Introduction à la Sécurité

A - I

Backdoor

Définition: Bien souvent, les backdoors (portes dérobées) accompagnent un virus ou une autre menace. Un backdoor sert à contourner les demandes de permission et d'authentification classiques, afin d'ouvrir un port de communication, d'établir un serveur ftp, de collecter une suite de touches frappées au clavier et de transmettre ces informations au pirate. Comme les chevaux de Troie, les backdoors pénètrent facilement le firewall d'une entreprise, compromettant la sécurité de la totalité du réseau.

Exemple : Un cheval de Troie infectant un ordinateur infiltre les systèmes afin d'ouvrir un port de communication, offrant ainsi au pirate un accès distant et permanent à l'ensemble du système.

Batch-based Scanning

Définition: Méthode d'analyse anti-malware utilisant un traitement par lots, mise au point lorsque les virus se transmettaient par support amovible, ce qui supposait un accès aléatoire au volume à analyser. Le batch-scanning implique la réception intégrale du fichier avant de pouvoir lancer l'analyse, la restitution commençant uniquement après analyse complète du fichier. Par conséquent, pour l'utilisateur final, cela implique souvent un temps d'attente important, voire même parfois des dépassements de délai pendant le transfert et l'analyse du fichier.

Blended Attack (Attaque mixte)

Définition : Ce terme désigne une menace mixte, un code malveillant qui associe les possibilités de deux ou trois types de malware afin d'attaquer un système sur plusieurs fronts à la fois.

Exemple : Un malware infecte un système et installe un keylogger, ouvre une porte dérobée (backdoor), et communique par IRC.

Bot (Web Robot)

Définition: Diminutif de "Web Robot", un bot est un programme malveillant qui s'installe sur le système d'un utilisateur en profitant d'une faille de sécurité soit dans le système d'exploitation soit dans l'une des applications logicielles installées. Cette faille de sécurité permet au bot de s'installer automatiquement sur le système, sans aucune action de la part de l'utilisateur. Un bot peut également avoir été installé par un vers ou un cheval de Troie diffusé par un e-mail spammé. Une fois que le bot est installé, le système peut alors être contrôlé à distance par un utilisateur malveillant sans que l'utilisateur légitime de l'ordinateur n'ait donné son autorisation ni même qu'il n'ait conscience de l'intrusion

Bot Nets (Bot Network)

Définition: Diminutif de "bot network", un botnet est un réseau d'ordinateurs, appelés "zombies", qui ont été infectés par un logiciel malveillant, appelé "bot". Les ordinateurs du botnet peuvent être contrôlés à distance par un utilisateur malveillant, sans que l'utilisateur légitime de l'ordinateur n'ait donné son autorisation ni même qu'il n'ait conscience de l'intrusion.

Exemple : Un pirate envoie une même commande à 20 000 ordinateurs zombies, déclenchant ainsi simultanément des milliers de requêtes de communication sur un même site Internet. Résultat : une saturation totale de ses ressources, jusqu'à le paralyser et à en bloquer l'accès.

Buffer Overflow (Dépassement de mémoire tampon)

Définition: Il y a dépassement de mémoire tampon lorsqu'un programme tente d'inscrire plus de données dans une mémoire tampon qu'elle ne peut en contenir, ou lorsqu'un programme tente d'inscrire des données dans une zone de mémoire en aval d'un tampon. Dans ce cas, on appelle tampon une section de mémoire dédiée, pouvant tout contenir, d'une chaîne de caractères à un ensemble de valeurs entières. L'écriture hors des limites d'un bloc de mémoire dédiée peut corrompre les données, planter le programme, ou provoquer l'exécution d'un code malveillant. Souvent, le dépassement de mémoire tampon est utilisé dans le cadre des attaques exploitant les failles de sécurité.

Denial-of-Service Attack

Definition: A denial-of-service attack (DoS attack) or distributed denial-of-service attack (DDoS attack) is an attempt to make a computer resource unavailable to its intended users. One common method of attack involves flooding the victim machine or network with external communications requests, such that it cannot respond to legitimate traffic, or responds so slowly as to be rendered effectively unavailable. Distributed denial-of-service attacks are often carried out by botnets, where the resources of bot infected machines carry out attacks from remote locations based on the commands of one or a few individuals.

