3
logiciels d'audit de vulnérabilité
Réaliser un audit de son réseau en vue d'y déceler les
failles de sécurité est désormais pratique courante. Si les
logiciels testés sont efficaces, ils ne sont toutefois que des
outils d'aide à la décision, et la critique des résultats reste
indispensable.
Thibault Michel ,
Décision Informatique,
le 12/05/2004 à 07h00
Le monde de la sécurité informatique
pourrait se résumer ainsi : aucun système n'étant entièrement
sécurisé, mieux vaut multiplier les systèmes de protection afin
de prévenir les attaques. En complément des solutions de
filtrage, il paraît donc indispensable de disposer d'un outil
efficace permettant de réaliser un audit de son réseau pour
mettre en exergue les éventuelles failles afin de les combler
rapidement.
Une étude du cabinet Yankee Group en mars
dernier tire un certain nombre d'enseignements liés aux
vulnérabilités : « Il faut en
moyenne 30 jours aux entreprises pour corriger la moitié des
systèmes vulnérables, et 80 % des vulnérabilités sont exploitées
dans les 60 jours suivant leur annonce publique. »
La tâche n'est donc pas aisée, bien
qu'elle soit d'une importance capitale. Le terme vulnérabilité
couvre un spectre assez large : il peut s'agir de s'assurer
qu'une mise à jour a bien été effectuée sur un OS, qu'il n'y a
pas de compte administrateur sans mot de passe, qu'un routeur
dispose de la dernière version de firmware (microcode), etc.
La plupart des logiciels d'audit de
vulnérabilité fonctionnent sur un modèle en trois étapes : tout
d'abord, une phase de découverte durant laquelle le logiciel
balaye le réseau pour découvrir les adresses IP des machines.
Des paquets de type « ping »
sont envoyés à vitesse variable en
fonction de la latence du réseau, de la performance de la
machine, etc. Un scan des ports est ensuite effectué pour
vérifier leur état : fermé, ouvert, filtré.
Des données consolidées sur une console d'administration
La seconde étape consiste à détecter les
systèmes d'exploitation présents sur les machines. Pour ce
faire, un certain nombre de paquets
« spéciaux » sont envoyés,
le système d'exploitation étant identifié en fonction de la
réponse de l'équipement visé (les réponses types étant
répertoriées dans une base de données Nmap). Enfin, une analyse
est effectuée au niveau 7 du modèle OSI, afin de détecter les
services qui tournent sur la machine. L'ensemble des données est
envoyé vers une console d'administration qui, le cas échéant,
peut les mettre en évidence sous la forme de rapports.
Nous avons choisi de tester des solutions
en local, dépourvues d'agents : le scan s'effectue donc à la
demande. Trois éditeurs ont répondu à notre appel : Tenable
Network Security, ISS (Internet Security Systems) et eEye
Digital Security. Dans l'ensemble, les solutions se sont
révélées assez efficaces : toutes ont découvert l'ensemble des
machines installées sur notre plate-forme et ont su identifier
les systèmes d'exploitation (à l'exception de Mac OS X et de
Solaris) ainsi que les services de chaque système. Leur
installation s'est révélée relativement simple, la seule
opération à effectuer étant la préparation du système :
installation des services pack et des bases de données, qui ne
sont pas toujours inclus dans le CD-ROM du logiciel. Seul
l'outil de Tenable ne propose pas d'aide en ligne ; il est par
ailleurs le plus complexe à mettre en oeuvre, son déploiement
s'effectuant avec Linux. Toutes les solutions peuvent planifier
les audits et paramétrer une heure de fin de scan réseau, de
façon, par exemple, à ne pas perturber un environnement en phase
de production.
Pour vérifier la validité des
vulnérabilités détectées, tous disposent d'un mode de test
agressif simulant des attaques. Par ailleurs, ils proposent des
recommandations pour remédier aux vulnérabilités. En revanche,
tous ces logiciels fonctionnent dans un environnement
propriétaire et sont difficilement compatibles avec d'autres
outils. Il y a peu d'options d'optimisation et de
personnalisation qui permettraient d'adapter précisément la
solution à une infrastructure d'entreprise.
L'interprétation humaine reste indispensable
Nous nous sommes intéressés à deux types
de comptes rendus : D'une part les rapports exécutifs, souvent
très graphiques et destinés au DSI ; d'autre part les rapports
techniques, qui présentent à l'administrateur les vulnérabilités
rencontrées. Dans les deux cas, les rapports sont conçus pour
servir d'aide à la décision, mais ils ne peuvent être considérés
comme une information toujours exacte, dans la mesure où ils
comportent un certain nombre de faux positifs. De plus, aucun
logiciel ne s'est révélé fiable à 100 % et il faut être
prudent : lors d'un test consistant à dissimuler certains
services derrière des ports inhabituels, seul Tenable a été
efficace. Ainsi, même si la tendance consiste à multiplier les
outils d'évaluation des attaques, l'intervention humaine reste
indispensable. Le travail de l'administrateur est essentiel, et
il est encore trop tôt pour prétendre protéger une architecture
uniquement par des dispositifs techniques d'interprétation des
résultats. Le responsable sécurité a décidément encore de beaux
jours devant lui !
Le périmètre du test
Les éditeurs devaient nous fournir
des logiciels d'audit de vulnérabilité agissant au niveau
local, sans agents. Contrairement à un IDS (Intrusion
Detection System), qui analyse le trafic pour détecter un
paquet malveillant, ces logiciels envoient des flux pour
déceler une vulnérabilité. C'est pourquoi nous avons choisi
de ne pas retenir l'outil Qualys-Guard Intranet Scanner de
Qualys, une solution de sécurité en ligne associée à un
boîtier de détection des vulnérabilités. Sur les trois
logiciels testés, ceux d'ISS et d'eEye Digital Security
fonctionnent avec Windows tandis que celui de Tenable
Network Security fonctionne avec Linux.
|
|
