Cette annexe traite des problèmes de stratégie de sécurité du site et suggère des ouvrages de référence et sites Web contenant davantage d'informations :
Chaque site Trusted Extensions est unique et doit déterminer sa propre stratégie de sécurité. Effectuez les tâches suivantes lors de la création et de la gestion d'une stratégie de sécurité.
Mettez en place une équipe de sécurité. L'équipe de sécurité doit disposer de représentants dans l'équipe de direction, l'équipe de ressources humaines, l'équipe de gestion et les administrateurs des systèmes informatiques et l'équipe de gestion des installations. Cette équipe doit réviser les stratégies et procédures des administrateurs Trusted Extensions et recommander des stratégies de sécurité générales qui s'appliquent à tous les utilisateurs du système.
Formez le personnel d'administration et de gestion à la stratégie de sécurité du site. Tout le personnel impliqué dans la gestion et l'administration du site doit connaître la stratégie de sécurité. Les stratégies de sécurité ne doivent pas être mises à disposition des utilisateurs standard car ces informations ont une incidence directe sur la sécurité des systèmes informatiques.
Formez les utilisateurs sur le logiciel Trusted Extensions et la stratégie de sécurité. Tous les utilisateurs doivent se familiariser avec le Guide de l’utilisateur de Trusted Extensions . Etant donné que les utilisateurs sont généralement les premiers à savoir qu'un système ne fonctionne pas correctement, ils doivent connaître le système et signaler tout problème qui survient à l'administrateur système. Pour garantir un environnement sécurisé, les utilisateurs doivent immédiatement avertir les administrateurs système s'ils constatent l'un des problèmes suivants :
Une erreur dans la dernière heure de connexion signalée au début de chaque session
Une modification inhabituelle des données d'un fichier
La perte ou le vol d'impressions interprétables par l'utilisateur
L'impossibilité d'utiliser une fonction utilisateur
Appliquez la stratégie de sécurité. Si la stratégie de sécurité n'est pas suivie et mise en oeuvre, les données contenues dans le système configuré avec Trusted Extensions ne sont pas sécurisées. Des procédures doivent être établies afin d'enregistrer les problèmes et les mesures appliquées pour résoudre les incidents.
Révisez régulièrement la stratégie de sécurité. L'équipe de sécurité doit effectuer une révision périodique de la stratégie de sécurité et de tous les incidents qui se sont produits depuis la dernière révision. Des ajustements de la stratégie peuvent contribuer à une sécurité accrue.
L'administrateur sécurité doit concevoir le réseau Trusted Extensions en fonction de la stratégie de sécurité du site. La stratégie de sécurité dicte les décisions en matière de configuration, par exemple :
Niveau d'audit auquel sont soumis tous les utilisateurs et certaines classes d'événements.
Niveau d'audit auquel sont soumis les utilisateurs prenant des rôles et certaines classes d'événements.
Mode de gestion, d'archivage et de passage en revue des données d'audit.
Etiquettes utilisées dans le système et visibilité des étiquettes ADMIN_LOW et ADMIN_HIGH pour les utilisateurs standard.
Autorisations utilisateur affectées à des personnes.
Périphériques (le cas échéant) pouvant être alloués par certains utilisateurs standard.
Plages d'étiquettes définies pour les systèmes, les imprimantes et autres périphériques.
Utilisation de Trusted Extensions dans une configuration évaluée ou non.
Tenez compte de la liste de conseils suivante lorsque vous élaborez une stratégie de sécurité pour votre site.
Définissez la valeur d'étiquette maximale d'un système configuré avec Trusted Extensions afin qu'elle ne soit pas supérieure à la valeur maximale du niveau de sécurité du travail effectué sur le site.
Enregistrez manuellement les réinitialisations du système, les pannes d'alimentation et les arrêts dans un journal du site.
Documentez les dommages du système de fichiers et analysez tous les fichiers affectés à la recherche d'éventuelles violations des règles de sécurité.
Ne fournissez les guides d'utilisation et la documentation destinée aux administrateurs qu'aux personnes nécessitant réellement d'accéder à ces informations.
Rapportez et documentez tout comportement inhabituel ou inattendu des logiciels Trusted Extensions et déterminez la cause de l'erreur.
Si possible, affectez au moins deux personnes à l'administration des systèmes configurés avec Trusted Extensions. Affectez une personne à l'autorisation d'administrateur sécurité pour les décisions relatives à la sécurité. Affectez une autre personne à l'autorisation d'administrateur système pour les tâches de gestion du système.
Mettez en place une routine de sauvegarde régulière.
Affectez les autorisations uniquement aux utilisateurs qui en ont besoin et qui les utiliseront correctement.
