Vers une informatique digne de confiance…

1. Vers une informatique digne de confiance… Bernard Ourghanlian Directeur Technique & Sécurité Microsoft France bourghan@microsoft.com

2. NIMDA et Code Red • Dans certains cas, certaines sociétés ont été forcées de se couper temporairement de l’Internet • Exemples publics : Siemens, US Bancorp Piper Jaffray, Booz Allen & Hamilton et General Electric *Computer economics Carslbad, CA

3. Slammer • Un saut quantique dans la vitesse de propagation des virus • Au début de la propagation du virus sur Internet, doublement du nombre de systèmes parcourus toutes les 8,5 secondes • 90 % des systèmes vulnérables infectés en 10 minutes Source : University of Winsconsin Advanced Internet Lab (WAIL)

4. Quelques idées de l’impact de Blaster en France • 80 000 appels pendant 4 semaines – 18 000 incidents traités • 300 000 newsletters envoyées • 700 000 visiteurs uniques et 2,3 millions de pages vues sur http://microsoft.com/france/securite • 100 000 click-thru depuis http://msn.fr • 10 000 unique users sur http://bcentral.fr • Communications radio, télévision (France Info, RFI, TF1,..) • 126 articles (Web, journaux,…) en 2 semaines

5. Nombre de jours entre le correctif et l’exploitation 331 180 151 25 SQL Slammer Nimda Blaster Welchia/ Nachi Quelques constats complémentaires Prolifération des correctifs Baisse du temps disponible avant une exploitation Exploitations plussophistiquées Les approches actuelles ne sont pas suffisantes

6. Et l’informatique de confiance dans tout ça ? • Rendre l’informatique aussi simple et fiable que l’eau, le gaz, l’électricité • Nécessite l’adhésion et l’implication de toute l’industrie informatique • Une priorité fondamentalepour Microsoft • Cela prendra du temps (10 ans et plus) • Changement culturel :privilégier la sécurité par rapport aux fonctionnalités

8. La sécurité SD3 + Communications Secure by Design Architecture sécurisée Fonctionnalités « conscientes » de sécurité Réduction des vulnérabilités dans le code Réduction de la surface d’attaque Fonctionnalités inutilisées hors service par défaut Besoin minimum en privilèges Secure by Default Protéger, détecter, défendre, récupérer, gérer Processus : How to’s, guides d’architecture Hommes : les former ! Secure in Deployment Engagement clair sur la sécurité Membre à part entière de la communauté de la sécurité Microsoft Security Response Center Communications

9. Améliorer la qualitéProcessus de développement Trustworthy Computing Docs de conception & spécifications Chaque équipe développe une modélisation des menaces de son composant afin de s’assurer que la conception bloque bien les menaces applicables Revuedesécurité Conception Application des standards de codage et de conception de sécurité Outils pour éliminer les erreurs du code (PREfix & PREfast) Surveillance et blocage des nouvelles techniques d’attaque M1 Dév &test M2 Développementtest et documentation Développement Mn Focalisation de toute l’équipe Mise à jour de la modélisation des menaces, revue de code, passage au crible des tests et de la documentation SecurityPush Beta Produit Analyse vis à vis des menaces courantes Tests de pénétration par des équipes internes et de sociétés tierces Auditde sécurité Sortie Service Packs, correctifs Correction des problèmes nouvellement découverts Analyse des causes pour trouver et corriger de manière proactive les vulnérabilités associées Security Response Support

10. Secure by Default Secure by Design • Revue de code • Architecture d’IIS • Modélisation des menaces • Investissement de 200 M$ • Diminution de la surface d’attaque par défaut de 60 % comparée à NT 4.0 SP3 • Services arrêtés par défaut • Services exécutés avec moins de privilèges Secure in Deployment Communications • Automatisation de la configuration • Gestion des identités • Surveillance de l’infrastructure • Guides prescriptifs • Investissements dans la communauté des utilisateurs • Architecture webcasts • Writing Secure Code 2.0

11. La DLL (NTDLL.DLL) sous-jacente n’est pas vulnérable Corrigée pendant la revue de code IIS 6.0 ne tourne pas par défaut surWindows Server 2003 Même si elle avait été vulnérable IIS 6.0 n’a pas DAV en service par défaut Même si IIS tournait La longueur maximum d’URL avec IIS 6.0 est 16 Ko par défaut (> 64 Ko est nécessaire) Même s’il avait DAV en service Ceci aurait eu lieu dans w3wp.exe qui fonctionne maintenant comme network service Même si l’on était arrivé là et qu’il y avait un Buffer Overrun SD3 en action – MS03-007Windows Server 2003 non affecté

