CASES.LU

Glossary

  1. ▹ Antivirus
  2. ▹ Actifs
  3. ▹ Authentification
  4. ▹ Disponibilité
  5. ▹ Critères de base pour l'analyse des risques
  6. ▹ Attaque informatique
  7. ▹ Confidentialité
  8. ▹ Control
  9. ▹ Cryptographie
  10. ▹ Cybercriminalité
  11. ▹ Cybercriminel
  12. ▹ DRP – Disaster Recovery Plan
  13. ▹ Sauvegarde de données
  14. ▹ Perte de données
  15. ▹ Défiguration
  16. ▹ Désinfectez la machine avec un live CD
  17. ▹ Mise au rebut
  18. ▹ Email
  19. ▹ Firewall
  20. ▹ Erreurs humaines
  21. ▹ IDS/IPS
  22. ▹ Droit à l'image
  23. ▹ Impact
  24. ▹ Intégrité
  25. ▹ Internet et droits d'auteurs
  26. ▹ Aspects légaux
  27. ▹ LuxTrust
  28. ▹ Logiciels malveillants
  29. ▹ Sites Web malicieux
  30. ▹ Segmentation réseau
  31. ▹ Password
  32. ▹ Correctifs - patch
  33. ▹ Phishing
  34. ▹ Pannes physiques
  35. ▹ Sécurité physique
  36. ▹ Vol Physique
  37. ▹ Recommandations pour sécuriser un serveur de fichiers
  38. ▹ Recommandations pour sécuriser un serveur connecté à Internet
  39. ▹ Recommandations pour sécuriser un serveur Web
  40. ▹ Supports amovibles
  41. ▹ Gestion des risques
  42. ▹ Spam - les courriers indésirables
  43. ▹ SSL/TLS - les technologies de chiffrement sur la toile
  44. ▹ Mettre à jour les logiciels sur son ordinateur à l'aide de Secunia PISA
  45. ▹ Charte de sécurité
  46. ▹ Ingénierie sociale
  47. ▹ Menaces
  48. ▹ VPN : Les réseaux privés virtuels
  49. ▹ Vulnérabilités
  50. ▹ Web of Trust - WOT
  51. ▹ Filtre web - Proxy
  52. ▹ Pourquoi est-il important de protéger son ordinateur?

Menaces

Les menaces exploitent des vulnérabilités d’actifs et créent ainsi un impact. Les interactions entre actifs, menaces et vulnérabilités sont analysées lors de la gestion des risques.

Il est impossible pour un organisme d’exclure totalement l’existence de menaces. En matière de sécurité on s’applique donc généralement à

EBIOSv2

EBIOS : Expression des Besoins et Identification des Objectifs de Sécurité.

Les menaces par groupes

EBIOSv2[1] propose une liste d’Agents Menaçants (e.g. menaces) génériques :

DOMMAGES PHYSIQUES

ÉVÉNEMENTS NATURELS

  • Phénomène climatique
  • Phénomène sismique
  • Phénomène volcanique
  • Phénomène météorologique
  • Crue

PERTE DE SERVICES ESSENTIELS

DISTRIBUTION DUES AUX RADIATIONS

  • Rayonnements électromagnétiques
  • Rayonnements thermiques
  • Impulsions électromagnétiques (IEM)

COMPROMISSION D’INFORMATIONS

DÉFAILLANCES TECHNIQUES

ACTIONS NON AUTORISÉES

Qualification des menaces

Les menaces EBIOSv2 peuvent être qualifiées selon :

LEUR ORIGINE

  • E : Environnementale - tous les incidents qui ne sont pas causés par des actions humaines
  • D : Délibérée - pour toutes les actions délibérées visant les actifs
  • A : Accidentelle - utilisé pour toutes les actions humaines qui peuvent accidentellement endommager des actifs

LEUR ATTEINTE À LA

  • D: Disponibilité
  • I: Intégrité
  • C: Confidentialité

LEUR TYPE

  • N: Naturel
  • H: Humain
  • E: Environnemental

Lien Vulnérabilités / Menaces / Actifs

Cette section fait référence aux vulnérabilités génériques du document EBIOS v2 – Section 4 – Outillage (Appréciation)

On peut identifier :

Objectifs de sécurité

La section 2 Objectifs de sécurité génériques du document EBIOS v2 – Section 5 – Outillage (Traitement) [4] propose pour chacun des 7 types d’entités / actifs haut niveau une liste d’objectifs de sécurité génériques adressant de fait les vulnérabilités génériques identifiées précédemment.

