Recommandations de sécurisation Messagerie - Issy les Moulineaux, le n /SGDN/DCSSI/SDO/BAS
←
→
Transcription du contenu de la page
Si votre navigateur ne rend pas la page correctement, lisez s'il vous plaît le contenu de la page ci-dessous
PREMIER MINISTRE
Secrétariat général Issy les Moulineaux, le
de la défense
nationale n◦ /SGDN/DCSSI/SDO/BAS
Direction centrale de la
sécurité des systèmes
d’information
Recommandations de sécurisation
MessagerieRecommandations de sécurisation – Messagerie
Informations
Nombre de pages du document : 46
Evolution du document :
Version Rédaction Validation DCSSI Date
0.1 Céline Estieux Philippe Brandt
N◦ /SGDN/DCSSI/SDO/BAS Page 2 sur 46Recommandations de sécurisation – Messagerie
Table des matières
1 Introduction 7
1.1 Objectifs des recommandations . . . . . . . . . . . . . . . . . . . . . . . . 7
1.2 À qui sont destinées ces recommandations . . . . . . . . . . . . . . . . . 7
1.3 Structure de ce document . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
1.4 Présentation des recommandations . . . . . . . . . . . . . . . . . . . . . . 7
2 Avertissements 8
3 Pré-requis 9
3.1 Matériels . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
3.2 Connaissances nécessaires . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
3.3 Standards utilisés pour la messagerie électronique . . . . . . . . . . . . 9
3.3.1 Structure d’un message électronique . . . . . . . . . . . . . . . . . . . . . . 9
4 Principaux risques de la messagerie 10
4.1 Réception/Envoi de virii . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
4.2 Réception/Envoi messages falsifiés . . . . . . . . . . . . . . . . . . . . . . 10
4.3 Lecture de messages par de tierces personnes . . . . . . . . . . . . . . . 10
4.4 Relais pour des messages extérieurs . . . . . . . . . . . . . . . . . . . . . 11
4.5 Perte de messages . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
4.6 Indisponibilité du serveur de messagerie . . . . . . . . . . . . . . . . . . 11
4.7 Rebond possible pour une attaque en interne . . . . . . . . . . . . . . . 11
5 Politique générale de la sécurité des systèmes d’information 12
6 Principes fondamentaux de la SSI 13
6.1 Développer et implémenter une défense en profondeur . . . . . . . . . . 13
6.1.1 La sécurité des locaux et la sûreté de fonctionnement . . . . . . . . . . . . . 13
6.1.1.1 Ce qu’il faut prendre en compte prioritairement sur les lots techniques 14
6.1.2 La défense au niveau du réseau . . . . . . . . . . . . . . . . . . . . . . . . . 16
6.1.2.1 Utilisation de commutateurs . . . . . . . . . . . . . . . . . . . . . 16
6.1.2.2 Mise en place d’outils de détection d’intrusion . . . . . . . . . . . 16
6.1.3 La défense au niveau des hôtes . . . . . . . . . . . . . . . . . . . . . . . . . 16
6.1.4 La défense au niveau des applications . . . . . . . . . . . . . . . . . . . . . 16
6.1.5 La défense au niveau des données . . . . . . . . . . . . . . . . . . . . . . . . 16
6.2 Principe du moindre privilège . . . . . . . . . . . . . . . . . . . . . . . . . 17
7 Sécuriser : mesures générales 18
7.1 Relevé de configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
7.2 Préalables de l’installation . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
7.2.1 Vérification du système sous-jacent . . . . . . . . . . . . . . . . . . . . . . . 18
7.2.2 Version du serveur de la messagerie à installer . . . . . . . . . . . . . . . . . 19
7.2.3 Vérification des sources d’installation . . . . . . . . . . . . . . . . . . . . . . 19
7.2.3.1 Média physique . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
7.2.3.2 Installation d’un applicatif téléchargé . . . . . . . . . . . . . . . . 19
7.2.3.3 Installation directe depuis un réseau externe . . . . . . . . . . . . 19
7.3 Installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
N◦ /SGDN/DCSSI/SDO/BAS Page 3 sur 46Recommandations de sécurisation – Messagerie
7.4 Emploi de mots de passe complexes . . . . . . . . . . . . . . . . . . . . . 20
7.5 Administration du système . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
7.5.1 Administration locale . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
7.5.2 Administration distante . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
7.5.2.1 Terminal Services . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
7.5.2.2 SNMP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
7.5.2.3 Télémaintenance . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
8 Sécuriser : mesures spécifiques 23
8.1 Sécuriser l’environnement réseau . . . . . . . . . . . . . . . . . . . . . . . 23
8.1.1 Mise en place d’une architecture sécurisée . . . . . . . . . . . . . . . . . . . 23
8.1.2 Antivirus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
8.1.2.1 Positionnement et fonctionnement de l’antivirus . . . . . . . . . . 24
8.1.3 Adapter et contrôler la configuration du pare-feu . . . . . . . . . . . . . . . 25