12. Windows Server 2003, SQL Server 2000 SP3 • Exchange 2003, Visual Studio.Net 2003 • Toutes les versions majeures cette année ! • WS2K3 : 60 % de surface d’attaque en moins • Plus de 20 services hors service par défaut • IIS 6.0 Lockdown • Hardening Guides pour WS2K3, WS2K • Guide to Security Patch Management • SMS+FP, SUS, MBSA • Nouveau système de notation du MSRC • VIA, amélioration du processus de réponse • www.microsoft.com/france/protection, SRK V4.1 Nos progrès à ce jour avec SD3+C Secure by Design Secure by Default Secure in Deployment Communications

13. Service Pack 3 10 5 1 1 Service Pack 3 Bulletins durant la période précédente Bulletins durant la période précédente Bulletins depuis la sortieTwC Bulletins depuis la sortieTwC Distribué en Janvier 2003, il y a 9 mois Distribué en Juillet 2002, il y a 15 mois Vulnérabilités importantes ou critiques dans les premiers… ApprocheTwC ? …90 jours …150 jours 9 17 Non 3 4 Oui Évolution du nombre de bulletins de sécurité

14. Nombre de bulletins de sécurité en 2002 120 100 80 60 40 20 0 EnGarde WindowsXP Windows 2000 SuSE Sun(OS) Mandrake 8.x Trustix 1.5 RedHat 7.2 Debian Windows et les autres systèmes d’exploitation Nombre de bulletins de sécurité par système d’exploitation jusqu’au 31 octobre 2003 Mais cela n’est PAS suffisant et Microsoft ne saurait s’en satisfaire... CERT Advisories par OS 2002 12 Solaris Redhat(OS) 12 Microsoft(OS) 5 0 2 4 6 8 10 12 Source: sites web des sociétés

15. La position de Microsoft sur la sécurité • Les vulnérabilités de sécurité et les virus constituent un problème sérieux, coûteux et partagé par toute l’industrie informatique • En tant que leader de cette industrie, Microsoft a une obligation spéciale pour assurer la sécurité de l’Internet et celle des données de ses clients

16. Développeurs Management + Opérations Réseau sécurisé Utilisateurs de labureautique Ce qui reste à faire

17. Développeurs Management + Opérations Réseau sécurisé Utilisateurs de labureautique Ce qui reste à faire

18. Développeurs Les Challenges • Il est difficile de développer des applications sécurisées et de trouver des développeurs compétents dans ce domaine • Il faut avoir accès à une infrastructure sécurisée • Il n’y a pas d’outils de développement intégrés permettant d’améliorer la sécurité • On a besoin de guides prescriptifs

19. Outils de développement Visual Studio .NET 2003 MSDN Patterns et pratiques Plate-forme sécurisée .NET Framework 1.0 Cryptographic APIs Public key infrastructure Outils + guides Visual Studio .NET 2004 Web Services Enhancements 2.0 Guides prescriptifs Outils de sécurisation intégrés Next Generation Secure Computing Base Meilleure sécurité, plus de respect de la vie privée Intégrité du système Développeurs Aujourd’hui Demain

20. Développeurs Management + Opérations Réseau sécurisé Utilisateurs de labureautique Ce qui reste à faire

21. Management et Opérations Les Challenges • Gestion de la configuration du système • Gestion des opérations liées à la sécurité • Gestion des patches • Donner du sens aux données événementielles

22. IIS Lockdown Wizard & URLscan Microsoft Baseline Security Analyzer Windows Update Software UpdateService SMS + Feature Pack Assistant de configuration Microsoft Baseline Security Analyzer 1.2 Moins d’installers « Microsoft » Update Software Update Services 2.0 Systems Management Server 2003 Management et Opérations Aujourd’hui Demain

23. Améliorer la gestion des correctifsNouvelles stratégies • Extension du support sécurité à juin 2004 • Windows 2000 SP2 • Windows NT4 Workstation SP6a • Publication mensuelle des correctifs de sécurité non urgents Permet de planifier un cycle de test / déploiement de manière prévisible Fournis sous forme de correctifs individuels qui peuvent être déployés ensemble Les correctifs de sécurité pour les problèmes urgents seront toujours publiés immédiatement

