Memoire Online - Modélisation d'un réseau informatique selon le vade mecum du gestionnaire d'une institution d'enseignement supérieur et universitaire en RDC

La sécurité du réseau informatique relèvera de la stricte responsabilité des utilisateurs du réseau et donc des responsables de chaque domaine et des services affiliés qui doivent prendre les dispositions qui s'imposent. Une direction de sécurité informatique supervisera toutes les questions relatives à la sécurité du réseau informatique. Il est évident que l'on évitera de rendre accessibles les données confidentielles et de connecter au réseau les machines assurant certaines tâches délicates.

Nous définissons notre politique de sécurité à 2 niveaux par la distinction des machines accessibles par les machines extérieures au réseau et celles uniquement accessibles par les machines internes qui nécessitent une protection accrue car étant critiques.

Nous citons par exemple, certaines opérations relevant du domaine de la Direction du budget, en ce qui concernent les finances estudiantines ; les informations relevant du Bureau départemental en ce qui concerne la gestion des notes des étudiants,... Sinon, les informations pourront être à la merci du piratage de toute nature.

Les ordinateurs des domaines précités ne pourront donc se connecter aux différents réseaux que dans les strictes conditions de parfaite sécurité.

Dans tous les cas, la sécurité du réseau de l'établissement concernera principalement les aspects suivants :

Pour établir notre politique de sécurité des données au sein du vaste réseau de l'institution, nous avons ciblé les données `critiques'. En effet, l'université ne pourra se permettre de perdre certaines des données de son système d'information :

Les informations concernant les utilisateurs, représentés par les membres de l'université
ainsi que quelques intervenants extérieurs, sont cruciales. Ces informations seront
contenues dans l'annuaire LDAP utilisateurs du « contrôleur de domaine », et serviront

principalement à pouvoir identifier et authentifier les utilisateurs sur le réseau de l'université. Pour protéger ces informations d'une attaque informatique, nous placerons le contrôleur de domaine dans le réseau interne de la direction de sécurité informatique, afin que les informations concernant les utilisateurs puissent être protégées par le pare-feu interne, en plus d'être protégées par le pare-feu externe.

Pour protéger les informations sur les utilisateurs face aux menaces qui pèsent sur le matériel les hébergeant, nous dupliquerons ces données sur un serveur miroir identique au contrôleur de domaine. Nous mettrons également en place la technologie RAID1, permettant de répercuter les modifications effectuées sur les données du contrôleur de domaine sur les données du serveur miroir, pour pouvoir être sûr que les données de chacun des deux serveurs soient identiques à tout instant.

Les mails des utilisateurs au sein des différents domaines constituent également des données sensibles. Ces données sont présentes dans un serveur de la direction de sécurité informatique qui en assure la sauvegarde ou la réplication.

Les données personnelles (des différents utilisateurs au sein des différents domaines) sont également importantes. Ces données personnelles peuvent constituer les travaux de recherche des laboratoires de l'université, ou encore de projets de recherche des étudiants, TP,... Ces données seront stockées sur un serveur prévu à cet effet : on trouvera un serveur de ce type par domaine (fonction de l'institution). Tout d'abord, les données personnelles des utilisateurs seront protégées des attaques informatiques provenant du réseau WIFI par un pare-feu situé au point d'entrée du réseau de domaine. Pour les attaques informatiques provenant du réseau filaire, les données personnelles des utilisateurs sont protégées par 3 pare-feux : 2 pare-feux au niveau de la direction de sécurité informatique et un pare-feu au point d'entrée du réseau local concerné. Ensuite, pour un réseau local donné (au sein d'un domaine quelconque), les données personnelles des utilisateurs seront protégées contre les attaques physiques sur le serveur par la mise en place d'un serveur en miroir, identique en tous points au premier, qui contiendra donc une copie des données personnelles des utilisateurs. Pour ce type de données, nous mettrons également en place la technologie RAID1 permettant de répercuter les modifications effectuées sur les données du serveur miroir.

Les images systèmes GHOST représentent également des données critiques puisqu'elles compressent la majeure partie des logiciels utilisés au sein de l'institution. Ces images systèmes se situeront également au niveau de chaque réseau local. Un local technique principal de chaque réseau local contiendra un serveur d'images systèmes GHOST, qui répond aux besoins applicatifs spécifiques du réseau. Pour ces données, la politique de

sécurité est la même que pour les données personnelles des utilisateurs : protection par les pare-feux et par la mise en place d'un serveur miroir.

La sécurité applicative sera assurée par l'utilisation de pare-feux puissants et disposant de nombreuses fonctionnalités avancées. Les principales fonctionnalités sont : Anti-Virus/Anti-Spyware : Le firewall limitera les risques d'entrée d'un virus informatique ou d'un logiciel malveillant dans le réseau.

Anti-Spam : Il permettra d'éviter la pollution des boîtes mail par des messages non désirés.

Filtrage d'URL : Il permettra d'interdire facilement l'accès à des ressources WEB non autorisées.

IDS : Le firewall sera capable de détecter la plupart des tentatives d'intrusion du réseau par une personne mal intentionnée.

Filtrage simple, dynamique et applicatif : Il sera possible d'effectuer un contrôle très fin des flux de données transitant entre les différentes machines du réseau et les machines extérieures.

Protection des communications VoIP : Il assure la confidentialité des communications téléphoniques.

Par rapport aux attaques virales, un antivirus sera installé sur chaque poste de travail. Une mise à jour automatique permettra d'avoir un antivirus efficace contre les nouveaux virus connus.

