vers une informatique digne de confiance n.
Download
Skip this Video
Loading SlideShow in 5 Seconds..
Vers une informatique digne de confiance… PowerPoint Presentation
Download Presentation
Vers une informatique digne de confiance…

Loading in 2 Seconds...

play fullscreen
1 / 43

Vers une informatique digne de confiance… - PowerPoint PPT Presentation


  • 60 Views
  • Uploaded on

Vers une informatique digne de confiance…. Bernard Ourghanlian Directeur Technique & Sécurité Microsoft France bourghan@microsoft.com. NIMDA et Code Red. Dans certains cas, certaines sociétés ont été forcées de se couper temporairement de l’Internet

loader
I am the owner, or an agent authorized to act on behalf of the owner, of the copyrighted work described.
capcha
Download Presentation

Vers une informatique digne de confiance…


An Image/Link below is provided (as is) to download presentation

Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author.While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server.


- - - - - - - - - - - - - - - - - - - - - - - - - - E N D - - - - - - - - - - - - - - - - - - - - - - - - - -
Presentation Transcript
vers une informatique digne de confiance

Vers une informatique digne de confiance…

Bernard Ourghanlian

Directeur Technique & Sécurité

Microsoft France

bourghan@microsoft.com

nimda et code red
NIMDA et Code Red
  • Dans certains cas, certaines sociétés ont été forcées de se couper temporairement de l’Internet
  • Exemples publics : Siemens, US Bancorp Piper Jaffray, Booz Allen & Hamilton et General Electric

*Computer economics Carslbad, CA

slammer
Slammer
  • Un saut quantique dans la vitesse de propagation des virus
    • Au début de la propagation du virus sur Internet, doublement du nombre de systèmes parcourus toutes les 8,5 secondes
    • 90 % des systèmes vulnérables infectés en 10 minutes

Source : University of Winsconsin Advanced Internet Lab (WAIL)

quelques id es de l impact de blaster en france
Quelques idées de l’impact de Blaster en France
  • 80 000 appels pendant 4 semaines – 18 000 incidents traités
  • 300 000 newsletters envoyées
  • 700 000 visiteurs uniques et 2,3 millions de pages vues sur http://microsoft.com/france/securite
  • 100 000 click-thru depuis http://msn.fr
  • 10 000 unique users sur http://bcentral.fr
  • Communications radio, télévision (France Info, RFI, TF1,..)
  • 126 articles (Web, journaux,…) en 2 semaines
quelques constats compl mentaires

Nombre de jours entre le correctif et l’exploitation

331

180

151

25

SQL Slammer

Nimda

Blaster

Welchia/ Nachi

Quelques constats complémentaires

Prolifération des correctifs

Baisse du temps disponible avant une exploitation

Exploitations plussophistiquées

Les approches actuelles ne sont pas suffisantes

et l informatique de confiance dans tout a
Et l’informatique de confiance dans tout ça ?
  • Rendre l’informatique aussi simple et fiable que l’eau, le gaz, l’électricité
    • Nécessite l’adhésion et l’implication de toute l’industrie informatique
    • Une priorité fondamentalepour Microsoft
    • Cela prendra du temps (10 ans et plus)
  • Changement culturel :privilégier la sécurité par rapport aux fonctionnalités
la s curit
La sécurité

SD3 + Communications

Secure by Design

Architecture sécurisée

Fonctionnalités « conscientes » de sécurité

Réduction des vulnérabilités dans le code

Réduction de la surface d’attaque

Fonctionnalités inutilisées hors service par défaut

Besoin minimum en privilèges

Secure by Default

Protéger, détecter, défendre, récupérer, gérer

Processus : How to’s, guides d’architecture

Hommes : les former !