24. D’ici à mai 2004 : consolidation autour de 2 installateurs de correctifs pour Windows 2000 et ultérieur, SQL, Office & Exchange. Comportement cohérent entre tous les correctifs (SUS 2.0, MSI 3.0) Réduire la complexité des correctifs Maintenant : tests internes accrus ; test des pré-versions de correctifs par nos clients D’ici à mai 2004 : possibilité de retour arrière pour Windows, SQL Server, Exchange, Office Réduire le risque de déploiement d’un correctif Maintenant : réduction de la taille des correctifs de 35% ou plus. D’ici à mai 2004 : 80% de réduction (technologie de correction par différence - delta patching – et amélioration des fonctionnalités avec MSI 3.0) Réduire la taille des correctifs Maintenant : 10 % de réduction des redémarrages pour Windows 2000 et +D’ici à mai 2004 : 30 % de redémarrages en moins pour Windows Server 2003 (à partir du SP1). Jusqu’à 70 % de réduction pour la prochaine version serveur Réduire l’indisponibilité 3 novembre : SMS 2003 offrira la capacité de déployer les correctifs pour toutes les plateformes et applications supportées D’ici à fin 2004, tous les correctifs Microsoft auront le même comportement pour l’installation (MSI 3.0 + SUS 2.0) et seront disponibles à un seul endroit : Microsoft Update Étendre l’automatisation à tous les produits Améliorer la gestion des correctifs Votre besoin Notre réponse

25. Au delà des correctifs Rendre les logiciels plus résistants aux attaques, même quand les correctifs ne sont pas (encore) installés Aider à arrêter l’exploitation des vulnérabilités connues et inconnues Objectif : rendre 7 correctifs sur 10 « installables » à votre rythme

26. Développeurs Management + Opérations Réseau sécurisé Utilisateurs de labureautique Ce qui reste à faire

27. Utilisateurs de la bureautique Les Challenges • Code malicieux • Les utilisateurs ne veulent pas être les victimes de hackers • Disponibilité des systèmes • Respect du caractère privé de l’information • Besoin d’un guide de sécurité • Le SPAM

28. 15 3 3 0 Utilisateurs de la bureautique Aujourd’hui Demain • Contrôle de l’information • Rights Management Services • Office 2003 • Protection de bout en bout • Protection anti-virus plus étendue • Exchange Server 2003 • Politiques de restrictions logicielles • Applications sécurisées • Mail chiffré • Outlook Email Security Update • Plate-forme sécurisée • Anti-virus • Firewall personnel • Encrypted file system Bulletins notés critiques for Windows XP

29. Le SPAM • Intégration en standard d’une technologie de filtrage « intelligent » dans l’ensemble de nos produits : SmartScreen • Fondée sur technologie d’auto-apprentissage reposant sur des mécanismes de filtrage Bayesien (voir http://research.microsoft.com/~horvitz/junkfilter.htm) • Base de connaissance initiale reposant sur l’analyse du comportement d’internautes volontaires, utilisateurs de HotMail et regroupant 500 000 caractéristiques de SPAM • Extraction de chacun des mots de chacun des messages, pondération de ceux-ci en fonction de la probabilité d’être ou de ne pas être un SPAM • Génération d’une estimation probabiliste du fait que le message soit un SPAM ou non et placement éventuel du message dans le dossier Junk e-mail s’il y a dépassement d’un seuil paramétrable par l’utilisateur • Enrichissement permanant de la base de connaissance en fonction du comportement de l’utilisateur et de la mise à jour de la base de comportement initiale qui peut-être téléchargée depuis le site Office • Outlook 2003, MSN 8 • Exchange 2003 : Intelligent Message Filter (disponible au premier semestre 2004)

30. Développeurs Management + Opérations Réseau sécurisé Utilisateurs de labureautique Ce qui reste à faire

31. Apparition du sans fil Augmentation du périmètre du système d’information de l’entreprise Besoin d’accès sécurisé aux réseaux de l’entreprise Coût des VPN et management Réseau sécurisé Les Challenges

32. Réseau sécurisé Aujourd’hui Demain • Sans fil sécurisé • 802.1X, WPA • Protected EAP • Protection d’accès • Quarantaine • Carte à puce, PKI améliorée • Virtual PrivateNetworks • L2TP/IPSec • Firewall • Filtrage de niveau applicatif • Exchange + IIS • Augmentation de la protection d’accès • NAT traversal • Authentification cohérente • Meta-annuaire • Firewall • Filtrage de paquets • Protection d’application • Support d’IPv6 • Nouvel ICF (mise en service par défaut)

