• Table des matières
• Avant-propos

• Premières notions de sécurité
  • Menaces, risques, vulnérabilités
  • Aspects techniques de la sécurité
  • Aspects organisationnels de la sécurité
    • Abandonner les utilisateurs inexpérimentés aux requins ?
  • Les CERT (Computer Emergency Response Teams)
    • Organisation des CERT
    • Faut-il publier les failles de sécurité ?
  • Le management de la sécurité de l'information
    • Les systèmes de management
    • Le système de management de la sécurité de l'information
      • Élaboration et mise en place du SMSI
      • Suivi et application du SMSI
      • Tâches de direction et d'encadrement
    • Un modèle de maturité ?
    • Critères communs
    • Faut-il adhérer aux normes de sécurité de l'information ?
  • La sécurité procédurale n'est pas la solution
• Protection des systèmes informatiques
  • La protection dans le système d'exploitation
  • Principes pour une politique de sécurité
    • Séparation des privilèges
    • Identification et authentification
  • L'authentification en pratique : l'algorithme RSA
    • Chiffrement et déchiffrement
    • Signature et vérification
  • Failles et attaques
    • L'attaque par le milieu (Man in the middle)
    • Vulnérabilité des cryptosystèmes
  • La biométrie n'est pas la solution
• Malveillance informatique
  • Types de logiciels malveillants
    • Virus
    • Virus réticulaire (botnet)
    • Ver
    • Cheval de Troie
    • Porte dérobée
    • Bombe logique
    • Logiciel espion
    • Le rootkit de Sony
  • Formes de malveillance
  • Courrier électronique non sollicité
  • Lutte contre les malfaisances informatiques
    • Anti-virus
      • La grande synthèse des malfaisances
      • Généralités sur les anti-virus
      • Les techniques de détection
      • Des virus blindés pour déjouer la détection
  • Données quantitatives

• Principes du chiffrement
  • Chiffrement symétrique : DES
  • Diffie et Hellman, l'échange de clés
    • Le problème de l'échange de clés
    • Fondements mathématiques de l'algorithme Diffie-Hellman
    • Mise en oeuvre de l'algorithme Diffie-Hellman
  • Le chiffrement asymétrique : algorithme RSA
• Sécurité du système d'exploitation
  • Un modèle de protection : Multics
    • Les dispositifs de protection de Multics
  • Protection des systèmes contemporains
  • Débordements de tampon
  • Séparation des privilèges dans le système
  • Architectures tripartites
• Sécurité pratique en réseau
  • Modèle en couches pour les réseaux
    • Application du modèle à un système de communication
    • Modèle ISO des réseaux informatiques
    • Une réalisation : TCP/IP
  • Réseau privé virtuel (VPN)
    • Principes du réseau privé virtuel
    • IPSec
    • Autres réseaux privés virtuels
  • Comparer les procédés de sécurité
  • Comment partager des fichiers à distance
  • Sécurité d'un site en réseau
    • Segmentation
    • Filtrage
    • Coupe-feu
  • Le système de noms de domaines (DNS)
    • Fonctionnement du DNS
    • Un espace abstrait de noms de serveurs et de domaines
    • Autres niveaux de domaines
    • Conversations entre serveurs de noms
    • Sécurité du DNS
      • Espace public et espace privé
  • Traduction d'adresses (NAT)
    • Le principe du standard téléphonique d'hôtel
    • Adresses non routables
    • Accéder à l'Internet sans adresse routable
    • Réalisations
    • Une solution, quelques problèmes
  • Promiscuité sur un réseau local
    • Rappel sur les réseaux locaux
    • Réseaux locaux virtuels (VLAN)
    • Sécurité du réseau de campus : VLAN ou VPN ?
  • Réseau sans-fil et sécurité
    • Nomenclature
    • Vulnérabilités des réseaux sans fil 802.11
      • Vulnérabilités 802.11 spécifiques
      • Protection des points d'accès
      • Protection des communications par chiffrement
      • Authentification des accès au réseau
• Identité, annuaires, habilitations
  • Identité dans un monde numérique
    • Problématique de l'identification
    • Trois types d'usage des identifiants
    • Vers un système universel d'identifiants
    • La politique des identifiants
    • Distinguer noms et identifiants dans le DNS ?
  • Pretty Good Privacy (PGP) et signature
  • Annuaire électronique et gestion de clés
  • Risques liés aux systèmes d'identification
  • Problèmes d'organisation
    • Objectif SSO
    • Expérience de terrain