8.1.4 Installation de tunnels chiffrants . . . . . . . . . . . . . . . . . . . . . . . . 26
8.2 Sécuriser le système d’exploitation . . . . . . . . . . . . . . . . . . . . . . 26
8.2.1 Installation du système d’exploitation . . . . . . . . . . . . . . . . . . . . . 26
8.2.1.1 Choix des serveurs de messagerie . . . . . . . . . . . . . . . . . . . 26
8.2.1.2 Disques et partitionnement du serveur de messagerie . . . . . . . . 26
8.2.1.3 Suppression de la documentation sur le serveur . . . . . . . . . . . 27
8.2.1.4 Configuration des journaux . . . . . . . . . . . . . . . . . . . . . . 27
8.2.2 Configuration du système d’exploitation . . . . . . . . . . . . . . . . . . . . 27
8.3 Sécuriser les postes des utilisateurs . . . . . . . . . . . . . . . . . . . . . . 28
8.3.1 Sensibilisation des utilisateurs . . . . . . . . . . . . . . . . . . . . . . . . . . 28
8.3.1.1 Non-divulgation de message contenant des informations sensibles
sur Internet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
8.3.1.2 Préserver la réputation d’une entité . . . . . . . . . . . . . . . . . 28
8.3.1.3 Ne pas perturber la disponibilité du serveur de messagerie . . . . 28
8.3.1.4 Utiliser un programme de sécurisation des messages électroniques 28
8.3.2 Antivirus des clients de messagerie . . . . . . . . . . . . . . . . . . . . . . . 28
8.3.3 Configuration des programmes de messagerie . . . . . . . . . . . . . . . . . 29
8.3.4 Verrouillage de la configuration des postes . . . . . . . . . . . . . . . . . . . 29
8.3.5 Utilisation de mots de passe complexes . . . . . . . . . . . . . . . . . . . . . 29
8.3.6 Utilisation de programmes client de sécurisation des messages électroniques 30
8.3.6.1 Standards utilisés pour le chiffrement des messages électroniques . 30
8.3.6.2 Choix d’un programme de sécurisation . . . . . . . . . . . . . . . 31
8.3.7 Système d’accès aux messages électroniques via un navigateur Internet . . . 31
8.4 Sécuriser les serveurs de la messagerie . . . . . . . . . . . . . . . . . . . . 32
8.4.1 Configuration des serveurs de messagerie . . . . . . . . . . . . . . . . . . . . 32
8.4.1.1 Exécution du programme sous un utilisateur possédant des droits
réduits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
8.4.1.2 Suppression des commandes inutiles sur le serveur de messagerie . 32
8.4.1.3 Suppression des traces permettant d’identifier le serveur de messagerie 32
8.4.1.4 Mise en place de protocoles de sécurisation adaptés . . . . . . . . 35
9 Maintenir le niveau de sécurité : mesures générales 38
9.1 Règles d’exploitation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
9.1.1 Gestion des correctifs de sécurité (serveurs et clients) . . . . . . . . . . . . . 38
9.1.2 Réalisation de fiches réflexes pour gérer les alertes . . . . . . . . . . . . . . 38
9.1.3 Formation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
9.1.4 Gestion des comptes et des mots de passe . . . . . . . . . . . . . . . . . . . 38
9.1.5 Serveur de secours et de test . . . . . . . . . . . . . . . . . . . . . . . . . . 39
9.1.6 Gestion des sauvegardes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
N◦ /SGDN/DCSSI/SDO/BAS Page 4 sur 46Recommandations de sécurisation – Messagerie
9.1.7 Gestion des éléments temporaires . . . . . . . . . . . . . . . . . . . . . . . . 39
9.2 Mise à jour de la PSSI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
9.3 Audits de sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
10 Maintenir le niveau de sécurité : mesures spécifiques 40
10.1 Exploitation des journaux . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
10.2 Réaliser une veille technologique sur les éléments du réseau . . . . . . 40
10.3 Veille technologique . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
11 Annexes 41
11.1 Points à vérifier généraux . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
11.1.1 Mesures générales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
11.1.2 Environnement réseau . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
11.1.3 Système d’exploitation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
11.1.3.1 Installation du système d’exploitation . . . . . . . . . . . . . . . . 41
11.1.3.2 Configuration du système d’exploitation . . . . . . . . . . . . . . . 41
11.1.3.3 Antivirus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
11.1.4 Postes des utilisateurs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
11.1.4.1 Installation des clients de messagerie . . . . . . . . . . . . . . . . . 42
11.1.4.2 Configuration des clients de messagerie . . . . . . . . . . . . . . . 42
11.1.4.3 Programmes de sécurisation des clients de messagerie . . . . . . . 42
11.1.5 Serveurs de messagerie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
11.1.5.1 Configuration du serveur . . . . . . . . . . . . . . . . . . . . . . . 42
11.1.5.2 Extensions de sécurité . . . . . . . . . . . . . . . . . . . . . . . . . 42