Concernant la sauvegarde des systèmes, régulièrement, les images systèmes des différentes machines seront sauvegardées. C'est-à-dire que le contenu intégral de leur(s) disque(s) dur(s) sera copié à l'identique sur un serveur de stockage fiable. Ce contenu comprendra le système d'exploitation ainsi que l'ensemble d'applications installées sur le poste de travail. Le serveur miroir sera immédiatement exploitable en cas de défaillance sur le serveur d'origine, via la console d'administration GHOST à disposition des administrateurs. Cela permettra de retrouver très rapidement un système opérationnel en cas de défaillance d'un disque dur.

Certains équipements réseaux occupent une place importante dans le bon fonctionnement de l'architecture réseau de l'institution. Parmi eux, nous trouvons le serveur de résolution de nom de domaine, le serveur d'allocution dynamique d'adresses IP. Chacun de ces serveurs se situent dans la direction de sécurité informatique au sein de l'institution.

Ces machines devront être reliées au réseau 24 heures sur 24, 7 jours sur 7, sans interruptions. Elles devront assurer une sûreté de fonctionnement optimale.

Chaque utilisateur au sein de chaque domaine pourra respecter les consignes suivantes :

- Avoir aussi de possibilités de partager ses propres informations, ressources, selon la politique interne de circulation des données et informations.

Comme nos ordinateurs uniquement reliés au réseau de l'institution, ils pourront ainsi partager les ressources. Cette possibilité réduira le coüt d'acheter le matériel d'ordinateur. Par exemple, au lieu d'acheter une imprimante pour chaque sous-domaine sur le réseau, les utilisateurs dudit sous-domaine pourront partager une imprimante centrale.

L'attribution dynamique d'adresses IP avec réservation sera intéressante car elle permettra d'avoir la maîtrise des adresses IP données aux différentes domaines, afin par exemple de définir des horaires d'accès à Internet en fonction du groupe d'adresses IP dans lequel seront placées les machines. L'attribution d'adresses IP fixes sera envisagée lorsque un petit nombre de stations devront pouvoir accéder à Internet.

Comme les différents domaines de l'établissement pourront s'échanger couramment des informations confidentielles sous la forme de données télématiques par l'intermédiaire d'ordinateurs, il nous conviendra de mettre au point des cryptages efficaces pour les protéger. Les processus d'identification et d'authentification au réseau de l'université, destinés aux utilisateurs voulant se connecter depuis l'extérieur via Wi-Fi, intègrent une technique de cryptage dans la transmission des mots de passe des utilisateurs.

Grâce aux techniques de cryptage, les informations seront dissimulées à l'aide des codes secrets. Pour ce, on utilisera un mot clé ou un nombre. Par exemple, la première lettre du message initial peut être cryptée en ajoutant au nombre indiquant sa position dans l'alphabet le nombre correspondant à la première lettre du mot-clé. On substitue alors à la lettre d'origine la lettre dont la position correspond au nombre qu'on vient de calculer. Il suffit ensuite de réitérer l'opération pour la deuxième lettre, et ainsi de suite, en répétant cette séquence autant de fois que nécessaire pour chiffrer le message entièrement. Ainsi, si on chiffre le mot DOYEN par substitution à l'aide du mot clé BON, D se transforme en E, car B est la deuxième lettre de l'alphabet (D ajoutée de deux lettres dans l'alphabet devient

F), O se transforme en C, car O est la quinzième lettre de l'alphabet (O ajouté de quinze lettre devient C), et Y se transforme en M, car N est la quatorzième lettre de l'alphabet (Y ajouté de quatorze lettres devient M) ; Pour les deux dernières lettres du mot (EN), le mot clé est réutilisé, si bien que E se transforme en F et N se transforme en C.

La technique de cryptage pourra également mettre les utilisateurs de notre réseau à l'abri de vol de mot de passe (cassage de mot de passe). Casser un mot de passe signifie acquérir un mot de passe valide d'un autre utilisateur.

Pour se prévenir contre ce type de vol, nous recommandons l'utilisation de mot de passe complexe, minimum 8 caractères, incluant des chiffres et lettres possédant une casse différente et des caractères spéciaux. Un renouvellement régulier des mots de passe en fonction des services mis à disposition est également une solution idéale.

Pour protéger les équipements informatiques contre les aléas électriques, nous avons choisi d'utiliser des onduleurs. Un onduleur est un boîtier placé au niveau de l'interface entre le réseau électrique et les matériels à protéger. Il permet de basculer sur une batterie de secours pendant quelques minutes en cas de problèmes électriques, que constituent notamment : les microcoupures électriques, les coupures électriques, les surtensions, les sous-tensions, les pics de tension. Nous placerons les onduleurs partout où sont installés nos différents équipements informatiques.

Nous prévoyons l'installation des onduleurs disposant d'une batterie importante, dans chaque domaine de l'université. Dans le cas d'une panne d'un onduleur, il ne sera pas nécessaire d'installer un deuxième onduleur de secours parce que l'administrateur réseau de l'institution disposera d'un indicateur d'état de l'onduleur dans sa console d'administration d'une part, et que la probabilité de constater une coupure d'électricité et une panne de l'onduleur simultanément sera faible d'autre part.

La sécurité des différents réseaux locaux sera principalement assurée par un administrateur de réseau dont il convient de spécifier les différentes tâches :

Modélisation d'un réseau informatique selon le vade mecum du gestionnaire d'une institution d'enseignement supérieur et universitaire en RDC

IV.2.3.3.5. lie la sécurité du réseau