Placer un NIC en mode promiscuité afin de récupérer tout le trafic du lien, notamment les informations sensibles de certains protocoles qui passent en clair (mots de passe Telnet, FTP, SMTP, POP ou HTTP). L'attaquant doit être dans le même domaine de collision.
Pour éviter cette menace on utilise de l'authentification, du chiffrement, des outils anti-sniff (ils analysent le temps de réponse d'une machine pour détecter un potentiel sniff) et une infrastructure switchée.
Scan de range d'IPs afin de déterminer lesquelles répondent (sont utilisées).
Dans le cas du scan d'un port unique sur toute une plage d'IPs, on appelle cela un portsweep ou scan horizontal.
Portscan = scan vertical ; il permet de déterminer quel ports sont ouverts afin de détecter les services qui tournent sur la machine, et ainsi détecter d'éventuelles failles de sécurité (via les informations renvoyées par la cible comme le nom et la version du logiciel, les bannières, etc…).
Les port scans et ping sweeps sont bloquer par les équipements de niveau 4 et supérieur (firewalls, IPS).
Le logiciel le plus connu de scan de ports est nmap.
Il s'agit là de l'utilisation d'outils (disponibles sur internet) afin de récupérer des informations ; par exemple une requête whois permet de récupérer des informations dans le DNS.
Attaque pour deviner un mot de passe ; par exemple une attaque par force brute (test de toutes les possibilités une par une) ou par dictionnaire (tests d'une liste préétablie de mots de passe potentiels).
Les logiciels les plus connus d'attaque par dictionnaire sont John the Ripper, Cain & Abel ou L0phtCrack ; ils peuvent être utiles pour un administrateur système afin de tester la résistance des mots de passe des utilisateurs.
Pour pallier à ce genre d'attaque, on peut :
Utilisation d'un accès avec privilège fourni sur un équipement pour faire une chose non autorisée ; par exemple la compromission d'une DMZ, puis rebondir faute de blocage sur un intranet non sécurisé faisant confianc à la DMZ.
Compromission d'une machine afin de l'utiliser comme rebond pour lancer une attaque vers d'autres cibles ; aisni l'IP visible de la source de l'attaque sera celle de la machine compromise.
L'attaquant se place en coupure dans une communication entre 2 machines, afin d'écouter et/ou de transformer les informations échangées.
Attaque qui consiste à dépasser le tampon d'une application mal programmée (typiquement en C/C++ qui ne protègent pas la mémoire) afin de faire de l'injection de code (exécuter un code malicieux).
Attaque par déni de service (Deny of Service) est une attaque qui consiste à submerger un serveur avec des requêtes infondées (par exemple une “SYN attack”), afin qu'il devienne indisponible pour les utilisateurs normaux. Une attaque Dos est lancée à partir d'une machine, une DDoS (Distributed DoS) depuis plusieurs machines (souvent zombies = compromises).
Pour se protéger des attaques de type DoS, il faut une fonction anti-DoS qui limite le nombre de requête par unité de temps. Souvent, les IPs source sont également usurpées (spoofing) ; on peut alors mettre en place de l'anti-spoofing. Un filtrage anti-spoofing consiste en :
Pour bloquer ce genre de menaces, utilisation de :
Un ver est un code qui exploite une vulnérabilité sur un système, s'installe dessus, et se propage vers de nouvelles cibles. Le but d'un ver est de récupérer un accès privilégié (administrateur, root) sur les systèmes cibles afin de les contrôler.
Pour mémo : les 4 étapes de désinfection d'un ver sont : contain, inoculate, quarantaire and treat.
Un virus est un code malicieux qui ne peut pas se propager sans l'intervention de l'homme ; c'est la principale différence avec un ver.
Il s'agit de l'exploitation de failles sur des logiciels qui utilisent des ports connus (HTTP, FTP, etc).
Un exemple classique est l'utilisation de Telnet pour administrer des équipements, qui n'est ni plus ni moins qu'une faille de sécurité puisque les communication Telnet ne sont pas chiffrées, donc lisibles par n'importe qui.
Liste des protocoles non sûrs :
Liste de bonnes pratiques :