WOW !! MUCH LOVE ! SO WORLD PEACE !
Fond bitcoin pour l'amélioration du site: 1memzGeKS7CB3ECNkzSn2qHwxU6NZoJ8o
  Dogecoin (tips/pourboires): DCLoo9Dd4qECqpMLurdgGnaoqbftj16Nvp


Home | Publier un mémoire | Une page au hasard

 > 

Rapport d'audit de la sécurité informatique de l'ONT

( Télécharger le fichier original )
par Maddouri Faouzi
Université de Tunis El Manar - Master Sécurité des systèmes dà¢â‚¬â„¢informations et des réseaux 2006
  

sommaire suivant

Bitcoin is a swarm of cyber hornets serving the goddess of wisdom, feeding on the fire of truth, exponentially growing ever smarter, faster, and stronger behind a wall of encrypted energy

Rapport d'audit de la sécurité Informatique de l'ONT 1/125

REMERCIMENTS

Nous exprimons toute notre gratitude à Monsieur Khaled Baouab, pour son encadrement exceptionnel. Nous le sommes reconnaissant pour son soutien incessant aussi bien moral que matériel.

Nous remercions Monsieur Najib Khanouch pour son encadrement et ses consignes.

Nous sommes particulièrement reconnaissant à Monsieur Issam Laarif, pour ces conseils et son encadrement

Nous remercions également Messieurs les membres de jury d'avoir accepté l'examen de ce travail.

Nous ne pouvons conclure ces remerciements sans exprimer notre reconnaissance à tout le personnel et le corps professoral de l'ISI.