Secure in Deployment

Engagement clair sur la sécurité

Membre à part entière de la communauté de la sécurité

Microsoft Security Response Center

Communications

am liorer la qualit processus de d veloppement trustworthy computing
Améliorer la qualitéProcessus de développement Trustworthy Computing

Docs de conception &

spécifications

Chaque équipe développe une modélisation des menaces de son composant afin de s’assurer que la conception bloque bien les menaces applicables

Revuedesécurité

Conception

Application des standards de codage et de conception de sécurité

Outils pour éliminer les erreurs du code (PREfix & PREfast)

Surveillance et blocage des nouvelles techniques d’attaque

M1

Dév &test

M2

Développementtest et documentation

Développement

Mn

Focalisation de toute l’équipe

Mise à jour de la modélisation des menaces, revue de code, passage au crible des tests et de la documentation

SecurityPush

Beta

Produit

Analyse vis à vis des menaces courantes

Tests de pénétration par des équipes internes et de sociétés tierces

Auditde sécurité

Sortie

Service Packs,

correctifs

Correction des problèmes nouvellement découverts

Analyse des causes pour trouver et corriger de manière proactive les vulnérabilités associées

Security Response

Support

slide10

Secure by Default

Secure by Design

  • Revue de code
  • Architecture d’IIS
  • Modélisation des menaces
  • Investissement de 200 M$
  • Diminution de la surface d’attaque par défaut de 60 % comparée à NT 4.0 SP3
  • Services arrêtés par défaut
  • Services exécutés avec moins de privilèges

Secure in Deployment

Communications

  • Automatisation de la configuration
  • Gestion des identités
  • Surveillance de l’infrastructure
  • Guides prescriptifs
  • Investissements dans la communauté des utilisateurs
  • Architecture webcasts
  • Writing Secure Code 2.0
sd3 en action ms03 007 windows server 2003 non affect

La DLL (NTDLL.DLL) sous-jacente n’est pas vulnérable

Corrigée pendant la revue de code

IIS 6.0 ne tourne pas par défaut surWindows Server 2003

Même si elle avait été vulnérable

IIS 6.0 n’a pas DAV en service par défaut

Même si IIS tournait

La longueur maximum d’URL avec IIS 6.0 est 16 Ko par défaut (> 64 Ko est nécessaire)

Même s’il avait DAV en service

Ceci aurait eu lieu dans w3wp.exe qui fonctionne maintenant comme network service

Même si l’on était arrivé là et qu’il y avait un Buffer Overrun

SD3 en action – MS03-007Windows Server 2003 non affecté
nos progr s ce jour avec sd3 c

Windows Server 2003, SQL Server 2000 SP3

  • Exchange 2003, Visual Studio.Net 2003
  • Toutes les versions majeures cette année !
  • WS2K3 : 60 % de surface d’attaque en moins
  • Plus de 20 services hors service par défaut
  • IIS 6.0 Lockdown
  • Hardening Guides pour WS2K3, WS2K
  • Guide to Security Patch Management
  • SMS+FP, SUS, MBSA
  • Nouveau système de notation du MSRC
  • VIA, amélioration du processus de réponse
  • www.microsoft.com/france/protection, SRK V4.1
Nos progrès à ce jour avec SD3+C

Secure by Design

Secure by Default

Secure in Deployment

Communications

volution du nombre de bulletins de s curit

Service Pack 3

10

5

1

1

Service Pack 3

Bulletins durant la période précédente

Bulletins durant la période précédente

Bulletins depuis la sortieTwC

Bulletins depuis la sortieTwC

Distribué en Janvier 2003, il y a 9 mois

Distribué en Juillet 2002, il y a 15 mois

Vulnérabilités importantes ou critiques dans les premiers…

ApprocheTwC ?

…90 jours

…150 jours

9

17

Non

3

4

Oui

Évolution du nombre de bulletins de sécurité
windows et les autres syst mes d exploitation

Nombre de bulletins de sécurité en 2002

120

100

80

60

40

20

0

EnGarde

WindowsXP

Windows

2000

SuSE

Sun(OS)

Mandrake

8.x

Trustix

1.5

RedHat

7.2

Debian

Windows et les autres systèmes d’exploitation

Nombre de bulletins de sécurité par système d’exploitation jusqu’au 31 octobre 2003

Mais cela n’est PAS suffisant et Microsoft ne saurait s’en satisfaire...