11.2 Points à vérifier pour Microsoft Exchange 5.5 . . . . . . . . . . . . . . . 43
11.2.1 Avertissement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
11.2.2 Installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
11.2.2.1 Pré-installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
11.2.2.2 Installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
11.2.2.3 Post-installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
11.2.3 Administration des composants Exchange . . . . . . . . . . . . . . . . . . . 44
11.2.3.1 Annuaire . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
11.2.3.2 Banque d’informations . . . . . . . . . . . . . . . . . . . . . . . . 44
11.2.3.3 Agent de transfert des messages . . . . . . . . . . . . . . . . . . . 45
11.2.4 Configurer le service messagerie Internet (SMTP) . . . . . . . . . . . . . . . 45
11.2.5 POP/IMAP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
11.2.6 LDAP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
N◦ /SGDN/DCSSI/SDO/BAS Page 5 sur 46Recommandations de sécurisation – Messagerie
Table des figures
1 Exemple d’architecture sécurisée . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
2 Table des flux de pare-feu pour la messagerie . . . . . . . . . . . . . . . . . . . . . 26
3 Liste d’extensions supportées par le serveur ESMTP domaine.exemple . . . . . . . 33
4 Informations révélées lors d’une connexion à un serveur de messagerie . . . . . . . 33
5 Informations révélées lors d’une connexion à un autre serveur de messagerie . . . . 33
6 Informations révélées dans l’entête d’un message électronique . . . . . . . . . . . . 34
7 Informations sur l’architecture et les machines révélées dans l’entête d’un message
électronique . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
N◦ /SGDN/DCSSI/SDO/BAS Page 6 sur 46Recommandations de sécurisation – Messagerie
1 Introduction
1.1 Objectifs des recommandations
Ce guide a pour vocation d’aider à sécuriser la messagerie à l’aide de recommandations basées
sur l’état de l’art.
1.2 À qui sont destinées ces recommandations
Ces recommandations sont destinées principalement aux administrateurs, responsables de la sé-
curité des systèmes d’information et en général à toute personne ou organisation voulant sécuriser
ou vérifier la sécurisation de la messagerie. En particulier ce guide n’est pas un guide d’adminis-
tration de la messagerie.
1.3 Structure de ce document
Ce document est scindé en plusieurs parties :
– Partie 1 : introduction générale aux recommandations ;
– Partie 2 : mise en garde sur l’application de ces recommandations ;
– Partie 4 : relevé non exhaustif des principales vulnérabilités liées à la messagerie ;
– Partie 5 : rappel non technique sur l’organisation de la sécurité d’un système d’information ;
– Partie 6 : rappel des principes fondamentaux de la sécurité d’un système d’information ;
– Partie 7 : recommandations générales sur la sécurisation d’un système d’information et de
serveurs ;
– Partie 8 : recommandations spécifiques à la sécurisation de la messagerie à ne mettre en
oeuvre qu’une fois, à l’installation du système ou lors de la première mise en application de
ce document ;
– Partie 9 : recommandations générales sur les opérations à mener pour conserver un bon niveau
de sécurisation dans le temps ;
– Partie 10 : recommandations sur les opérations spécifiques à la messagerie destinées à conser-
ver un bon niveau de sécurisation dans le temps ;
– Partie 11 : éléments techniques complémentaires, comme des listes de contrôle.
1.4 Présentation des recommandations
Les recommandations de sécurisation sont scindées en deux phases :
– Sécuriser (Partie 7 et Partie 8) : recommandations à mettre en œuvre une seule fois, à
l’installation du système ou lors de la première mise en application de ce document ;
– Maintenir la sécurité (Partie 9 et Partie 10) : recommandations à suivre tout au long de la
vie de la messagerie pour s’assurer que le niveau de sécurité reste constant dans le temps.
De plus, chacune de ces phases contient deux parties, dédiées aux mesures générales et aux
mesures spécifiques participant à l’objectif final.
N◦ /SGDN/DCSSI/SDO/BAS Page 7 sur 46Recommandations de sécurisation – Messagerie
2 Avertissements
La responsabilité du choix et de la mise en oeuvre des recommandations proposées dans ce
document incombe au lecteur de ce guide. Il pourra s’appuyer sur la politique de sécurité du système
d’information et sur les résultats d’une analyse des risques de la sécurité des systèmes d’information
pour déterminer les recommandations les plus pertinentes. Le lecteur devra également réaliser des
tests exhaustifs afin de vérifier l’adéquation de ces recommandations avec son contexte particulier.
Vu la nature évolutive des systèmes d’information et des menaces portant sur ceux-ci, ce docu-
ment présente un savoir-faire à un instant donné et a pour ambition d’être régulièrement amélioré
et complété.
