"Il faut apprendre pour connaître, connaître pour comprendre, comprendre pour mieux se défendre..."
Une attaque informatique, c'est comme une guerre : pour la réussir, il faut de la préparation. Et comme les armées, les pirates ont leurs services de renseignement. Et tout bon espion vous dira que les meilleurs sources sont les sources d'informations ouvertes, c'est à dire les bases de données librement accessibles, whois est la première d'entre elles...
Une attaque informatique, c'est comme une guerre : pour la réussir, il faut de la préparation. Et comme les armées, les pirates ont leurs services de renseignement. Et tout bon espion vous dira que les meilleurs sources sont les sources d'informations ouvertes, c'est à dire les bases de données librement accessibles, whois est la première d'entre elles...
Phase Préparatoire au Hack :
Comme nous le verrons par la suite, un certain nombre d'informations seront fatalement toujours accessibles ne serait-ce que par l'obligation administrative de les communiquer (email du responsable informatique) et de la nécessité technique de la rendre publique pour le fonctionnement du système (adresses IP des DNS). En revanche, il est possible de ne pas en divulguer d'autres et de former les utilisateurs au social engineering. Cet article n'explique pas comment sont réalisées les attaques informatiques. C'est la phase préparatoire de collecte d'informations sur un système cible qui sera discutée ici.
Les outils de base du hacker sont très répandus et simples d'utilisation :
- Whois : base de données mondiale des noms de domaine, fournit des informations administratives et techniques sur les propriétaires des noms de domaine
- Moteur de recherche (google) : fournit des informations ouvertes publiées sur le web sur tout sujet et toute personne
- Google groups : moteur de recherche sur les newsgroups, fournit la copie de tous les messages postés sur les forums, permet de lire les messages des équipes techniques d'une entreprise
- Ping : teste l'existence d'une machine en fonction de son adresse IP
- Traceroute : liste les noeuds intermédiaires dans le routage des paquets entre un destinataire et une machine cible, permet de trouver l'adresse IP du routeur d'une entreprise
- Scan (Nessus, NMAP) : outil de scan des machines d'un sous-réseau, de leurs ports ouverts et d'éventuelles vulnérabilités
- Cracker de mot de passe (john the ripper) : outil de cassage des mots de passe par dictionnaire.
Un hacker utilisera typiquement la méthodologie suivante :
- détermination du nom de domaine de la société cible avec un moteur de recherche si elle possède un site web ou un serveur de messagerie
- collecte des informations administratives et techniques avec whois sur le nom de domaine de la société cible
- collecte d'informations techniques à partir des messages postés dans les newsgroups par les équipes techniques
- collecte d'informations personnelles sur certains collaborateurs grâce aux newsgroups à des fins de social engineering
- traceroute sur un serveur DNS ou le serveur web afin de connaître le routeur
- ping et scan des machines présentes dans la plage du réseau de l'entreprise, ceci fournit les adresses IP des machines trouvés, leurs OS, leurs ports ouverts et les versions des services en fonctionnement
- recherche sur Internet (bases CERT) des vulnérabilités des machines trouvées en fonction de leurs OS, ports ouverts et versions de services
- intrusion du système à partir de mots de passe découverts par social engineering ou par cassage des mots de passe avec un outil approprié
- interrogation au hasard d'une liste d'URL du serveur web permettant de lancer de scripts CGI ou de remonter les répertoires pour accéder à des fichiers sensibles ou d'exécuter des programmes avec des arguments permettant d'exécuter du code malicieux
- et enfin : attaque sur les machines vulnérables
Des mesures simples permettent de contrer cette recherche d'informations et d'éviter bon nombre d'attaques :
1 : NewsGroup
· INTERDIRE aux équipes techniques de poster des messages dans les listes de diffusion publiques à partir de leur adresse du domaine de l'entreprise
· LIMITER la diffusion d'informations sur les numéros de versions des outils utilisés
· CACHER systématiquement les informations relatives aux chemins de fichiers, logins, mots de passe, noms de machine et adresses IP utilisées lors des nécessaires usages des forums et autres newsgroups
2 : Social Engineering
- DECONSEILLER au personnel de l'entreprise d'utiliser leur adresse email professionnelle pour participer à des forums dont l'usage est d'ordre privé
- SENSIBILISER le personnel aux problématiques d'espionnage économique et de criminalité informatique
- FORMER le personnel technique du service informatique aux mesures anti social engineering
3 : Informations publiées sur le Web
- NE PUBLIER aucune information technique sur les outils, et les versions utilisées
- NE PAS RENDRE ACCESSIBLE au public les rapports d'analyse des outils de supervision et de statistique qui regorgent d'adresses IP, OS et services des machines auditées
- CONFIGURER le serveur web et le serveur d'application afin qu'ils ne divulgent aucune information de version et de modules installés dans les entêtes HTTP ainsi qu'en bas de page des messages d'erreur
4 : Droits d’Accès :
- NE DONNER aux utilisateurs du système d'information que les droits nécessaires à l'accomplissement de leurs tâches respectives, et pas plus ; afin de limiter les conséquences de l'utilisation frauduleuse d'un compte
- METTRE EN PLACE une politique sûre de mot de passe : long, compliqué, changé fréquement, non apposé sur un post-it sur l'écran
5 : Systèmes :
- N’INSTALLER que les services et logiciels nécessaires sur chaque machine/serveur, toute application apportant au système hôte ses propres vulnérabilités
- MAINTENIR à jour le système d'exploitation, les logiciels et le firmware des équipements en les patchant régulièrent dès qu'une vulnérabilité est signalée et corrigée par l'éditeur
- INSTALLER un antivirus sur les postes de travail et le maintenir à jour
- INSTALLER un pare-feu à l'entrée du réseau interne de l'entreprise, ne laisser passer que le trafic nécessaire, journaliser les comportements anormaux et se tenir informer par des alertes des comportements suspects
Pour conclure, il est aisé pour un hacker de collecter de l'information sur une victime potentielle. Il est tout aussi aisé dans le principe de fermer le robinet, mais cela implique la participation de tous les employés de l'entreprise. Or c'est précisément le facteur humain qui est généralement en cause dans les défaillances de la sécurité d'un réseau. Cela nécessite donc un investissement constant dans la formation de ses utilisateurs.
Source :
http://cyberzoide.developpez.com/securite/guide-methodologie-hacking/
