Rapport Pfe Nids

ISET NABEUL – Dé Département informatique

Informatique réseaux

Introduction générale

Le présent rapport contient une description détaillée du processus de réalisation de nôtre projet de fin d’étude qui consiste à développer une application permettant la détection des intrusions dans un réseau.

En fait nôtre rapport a été structuré en trois chapitres. chapitre s. Le premier premier chapitre chapitre intitulé intitulé Etat Etat de l’art l’art qui comporte comporte une description détaillé de la future application réalisée ainsi que son cadre. Nous avons réservé le second chapitre pour détailler l’étude conceptuelle. Dans le troisième chapitre nous avons donné une présentation assez détaillée des modules réalisés dans le cadre de notre projet.

Projet de fin d’études

1

Trusted by over 1 million members

Try Scribd FREE for 30 days to access over 125 million titles without ads or interruptions! Start Free Trial Cancel Anytime.














Chapitre 1

Etat de l’art


















I. Pro Problé blémat matiqu ique e

Les systèmes d’information sont aujourd’hui de plus en plus ouverts sur Internet. Cette ouverture, a priori bénéfique, pose néanmoins un problème majeur : il en découle un nombre croissant d’attaques. La mise en en place d’une politique de sécurité autour de ces systèmes est donc primordiale. Outre la mise en place de pare-feux et de systèmes d’authentification de plus en plus sécurisés, il est nécessaire, pour compléter cette politique de sécurité, d’avoir des outils de surveillance pour auditer le système d’information et détecter d’éventuelles intrusions. En effet de plus en plus d’entreprises subissent des attaques qui peuvent entraîner des pertes conséquentes. Le besoin des entreprises en sécurité informatique est de plus en plus important, et un élément essentiel d’une bonne politique de sécurité est l’utilisation d’un système de détection d’intrusion. Afin de détecter les attaques que peut subir un système, il est nécessaire d’avoir un logiciel spécialisé dont le rôle serait de surveiller les données qui transitent sur ce système, et qui serait capable de réagir si des données semblent suspectent. Plus communément appelé IDS (Intrusion Detection Systems), les systèmes de détection d’intrusions conviennent parfaitement pour réaliser cette tâche.

















II. Présent Présentation ation du projet projet Notre projet intitulé « Développement d’une solution de détection détection d’intrusion d’intrusion » consiste consiste à détecter détecter toute toute tentative tentative d’attaq d’attaque ue réseau réseau grâce grâce à un système de détection d’intrusion. Notre future future application application permettra permettra de :  Analyser les paquets qui transitent dans le réseau  Envoyer un SMS à l’administrateur pour notifier une intrusion  Journaliser les attaques  Notifier les alertes dans une console de management

En fait notre application application peut tourner tourner sous trois modes : 1) Re Renif nifle leur ur rés résea eau u (Sniffe (Sniffer) r) Dans ce mode, notre application lit les paquets circulant sur le réseau et les affiches d’une façon continue sur l’écran. 2) Pa Pack cket et Lo Logg gger er Dans ce mode, notre application enregistre les paquets capturés sur le réseau dans des fichiers organisés par type de protocole. 3) Dé Déte tect cteu eurr d’ d’in intru trusio sion n Dans ce mode, l’IDS analyse le trafic réseau, compare ce trafic avec des signatures d’attaques défini dans une base de données. Lors de détection d’une intrusion, l’administrateur sera notifié par SMS et par la console de management au même temps.

















III. Cadre du projet

Le sujet qui nous a été proposé consiste à développer un système de détection d’intrusion réseau, au profil de l’agence nationale de sécurité informatique (ANSI), qui est lancé en 1990 comme "Unité de gestion par Objectifs pour la réalisation du développement de la sécurité informatique" au sein du secrétariat d'état en informatique, dont le rôle était de suivre de prés les derniers développements en matière de sécurité Informatique et de veiller à l'amélioration de la sécurité des applications et infrastructures nationales critiques et qui a été crée ensuite comme une entreprise publique à caractère non administratif dotée de la personnalité morale et de l’autonomie financière qui a pour objectif d’effectuer un contrôle générale des systèmes informatiques et des réseaux relevant des divers organismes publics et privés. L'agence effectue un contrôle général des systèmes informatiques et des réseaux réseaux relevant relevant des divers divers organism organismes es publics publics et privés, privés, elle elle est chargée chargée des missions suivantes: 