Distributed Spam Analysis

Définition: L'Analyse Répartie du Spam (DSA) instaure une communication continue et coordonnée entre le boîtier de sécurité de passerelle ProSecure™ STM installé à l'intérieur du réseau de l'entreprise et le Centre de Classification du Spam NETGEAR®, ce qui permet à NETGEAR de détecter et classer de façon proactive tous les types de profil de menaces véhiculées par e-mail en temps réel, à partir de l'analyse de données provenant de plus de 50 millions de sources dans le monde. L'Analyse Répartie du Spam consiste à extraire et à analyser les profils de messages pertinents, puis à les utiliser pour identifier et distinguer les profils de distribution et les profils structurels des attaques propagées par e-mail.

Distributed Web Analysis (Analyse répartie du Web)

Définition: L'analyse répartie du Web est une architecture de filtrage d'URL hybride in-the-cloud utilisée par les solutions de sécurité de passerelle NETGEAR ProSecure. Le système envoie une requête au centre de classification d'URL NETGEAR, pour connaître en temps réel la catégorie dans laquelle une URL est classée. Le système inscrit alors localement la réponse en cache, pour pouvoir utiliser ultérieurement. Le centre de classifications d'URL NETGEAR traite et classe les données URL fournies par des millions de connecteurs http déployés 'in-the-cloud" chez les fournisseurs d'accès du monde entier, il maintient une base de données d'URL en évolution constante, qui répertorie plus de cent millions d'URL réparties en 64 catégories.

Email-borne threats (Menace véhiculée par e-mail)

Définition: Application logicielle malveillante envoyée directement aux utilisateurs par e-mail. La menace peut être incluse dans le code HTML de l'e-mail, mais elle peut également prendre la forme d'une pièce jointe au message. Les menaces véhiculées par e-mail font généralement appel au "piratage psychologique", une méthode de tromperie visant à faire croire aux utilisateurs qu'il s'agit d'un e-mail légitime, à les inciter à ouvrir l'e-mail ou à démarrer l'application jointe au message. Lorsque la menace est intégrée au code HTML, le système est infecté dès l'ouverture de l'e-mail.

Si la menace se trouve dans la pièce jointe, le système est infecté uniquement si l'application jointe est lancée.Le spam et le phishing sont deux types de menaces bien connues dont la propagation repose sur le courrier électronique. Si le spam n'est pas dangereux en soi, il sert souvent à véhiculer des menaces e-mail, car il peut être envoyé quasiment simultanément à des millions d'utilisateurs via les réseaux des systèmes d'ordinateurs. De même, si les attaques de phishing nécessitent une exécution sur le Web, c'est à l'e-mail "hameçon" que revient la tâche d'amener la victime jusqu'au site malveillant.

Exemple : Une personne reçoit un e-mail apparemment envoyé par une agence de presse, avec un titre choc en objet. L'e-mail est peut-être au format HTML, la menace étant alors dans le code, auquel cas l'ordinateur de l'utilisateur est infecté dès ouverture de l'e-mail. Mais peut-être le pirate aura-t-il simplement envoyé un extrait de l'article dans le corps du message, invitant l'utilisateur à ouvrir la pièce jointe pour connaître la suite de l'histoire.

In-the-Cloud Zero-Hour Detection (Détection instantanée)

Définition: Collecte et analyse en continu des données en provenance de plus de 50 millions de sources différentes dans le monde - une approche proactive du scan pour identifier et bloquer les menaces web supposées et qui n'ont pas encore été identifiées. Le courrier électronique est passé au crible en temps réel, l'analyse se concentrant sur son profil de diffusion plutôt que sur les informations figurant dans l'objet du message. Lorsqu'un e-mail est identifié comme étant du spam, le scanner lui attribue une signature et génère immédiatement un fichier profil correspondant. Cette méthode permet de stopper efficacement une attaque avant qu'elle ne se répande trop largement. De la même façon, le trafic Web est évalué en temps réel à l'aide d'une base de données in-the-cloud contenant plus de 100 millions de sites Internet, ce qui permet un filtrage rapide et efficace du contenu, et plus de 500 000 signatures pour assurer une protection contre les menaces Web déjà répertoriées.

