Les mesures de protection : cours de Bac pro CIEL

Dans le chapitre précédent, tu as étudié les menaces et les attaques : ce qui peut arriver à un système d'information. Ce cours fait l'étape suivante : que mettre en place pour que l'attaque échoue, ou au moins ne fasse pas trop de dégâts ?

Une mesure de protection est donc une réponse à une menace précise. Si tu ne sais pas contre quoi tu te protèges, tu risques d'empiler des outils sans cohérence, ou d'oublier le point faible évident. C'est pourquoi on raisonne toujours dans cet ordre : quel est le risque ? quelle mesure le réduit ? à quel prix ?

Cette liste en quatre familles est très utile pour ne rien oublier. Un pare-feu bien réglé (logiciel) ne sert à rien si la salle technique reste ouverte à tous (matériel), si personne ne sait quoi faire en cas d'alerte (procédure) ou si les utilisateurs notent leur mot de passe sur un papier collé à l'écran (humain).

Aucune protection n'est parfaite. Un équipement peut être mal configuré, une faille peut être découverte demain, un utilisateur peut se tromper. La bonne approche consiste donc à ne jamais compter sur un seul rempart.

Décortiquons les deux mots importants.

• Autonomes : chaque barrière fonctionne sans dépendre des autres. Si elles tombaient toutes ensemble pour la même cause, elles ne compteraient que pour une.
• Successives : l'attaquant doit les franchir l'une après l'autre. Chaque étape lui coûte du temps, augmente ses chances d'être repéré et te laisse une occasion de réagir.

Protéger davantage coûte toujours quelque chose : de l'argent, du temps d'installation, mais aussi des contraintes pour les utilisateurs. Un mot de passe de quarante caractères changé chaque jour protégerait bien, mais personne ne le supporterait longtemps, et les gens finiraient par le noter n'importe où.

Les objectifs métier sont le point de départ : une entreprise qui produit ne protège pas les mêmes choses qu'une entreprise qui distribue ou qu'un site qui protège des biens ⁴. La même mesure peut donc être indispensable ici et disproportionnée là.

Un réseau relie des équipements qui s'échangent des données. Chaque lien est un chemin possible pour un attaquant. Les techniques de surveillance et de protection du réseau regroupent notamment les pare-feu, la sécurité du cloud et la cryptographie ⁵.

Ces trois outils ne répondent pas à la même question :

• le pare-feu répond à qui a le droit de passer ?
• la cryptographie répond à si quelqu'un intercepte les données, que peut-il en lire ?
• la surveillance répond à qu'est-ce qui se passe en ce moment, et est-ce normal ?

Cette limite est capitale : une configuration irréprochable ne protège pas contre une faille inconnue. C'est exactement la raison pour laquelle on empile les barrières (section précédente) et pour laquelle la surveillance existe : si la prévention échoue, il faut au moins s'en apercevoir vite.

Le réseau sans fil est particulier : il n'y a pas de câble à surveiller, les ondes dépassent les murs. Quiconque se trouve à portée peut tenter de se connecter ou d'écouter. Il faut donc des protocoles de sécurité dédiés.

Pour un réseau Wi-Fi, la mesure de base est donc d'activer une norme de sécurité récente (WPA2 au minimum, WPA3 de préférence ; le premier WPA est dépassé) plutôt que de laisser le réseau ouvert. Dans un TP de configuration réseau, tu suivras les consignes du sujet pas à pas et tu complèteras le document au fur et à mesure ⁶.

Les terminaux (ordinateurs, téléphones, objets connectés) sont l'autre grande porte d'entrée. Les cours de cybersécurité consacrent un module à la protection du système et des terminaux ⁵, car c'est sur eux que les utilisateurs travaillent, ouvrent des pièces jointes et branchent des clés.

Les meilleures techniques échouent si les utilisateurs ne les appliquent pas. C'est pourquoi la protection inclut les aspects humains ⁴. L'objectif de l'hygiène informatique est de maîtriser les bases : connaître les menaces les plus classiques et savoir gérer ses mots de passe selon une politique ³.

Une bonne politique ne cherche pas à rendre la vie impossible : elle vise un mot de passe difficile à deviner et possible à retenir. Pour comprendre pourquoi la longueur et la variété comptent, fais un petit calcul. Avec un mot de passe de 8 caractères choisis parmi les 26 lettres minuscules, on peut former $26^8$ mots de passe différents, soit 208 827 064 576. Si on autorise aussi les 26 majuscules et les 10 chiffres, soit 62 caractères, il y en a $62^8$, soit 218 340 105 584 896 : environ mille fois plus. Chaque caractère ajouté multiplie encore le nombre de possibilités.

On oublie souvent que l'attaque peut être physique : brancher une clé, débrancher un câble, ouvrir une armoire, voler un équipement. Dans les systèmes automatisés industriels, le réseau et les automates sont dans des locaux et des armoires qu'il faut protéger. Il faut donc savoir citer les protections physiques minimales d'une installation, à commencer par des armoires électriques fermées ⁴.

Cette mesure complète les autres : un mot de passe solide sur un automate perd de son intérêt si n'importe qui peut ouvrir l'armoire et brancher son ordinateur dessus. À l'inverse, une armoire fermée n'empêche pas une attaque venue du réseau. Les deux ensemble forment des barrières successives, comme dans la section sur la protection en profondeur ⁴.