Veiller à l'exécution des orientations nationales et de la stratégie générale en matière matière de sécurité sécurité des systèmes systèmes informatique informatiquess et des réseaux réseaux



Suivre l'exécution des plans et des programmes relatifs à la sécurité informatique dans le secteur public à l'exception des applications particulières à la défense et à la sécurité nationale et assurer la coordination entre les intervenants dans ce domaine



Assurer la veille technologique dans le domaine de la sécurité informatique



Etablir des normes spécifiques à la sécurité informatique et élaborer des guides techniques en l'objet et procéder à leur publication



Veiller à l'exécution des réglementations relatives à l'obligation de l'audit périodique périodique de la la sécurité des des systèmes systèmes informatiques informatiques et des réseaux réseaux

















IV. Etude théorique a) Les différents types d’attaques L’informatique étant un domaine très vaste, le nombre de vulnérabilités présentes sur un système peut donc être important. Ainsi, les attaques visant ces failles peuvent être à la fois très variées et très dangereuses. dangereuses.

1) Les attaques réseaux Ce type d’attaque se base principalement sur des failles liées aux protocoles ou à leur implémentation. i. Les techniques de scan

Les scans de ports ne sont pas des attaques à proprement parler. Le but des scans est de déterminer quels sont les ports ouverts, et donc en déduire les services qui sont exécutés sur la machine cible. ii. IP Spoofing

Le but est de se faire passer pour une autre machine en truquant les paquets IP. Cette technique peut être utile dans le cas d’authentifications basées sur adresse IP. iii. ARP Spoofing

Cette technique permet de rediriger le trafic d’une machine vers une autre. Grâce à cette redirection, une personne mal intentionnée peut se faire passer pour une autre. De plus, le pirate peut rerouter les paquets qu’il reçoit vers le véritable destinataire, ainsi l’utilisateur usurpé ne rendra compte de rien. iv. DNS Spoofing

Le but de cette attaque est de fournir de fausses réponses aux requêtes DNS, c'est-à-dire indiquer une fausse adresse IP pour un nom de domaine. v. Fragments attacks

Cette technique permet de passer outre les protections des équipements de



















vi. TCP Session Hijacking

Le but de cette attaque est de rediriger un flux TCP afin de pouvoir outre passer une protection par mot de passe. 2) Les attaques applicatives Les attaques applicatives se basent sur des failles dans les programmes utilisés, ou encore des erreurs de configuration. i. Les problèmes de configuration

Il est rare que les administrateurs réseaux configurent correctement un programme, ils se contentent d’utiliser les configurations par défaut. Celles-ci sont souvent non sécurisées afin de faciliter l’exploitation du logiciel. ii. Les bugs

Liés à un problème dans le code source, ils peuvent amener à l’exploitation de failles. On ne peut rien faire contre ce type de problèmes, si ce n’est attendre un correctif de la part du développeur. iii. Les buffer overflows

Issus d’une erreur de programmation, ils permettent l’exploitation d’un shellcode à distance. Ce dernier permettra permettra à une personne mal intentionnée d’exécuter des commandes sur le système distant, pouvant aller jusqu’à sa destruction. iv. Les scripts

Ils s’exécutent sur un serveur et renvoie un résultat au client. v. Les injections injections SQL



















b) Les différents types de systèmes systèmes de détection détection d’intrusion d’intrusion Un système de détection d’intrusion est un ensemble de composants logiciels et matériels dont la fonction principale est de détecter et analyser toute tentative d’effraction. Il existe trois grandes familles distinctes d’IDS : 





Les systèmes systèmes de détection détection d’intrusions d’intrusions réseau réseau « NIDS » (Network (Network Based Intrusion Detection System), qui surveillent l'état de la sécurité au niveau du réseau. Les systèmes systèmes de détectio détection n d’intrusions d’intrusions de type hôte hôte « HIDS » (Host Based Based Intrusion Detection System), qui surveillent l'état de la sécurité au niveau des hôtes. Les systèmes de détection d’intrusions hybrides, qui utilisent les NIDS et HIDS pour avoir des alertes plus pertinentes.