La section 3.2 Exigences issues de l’ISO 17799 du même document EBIOS v2 – Section 5 – Outillage (Traitement)[5] propose des exigences de sécurité en lien avec chacune des clauses de la norme ISO/IEC 17799 : 2000 (et non la version de la norme publiée en 2005 [ISO/IEC 27002:2005).

EBIOS 2010

EBIOS 2010[6] propose une présentation différente de la version 2, tant sur le plan de la présentation des menaces que de l’approche globale.

EBIOS 2010 se divise selon les axes suivants :

TYPES DE BIENS SUPPORT

  • SYS - Systèmes informatiques et de téléphonie
  • ORG - Organisations
  • LOC - Locaux

IMPACTS

  • Impacts sur le fonctionnement
  • Impacts humains
  • Impacts sur les biens
  • Autres impacts

SOURCES DE MENACES

  • Sources humaines
    • Délibéré malveillant
    • Source (humaine) interne * Capacités faibles * Capacités importantes * Capacités illimitées
      • Source (humaine) externe
        • Capacités faibles
        • Capacités importantes
        • Capacités illimitées
    • Accidentel sans intention de nuire
      • Source (humaine) interne
        • Capacités faibles
        • Capacités importantes
        • Capacités illimitées
      • Source (humaine) externe
        • Capacités faibles
        • Capacités importantes
        • Capacités illimitées
      • Sources non humaines

Les menaces MEHARI par groupe de menace

  • Désastres naturels
    • Feu
    • Dommages provoqués par l’eau
    • Catastrophes naturelles
  • Désastres d’origine industrielle
    • Feu
    • Dommages provoqués par l’eau
    • Désastres industriels
    • Pollution mécanique
    • Pollution électromagnétique
    • Panne d’origine physique ou logique
    • Coupure de l’alimentation en électricité
    • Conditions inadéquates de température et/ou humidité
    • Défaillance des services de communications
    • Interruption des autres services et des approvisionnements essentiels
    • Dégradation des supports de stockage de l’information
    • Émanations électromagnétiques
  • Erreurs et défaillances non intentionnées
    • Erreurs des utilisateurs
    • Erreurs de l’administrateur
    • Erreurs de contrôle (log)
    • Erreurs de configuration
    • Déficiences au niveau de l’organisation
    • Diffusion de software nuisible
    • Erreurs de ré-acheminement
    • Erreurs de séquence
    • Fuites d’information
    • Altération de l’information
  • Introduction de fausses informations
    • Dégradation de l’information
    • Destruction de l’information
    • Divulgation de l’information
    • Vulnérabilités des programmes (software)
    • Erreurs de maintenance / actualisation des programmes (software)
    • Erreurs de maintenance / actualisation des équipements (hardware)
    • Effondrement du système provoqué par l’épuisement des ressources
    • Perte d’équipements
    • Indisponibilité du personnel
  • Attaques délibérées
    • Manipulation de la configuration
    • Supplantation de l’identité de l’utilisateur
    • Abus de privilèges d’accès
    • Utilisation non prévue
    • Diffusion de software nuisible
    • Ré-acheminement des messages
    • Altération de séquence
    • Accès non autorisé
    • Analyse du trafic
    • Répudiation
    • Interception d’information (écoute)
    • Modification de l’information
    • Introduction de fausses informations
    • Corruption de l’information
    • Divulgation de l’information
    • Manipulation des programmes
    • Refus de service
    • Vol d’équipements
    • Attaque destructive
    • Occupation ennemie
    • Indisponibilité du personnel
    • Extorsion
    • Ingénierie sociale