IPS

Définition: IPS (Intrusion Prevention System - système de prévention des intrusions) est un dispositif de sécurité réseau qui surveille le réseau et/ou les activités du système, afin d'y détecter tout phénomène malveillant ou non sollicité, capable de réagir en temps réel pour bloquer ou empêcher ce phénomène.

IPsec

Definition: IPsec (IP Security) is a suite of protocols for securing Internet Protocol (IP) communications between a pair of hosts (client based remote access), or a pair of Internet gateways (site to site tunnel) by authenticating and encrypting each IP packet of a data stream. IPsec also includes protocols to establish mutual authentication between agents at the beginning of a session and negotiate the cryptographic keys to be used during the session.

J - R

Keylogger

Définition : Le keylogger est l'un des spywares les plus répandus : c'est un programme qui capte et enregistre les touches frappées au clavier, puis qui envoie ces informations au pirate. Les keyloggers servent généralement à voler des mots de passe, pour accéder facilement au réseau d'une entreprise, à ses bases de données ou autres actifs sensibles.

Malware

Définition : Diminutif de l'anglais "malicious software" (logiciel malveillant), malware est un terme générique utilisé dans le secteur de la sécurité pour désigner les menaces informatiques dans leur ensemble. À l'origine, les malwares ont été conçus pour provoquer des dommages à un ordinateur ou aux données contenues dans les fichiers de l'ordinateur, ou tout simplement pour assurer la notoriété de leur auteur. Pour autant, la plupart des menaces actuelles visent à dérober des informations confidentielles aux individus ou aux organisations, avec pour objectif un profit financier.

Exemple : Les virus, vers, chevaux de Troie et spywares sont autant de menaces regroupées sous le terme de malware.

NETGEAR® STM Technologie Stream Scanning

Définition: Méthode brevetée de recherche de malware, qui s'appuie sur un constat : le trafic réseau circule en flux. Plutôt que d'attendre l'arrivée d'un fichier complet, le moteur de Stream-Scanning (ou Scan à la volée) NETGEAR lance la réception et l'analyse du trafic dès l'entrée du flux sur le réseau. Lorsqu'un nombre minimum suffisant d'octets a été reçu, le scan peut commencer. Le moteur de scan poursuit son analyse dès que des octets supplémentaires sont disponibles, tandis qu'un autre processus restitue les octets analysés. Il est ainsi possible de traiter rapidement un volume important de données, une seule analyse suffisant pour identifier le spam, les malwares, les atteintes à la sécurité, ou les applications non pertinentes.

Phishing

Définition : Il s'agit d'une menace véhiculée par e-mail, qui se dissimule sous la forme d'un message envoyé par la banque de l'utilisateur, ou tout autre acteur réputé du commerce électronique. L'objectif étant de déclencher une action immédiate du destinataire, une attaque de phishing (ou hameçonnage) par e-mail prend généralement comme prétexte une alerte à la fraude, une notification de mise à jour de sécurité, une offre spéciale, ou une requête de vérification des codes de connexion de l'utilisateur. Les e-mails de phishing comportent quasi systématiquement un lien vers une URL, qui renvoie l'utilisateur vers un site Internet miroir d'apparence identique à celle du site légitime : même logo d'institution, même charte graphique, même mise en page, même police de caractères, entre autres éléments visuels.

Exemple : Une personne reçoit un e-mail apparemment envoyé par sa banque, l'avertissant que son compte est peut-être victime d'un accès malveillant. On lui conseille de cliquer sur le lien hypertexte du message qui le connectera au site de la banque afin qu'il puisse y vérifier son compte. EN cliquant sur le lien, l'utilisateur est redirigé vers l'exacte réplique du site Internet de la banque, sur lequel il saisit ses identifiants de connexion. Ces identifiants seront directement communiqués au pirate, qui pourra les utiliser pour accéder librement aux comptes bancaires de sa victime.

Port Scan (Scan de port)

Définition: Un scan de port consiste à utiliser un scanner de port pour sonder une machine / un réseau, et tenter d'ouvrir des ports. Les pirates ont souvent recours à cette technique pour détecter les failles éventuelles d'un système.

Rootkit

Définition : Il s'agit d'un programme s'élevant de façon autonome jusqu'au plus haut niveau d'autorisation d'un système informatique. L'objectif d'un rootkit consiste à masquer les autres processus de l'ordinateur, qui deviennent alors totalement invisibles. Si un rootkit n'est pas dangereux en soi, le fait qu'il dissimule les autres processus en cours sur le système constitue une menace sérieuse pour la sécurité du système, voire pour la totalité du réseau.

