Symantec Canada

Sécurité de réseau : D'hier à aujourd'hui

25 juillet 2000 Numéro d'article : 179

Introduction

Guérites, gardes et gâchettes

Repérage et réparation

Évaluation et gestion : L'environnement de sécurité de réseau actuel

À la hauteur des circonstances

Tout comme les environnements informatiques ont évolué depuis 35 ans, la sécurité de réseau a évolué aussi. À mesure que naissent de nouvelles technologies et de nouvelles menaces, les risques et pièges pour la sécurité de réseau n'ont cessé d'augmenter en complexité. Il y a 15 ans, les solutions ponctuelles gardaient les menaces en échec. De nos jours, les professionnels des TI s'aperçoivent de plus en plus qu'on peut verrouiller une porte, mais que les intrus en dénicheront rapidement une autre déverrouillée. Le secret consiste à réduire les risques à leur minimum.

Guérites, gardes et gâchettes
Les racines de la sécurité de réseau ont vu le jour comme conséquence des marches à suivre de la sécurité physique à la fin des années 60 et durant les années 70. Cette période de la préhistoire de la sécurité de réseau s'est fait dénommer "Guérites, gardes et gâchettes" (Gates, Guns and Guards). À cette époque, la préoccupation principale des professionnels de l'informatique consistait à empêcher les intrus de s'infiltrer physiquement dans les installations et de voler des données confidentielles. Les systèmes informatiques ne présentaient habituellement qu'un seul code d'accès, et il était relativement facile de les percer. Les organismes gouvernementaux se sont mis à élaborer de nouvelles techniques, au-delà de la protection physique, afin de sécuriser l'information confidentielle.

Repérage et réparation
Comme les environnements informatiques ont changé de façon spectaculaire dans les années 80 et au début des années 90, la sécurité de réseau s'est heurtée à de nouvelles embûches de taille. D'abord, l'utilisation informatique a délaissé les systèmes centraux maison à terminaux passifs pour se tourner vers les modèles clients-serveurs qui intégraient des systèmes d'exploitation Windows et Unix. L'utilisation répandue d'un système d'exploitation commun a mis plusieurs organisations à la merci de pirates et bidouilleurs qui exploitaient les brèches de sécurité dans ces systèmes.

L'utilisation sans cesse croissante de l'Internet a compliqué les faiblesses de réseau. L'intégrité du système, les attaques au déni de service et la disponibilité du système sont devenues des problématiques de sécurité informatique de première importance. La sécurité de réseau telle qu'on la connaît aujourd'hui s'est mise à prendre forme. Les fournisseurs de logiciels commerciaux sont entrés en jeu et ont fait main basse sur le marché en pleine croissance de la sécurité de réseau à l'aide de produits ponctuels apportant des solutions de coupe-feu, de chiffrement et d'antivirus.

Évaluation et gestion : L'environnement de sécurité de réseau actuel
En conséquence partielle de récentes failles de sécurité hautement publicisées, telles que les attaques au déni de service en février dernier, la sécurité de réseau revêt maintenant une priorité maximale dans la plupart des entreprises. Le défi de la sécurité de réseau a durement capté l'attention de pratiquement tous les dirigeants dans les salles de conseil d'entreprise. La sécurité a dépassé le stade d'une simple question technologique : en effet, elle touche directement la capacité de l'entreprise d'exercer ses activités, de conserver sa clientèle et de garder ses actionnaires satisfaits. En réduisant les incidents de sécurité à leur minimum, les entreprises peuvent non seulement préserver leur réputation, mais aussi éviter des poursuites judiciaires inutiles et la mobilisation d'instances réglementaires fédérales.

Les affaires quotidiennes d'une entreprise mettent ses réseaux en danger. Mais le foisonnement rapide de nouveaux logiciels dans l'Internet, des applications articulées autour du Web au commerce électronique en passant par les extranets, interpelle encore plus la sécurité de réseau.