Vos commentaires sont les bienvenus. Vous pouvez les adresser à l’adresse postale suivante :
Bureau Audits en SSI
SGDN/DCSSI/SDO/BAS
51, boulevard de la Tour-Maubourg
75700 Paris 07 SP
N◦ /SGDN/DCSSI/SDO/BAS Page 8 sur 46Recommandations de sécurisation – Messagerie
3 Pré-requis
3.1 Matériels
3.2 Connaissances nécessaires
Le lecteur devra être familier avec la notion de réseau, et connaître les protocoles suivants :
SMTP et POP (ou IMAP).
3.3 Standards utilisés pour la messagerie électronique
3.3.1 Structure d’un message électronique
Le message électronique se compose de deux parties distinctes séparées par au moins une ligne
vide :
– l’entête ;
– le corps du message.
L’entête comporte nombre d’informations utiles à l’environnement de l’expéditeur ainsi que
le chemin suivi par le message : expéditeur, destinataire, date, priorité, serveurs utilisés pour le
transit, sujet du message, . . .
Le corps du message contient quant à lui le contenu du message à proprement parler.
N◦ /SGDN/DCSSI/SDO/BAS Page 9 sur 46Recommandations de sécurisation – Messagerie
4 Principaux risques de la messagerie
Dans cette partie seront décrits les principaux risques liés à la messagerie.
4.1 Réception/Envoi de virii
La réception de virii est un problème très souvent évoqué par les administrateurs réseau. En
effet, la messagerie électronique permet de véhiculer tous les types de fichiers, en particulier les
scripts et les fichiers exécutables. Si ces programmes sont exécutés sur la machine qui a reçu le
courrier, un virus est susceptible d’infecter la machine.
Cependant si les administrateurs pensent fréquemment à se protéger de la réception de virii
pour ne pas contaminer le réseau interne, l’émission de virii n’est que peu souvent évoquée. Il
est pourtant vital de se protéger également contre l’émission de virii. En effet l’émission de virii
peut bien évidemment contaminer les autres, ce qui ne devrait pas arriver, mais peut aussi nuire
gravement à l’image de marque d’une entité et engendrer un déni de service. C’est pourquoi les
deux aspects de la protection virale (émission et réception doivent être mis en œuvre.
4.2 Réception/Envoi messages falsifiés
Le protocole standard le plus utilisé pour la messagerie électronique est SMTP. Cependant ce
protocole ne présente, dans sa fonction de base, i. e. la plus répandue, aucune garantie contre la
falsification des messages électroniques.
Il n’y a par exemple aucun contrôle effectué sur l’expéditeur du message, et par conséquent
n’importe qui sur le même réseau peut se faire passer pour quelqu’un d’autre. Il n’y a ainsi aucune
garantie quant à l’expéditeur du message avec un message envoyé via SMTP. De la même manière,
le contenu même des messages peut être falsifié.
Il convient donc de se prémunir contre la réception et l’envoi de messages falsifiés en utilisant
les méthodes décrites dans la suite de ce document.
4.3 Lecture de messages par de tierces personnes
Une autre faiblesse du protocole SMTP réside dans le fait que les messages envoyés ou reçus
par ce biais sont transmis en clair sur le réseau, c’est à dire qu’ils ne sont pas chiffrés.
Ainsi, toute personne écoutant sur le réseau a la possibilité de voir le contenu du message1 ,
identifier le contenu du message et également l’entête du message électronique2 . On peut se pré-
munir de ce problème en envoyant une pièce jointe chiffrée, mais il faut garder à l’esprit qu’avec
cette méthode, l’entête reste transmis en clair, avec toutes les informations citées précédemment.
Le protocole POP3 est un protocole standard très utilisé pour aller retirer des messages élec-
troniques sur un serveur. Il n’est utilisé quasiment que dans sa mise en oeuvre basique, c’est-à-dire
sans sécurité aucune. Pour rappel, son mode de fonctionnement est le suivant : un utilisateur s’au-
thentifie au serveur en envoyant son nom d’utilisateur et son mot de passe, qui circulent en clair
sur le réseau, puis le serveur envoie les messages requis à l’utilisateur, toujours en clair.
Quelqu’un écoutant sur le réseau à ce moment donné aura ainsi la possibilité de lire tous les
messages, au format décrit précédemment (cf. partie 3.3.1), circulant sur le réseau au moment
de son écoute. Mais il pourra également, et c’est une chose dont il conviendra de se prémunir
fortement, récupérer le nom et le mot de passe de l’utilisateur écouté pour prendre connaissance
ultérieurement de ses messages à son insu et également essayer son mot de passe pour d’autres
applications que la messagerie électronique.
1 voir exemple de message électronique figure 7
2À titre de rappel, l’entête comprend entre autres l’expéditeur, le destinataire, et le sujet du message.
