Martin — SISR, session 2024

Mission A1 — Analyse et réduction du risque

a) Le principal risque d’un rançongiciel est l’indisponibilité des données et des services (chiffrement). Pour une clinique, c’est le non-accès aux données patient → risque pour la continuité des soins et la sécurité des personnes.

b) Niveau de gravité EBIOS = G4 (CRITIQUE) : conséquences désastreuses pour l’organisation, fonctionnement en mode très dégradé et sécurité des personnes menacée (établissement de santé).

c) Quatre mesures :

1. Sauvegardes régulières, testées et déconnectées/immuables (règle 3-2-1).
2. Mises à jour/correctifs systématiques (OS, applications).
3. Antivirus/EDR + filtrage de la messagerie (vecteur principal : hameçonnage).
4. Segmentation réseau + moindre privilège + MFA + sensibilisation.

a) Une sauvegarde déconnectée ne peut pas être chiffrée par le rançongiciel (elle n’est pas accessible en ligne) → on peut restaurer sans payer. Solution matérielle : bandes ou disques externes déconnectés après sauvegarde (ou stockage immuable).

b) Se tenir informé via la veille sur les vulnérabilités : bulletins du CERT-FR/ANSSI, base CVE, avis des éditeurs.

c) Un VLAN dédié à l’administration cloisonne les flux d’administration → un poste compromis ne donne pas accès au plan d’administration (limite la propagation).

d) Un poste d’administration sans accès Internet réduit la surface d’attaque : on évite qu’un compte à privilèges soit exposé à un hameçonnage ou à un téléchargement malveillant.

Phase	Contre-mesures
Intrusion (hameçonnage)	filtrage de la messagerie + sensibilisation des utilisateurs
Exécution	EDR/antivirus + restriction des droits (pas d’admin local)
Propagation latérale	segmentation réseau + moindre privilège
Chiffrement	sauvegardes déconnectées + détection des comportements anormaux
Extorsion	sauvegardes pour restaurer + plan de réponse à incident

Mission A2 — Déchiffrement des flux HTTPS

Le trafic HTTPS est chiffré : l’antivirus/IDS ne peut pas inspecter le contenu des flux. Un rançongiciel peut donc transiter chiffré (téléchargement, commande-et-contrôle) sans être détecté → la clinique perd la visibilité sur ces échanges.

Le pare-feu Stormshield agit en mandataire (proxy) SSL réalisant un « homme du milieu » légitime : il déchiffre le flux pour l’inspecter, puis le re-chiffre vers le serveur. Zones :

• client → proxy : chiffré (avec le certificat de l’AC interne du proxy) ;
• à l’intérieur du proxy : déchiffré (inspection antivirus/IDS) ;
• proxy → serveur web externe : chiffré (certificat du serveur).

a) Le message d’avertissement apparaît parce que le certificat présenté par le proxy est signé par une AC interne non reconnue par le navigateur du poste.

b) Au second test, le certificat de l’AC interne a été installé (approuvé) dans le magasin du poste → plus d’avertissement.

• Avantages : inspection du trafic, détection des malwares et des fuites de données dans les flux chiffrés.
• Inconvénients : atteinte à la vie privée (flux personnels), impact sur les performances, complexité, et risque juridique sur les flux sensibles (santé, bancaire) qui ne devraient pas être déchiffrés.

a) Le message d’erreur vient de l’absence du certificat de l’AC du proxy dans le magasin de certificats du poste client.

b) Remédiation : déployer ce certificat racine sur tous les postes (par GPO).

Le déchiffrement doit être proportionné, faire l’objet d’une information préalable des employés (charte informatique, consultation du CSE), et exclure les flux personnels sensibles (banque, santé). La CNIL interdit une surveillance individuelle excessive.

Mission B1 — Rapport PingCastle (1)

Par exemple : la présence d’un annuaire centralisé (AD) avec authentification unique, et l’application d’une politique de mots de passe (complexité/expiration) — éléments à confirmer dans le rapport, qui structurent déjà la sécurité.

• Judicieux : longueur minimale suffisante, complexité exigée, verrouillage après échecs.
• Discutables : expiration trop fréquente (pousse à des mots de passe faibles/réutilisés) et historique trop court (réutilisation rapide d’anciens mots de passe).

a) Un mot de passe, même complexe, réutilisé sur plusieurs sites devient dangereux : s’il fuite sur un site (cf. HaveIBeenPwned), l’attaquant le rejoue partout (credential stuffing) — comme pour le compte de M. Brodier.

b) Outil pour « un site = un mot de passe unique » : un gestionnaire de mots de passe (qui génère et stocke un mot de passe fort distinct par service).

Mission B2 — Rapport PingCastle (2)

a) Un système d’exploitation obsolète ne reçoit plus de correctifs de sécurité : ses vulnérabilités connues restent exploitables.

b) PingCastle considère une machine vulnérable d’après la version/date de fin de support du système d’exploitation.

a) La mise en cache des identifiants d’administrateur sur un poste client est dangereuse : un attaquant ayant compromis ce poste peut récupérer ces secrets (condensats) et réaliser une attaque pass-the-hash → compromission d’un compte à privilèges.

b) Solution : intégrer les comptes d’administration au groupe « Utilisateurs protégés » (Protected Users) (qui empêche la mise en cache), déployer LAPS, et ne pas ouvrir de session administrateur sur les postes clients.

Mission B3 — Centralisation des journaux (WEF)

a) Le service WEF n’est pas utilisé actuellement dans l’infrastructure.

b) Son utilisation est pertinente : centraliser les journaux Windows permet de corréler les événements et de détecter les intrusions plus tôt.

c) Avantages : collecte centralisée, corrélation, détection ; limite : il ne couvre que l’environnement Windows (et génère un volume important à stocker/analyser).