S - Z

Spyware

Définition: Il existe deux types de spyware : les perturbateurs, et les malveillants. Les spywares malveillants, qui présentent le plus fort potentiel d'impact négatif sur les entreprises, sont utilisés par les pirates qui souhaitent dérober des informations confidentielles. S'ils pénètrent jusqu'au réseau, ils pourront compromettre l'intégrité des informations de l'entreprise ou de ses clients.

Exemple : Un spyware installé sur un ordinateur, dont la présence n'est pas détectée, envoie à un pirate distant des données saisies par l'utilisateur de l'ordinateur, selon un planning prédéterminé. L'utilisateur malveillant analyse à distance les données, à la recherche d'un numéro de carte de crédit, d'identifiants de connexion bancaire, de mots de passe, ou d'autres informations confidentielles.

SQL Injection (Injection SQL)

Définition: Une injection SQL consiste à exploiter une faille un certain niveau d'une base de données, pour y insérer un code malveillant par chaînes, qui seront ensuite transférées à une instance du serveur SQL pour analyse syntaxique et exécution. Une injection SQL consiste généralement à demander l'insertion d'un code dans des variables saisies par l'utilisateur, concaténées aux commandes SQL puis exécutées. Une attaque moins directe peut consister à injecter le code malveillant dans des chaînes destinées à être enregistrées dans une table, sous forme de métadonnées. Lorsque les chaînes enregistrées sont ensuite concaténées à une commande SQL dynamique, le code malveillant est exécuté.

SSL VPN (VPN SSL)

Définition: Un tunnel VPN SSL utilise la technologie SSL sécurisée, et est accessible par HTTPS à l'aide d'un navigateur Internet. Il permet aux utilisateurs d'établir une session d'accès distant sécurisée sans client, à partir de n'importe quel navigateur connecté à Internet. Un tunnel VPN SSL représente une alternative légère et économique face aux technologies VPN utilisant un client logiciel.

Stateful Packet Inspection (SPI)

Définition: SPI est une architecture pare-feu qui garde une trace du statut des connexions réseau (flux TCP, communication UDP) qui passent par elle. Le pare-feu applique des règles qui servent à identifier les paquets de données légitimes. Le pare-feu autorisera uniquement les paquets qui correspondent à un statut de connexion connu ; les autres seront refusés et effacés.

TCP SYN Flood (Flood TCP SYN)

Définition: Un flood TCP SYN est une forme d'attaque par déni de service, par laquelle l'attaquant envoie une suite de requêtes TCP SYN à un système cible, plus rapidement que celui-ci ne peut les traiter. Lorsqu'une connexion TCP normale commence, une liaison TCP à trois voies est initiée entre l'hôte destinataire et l'hôte source. L'hôte source envoie un paquet SYN (synchroniser/démarrer) à l'hôte destinataire, lequel renvoie ensuite un paquet SYN ACK (synchroniser/accepter). L'hôte destinataire doit impérativement entendre un ACK (accepter) du SYN ACK avant que la connexion ne soit établie.

Chaque fois qu'un serveur reçoit un segment SYN envoyé par un client, des ressources (par ex. de la mémoire) sont réquisitionnées par anticipation de la réussite de la connexion, et de transfert de données sensé en découler. Un serveur disposant de ressources limitées, il ne peut accepter qu'un nombre défini de connexion. Toutes les requêtes dépassant ce nombre sont rejetées. Les attaques par flood TCP SYN submergent la machine victime de requêtes jusqu'à effacement des requêtes légitimes.

Trojan (chevaux de Troie)

Définition : A l’instar de son homonyme dans la Mythologie grecque, le cheval de Troie est une application logicielle malveillante qui se dissimule sous une apparence inoffensive, pour tromper sa victime et l'inciter à lancer l'application. Arrivant généralement sous la forme d'une pièce jointe à un e-mail, le cheval de Troie peut facilement passer au travers du firewall de l'entreprise et provoquer des dommages importants. Les chevaux de Troie permettent aux pirates d'accéder au système infecté, portant ainsi atteinte à la sécurité du réseau tout entier.