N◦ /SGDN/DCSSI/SDO/BAS Page 10 sur 46Recommandations de sécurisation – Messagerie
4.4 Relais pour des messages extérieurs
Une architecture sécurisée de réseau comprend généralement au moins deux serveurs de messa-
gerie : un serveur interne au réseau, et un relais de messagerie servant uniquement de passerelle,
envoyant des messages provenant du serveur interne vers l’extérieur et réceptionnant les messages
provenant de l’extérieur en attendant la connexion du serveur interne pour récupérer les messages.
On voit ainsi que le serveur relais de messagerie est le plus proche des réseaux extérieurs, et sa
sécurité devrait être particulièrement étudiée. Il ne devrait avoir que deux fonctions : transmettre
des messages en provenance ou à destination du réseau local ; il ne devrait donc en aucun cas
pouvoir servir de relais de messagerie entre deux réseaux extérieurs.
Si c’était le cas, le serveur faisant office de relais pourrait servir pour relayer des messages à
l’insu de l’administrateur, tels l’envoi massif de publicité (« spam ») et les administrateurs de ce
serveur pourraient être poursuivis pour avoir permis la diffusion de ce type de messages.
4.5 Perte de messages
Un serveur de messagerie, que ce soit en relais ou en serveur interne, doit être bien dimensionné
et bien sécurisé pour résister à la charge et à des attaques en déni de service qui conduiraient à des
pertes de messages. Ce risque doit être pris en considération, car une perte de message électronique
est aujourd’hui très difficilement acceptée par les utilisateurs.
Il faut également penser à la configuration du serveur antivirus s’il existe, car si ce serveur est
mal configuré, il pourrait refuser et supprimer des messages contaminés sans en informer l’expédi-
teur et/ou le destinataire et également refuser des messages non-contaminés.
4.6 Indisponibilité du serveur de messagerie
Si le serveur de messagerie est la cible d’attaques en déni de service, il peut être indisponible
pendant une longue durée. L’indisponibilité peut être due par exemple à une saturation du serveur
par un grand nombre de messages envoyés volontairement (attaque ciblée d’un pirate), par un ou
plusieurs messages envoyés à un nombre de destinataires élevé. L’attaque peut également provenir
par exemple de l’envoi de messages infectés ou de messages résultant de l’envoi d’une chaîne de
solidarité.
4.7 Rebond possible pour une attaque en interne
Un serveur de messagerie peut être situé en zone protégée (dans une DMZ ou sur le réseau
interne). Il est ainsi possible qu’il dispose de privilèges supplémentaires par rapport à un attaquant
situé dans une zone non protégée (Internet par exemple). Si ce serveur de messagerie est compromis,
il pourra potentiellement servir de rebond pour une attaque à destination d’une machine dans un
réseau sécurisé qui n’aurait pu être réalisée autrement.
N◦ /SGDN/DCSSI/SDO/BAS Page 11 sur 46Recommandations de sécurisation – Messagerie
5 Politique générale de la sécurité des systèmes d’in-
formation
Un document, la politique de sécurité d’un SI (Système d’Information) doit exister au sein de
l’organisme mettant en œuvre le SI. Parmi les règles relatives à la sécurisation de la messagerie
présentes dans la PSSI, on doit retrouver au moins les éléments ci-dessous :
– la fonctionnalité du composant au sein du SI ;
– la liste des comptes d’administration ainsi que les modalités de gestion de ces comptes dans
le temps ;
– la liste des flux entrants/sortants vers/depuis le composant ;
– la liste des services lancés au démarrage ;
– la liste des services audités et leurs fichiers ;
– le suivi des mises à jour des versions des logiciels utilisés ;
– une copie des fichiers de configuration de tous les services et des fichiers de démarrage ;
– les mesures de sécurité physique mises en place ;
– la liste des correctifs et des modifications réalisées sur le composant ;
– les opérations d’exploitation à mettre en œuvre sur le composant.
Les recommandations énoncées dans tout ce document devraient également trouver leur place
dans les règles de cette PSSI. Le lecteur pourra se reporter au document édité par la DCSSI «
Guide pour l’élaboration d’une Politique de Sécurité Interne » (disponible sur le site internet de la
DCSSI, www.ssi.gouv.fr) pour plus d’informations sur l’établissement d’une PSSI.
N◦ /SGDN/DCSSI/SDO/BAS Page 12 sur 46Recommandations de sécurisation – Messagerie
6 Principes fondamentaux de la SSI
6.1 Développer et implémenter une défense en profondeur
Le principe de la défense en profondeur est de multiplier les protections d’une ressource (in-
formation, composant, service. . .), à tous les niveaux où il est possible d’agir. Ainsi, un agresseur
devra passer outre plusieurs protections, de nature et de portée différentes, avant d’accéder à la
ressource.
Ce principe doit être appliqué à tous les stades de la sécurisation d’une ressource qu’elle qu’en
soit sa nature : une donnée, une application, un système, un réseau, voire même le local hébergeant
le système d’information.
