Formation détection d`intrusions

Envoi du lien de cette page par mail

• Le monde de la sécurité informatique
• TCP/IP pour firewalls et détection d'intrusions
• Comprendre les attaques sur TCP/IP
• Intelligence Gathering : l'art du camouflage
• Protéger ses données
• Détecter les trojans et les backdoors
• Défendre les services en ligne
• Comment gérer un incident ?
• Conclusion : quel cadre juridique ?

Ingénieurs sécurité, systèmes et réseaux ayant à sécuriser le SI de l'entreprise. Chefs de projets souhaitant comprendre les attaques auxquelles l'entreprise est confrontée et mettre en œuvre les meilleures ripostes technologiques.

Bonnes connaissances des réseaux TCP/IP. Connaissances de base en sécurité informatique.

Des architectures sécurisées et "normalement " protégées (firewall multi-DMZ, applications sécurisées) seront la cible des attaques. Les parades seront adaptées aux attaques ; il sera utilisé, à la demande, Checkpoint Firewall-1 avec Malicious Attack Detection, ISS Realsecure et BlackIce, Apache en reverse Proxy furtif et filtrant, Proxy Trend Micro Interscan Virus Wall et Tripwire. Les plateformes d'attaque seront principalement sous Linux ; les cibles seront Windows NT et Solaris.

Le monde de la sécurité informatique

- Définitions " officielles " : le hacker, le hacking.

- La communauté des hackers dans le monde, les " gurus ", les " script kiddies ".

- L'état d'esprit et la culture du hacker.

- Les conférences et les sites majeurs de la sécurité.

TCP/IP pour firewalls et détection d'intrusions

- IP, TCP et UDP sous un autre angle.

- Zoom sur ARP et ICMP.

- Le routage forcé de paquets IP (source routing).

- La fragmentation IP et les règles de réassemblage.

- De l'utilité d'un filtrage sérieux.

- Sécuriser ses serveurs : un impératif.

- Les parades par technologies : du routeur filtrant au firewall stateful inspection ; du proxy au reverse proxy.

- Panorama rapide des solutions et des produits.

Comprendre les attaques sur TCP/IP

- Le " Spoofing " IP.

- Attaques par déni de service.

- Prédiction des numéros de séquence TCP.

- Vol de session TCP : Hijacking (Hunt, Juggernaut).

- Attaques sur SNMP.

- Attaque par TCP Spoofing (Mitnick) : démystification.

Intelligence Gathering : l'art du camouflage

- Chercher les traces : interrogation des bases Whois, les serveurs DNS, les moteurs de recherche.

- Identification des serveurs.

- Comprendre le contexte : analyser les résultats, déterminer les règles de filtrage, cas spécifiques.

Protéger ses données

- Systèmes à mot de passe " en clair ", par challenge, crypté.

- Le point sur l'authentification sous Windows.

- Rappels sur SSH et SSL (HTTPS).

- Sniffing d'un réseau switché : ARP poisonning.

- Attaques sur les données cryptées : " Man in the Middle " sur SSH et SSL, " Keystoke Analysis " sur SSH.

- Détection de sniffer : outils et méthodes avancées.

- Attaques sur mots de passe.

Détecter les trojans et les backdoors

- Etat de l'art des backdoors sous Windows et Unix.

- Mise en place de backdoors et de trojans.

- Le téléchargement de scripts sur les clients, exploitation de bugs des navigateurs.

- Les " Covert Channels " : application client-serveur utilisant ICMP (Loki), communication avec les Agents de Déni de Service distribués.

Défendre les services en ligne

- Prise de contrôle d'un serveur : recherche et exploitation de vulnérabilités, mise en place de " backdoors " et suppression des traces. Comment contourner un firewall ? (netcat et rebonds.)

- La recherche du déni de service.

- Les dénis de service distribués (DDoS).

- Les attaques par débordement (buffer overflow). Exploitation de failles dans le code source. Techniques similaires : " Format String ", " Heap Overflow "…

- Vulnérabilités dans les applications Web.

- Vol d'informations dans une base de données.

- Les RootKits.

Comment gérer un incident ?

- Les signes d'une intrusion réussie dans un SI.

- Qu'ont obtenu les hackers ? Jusqu'où sont-ils allés ?

- Comment réagir face à une intrusion réussie ?

- Quels serveurs sont concernés ?

- Savoir retrouver le point d'entrée… et le combler.

- La boîte à outils Unix/Windows pour la recherche de preuves.

- Nettoyage et remise en production de serveurs compromis.

Conclusion : quel cadre juridique ?

- La réponse adéquate aux hackers.

- La loi française en matière de hacking.

- Le rôle de l'état, les organisme officiels.

- Qu'attendre de l'Office Central de Lutte contre la Criminalité (OCLCTIC).

- La recherche des preuves et des auteurs.

- Et dans un contexte international ?

- Le test intrusif ou le hacking domestiqué ?

- Rester dans un cadre légal, choisir le prestataire, être sûr du résultat.