1) Les méthodes de détection d’intrusions Les méthodes de détection d'intrusions utilisées à l'heure actuelle reposent essentiellement sur l'observation d'événements et leur analyse. La collecte d'informations constitue donc la première étape dans tout système de détection d'intrusions. Il s'agit d'une part des informations fournies par le journal système, les journaux propres à certaines applications comme les serveurs de courrier électronique, mais aussi de données provenant de sondes installées par les outils de détection eux-mêmes. Le rôle des outils de détection d'intrusions consiste alors à exploiter cette



















i) L’approche comportementale

La détection d'anomalies consiste à définir, dans une première phase, un certain comportement du système, des utilisateurs et des applications. Considéré comme normal. Dans une seconde phase, on observe l'entité ainsi modélisée et tout écart par rapport au comportement de référence est signalé comme étant suspect. Cette approche recouvre en fait deux problèmes distincts : la définition du profil d'une part, la spécification des critères permettant d'évaluer le comportement observé par rapport à ce profil d'autre part. Le principal investissement lors de la mise en œuvre d'un détecteur d'anomalies est la construction du profil. Cette étape est délicate, car le profil doit refléter à la fois une certaine politique de sécurité (par exemple, il ne doit pas être possible de déclencher un «reboot» du système via une simple requête HTTP), le fonctionnement naturel des applicatifs exploités (par exemple, un serveur HTTP émet à destination d'un client distant si et seulement s'il reçoit une requête de sa part) et les habitudes éventuellement très disparates des utilisateurs (par exemple, dans une entreprise, un ingénieur commercial accédera très régulièrement aux pages HTML contenant les descriptions techniques des produits, mais probablement jamais au contrat passé avec la société de restauration.). Le profil peut donc contenir des règles impératives imposées par l'administrateur et/ou des règles empiriques, «apprises» en cours de fonctionnement. La mise en service d'un détecteur d'anomalies est donc précédée d'une phase d'apprentissage au cours de laquelle le profil, initialement construit uniquement à partir d'une politique de sécurité, évolue, afin que toute utilisation



















ii) L’approche par scénario

Le principe commun à toutes les techniques de cette classe consiste à utiliser une base de données, contenant des spécifications de scénario d'attaques (on parle de signatures d'attaque et de base de signatures). Le détecteur d'intrusions confronte le comportement observé du système à cette base et lève une alerte si ce comportement correspond à l'une des signatures.

V. Solution adoptée Nous Nous avon avonss op opté à une une app appro roch che e par par scé scénar nario. io. comportementale souffre de quelques défauts intrinsèques :

L'ap L'appr proc oche he



Les données utilisées en apprentissage doivent être exemptes d'attaques



En cas de modifications subites de l'environnement de l'entité modélisée, cette entité changera sans doute brutalement de comportement. Des alarmes seront donc levées. Pour autant, ce n'est peut-être qu'une réaction normale à la modification de l'environnement,



Enfin, un utilisateur malicieux peut habituer le système (soit pendant la phase d'apprentissage, soit en exploitation si l'apprentissage est continu) à des actions malveillantes, qui ne donneront donc plus lieu à des alertes.



















Chapitre 2

Spécification des besoins et étude conceptuelle





















I. Introduction : Nous avons opté pour la spécification des besoins et l’élaboration du dossier conceptuel à l’utilisation du langage UML.

Notre étude se limitera à l’utilisation des cas d’utilisation pour la spécification des besoins et les diagrammes de séquence et de classe pour la conception.