33. Pour résumer : à court terme • Windows XP SP2 • Pare-feu amélioré • Messagerie électronique et navigation Internet plus sures • Amélioration de la protection de la mémoire • Page en mode no access (IA-64 + AMD) • Beta d’ici à la fin de l’année, RTM selon le retour de nos clients testeurs • Windows Server 2003 SP1 • Configuration de la sécurité par rôle • Inspection des machines clients pour l’accès à distance • Inspection des machines locales à la connexion • RTM : H2 CY04

34. Pour résumer : à moyen terme • Solutions tirant parti des acquisitions récentes de Microsoft • Behavior blocking (Pelican Software) • Antivirus (GeCAD) • Gestion et administration de la sécurité • Gestion de la sécurité fondée sur des rôles • Management de la configuration de sécurité • Limitation de l’utilisation des privilèges • Environnement d’exécution sécurisé • Protection de l’administrateur (contre lui-même) • Nouvelle plateforme : NGSCB • …

35. Pour résumer : planning prévisionnel 2ndsemestre2004 1ersemestre2004 Octobre2003 Futur Support étendu Correctifs mensuels Guides Windows XP SP2 Améliorations des correctifs SMS 2003 SUS 2.0 Microsoft Update Formations Windows Server 2003 SP1 Technologies de sûreté Inspection de nouvelle génération ISA Server 2004 Durcissement de Windows via NGSCB Autres technologies de sûreté au niveau du système d’exploitation

36. SMS Backup MOM Archive Hot Fixes Windows 2000/XP/.NET Access Policy Clustering ISA Restore Service Packs Microsoft Operations Framework Install Event Management IPSEC Active Directory Intrusion Detection Repair PKI Kerberos Performance Management Virus Scanner Processus Risk Assessment Technologies Distributed File System SSL/TLS Change/ Configuration Management GPO Encrypting File System Incident Response Hommes Developer Enterprise Administrator Domain Admin. Service/ Support User Admin. System Manager Utilisateur La sécurité dans un monde complexe Architecturesécurisée

37. La sécurité dans un monde complexe • La sécurité n’est pas une activité ponctuelle : c’est une partie intégrale du cycle de vie du système d’information • La sécurité est un processus itératif : on n’en a jamais terminé • Le niveau de sécurité doit être révisé et testé périodiquement La sécurité absolue est inatteignable : c’est un voyage, pas une destination...

38. Sensibiliser les utilisateurs • Campagne : 3 étapes pour vous aider à protéger votre PC • http://www.microsoft.com/france/securite/protection

39. Guides des opérations sur la sécurité, de solutions de sécurisation et d’architectures • Microsoft Solution for Securing Windows 2000 Serverhttp://www.microsoft.com/technet/security/prodtech/Windows/SecWin2k • Threats and countermeasuresin Windows XP and Windows Server 2003 http://www.microsoft.com/technet/security/topics/hardsys/tcg/tcgch00.asp • Windows Server 2003 Security Guidehttp://microsoft.com/downloads/details.aspx?FamilyId=8A2643C1-0685-4D89-B655-521EA6C7B4DB&displaylang=en • SQL Server Securityhttp://www.microsoft.com/sql/techinfo/administration/2000/security/securityWP.asp • Securing Wireless LANshttp://www.microsoft.com/technet/security/prodtech/windows/win2003/pkiwire/SWLAN.asp • Guide des opérations sur la sécurité de Microsoft Exchange 2000 Serverhttp://www.microsoft.com/france/technet/produits/exchange/info/20021004_guide_securite.html • 17 livres en tout à ce jour

40. Microsoft s’engage Microsoft s’engage à travailler pour aider ses clients et l’ensemble de l’industrie informatique à rentrer et demeurer dans un environnement sécurisé. Nous ne nous reposerons pas tant que ce problème ne sera pas réglé Brian Valentine, Senior VP, Microsoft

41. Une nouvelle attention Mémo de Bill Gates Début du déploiement XP SP1, 2003 server, Standards WS Nouvelles briques Longhorn, DRM, NGSCB Réalisation de TWC Nouvelle infrastructure, nouvelle culture Un long voyage Temps

42. La confiance…Nous ne pouvons pas aller plus loin sans elle !

43. © 2003 Microsoft France Direction Technique et Sécurité