Rahmoune Mohamed Ali Maddouri Faouzi

Rapport d'audit de la sécurité Informatique de l'ONT 2/125

Sommaire

Chapitre 1 Etude de l'existant 9

1-/ Présentation générale de l'Office National de la Télédiffusion 9

1.1/ Les missions de l'ONT 9

2.1-/ Organigramme de l'Office 9

2-/ Structure informatique de l'Office National de la Télédiffusion 11

3-/ Phase de Pré-audit réalisée 11

3.1-/ Interviews menés avec les responsables de l'Office 11

3.2-/ Equipements informatiques 12

4-/ Sécurité générale 15

Audit Organisationnel et Physique 16

1-/ Démarche 16

2-/ Analyse des résultats 20

3-/ Résumé des conformités par rapport à la norme 24

Analyse de risques et mise en oeuvre d'un RIAMS 26

I/Analyse de risque 26

1/ Détermination des exigences de l'ONT en matière de sécurité 26

2-/ Analyse de risque du système d'information de l'ONT 27

3-/ description des risques 28

4-/ Analyse des resultas 30

Le rosace suivant fourni par l'outil GAE, présente les gravités des risques pour

l'ONT. 30

Rapport d'audit de la sécurité Informatique de l'ONT 3/125

4-1/ Perturbation sociale 32

4-2/ Erreurs de saisie ou d'utilisation : 32

4-3/ Perte de servitudes essentielles 32

4-4/ Perte de données 32

4-5/ Divulgation d'informations en externe 33

5- Reduction des risques 33

II/Mise en oeuvre d'un système d'Analyse de risques 35

1/Taxonomie 38

2/Classification des équipements 41

3/Identification et description des Processus, Activité services et fonctions 42

4/Classification des Informations 43

4.1/Impact coût Confidentialité 44

4.2/Impact coût Disponibilité 45

4.3/Impact coût Intégrité 45

4.4/Impact coût Non répudiation 46

5/Classification des Processus et activités 47

6/Identification des Risques 52

7/Classification des Risques 52

7.1/Evaluation de gravité 52

7.2/Evaluation de probabilité d'occurrence 53

7.3/Choix des mesures 53

7.4/Classification gravité/Probabilité d'occurrence 54

8/Génération des tableaux de bord 56

9/Recherche des causes par les diagrammes ICHIKAWA 59

Rapport d'audit de la sécurité Informatique de l'ONT 4/125

Audit Technique 62

1-/ Audit de l'architecture réseau et système 62

1-1-/ Topologie du réseau : 62

1-2-/ Sondage système 67

1-3-/ Sondage des flux et services réseaux 71

1-4-/ Audit de la gestion des défaillances matérielles : 76

2-/ Audit des vulnérabilités réseau et système 78

2-1 Audit des vulnérabilités des Serveurs en exploitation 78

2-2 Audit des vulnérabilités des postes de travail : 84

2-3 Audit des vulnérabilités des serveurs et postes clients du centre Nodal 85

3-/ Audit de l'architecture de sécurité existante : 86

3-1 /Audit & vérification des règles de filtrage au niveau des Firewalls 86

2- 2-/ Audit du Routeur 87

2-3-/ Audit des commutateurs 88

Conclusions d'audit 90

1-/ Revue des constats d'audit : 90

1-1 / Sur le plan organisationnel et physique (Audit Niveau 1), 90

1-2/ Sur le plan technique (Audit Niveau 2), 90

2-/ Recommandations 92

2-1/ Recommandations Organisationnelles et physiques 92

2-2/ Recommandations techniques 95

2-3/ Conseils pratiques 100

3/ PLAN D'ACTION 102

Conclusion générale 104

Rapport d'audit de la sécurité Informatique de l'ONT 5/125

Bibliographie 105

Annexe 1 106

Rapport d'audit de la sécurité Informatique de l'ONT 6/125

INTRODUCTION GENERALE

L'audit de sécurité des systèmes d'information consiste à mesurer les pratiques de sécurité existantes par rapport à un référentiel extérieur, dit de « bonnes pratiques », puis de faire l'inventaire des risques qui pèsent sur l'activité de l'entreprise.

Plusieurs méthodes permettent de procéder à de tels audits. En France, les plus connues sont Mehari, créée par le Clusif (Club de la sécurité des systèmes d'information français), Ebios (de la Direction centrale de la sécurité des systèmes d'information) et MV3 (de CF6, racheté par Telindus). On rencontre également la méthode anglo-saxonne Cobit (pour ses capacités de contrôle et de présentation de l'existant). Enfin, les grands comptes peuvent recourir à la méthode anglaise CRAMM exhaustive, mais plus lourde que les précédentes.

La présente mission constitue en premier lieu une actualisation et une révision de la situation de la sécurité au niveau de l'ONT, telle qu'elle été depuis la dernière mission d'audit réalisée (en 2003).

Comme toute mission d'audit, la présente, vise à identifier de nouvelles failles, insuffisances dans la sécurité découlant soit de l'évolution de la situation (acquisition de nouveaux équipements, de nouveaux logiciels, évolution technologiques, etc), soit de nouvelles exigences internes, externes ou réglementaires, soit encore des failles non identifiées auparavant et d'améliorer éventuellement les système de management de la sécurité en apportant des réalisation tel qu'un système de mangement de risque.

En effet, la mission couvrira l'audit du niveau organisationnel et physique en premier lieu, et en deuxième lieu une analyse et une mise en oeuvre d'un système de managment de risques, et finalement l'audit au niveau technique qui complétera de façon ciblée, l'audit du premier niveau.

Ce rapport se divise en trois parties :

La première partie « Audit Niveau 1 » qui permet d'avoir une vue globale de l'état de sécurité du système d'information et d'identifier les risques potentiels. Elle est composée de trois chapitres.

Le premier chapitre consiste à l'étude de l'existant, par l'identification des sites et des équipements qui feront l'objet de l'audit.

Le deuxième chapitre « audit organisationnel et physique », permet de dégager les failles d'ordre organisationnel et physique à travers un questionnaire basé sur la norme ISO 17799.

Le troisième chapitre consiste à une analyse de risque permettant d'identifier le niveau de risque du système d'information. Il détaillera aussi que possible les choix et les techniques de mise en oeuvre utilisés pour la réalisation d'un système de management de risques

La deuxième partie « Audit niveau 2 », concerne l'audit technique et permet d'identifier les vulnérabilités techniques présentes sur les systèmes informatiques critiques des sites audités.

La troisième parie consiste à présenter une liste de recommandations pour palier aux insuffisances et vulnérabilités dégagées dans la première et la deuxième partie, et des propositions pour améliorer le niveau de sécurité de l'Office National de la Télédiffusion.

Rapport d'audit de la sécurité Informatique de l'ONT 7/125

Audit Niveau 1

V Etude de l'existant

V Audit Organisationnel et Physique V Analyse des risques

Rapport d'audit de la sécurité Informatique de l'ONT 8/125

Rapport d'audit de la sécurité Informatique de l'ONT 9/125

sommaire suivant











Bitcoin is a swarm of cyber hornets serving the goddess of wisdom, feeding on the fire of truth, exponentially growing ever smarter, faster, and stronger behind a wall of encrypted energy



Chez Mémé Coucou, gite à Lauzerte sur le chemin de compostelle