II. Spécification des besoins selon le cas d’utilisation: a) Descr Descriptio iption n des acteurs acteurs 1) Système de détection d’intrusion C’est un acteur acteur système, c’est c’est l’acteur principal et il a pour rôle de détecter et de notifier les intrusions. 2) Administrateur réseau L’administrateur a pour rôle de configurer le système

(Voir (Voir Annexe A et B)



















ISET NABEUL – Dé Département informatique        


Choisir l’expression filtre (voir Annexe E) a utiliser lors de la capture Activer le mode espion (voir Annexe F) Activer l’enregistrement automatique des paquets paquets capturés capturés Activer l’option de notification par SMS Saisir le numéro du téléphone a notifié par SMS Activer l’option de notification par console Saisir l’adresse IP de la machine oŭ se trouve la console de management Activer l’option de journalisation des attaques

2) Gérer les alertes i) Acteur Acteur :

Administrateur réseau ii) Acti Actions ons :

Lors de détection d’intrusion, l’administrateur consulte le journal système pour voir le type d’attaque et selon le cas, il peut reconfigurer le pare-feu pour bloquer l’intrus.





















4) Notifier les intrusions i) Acteur Acteur :

Système de détection d’intrusions ii) Acti Actions ons :

Lors de détection d’une intrusion, les actions effectuées effectuées sont :   

Envoyer un SMS à l’administrateur Envoyer une alerte vers la console de management ma nagement Journaliser l’attaque

c) Diagramme de cas d’utilisation





















III. Diagrammes de séquence a) Cas d’utilisation: configurer le système 1) Modifier Modifier les options options de capture capture Pour modifier les options de capture, l’administrateur consulte le menu Capture Capture > Options > Options de capture capture (voir Annexe A).





















2) Modifie Modifierr les options de notific notification ation Pour modifier les options de notification, l’administrateur consulte le menu Notification > Options > Options de notification (voir Annexe B).























3) Ajout d’une signatur signature e L'administrateur consulte le menu Signatures > Ajouter. Une fois la boite de

dialogue affichée, il saisie la nouvelle nouvelle signature, une une petite description description et choisi la catégorie de la signature via la liste déroulante (voit Annexe C)




















Figu Figure re 5 – Supp Suppri rime merr une une sign signatu ature re






















c) Cas d’utilisation: Notifier les intrusions Lors de détection détection d’une d’une intrusion intrusion la classe « notificateur notificateur » journalise journalise les attaques dans le système via la fonction syslog, notifie l’administrateur par SMS via la fonction sendsms et envoie une alerte vers la console de management via la fonction sendconsole.





















d) Cas d’utilisation: Gérer les alertes Dès qu’il sera notifié, l’administrateur doit consulter les journaux système et selon le type d’attaque, il peut reconfigurer le l e pare-feu pour bloquer l’intrus.





















a) Descr Descriptio iption n des classes classes 1) Classe main Attribut

Description

Fonction CreateMenu() CreateCapture() CreateSign() CreateNotif()

Role

Créer le menu principal Créer le menu Capture Créer le menu Signatures Créer le menu Notification

2) Classe createdb Attribut sid inetraface filtre motif

Description Id senseur Nom de l’interface L’expression filtre La signature

Fonction

Role Create_tab() Créer une table Insert_to() Inserer dans une table























5) Classe analyse Attribut Payload Header

Description

Le paquet L’en-tête du paquet

6) Classe notificateur

Fonction Role Verif_packet() Verifier la conformité du paquet Check_packet() Recherche du motif



















ISET NABEUL NABEUL – Départeme Département nt informatique

b) Diagramme de classes










































I. Introduction Après avoir achevé la phase conceptuelle, nous allons présenter dans cette partie l’étape de la réalisation de notre application en évoquant les choix techniques et l’environnement de travail.

a) Environnement matériel




















b) Environnement logiciel 1) Cod Code e blocks blocks























iii. Installation





















ii. Installation




















ISET NABEUL NABEUL – Départeme Département nt informatique


mysql-libs : les bibliothèques dynamiques nécessaires aux programme utilisant MySQL




















$ tar -zxf glib-2 glib- 2 12 0.tar.gz





















6) L’API MySQL












































































































































Rapport Pfe Nids

Recommend Documents