6.1.1 La sécurité des locaux et la sûreté de fonctionnement
Ce document n’a pas pour objectif de détailler les mesures de sécurité physique à mettre en
œuvre pour l’exploitation de systèmes d’informations sensibles, les principaux points techniques
nécessaires seront ici abordés sous l’angle de leur sécurisation, sans entrer dans le détail technique
de leur mise en œuvre. En particulier, les différents lots techniques, au sens bâtimentaire (incendie,
climatisation, . . .) possèdent un grand nombre de contraintes techniques, réglementaires, légales
ainsi que des interrelations qui ne seront pas détaillées dans ce document.
Les règles essentielles de sécurité physique à prendre en compte dans la conception ou l’aména-
gement de locaux, en vue de l’installation de systèmes d’information plus ou moins complexes et
sensibles, recouvrent plusieurs éléments de nature différente mais interdépendants.
Ces règles à appliquer sur tout ou partie de ces éléments doivent s’inscrire en amont de toute
autres actions, dont l’objectif est de garantir en première instance, l’accès physique, l’intégrité et
la disponibilité d’un système d’information et de ses données. Les situations géographiques, les
implantations et les natures des constructions et des équipements d’un site sont importantes au
regard des risques naturels, de l’environnement et des techniques mises en œuvre. On s’attachera
donc à examiner les points suivants :
L’environnement :
– La typologie des sols, magnétisme naturel, nappes phréatiques, résistance aux effondre-
ments, . . . ;
– Les zones inondables, l’indice kéraunique du lieu (impacts de foudre), les précipitations,
vents dominants (par rapport au voisinage pour les prises d’aération), . . . ;
– L’existence de voies d’accès au site et leur praticabilité ainsi que les dessertes V.R.D.
(Viabilisation des Réseaux de Distribution) ;
– La nature de l’implantation (zones urbaines, industrielles, . . .), la prise en compte du
POS (Plan d’Occupation des Sols) pour l’emprise et les extensions bâtimentaires futures,
la nature du voisinage (présence, d’industries chimiques pouvant induire des pollutions
importantes, d’aéroports (crash), voies autoroutières ou transports suburbains (vibra-
tions)), . . . ;
L’emprise et les bâtiments :
– L’emprise avec son plan de masse indiquant la position, le type et la nature des clôtures,
les voies internes de circulation, les diverses accessibilités, l’espace réservé aux parkings
(personnels, visiteurs), . . . ;
– Le gros œuvre, le type et la nature des bâtiments et des toitures (résistance aux charges
résultantes des précipitations et jets d’objets, . . .), écoulements des eaux usées et plu-
viales, positionnement des diverses canalisations , . . . ;
– Les lots de second œuvre et répartitions des locaux, type et nature des cloisonnements,
modularité, répartition relative, issues (vitrages, portes, . . .), . . . ;
– Les lots techniques, généralités (énergie, ventilation, climatisation, détection/extinction
incendie, . . .), implantation (usage dédié), type, nature, redondance (secours), renvois
d’alarmes sur défaillance.
N◦ /SGDN/DCSSI/SDO/BAS Page 13 sur 46Recommandations de sécurisation – Messagerie
6.1.1.1 Ce qu’il faut prendre en compte prioritairement sur les lots techniques
Avant tout, les locaux accueillants les lots techniques doivent être dédiés, l’accès à ces derniers ou
directement aux composants, ne doivent être accessibles que par des personnels qualifiés, internes
ou externes (maintenance), en régime restrictif et contrôlés afin d’abaisser les risques potentiels
(malveillances, fausses manœuvres, . . .).
Les agressions ou défaillances sur des éléments connexes au système d’information peuvent
concourir à son indisponibilité totale ou partielle. Pour cela, il y a nécessité de vérifier les points
suivants :
6.1.1.1.1 Énergie électrique
Le local accueillant le poste de transformation MT/BT (Moyenne Tension/Basse Tension) doit,
si possible, être implanté sur le site tout en laissant un accès, sous contrôle, au fournisseur (tête de
câble). De même, la dernière chambre de tirage avant transformation devra se situer sur le site.
Dans le cas ou une seconde arrivée serait mise place (secours), il sera nécessaire de négocier
avec le fournisseur un tirage de ligne, pour ce qui est hors site, empruntant un chemin physique
différent et venant d’une sous station différente ;
Le TGBT (Tableau Général Basse Tension) élément sensible de la première répartition de
l’énergie au sein du site, fera l’objet d’une attention dans sa localisation et son accessibilité.
Par ailleurs, les locaux (ex : PABX (autocommutateur téléphonique), conception ancienne d’on-
duleurs, . . .) renfermant des batteries et dont la composition est à base d’acide, doivent être dédiés
et isolés physiquement des matériels auxquels il sont raccordés. Ces locaux seront munis d’une
ventilation mécanique et aménagés électriquement en antidéflagrant.