CERT Advisories par OS 2002

12

Solaris

Redhat(OS)

12

Microsoft(OS)

5

0

2

4

6

8

10

12

Source: sites web des sociétés

la position de microsoft sur la s curit
La position de Microsoft sur la sécurité
  • Les vulnérabilités de sécurité et les virus constituent un problème sérieux, coûteux et partagé par toute l’industrie informatique
  • En tant que leader de cette industrie, Microsoft a une obligation spéciale pour assurer la sécurité de l’Internet et celle des données de ses clients
slide16

Développeurs

Management + Opérations

Réseau sécurisé

Utilisateurs de labureautique

Ce qui reste

à faire

slide17

Développeurs

Management + Opérations

Réseau sécurisé

Utilisateurs de labureautique

Ce qui reste

à faire

d veloppeurs
Développeurs

Les Challenges

  • Il est difficile de développer des applications sécurisées et de trouver des développeurs compétents dans ce domaine
  • Il faut avoir accès à une infrastructure sécurisée
  • Il n’y a pas d’outils de développement intégrés permettant d’améliorer la sécurité
  • On a besoin de guides prescriptifs
d veloppeurs1
Outils de développement

Visual Studio .NET 2003

MSDN

Patterns et pratiques

Plate-forme sécurisée

.NET Framework 1.0

Cryptographic APIs

Public key infrastructure

Outils + guides

Visual Studio .NET 2004

Web Services Enhancements 2.0

Guides prescriptifs

Outils de sécurisation intégrés

Next Generation Secure Computing Base

Meilleure sécurité, plus de respect de la vie privée

Intégrité du système

Développeurs

Aujourd’hui

Demain

slide20

Développeurs

Management + Opérations

Réseau sécurisé

Utilisateurs de labureautique

Ce qui reste

à faire

management et op rations
Management et Opérations

Les Challenges

  • Gestion de la configuration du système
  • Gestion des opérations liées à la sécurité
  • Gestion des patches
  • Donner du sens aux données événementielles
management et op rations1
IIS Lockdown Wizard & URLscan

Microsoft Baseline Security Analyzer

Windows Update

Software UpdateService

SMS + Feature Pack

Assistant de configuration

Microsoft Baseline Security Analyzer 1.2

Moins d’installers

« Microsoft » Update

Software Update Services 2.0

Systems Management Server 2003

Management et Opérations

Aujourd’hui

Demain

am liorer la gestion des correctifs nouvelles strat gies
Améliorer la gestion des correctifsNouvelles stratégies
  • Extension du support sécurité à juin 2004
    • Windows 2000 SP2
    • Windows NT4 Workstation SP6a
  • Publication mensuelle des correctifs de sécurité non urgents

Permet de planifier un cycle de test / déploiement de manière prévisible

Fournis sous forme de correctifs individuels qui peuvent être déployés ensemble

Les correctifs de sécurité pour les problèmes urgents seront toujours publiés immédiatement

am liorer la gestion des correctifs

D’ici à mai 2004 : consolidation autour de 2 installateurs de correctifs pour Windows 2000 et ultérieur, SQL, Office & Exchange. Comportement cohérent entre tous les correctifs (SUS 2.0, MSI 3.0)

Réduire la complexité des correctifs

Maintenant : tests internes accrus ; test des pré-versions de correctifs par nos clients

D’ici à mai 2004 : possibilité de retour arrière pour Windows, SQL Server, Exchange, Office

Réduire le risque de déploiement d’un correctif

Maintenant : réduction de la taille des correctifs de 35% ou plus. D’ici à mai 2004 : 80% de réduction (technologie de correction par différence - delta patching – et amélioration des fonctionnalités avec MSI 3.0)

Réduire la taille des correctifs

Maintenant : 10 % de réduction des redémarrages pour Windows 2000 et +D’ici à mai 2004 : 30 % de redémarrages en moins pour Windows Server 2003 (à partir du SP1). Jusqu’à 70 % de réduction pour la prochaine version serveur

Réduire l’indisponibilité

3 novembre : SMS 2003 offrira la capacité de déployer les correctifs pour toutes les plateformes et applications supportées

D’ici à fin 2004, tous les correctifs Microsoft auront le même comportement pour l’installation (MSI 3.0 + SUS 2.0) et seront disponibles à un seul endroit : Microsoft Update

Étendre l’automatisation à tous les produits

Améliorer la gestion des correctifs

Votre besoin

Notre réponse

au del des correctifs
Au delà des correctifs

Rendre les logiciels plus résistants aux attaques, même quand les correctifs ne sont pas (encore) installés