Les directeurs d'informatique se doivent de trouver des moyens efficaces et effectifs de réduire les incidents de sécurité à leur minimum. Ils n'ont pas le choix que de prendre le taureau par les cornes et créer une architecture de sécurité qui intègre les objectifs commerciaux aux problématiques technologiques. En dressant une "carte routière de sécurité" de leurs actifs, faiblesses et risques, les professionnels des TI peuvent mieux protéger leurs systèmes. Il s'agit cependant d'une tâche ardue. Les réseaux constituent de véritables labyrinthes logiciels et matériels truffés de points vulnérables. Les directeurs d'informatique se tournent vers les fournisseurs de logiciels pour qu'ils les aident à évaluer et à gérer plus efficacement leur sécurité de réseau.

À la hauteur des circonstances
Bien qu'il soit impossible de prévenir TOUS les incidents de sécurité, il existe une méthode s'appuyant sur les "règles de l'art" pour gérer la sécurité de réseau. Commencez par les étapes suivantes :

Comprenez l'objectif. Prenez conscience qu'une fois votre entreprise branchée à un réseau, elle n'est plus sécure. Gérer le risque ne signifie pas éviter le risque. Le réseau ne deviendra jamais sécure à 100 %. Parfois, les coûts de réparation d'une certaine faiblesse dépassent de loin les répercussions possibles de la menace. Par conséquent, cet aspect précis du réseau demeurera vulnérable. Dans certains cas, il n'existe aucune réparation pour une faiblesse donnée. Les menaces surviennent rapidement; mais les réparations souvent ne se présentent pas aussi rapidement.

Effectuez une évaluation de sécurité. Évaluez les actifs ainsi que les faiblesses et les menaces à ces actifs. Comprenez la probabilité de différentes menaces. Quantifiez les pertes d'actifs de réseau infligées par une attaque ou défaillance précise. Affectez des priorités aux divers actifs, puis protégez les systèmes cruciaux à l'aide des meilleures mesures de sécurité.

Élaborez des politiques et marches à suivre en matière de sécurité. Une fois le réseau évalué, le service de l'informatique peut prendre des décisions plus éclairées au sujet des politiques et marches à suivre en matière de sécurité. La création de politiques et marches à suivre définitives en ce sens aidera le service de l'informatique à mettre en œuvre des mesures de protection de réseau proactives de manière efficace et rentable.

Mettez en œuvre les meilleures réparations dans les systèmes cruciaux. Pour les plus dangereuses faiblesses, il existe des mesures de protection bien connues. Mettez le doigt sur les systèmes les plus cruciaux et leurs faiblesses, puis recherchez la meilleure réparation de ces dernières. Afin de réduire au minimum les pertes attribuables à un incident de sécurité, accordez le plus de temps et de ressources possibles aux systèmes cruciaux.

Adoptez et appliquez les règles de l'art de base dans les systèmes non cruciaux. Les bidouilleurs ne perdent pas beaucoup de temps et d'effort à tenter de percer des systèmes. Si la majorité des portes arrière s'avèrent impénétrables, un bidouilleur se tournera vers une autre cible. La sécurisation des voies de pénétration les plus évidentes découragera la plupart des bidouilleurs.

Élaborez un plan de réaction aux incidents. Puisque les réseaux ne peuvent être sécures à 100 %, les professionnels des TI se doivent de demeurer suffisamment préparés pour un incident de sécurité. L'élaboration d'un plan étoffé et solide de réaction aux incidents s'avérera donc toujours un investissement profitable. Après un réseau sécure, la réduction au minimum des dommages attribuables à un incident de sécurité constitue le meilleur objectif pour le service de l'informatique. Cela signifie mettre en œuvre des systèmes de prédétection comme la détection d'intrusion ainsi que prendre des copies de sécurité de systèmes et de données cruciaux.

De nombreuses entreprises ont déjà commencé à refondre leurs méthodes et procédés en matière de sécurité de réseau. Une gestion et une évaluation proactives de la sécurité de réseau deviendront de plus en plus monnaie courante. À mesure que poignent un nombre grandissant de menaces à la sécurité de réseau, la gestion du risque devient une composante essentielle de la survie d'une entreprise. En envisageant la sécurité de réseau comme la gestion proactive de menaces, l'entreprise sera prête à surmonter les nouveaux écueils pour la sécurité de réseau et à réduire ainsi ses pertes au minimum.

Communiqués | 2002 | 2001 | 2000 | 1999 | 1998 |