• Une charte des utilisateurs
  • Préambule de la charte
  • Définitions
  • Accès aux ressources informatiques et aux services Internet
  • Règles d'utilisation, de sécurité et de bon usage
  • Conditions de confidentialité
  • Respect de la législation concernant les logiciels
  • Préservation de l'intégrité des systèmes informatiques
  • Usage des services Internet (Web, messagerie, forum...)
    • Règles de bon usage
    • Publication sur l'Internet
    • Responsabilité légale
  • Analyse et contrôle de l'utilisation des ressources
  • Rappel des principales lois françaises :
  • Application
• Une charte de l'administrateur de système et de réseau
  • Complexité en expansion, risques multipliés
  • Règles de conduite
    • Secret professionnel
    • Mots de passe
  • Proposition de charte
    • Préambule
    • Définitions
    • Responsabilités du comité de coordination SSI
      • Surveillance et audit
      • Contrôle d'accès
      • Vérification
    • Responsabilités de l'administrateur de système et de réseau
      • Enregistrement des incidents de sécurité
      • Journalisation et archivage
      • Examen des journaux
      • Dérogations aux règles SSI
      • Identification des utilisateurs et contrôles d'accès
      • Audits périodiques
    • Mise en oeuvre et litiges
      • Rapport des violations des règles SSI
      • Veille SSI
      • Attitude à l'égard des violations de la loi
      • Attitude à l'égard des violations des règles SSI
• Aspects humains et sociaux de la sécurité du système d'information
  • Législation financière et système d'information
    • Essor de la sécurité financière
    • Brève critique de la sécurité financière
  • Sécurité psychologique du hacker
    • Apologie du hacker
    • Psychiatrie de la sécurité des systèmes d'information
    • Psychologie de la programmation

• Nouveaux protocoles, nouvelles menaces
  • Le modèle client-serveur
  • Versatilité des protocoles : encapsulation HTTP
    • Tous en HTTP !
    • Vertus de HTTPS
  • Versatilité : protocoles poste à poste (peer to peer)
    • Définition et usage du poste à poste
    • Problèmes à résoudre par le poste à poste
    • Le poste à poste et la sécurité
    • Exemples : KaZaA et Skype
      • Description de Skype
      • Skype est-il vraiment poste à poste ?
      • Sécurité de Skype et d'autres protocoles
      • Filtrer Skype ?
• Tendances de la sécurité du système d'information
  • Les six idées les plus stupides en sécurité, selon Ranum
    • Idée stupide 1 : par défaut tout est autorisé
    • Idée stupide 2 : dresser la liste des menaces
    • Idée stupide 3 : intrusion et correction
    • Idée stupide 4 : les pirates sont sympa
    • Idée stupide 5 : faire l'éducation des utilisateurs
    • Idée stupide 6 : l'action vaut mieux que l'inaction
    • Quelques idioties de seconde classe
  • Les cinquante prochaines années, selon Alan Cox
  • Détection d'intrusion, inspection en profondeur
    • Coupe-feu à états
    • Détection et prévention d'intrusion
    • Inspection en profondeur
    • Critique des méthodes de détection
  • À qui obéit votre ordinateur ?
    • Un conflit de civilisation
    • Dispositifs techniques de prohibition
      • Gestion des droits numériques (DRM)
      • Trusted Computing Platform Alliance (TCPA)
      • Next-generation secure computing base (NGSCB)
    • Informatique de confiance, ou informatique déloyale ?
  • Mesures de rétorsion
• Index
• Références

Ce document a été traduit de L^AT_EX par H^EV^EA