équipes de sécurité (Red Team, Blue Team, SOC) et leurs rôles spécifiques dans la protection des systèmes d'information.

Objectif du MON

Présenter une vue complète des cyberattaques, leurs mécanismes, et les stratégies de défense appropriées.

Total : 11h

J'ai récemment publié sur Medium un article qui parle de l’affaire XZ, une attaque qui a failli bouleverser le monde entier. Cet article va sûrement vous donner envie de bien lire et comprendre mon MON .

1. C'est quoi une Cyberattaque ?

Une cyberattaque est une action malveillante visant à compromettre la disponibilité, l'intégrité, la confidentialité, et la traçabilité des informations et systèmes informatiques. Ces attaques peuvent exploiter des failles humaines ou techniques pour atteindre leurs objectifs.

1.1 Types d'attaques

• Ingénierie sociale, une manipulation psychologique des individus pour obtenir des accès non autorisés (ex. phishing, fraude au président).
• Exploitation de vulnérabilités techniques, une attaques utilisant des failles connues (ex. injection SQL, XSS, attaques sur les API).
• Attaques réseau, un déni de service distribué (DDoS), interception de données (Man-in-the-Middle), empoisonnement du cache DNS.
• Malwares, des logiciels malveillants tels que les ransomwares, chevaux de Troie et rootkits.
• Espionnage et sabotage, des cyberattaques organisées par des États ou des groupes pour voler des informations ou causer des dommages.

Pour cette partie, j'ai consulté le site fortinet

1.2 Acteurs impliqués

• Hacker isolé qui agit seul avec des compétences variables, souvent pour le profit.
• Groupes cybercriminels une organisations recherchant un gain financier (ex. rançongiciels).
• Hacktivistes un attaquent pour des causes idéologiques ou politiques.
• Groupes étatiques un cyberespionnage, attaques contre des infrastructures critiques.

Je me suis basé sur le cours de Mathieu SCHIANO.

2. Attaques sur les Protocoles Réseau

2.1 Focus aux Protocoles Réseau

Les communications réseau reposent sur une architecture en couches, notamment le modèle ISO/OSI et TCP/IP. Chaque couche a un rôle spécifique et inclut des protocoles vulnérables aux attaques.

Ce model est disponible sur Wikipedia

2.2 Types d'attaques réseau

2.2.1 Déni de Service (DoS/DDoS)

Le but d'une attaque DoS est de rendre un service inaccessible en surchargeant ses ressources.

Exemples :

1. Ping of Death : Envoi de paquets ICMP de taille supérieure à 65535 octets.

ping -l 65527    # Windows
ping -s 65527    # Unix

2. SYN Flood: Envoi massif de requêtes SYN pour saturer la file d'attente des connexions TCP.

Attaquant -> Serveur : SYN
Serveur -> Attaquant : SYN-ACK
Attaquant n'envoie jamais d'ACK

1. Smurf Attack : Utilisation d'adresses IP spoofées pour envoyer des requêtes ICMP à une adresse broadcast.

Attaquant -> Broadcast : ICMP request (spoofed IP cible)
Tous les hôtes répondent à la cible (surcharge)

4. Amplification DDoS : Exploitation de protocoles comme DNS, NTP, SSDP pour amplifier le trafic envoyé à la cible.

2.2.2 Sniffing et Spoofing

1. Sniffing : Capture du trafic via une interface en mode promiscuous.

tcpdump -i eth0

2. ARP Spoofing : Empoisonnement du cache ARP pour intercepter le trafic.

arpspoof -i eth0 -t  

3. IP Spoofing : Envoi de paquets avec une fausse adresse source.

struct iphdr *iph = (struct iphdr *) buffer;
iph->saddr = inet_addr("192.168.1.1"); // Spoofed source

2.3 Contre-mesures

• Filtrage ARP/DNS
• Firewall avec règles anti-SYN flood
• Utilisation de SYN Cookies pour éviter les attaques SYN flood

3. Sécurité des Applications Web

3.1 Vulnérabilités Courantes

1. Cross-Site Scripting (XSS)

Injection de scripts malveillants dans les pages web.

&script&alert('XSS');&/script&

2. Injection SQL

Exécution de requêtes SQL malveillantes.

SELECT * FROM users WHERE username = 'admin' OR '1'='1';

3. Cross-Site Request Forgery (CSRF)

Exécution forcée d'une requête en profitant de la session active d'un utilisateur.

3.2 Contre-mesures

• Validation stricte des entrées
• Encodage et échappement des caractères spéciaux
• Utilisation de jetons CSRF

4. Vulnérabilités des Chaînes de Format

4.1 Principe

Le problème survient lorsque des fonctions comme printf() sont utilisées sans format explicite.

printf(argv[1]); // Vulnérable

4.2 Exploitation

1. Lecture mémoire

./vuln "%x %x %x"

2. Ecriture mémoire avec %n

int i;
printf("Hello%n", &i); // i == 5 (nombre de caractères imprimés)

4.3 Contre-mesures

• Utiliser des formats fixes (printf("%s", argv[1]))
• Désactiver %n via des options de compilation

5. Dépassements de Mémoire Tampon (Buffer Overflows)

5.1 Principe

Se produit lorsqu'une donnée dépasse la taille allouée et écrase d'autres parties de la mémoire.

char buffer[64];
gets(buffer); // Pas de contrôle de taille

5.2 Exploitation

1. Modification de l'adresse de retour pour exécuter un shellcode.
2. Shellcode injection : Insertion d'un code exécutable dans la mémoire.

Le top 10 des différents types de cyberattaques et le site web Les principaux types de cyberattaques m'ont aidé pour cette partie.

5.3 Contre-mesures

• Utilisation de fgets() à la place de gets()
• Activation de protections comme ASLR et DEP

Cette source propose des pratiques pour éviter les dépassements de mémoire tampon

6. Étapes à Suivre en Cas d'Attaque

6.1 Détection et Qualification de l'Incident

• Analyser les premiers signes de compromission a savoir ralentissements anormaux, activités suspectes, alertes de sécurité.
• Vérifier les logs du SIEM pour identifier une activité anormale.
• Catégoriser l'incident qui peut-être faux positif ou menace réelle.
• Évaluer l'impact potentiel en se posant la question quelles données et systèmes sont concernés ?

6.2 Activation de la Cellule de Crise

• Analyse et réponse technique (SOC, analystes sécurité).
• Prise de décisions stratégiques
• Communication et logistique

6.3 Contenir l'Attaque et Protéger les Données

• Isoler les machines infectées en coupant leur accès réseau.
• Révoquer ou modifier les accès des comptes compromis.
• Mettre en quarantaine les fichiers suspects.
• Bloquer les adresses IP malveillantes et surveiller les connexions sortantes.

6.4 Analyse et Réponse

• Identifier la méthode d'attaque utilisée
• Effectuer une analyse forensique
• Corriger la vulnérabilité exploitée
• Restaurer les systèmes à partir de sauvegardes propres

6.5 Communication et Sensibilisation

• Informer les parties concernées
• Respecter les obligations légales (RGPD, NIS)
• Éduquer les utilisateurs

6.6 Amélioration et Prévention

• Évaluer l'incident
• Mettre en place des mesures correctives
• Tester régulièrement les défenses

Je me suis basé sur le cours de Gilles TROSSEVIN.

7. Les Équipes de Cybersécurité

7.1 Synthèse des Stratégies

Je me suis basé sur le cours de Mathieu SCHIANO.

Source de l'image

Sources :