On vérifiera que les terres et masses (bâtiments, vérins supportant les faux planchers, matériels
informatiques, PABX, . . .) sont conformes à la réglementation (ex : terres informatiques < ou = 1
Ohm, . . .). Dans la même optique, on s’assurera que les divers revêtements de sols ou muraux sont
anti-statiques.
On veillera à ce que les divers ensembles électriques primaires soient munis de parasurtenseurs
ou parafoudre afin de limiter les risques kérauniques sur les matériels pouvant se révéler sensibles
aux variations induites sur les différents réseaux (PABX, serveurs, . . .).
6.1.1.1.2 Secours énergie électrique
Selon l’importance du site (au regard de son infrastructure et de ses installations), un secours
par groupe électrogène dédié ou partagé peut être envisagé. Sa localisation est des plus importantes.
En effet, on peut être confronté à des problèmes relatifs aux vibrations, ainsi qu’aux coups de bélier
dûs aux ondes stationnaires (longueurs des tubes d’échappements des gaz) si ce dernier se trouve
en sous-sol ou rez-de-chaussée. Par ailleurs, il faudra s’assurer de la présence d’un bac de rétention
de capacité supérieure à celle de la cuve à fuel de démarrage avec une évacuation conforme à
l’antipollution.
L’ensemble des matériels formant le système d’information (serveurs, terminaux, imprimantes, . . .)
doivent être raccordés sur un circuit ondulé (régulation) avec une disponibilité d’un minimum de
1/4 d’heure afin de permettre une extinction propre des systèmes. À ce sujet, l’implantation de
l’onduleur (intermédiaire tampon, en cas de rupture d’énergie, entre le fournisseur d’énergie et
le démarrage du groupe électrogène) ainsi que ses caractéristiques intrinsèques, seront étudiés de
manière à ce que toute extension de matériels réclamant une énergie ondulée soit possible.
Il est à noter que pour ce qui concerne les PABX, le maintien des batteries en tampon doit être
au minimum de l’ordre de 48 heures.
6.1.1.1.3 Climatisations et ventilations
Les climatisations, quelles soient autonomes ou centralisées, associées aux ventilations sont des
éléments dont l’importance est vitale pour la vie des matériels (serveurs, PABX, ..) par nature
N◦ /SGDN/DCSSI/SDO/BAS Page 14 sur 46Recommandations de sécurisation – Messagerie
fortement exothermiques. En effet, elles permettent de les réguler en température et hygrométrie
évitant ainsi les surchauffes et diminuant par voie de conséquence le risque incendie. On prendra
soin pour les climatisations de relever le type, la nature, et la puissance de dissipation frigorifique.
L’existence d’une redondance, afin d’assurer une forte disponibilité, est fortement conseillée.
Pour produire du froid, l’élément réfrigérant doit être compressé à partir de compresseurs eux-
mêmes devant être refroidis. Pour cela, des échangeurs thermiques (aérothermes) protégés en mal-
veillance (blocage volontaire des pales de ventilation) devront être installés et disposés de manière
à ce qu’ils ne causent aucune nuisance sonore (vitesse des pales provocants des sifflements) ni
vibratoire.
Les VMC (Ventilation Mécanique Centralisé) seront judicieusement positionnées en particulier
les prises d’aération (au regard des pollutions de l’environnement et des vents dominants). Les
différentes conductions de ventilation (gaines, faux planchers/plafonds..) et les reprises d’air doivent
être vérifiées au moins une fois l’an et les filtres changés selon l’environnement deux à quatre fois
par an.
L’ensemble climatisation/ventilation se doit d’être asservi en arrêt sur une détection confirmée
d’incendie, afin de ne pas devenir un vecteur de propagation.
6.1.1.1.4 Incendie
Indépendamment des obligations légales (IGH, (Immeubles de Grande Hauteur) . . .), il est né-
cessaire que les locaux accueillants les matériels du système d’information ou y contribuant (ondu-
leurs, cellules climatisation, énergie, . . .) soient protégés contre l’incendie. À cet égard, on choisira
la nature (flammes, températures, fumées, . . .) et le type de la détection (statique, différentiel,
vélocimétrique, . . .) afin de l’approprier au risque le plus probable (une solution mixte peut être
envisagée). Des solutions, manuelles (extincteurs appropriés) ou automatiques (gaz non halogénés,
eau pulvérisée, . . .), d’extinction sont à mettre en œuvre pour compléter et agir rapidement sur
l’extinction d’un incendie.
Les locaux ainsi que les gaines de ventilation, faux planchers/plafonds devront périodiquement
faire l’objet d’un dépoussiérage afin d’éviter ce vecteur complémentaire d’incendie. Des alarmes
sonores et lumineuses locales avec renvoi vers un poste de surveillance devront accompagner l’ac-
tivation de ces détections. On relèvera la présence des d’éléments combustibles (revêtement des
parois, , . . .), lieux de stockage (papier, . . .), disposition relative des locaux, afin d’agir sur ces
éléments pour abaisser le risque d’incendie.