Aider à arrêter l’exploitation des vulnérabilités connues et inconnues

Objectif : rendre 7 correctifs sur 10 « installables » à votre rythme

slide26

Développeurs

Management + Opérations

Réseau sécurisé

Utilisateurs de labureautique

Ce qui reste

à faire

utilisateurs de la bureautique
Utilisateurs de la bureautique

Les Challenges

  • Code malicieux
  • Les utilisateurs ne veulent pas être les victimes de hackers
  • Disponibilité des systèmes
  • Respect du caractère privé de l’information
  • Besoin d’un guide de sécurité
  • Le SPAM
utilisateurs de la bureautique1

15

3

3

0

Utilisateurs de la bureautique

Aujourd’hui

Demain

  • Contrôle de l’information
    • Rights Management Services
    • Office 2003
  • Protection de bout en bout
    • Protection anti-virus plus étendue
    • Exchange Server 2003
    • Politiques de restrictions logicielles
  • Applications sécurisées
    • Mail chiffré
    • Outlook Email Security Update
  • Plate-forme sécurisée
    • Anti-virus
    • Firewall personnel
    • Encrypted file system

Bulletins notés critiques for Windows XP

le spam
Le SPAM
  • Intégration en standard d’une technologie de filtrage « intelligent » dans l’ensemble de nos produits : SmartScreen
    • Fondée sur technologie d’auto-apprentissage reposant sur des mécanismes de filtrage Bayesien (voir http://research.microsoft.com/~horvitz/junkfilter.htm)
      • Base de connaissance initiale reposant sur l’analyse du comportement d’internautes volontaires, utilisateurs de HotMail et regroupant 500 000 caractéristiques de SPAM
      • Extraction de chacun des mots de chacun des messages, pondération de ceux-ci en fonction de la probabilité d’être ou de ne pas être un SPAM
      • Génération d’une estimation probabiliste du fait que le message soit un SPAM ou non et placement éventuel du message dans le dossier Junk e-mail s’il y a dépassement d’un seuil paramétrable par l’utilisateur
      • Enrichissement permanant de la base de connaissance en fonction du comportement de l’utilisateur et de la mise à jour de la base de comportement initiale qui peut-être téléchargée depuis le site Office
    • Outlook 2003, MSN 8
    • Exchange 2003 : Intelligent Message Filter (disponible au premier semestre 2004)
slide30

Développeurs

Management + Opérations

Réseau sécurisé

Utilisateurs de labureautique

Ce qui reste

à faire

r seau s curis
Apparition du sans fil

Augmentation du périmètre du système d’information de l’entreprise

Besoin d’accès sécurisé aux réseaux de l’entreprise

Coût des VPN et management

Réseau sécurisé

Les Challenges

r seau s curis1
Réseau sécurisé

Aujourd’hui

Demain

  • Sans fil sécurisé
    • 802.1X, WPA
    • Protected EAP
  • Protection d’accès
    • Quarantaine
    • Carte à puce, PKI améliorée
  • Virtual PrivateNetworks
    • L2TP/IPSec
  • Firewall
    • Filtrage de niveau applicatif
    • Exchange + IIS
  • Augmentation de la protection d’accès
    • NAT traversal
  • Authentification cohérente
    • Meta-annuaire
  • Firewall
    • Filtrage de paquets
    • Protection d’application
    • Support d’IPv6
    • Nouvel ICF (mise en service par défaut)
pour r sumer court terme
Pour résumer : à court terme
  • Windows XP SP2
    • Pare-feu amélioré
    • Messagerie électronique et navigation Internet plus sures
    • Amélioration de la protection de la mémoire
      • Page en mode no access (IA-64 + AMD)
    • Beta d’ici à la fin de l’année, RTM selon le retour de nos clients testeurs
  • Windows Server 2003 SP1
    • Configuration de la sécurité par rôle
    • Inspection des machines clients pour l’accès à distance
    • Inspection des machines locales à la connexion
    • RTM : H2 CY04
pour r sumer moyen terme
Pour résumer : à moyen terme
  • Solutions tirant parti des acquisitions récentes de Microsoft
    • Behavior blocking (Pelican Software)
    • Antivirus (GeCAD)
  • Gestion et administration de la sécurité
    • Gestion de la sécurité fondée sur des rôles
    • Management de la configuration de sécurité
    • Limitation de l’utilisation des privilèges
    • Environnement d’exécution sécurisé
    • Protection de l’administrateur (contre lui-même)
  • Nouvelle plateforme : NGSCB
pour r sumer planning pr visionnel
Pour résumer : planning prévisionnel

