Techniques de supervision de la sécurité des réseaux IP : Normes : protocoles et formats de données de la supervision

Sommaire
Médias

Présentation

1 - Normes : protocoles et formats de données de la supervision

1.1 - SNMP
1.2 - Fichiers de journalisation

Tableau 1 Tableau 2
1.3 - Protocole émergent : COPS

2 - Périmètre

2.1 - Quels sont les équipements concernés ?

Figure 3 - Architecture centralisée Figure 4 - Architecture distribuée
2.2 - Quels sont les événements et les indicateurs à superviser ?
2.3 - Architecture de supervision

3 - Supervision en temps réel

3.1 - Objectifs
3.2 - Outils

4 - Supervision en temps différé

4.1 - Analyse d’attaques
4.2 - Tableau de bord de sécurité
4.3 - Inputs vers des outils d’aide à la décision

5 - Politique de sécurité et supervision

5.1 - Politique de sécurité
5.2 - Norme ISO 17799
5.3 - Veille sécurité
5.4 - Que faire en cas de problème de sécurité ?

6 - Conclusion

Bibliographie & annexes

Présentation

RÉSUMÉ

Un dispositif de sécurité n'est efficace que s'il est correctement administré et supervisé. Cet article présente la supervision de la sécurité des réseaux. Il commence par présenter les principaux protocoles et les aspects techniques de la supervision. La notion de périmètre est ensuite expliquée car ce périmètre conditionne l'efficacité de la supervision. Deux types de supervision sont distingués : la supervision en temps réel et la supervision en temps différé. Enfin une présentation de la politique de supervision et des réglementations existantes vient conclure cet article.

Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.

Lire l’article

Auteur(s)

Sarah NATAF,
Vincent BEL
Franck VEYSSET : Ingénieurs d’études en sécurité des réseaux, France Télécom R&D

INTRODUCTION

Les meilleurs dispositifs de sécurité ne peuvent pas protéger de façon optimale un réseau s’ils ne sont pas correctement supervisés. Ainsi, la sécurité d’un réseau repose d’une part sur l’architecture et son adéquation aux besoins des composants qui le constituent, mais aussi sur l’administration et la supervision, au jour le jour, de ces équipements.

Cet article a pour objectif d’aborder le domaine de la supervision de la sécurité des réseaux. À ce titre, sont présentés les aspects techniques de supervision, protocoles et outils les plus utilisés par les administrateurs réseau, cibles de supervision. Les aspects « politique de sécurité » liés à la supervision permettent de conclure.

Les protocoles et les formats de données SNMP ou Syslog sont utilisés dans les outils de supervision. COPS est un protocole récent visant à normaliser les échanges de flux de supervision.

Les aspects « périmètre de supervision », architecture, éléments à surveiller sont d’autant plus importants qu’ils conditionnent énormément l’efficacité d’un système de supervision, et sont difficilement modifiables a posteriori.

La supervision en temps réel et la supervision en temps différé sont généralement utilisées par des populations différentes au sein d’une entreprise (les exploitants étant plus intéressés par la supervision en temps réel pour la réactivité, les responsables par une supervision en temps différé pour une vision plus synthétique de la sécurité). Dans chaque cas, plusieurs outils couramment utilisés sont présentés, avec quelques exemples d’utilisation, ainsi qu’une analyse succincte de leurs résultats.

Les aspects politique de sécurité, norme ISO 17799, veille sécurité et plan de reprise sur incident, notamment les interactions avec la supervision de la sécurité, sont souvent négligés dans une politique de gestion de la sécurité, mais sont primordiaux pour une réactivité optimale en cas d’incident.

Un entretien avec Eric Wiatrowski, directeur adjoint à la sécurité de France Télécom Transpac, fournit quelques réponses concrètes aux problématiques d’externalisation de la supervision de la sécurité.

Cet article est réservé aux abonnés.
Il vous reste 92 % à découvrir.

Pour explorer cet article Consulter l'extrait gratuit

Déjà abonné ? Se connecter

DOI (Digital Object Identifier)

https://doi.org/10.51257/a-v1-h5820

Lecture en cours
Présentation

Page
suivante

Périmètre

Article inclus dans l'offre

"Sécurité des systèmes d'information"

(80 articles)

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques.

Des contenus enrichis

Quiz, médias, tableaux, formules, vidéos, etc.

Des modules pratiques

Opérationnels et didactiques, pour garantir l'acquisition des compétences transverses.

Des avantages inclus

Un ensemble de services exclusifs en complément des ressources.

Voir l'offre

1. Normes : protocoles et formats de données de la supervision

Dans cette partie, nous détaillons quelques normes primordiales dans un environnement multiconstructeur. Nous commençons par le protocole SNMP (Simple Network Management Protocol), un protocole très répandu dans la supervision et la remontée d’alarme sur les réseaux IP ainsi que la gestion de configuration. Nous décrirons également deux formats de données qui sont utilisés dans la collecte de données de supervision : syslog et netflow. Enfin, nous aborderons un protocole de gestion de réseau émergeant, COPS (Common Open Policy Service), un nouveau standard pour la gestion de politiques sur un réseau IP.

1.1 SNMP

SNMP (Simple Network Management Protocol) est le protocole standard pour gérer des équipements réseau en environnement IP. Il permet :

d’échanger des éléments de configuration des éléments réseaux ;
de détecter et d’analyser les problèmes sur un réseau par interrogation ou remontée d’alarmes ;
de surveiller les performances réseaux et réaliser des statistiques.

Des agents SNMP sont répartis sur les objets supervisés, les serveurs SNMP permettent de gérer ces objets. Pour identifier les partenaires, les commandes envoyées sont accompagnées d’un identifiant de communauté (community string) ; l’agent exploite cette donnée pour identifier le serveur et donne alors l’accès en lecture et/ou en écriture en fonction de cette information. Il y a deux modes de fonctionnement :

le polling, dans lequel la station de supervision interroge les agents à tour de rôle ;
les Trap SNMP, où l’équipement lui-même remonte une alarme pour signaler une anomalie vers le superviseur.

Les agents peuvent être installés sur des objets très hétérogènes : firewalls, routeurs, serveurs, mainframes, stations de travail, switches, etc. (figure 1). Pour connaître les structures de données propres à chaque objet supervisé, la MIB (Management Information Base) est interrogée. C’est une base de données d’informations de management des équipements réseau (sous forme de variables et tables) accessible via le protocole SNMP. Un fichier MIB est un document texte écrit en langage ASN.1 (Abstract Syntax...

Cet article est réservé aux abonnés.
Il vous reste 94 % à découvrir.