Exemple : Un écran de veille, des émoticônes ou des avatars gratuits sont souvent utilisés comme déguisement par les chevaux de Troie. Le système de la victime est infecté lorsqu'il lance le téléchargement de l'un de ces programmes apparemment anodins.

Virus

Définition: Application logicielle malveillante capable de reproduire son propre code de façon autonome. Certains virus cherchent à provoquer des dommages, par exemple en détériorant ou en supprimant des fichiers, d'autres tentent de saturer la mémoire de l'ordinateur. Cependant, la plupart d'entre eux sont programmés uniquement pour que l'on sache qu'ils existent. Un virus n'est pas capable de se propager d'un système à un autre. Au contraire, pour survivre il a besoin de se rattacher à une application existante, et ne pourra se propager que lorsque que son application hôte sera installée sur un autre ordinateur.

Exemple : La victime reçoit un e-mail, lui promettant un accès aux photographies d'une célébrité féminine, dénudée. La pièce jointe est un fichier exécutable, dissimulé sous la forme d'un fichier image reprenant le nom de la célébrité en question. Croyant que la pièce jointe est effectivement une photographie de nu, l'utilisateur clique sur la pièce jointe, et ce faisant, infecte son système

Web-based threats (menaces Web)

Définition : Code malveillant se propageant par protocole Web (HTTP, HTTPS et FTP). La plupart des menaces Web sont codées dans un langage pris en charge par les navigateurs, comme HTML ou JavaScript, et se propagent par navigateur Web. Les menaces Web peuvent tirer avantage des failles de sécurité des navigateurs, mais la plupart sont hébergées par des sites Internet spécifiques. Elles peuvent prendre la forme d'un fichier légitime, comme un document, une chanson ou une image, pour tromper l'internaute et l'inciter à télécharger un contenu. D'autres encore peuvent être téléchargées automatiquement en arrière-plan lorsque l'internaute visite un site infecté, sans aucune autre action de sa part. Le site infecté peut être un site malveillant, développé par un concepteur malintentionné pour offrir une apparence respectable, mais il peut s'agir également d'un site légitime victime d'un piratage puis d'une infection par cette menace.

Exemple : Un spyware est hébergé par un site de peer-to-peer (P2P), se dissimulant sous la forme du fichier mp3 d'une chanson populaire, pour déclencher des centaines de milliers de téléchargements. Le système de l'utilisateur est infecté lorsqu'il télécharge le fichier.

Whaling

Définition : Catégorie de phishing visant les cadres dirigeants d'une entreprise. Dans le cas du whaling, un e-mail soigneusement rédigé est envoyé aux personnes ciblées, pour les inciter à cliquer sur un lien qui les dirigera vers un site malveillant d'apparence respectable. Une fois l'utilisateur connecté au site, il sera possible d'envoyer un spyware sur son ordinateur, ou d'inciter la victime à saisir des informations confidentielles personnelles ou concernant son entreprise.

Exemple : Le DAF d'une entreprise reçoit un e-mail, provenant apparemment de l’administration fiscale, comportant une mise à jour importante de l'accréditif de l'entreprise. Le destinataire de l'e-mail reçoit instruction de cliquer sur le lien du message pour consulter les détails du compte de son entreprise. Lorsque la victime clique sur le lien, elle est redirigée vers une exacte réplique du site des services fiscaux, sur lequel elle pourra saisir ses identifiants de connexion. Ces identifiants seront directement communiqués au pirate, qui pourra les utiliser pour accéder librement aux comptes bancaires de l'entreprise.

Worms (Vers)

Définition : Un ver est un logiciel malveillant capable de se dupliquer et de se mouvoir avec fluidité sur le réseau de l'entreprise, en toute autonomie, à la différence d'un virus qui nécessite l'intervention de l'utilisateur. Les vers accaparent une grande partie du débit disponible, à mesure qu'ils se dupliquent et se diffusent sur le réseau.

Zombies

Définition : Un zombie est un ordinateur qui a été infecté par une application logicielle malveillante, appelée "bot". Une fois le bot installé, l'ordinateur zombie peut alors être contrôlé à distance par un utilisateur malveillant, sans que l'utilisateur légitime de l'ordinateur n'ait donné son autorisation ni même qu'il n'ait conscience de l'intrusion.