Affectez des privilèges à des programmes uniquement s'ils requièrent ces privilèges pour fonctionner, et s'ils ont été examinés et que leur fiabilité dans l'utilisation des privilèges a été attestée. Passez en revue les privilèges sur les programmes Trusted Extensions existants et orientez-vous sur ceux-ci pour définir les privilèges de nouveaux programmes.
Consultez et analysez régulièrement les informations d'audit. Examinez les événements irréguliers pour déterminer leur cause.
Réduisez le nombre d'ID administrateur.
Réduisez le nombre de programmes setuid et setgid. Utilisez les autorisations, les privilèges et les rôles pour exécuter le programme et empêcher son utilisation inappropriée.
Assurez-vous qu'un administrateur vérifie régulièrement que les utilisateurs standard ont un shell de connexion valide.
Assurez-vous qu'un administrateur vérifie régulièrement que les utilisateurs standard disposent de valeurs d'ID utilisateur valides et non de valeurs d'ID administrateur système.
Tenez compte de la liste de conseils suivante lorsque vous élaborez une stratégie de sécurité pour votre site.
Limitez l'accès aux systèmes configurés avec Trusted Extensions. Les emplacements les plus sécurisés sont généralement les pièces intérieures, ailleurs qu'au rez-de-chaussée.
Surveillez et documentez l'accès aux systèmes configurés avec Trusted Extensions.
Fixez l'équipement informatique à des objets de grande taille tels que des tables et des bureaux pour empêcher le vol. Lorsque l'équipement est fixé à un objet en bois, augmentez la résistance de l'objet en y ajoutant des plaques métalliques.
Envisagez l'utilisation de médias de stockage amovibles pour les informations sensibles. Verrouillez tous les médias amovibles lorsqu'ils ne sont pas en cours d'utilisation.
Stockez les sauvegardes système et les archives dans un endroit sûr distinct de l'emplacement des systèmes.
Limitez l'accès physique aux médias de sauvegarde et d'archivage de la même manière que vous limitez l'accès aux systèmes.
Installez un détecteur de température dans la pièce où se trouvent les systèmes informatiques pour détecter toute déviation de la plage de températures spécifiée par le fabricant. La plage de valeurs recommandée s'étend de 10 °C à 32 °C.
Installez un détecteur d'eau dans la pièce où se trouvent les systèmes informatiques afin de détecter la présence d'eau sur le sol, dans les cavités en dessous du sol et dans le plafond.
Installez un détecteur de fumée afin de détecter les incendies et installez un système anti-incendie.
Installez un détecteur d'humidité afin de détecter un taux d'humidité trop ou pas assez élevé.
Envisagez d'installer un système de protection TEMPEST si les machines n'en sont pas équipées. Ce système peut s'avérer approprié sur les murs, les sols et les plafonds des installations.
N'autorisez que des techniciens certifiés à ouvrir et fermer le système TEMPEST afin de garantir sa capacité à intercepter les radiations électromagnétiques.
Vérifiez la présence de brèches physiques qui permettraient l'accès à l'installation ou aux salles où se trouve l'équipement informatique. Recherchez les ouvertures sous des sols surélevés, dans des plafonds suspendus, les équipements de ventilation sur les toits et dans les murs entre le mur d'origine et le doublage.
Interdisez de manger, boire et fumer dans les espaces réservés aux installations informatiques ou à proximité du matériel informatique. Définissez des zones où le personnel peut se livrer à ces activités sans danger pour l'équipement informatique.
Protégez les plans architecturaux de l'installation informatique.
Limitez l'utilisation de schémas fonctionnels, plans des installations et photographies de l'installation informatique.
Tenez compte de la liste de conseils suivante lorsque vous élaborez une stratégie de sécurité pour votre site.
Vérifiez les packages, documents et médias de stockage lorsqu'ils arrivent et avant qu'ils ne quittent un site sécurisé.
Exigez que le personnel et les visiteurs portent des badges d'identification en permanence.
Utilisez des badges d'identification difficiles à copier ou contrefaire.
Définissez des zones interdites aux visiteurs et marquez-les clairement.
Escortez les visiteurs à tout moment.
Aucun ordinateur n'est entièrement sécurisé : la sécurité d'une installation informatique dépend de la sécurité de chacune des personnes qui l'utilisent. Des utilisateurs soigneux ou des équipements supplémentaires permettent de prévenir la plupart des actions qui ne respectent pas la sécurité. Cependant, la liste suivante donne des exemples de problèmes susceptibles de se produire :
Des utilisateurs donnent leur mot de passe à d'autres individus qui ne devraient pas avoir accès au système.
Des utilisateurs écrivent leur mot de passe et perdent ou oublient le billet sur lequel ils ont écrit leur mot de passe dans un endroit non sécurisé.
Des utilisateurs choisissent en tant que mot de passe un mot ou un nom facile à deviner.