2ndsemestre2004

1ersemestre2004

Octobre2003

Futur

Support étendu

Correctifs mensuels

Guides

Windows XP SP2

Améliorations des correctifs

SMS 2003

SUS 2.0

Microsoft Update

Formations

Windows Server 2003 SP1

Technologies de sûreté

Inspection de nouvelle génération

ISA Server 2004

Durcissement de Windows via NGSCB

Autres technologies de sûreté au niveau du système d’exploitation

la s curit dans un monde complexe

SMS

Backup

MOM

Archive

Hot Fixes

Windows 2000/XP/.NET

Access

Policy

Clustering

ISA

Restore

Service Packs

Microsoft

Operations

Framework

Install

Event

Management

IPSEC

Active Directory

Intrusion

Detection

Repair

PKI

Kerberos

Performance

Management

Virus Scanner

Processus

Risk

Assessment

Technologies

Distributed

File System

SSL/TLS

Change/

Configuration

Management

GPO

Encrypting

File System

Incident

Response

Hommes

Developer

Enterprise

Administrator

Domain

Admin.

Service/

Support

User

Admin.

System

Manager

Utilisateur

La sécurité dans un monde complexe

Architecturesécurisée

la s curit dans un monde complexe1
La sécurité dans un monde complexe
  • La sécurité n’est pas une activité ponctuelle : c’est une partie intégrale du cycle de vie du système d’information
  • La sécurité est un processus itératif : on n’en a jamais terminé
    • Le niveau de sécurité doit être révisé et testé périodiquement

La sécurité absolue est inatteignable :

c’est un voyage, pas une destination...

sensibiliser les utilisateurs
Sensibiliser les utilisateurs
  • Campagne : 3 étapes pour vous aider à protéger votre PC
  • http://www.microsoft.com/france/securite/protection
guides des op rations sur la s curit de solutions de s curisation et d architectures
Guides des opérations sur la sécurité, de solutions de sécurisation et d’architectures
  • Microsoft Solution for Securing Windows 2000 Serverhttp://www.microsoft.com/technet/security/prodtech/Windows/SecWin2k
  • Threats and countermeasuresin Windows XP and Windows Server 2003 http://www.microsoft.com/technet/security/topics/hardsys/tcg/tcgch00.asp
  • Windows Server 2003 Security Guidehttp://microsoft.com/downloads/details.aspx?FamilyId=8A2643C1-0685-4D89-B655-521EA6C7B4DB&displaylang=en
  • SQL Server Securityhttp://www.microsoft.com/sql/techinfo/administration/2000/security/securityWP.asp
  • Securing Wireless LANshttp://www.microsoft.com/technet/security/prodtech/windows/win2003/pkiwire/SWLAN.asp
  • Guide des opérations sur la sécurité de Microsoft Exchange 2000 Serverhttp://www.microsoft.com/france/technet/produits/exchange/info/20021004_guide_securite.html
  • 17 livres en tout à ce jour
microsoft s engage
Microsoft s’engage

Microsoft s’engage à travailler

pour aider ses clients et l’ensemble

de l’industrie informatique

à rentrer et demeurer

dans un environnement sécurisé.

Nous ne nous reposerons pas tant que

ce problème ne sera pas réglé

Brian Valentine, Senior VP, Microsoft

un long voyage

Une nouvelle attention

Mémo de Bill Gates

Début du déploiement

XP SP1, 2003 server, Standards WS

Nouvelles briques

Longhorn, DRM, NGSCB

Réalisation de TWC

Nouvelle infrastructure, nouvelle culture

Un long voyage

Temps

slide43

© 2003 Microsoft France

Direction Technique et Sécurité