Des utilisateurs apprennent le mot de passe d'un autre utilisateur en le regardant saisir son mot de passe.
Des utilisateurs non autorisés suppriment, remplacent ou altèrent physiquement le matériel.
Des utilisateurs laissent leurs systèmes sans surveillance sans verrouiller l'écran.
Des utilisateurs modifient les autorisations d'un fichier pour permettre à d'autres utilisateurs de le lire.
Des utilisateurs modifient les étiquettes d'un fichier pour permettre à d'autres utilisateurs de le lire.
Des utilisateurs jettent des copies papier de documents sensibles sans les broyer ou laissent ces mêmes documents dans des endroits non sécurisés.
Des utilisateurs laissent les portes d'accès ouvertes.
Des utilisateurs perdent leurs clés.
Des utilisateurs ne verrouillent pas les médias de stockage amovibles.
Les écrans d'ordinateur sont visibles à travers les fenêtres extérieures.
Les câbles réseau sont abîmés.
Un système d'écoute électronique capte les signaux émis par l'équipement informatique.
Les pannes de courant, les surtensions et les pics détruisent les données.
Les tremblements de terre, inondations, tornades, ouragans et la foudre peuvent détruire des données.
Les interférences électromagnétiques externes telles que l'activité solaire peuvent brouiller les fichiers.
Les publications du gouvernement décrivent de manière détaillée les normes, les stratégies, les méthodes et la terminologie associée à la sécurité informatique. D'autres publications relatives à la sécurité sont utiles pour appréhender pleinement les problèmes de sécurité liés aux systèmes UNIX ainsi que les solutions associées.
Des ressources sont aussi disponibles sur le Web. Le site Web CERT en particulier alerte les entreprises et utilisateurs aux failles de sécurité des logiciels. Le site SANS Institute propose des formations, un long glossaire de termes, ainsi qu'une liste à jour des principales menaces issues d'Internet.
The U.S. government offers many of its publications on the web. Le Département de la Sécurité intérieure des Etats-Unis publie des informations relatives à la sécurité. Le Computer Security Resource Center (CSRC) du National Institute of Standards and Technology (NIST) publie également des articles sur la sécurité informatique. Voici quelques exemples de publications utiles pouvant être téléchargées depuis le site Web du NIST.
An Introduction to Computer Security: The NIST Handbook. SP 800-12, October 1995.
Standard Security Label for Information Transfer. FIPS-188, September 1994.
Swanson, Marianne and Barbara Guttman. Generally Accepted Principles and Practices for Securing Information Technology Systems. SP 800-14, September 1996.
Tracy, Miles, Wayne Jensen, and Scott Bisker. Guidelines on Electronic Mail Security. SP 800-45, September 2002. Section E.7 concerns securely configuring LDAP for mail.
Wilson, Mark and Joan Hash. Building an Information Technology Security Awareness and Training Program. SP 800-61, January 2004. Includes a useful glossary.
Grace, Tim, Karen Kent, and Brian Kim. Computer Security Incident Handling Guidelines. SP 800-50, September 2002. Section E.7 concerns securely configuring LDAP for mail.
Scarfone, Karen,Wayne Jansen, and Miles Tracy. Guide to General Server Security SP 800-123, July 2008.
Souppaya, Murugiah, John Wack, and Karen Kent. Security Configuration Checklists Program for IT Products. SP 800-70, May 2005.
Ingénieurs de sécurité Sun Microsystems. Solaris 10 Security Essentials. Prentice Hall, 2009.
Garfinkel, Simson, Gene Spafford, and Alan Schwartz. Practical UNIX and Internet Security, 3rd Edition. O'Reilly & Associates, Inc, Sebastopol, CA, 2006.
Nemeth, Evi, Garth Snyder, Trent R. Hein, et Ben Whaley UNIX and Linux System Administration Handbook (4th Edition) Pearson Education, Inc. 2010.
Brunette, Glenn M. Toward Systemically Secure IT Architectures. Document technique Oracle archivé, juin 2006.
Kaufman, Charlie, Radia Perlman, and Mike Speciner. Network Security: Private Communication in a Public World, 2nd Edition. Prentice-Hall, 2002.
Pfleeger, Charles P. and Shari Lawrence Pfleeger. Security in Computing. Prentice Hall PTR, 2006.
Privacy for Pragmatists: A Privacy Practitioner's Guide to Sustainable Compliance. Sun Microsystems, Inc, août 2005.
Rhodes-Ousley, Mark, Roberta Bragg, and Keith Strassberg. Network Security: The Complete Reference. McGraw-Hill/Osborne, 2004.
Scambray, Joel McClure, George Stuart Kurtz. Hacking Exposed 7: Network Security Secrets & Solutions, Seventh Edition. McGraw-Hill, 2012.
Stoll, Cliff. The Cuckoo's Egg. Doubleday, 1989.