Enfin, il est indispensable d’avoir à disposition des procédures et des consignes relatives à
l’incendie tant en prévention qu’en action.
6.1.1.1.5 Dégâts des eaux
Les locaux revêtant un caractère sensible au regard du système d’information ou contribuant à
sa disponibilité doivent être protégés contre le dégât des eaux (inondations, rupture de canalisation,
. . .). Si en terme de confidentialité le positionnement en sous-sols semble remporter la faveur, il est
indispensable que ces locaux soient dotés de faux planchers munis de détecteurs d’humidité couplés
à des pompes de relevage et rendus étanches au regard des étages supérieurs, ou s’inscrire dans des
unités totalement cuvelées.
6.1.1.1.6 Contrôles des accès anti-intrusion
Dans le cadre général, un premier niveau de contrôle d’accès (niveau de l’enceinte du site), ainsi
qu’un second niveau (accès aux bâtiments), doivent être installés séparément ou confondus selon
la nature du site, leur nature (contrôle humain, électronique, mixte...) et leur type (contrôle visuel,
portiques, badges, cartes électronique...).
Pour les locaux sensibles (serveurs, PABX, ...), un contrôle d’accès dans un régime restrictif
quel qu’en soit le type et la nature sera indépendant ou intégré aux autres contrôles d’accès.
N◦ /SGDN/DCSSI/SDO/BAS Page 15 sur 46Recommandations de sécurisation – Messagerie
Des systèmes anti-intrusion, actifs ou passifs, à différents niveaux (enceinte, bâtiments, locaux
sensibles...) doivent être mis en œuvre. Leur type et leur nature (grillage, barreaux, radars, infra-
rouge...) doivent être choisis d’une manière cohérente au regard de l’environnement.
Les alarmes, des contrôles d’accès et des dispositifs anti-intrusion, ainsi que leurs renvois intégrés
ou non dans une unité de gestion centralisée, doivent impérativement être complémentés par des
consignes et des procédures.
Ces mesures organisationnelles doivent être cohérentes entre elles ainsi qu’au regard de leur
environnement. Une redondance minimum et une autonomie sont indispensables afin de permettre
une continuité a tous les niveaux des contrôles d’accès et des dispositifs anti-intrusion.
AVERTISSEMENT
Les alarmes techniques et celles concernant les contrôles d’accès/anti-intrusion sont de natures
différentes. On s’attachera à ce quelles ne soient pas gérées par les mêmes personnes et quelles ne
soient pas techniquement regroupées.
6.1.2 La défense au niveau du réseau
Il faut comprendre ici la défense des flux circulant sur le réseau (limiter les flux autorisés, les
chiffrer (contre l’écoute et le piratage de session), limiter l’utilisation de logiciels d’écoute 3 . . .),
ainsi que des flux entrants ou sortants du périmètre du réseau (mettre en place des moyens de
filtrage, limiter les flux autorisés, limiter les connexions non contrôlées comme les modems).
6.1.2.1 Utilisation de commutateurs
La mise en place d’un environnement réseau sécurisé passe par la mise en œuvre de com-
mutateurs bien administrés. En effet si l’on se passe de commutateurs 4 et que l’on utilise des
concentrateurs 5 , tout le trafic est « diffusé » sur la totalité du réseau local, sans contrôle possible
par l’expéditeur ou le destinataire. Ainsi, si quelqu’un écoute le trafic local, il peut recevoir des
informations qui ne lui sont pas destinées. L’utilisation de commutateurs est d’autant plus recom-
mandée que la grande majorité des protocoles utilisés par les applications classiques (messagerie
électronique, navigation Web, accès à des fichiers distants. . .) ne sont pas chiffrés. Cependant, il
faut noter que la protection apportée par un commutateur n’est pas parfaite, car sujette à des
attaques au niveau du protocole de résolution d’adresse (ARP), et doit être complétée par d’autres
mesures découlant du principe de défense en profondeur.
6.1.2.2 Mise en place d’outils de détection d’intrusion
6.1.3 La défense au niveau des hôtes
Elle consiste à durcir le système d’exploitation d’un composant, ainsi que ses relations avec les
autres composants du SI.
6.1.4 La défense au niveau des applications
La sécurisation d’une application s’appuie sur des mécanismes propres à l’application, mais
aussi sur la sécurisation du système d’exploitation sans lequel elle ne peut exister.
6.1.5 La défense au niveau des données
Les données, stockées comme transmises, sont particulièrement vulnérables (mots de passe,
contenu de fichiers, de messages électroniques. . .). Le chiffrement et/ou des mesures de contrôle
d’accès discrétionnaires permettent de protéger les données stockées. De même, des données trans-
mises sous forme chiffrée seront moins vulnérables en cas d’interception.
3 également appelés « sniffers »
4 également appelés « switchs »
5 également appelés « hubs »
N◦ /SGDN/DCSSI/SDO/BAS Page 16 sur 46Recommandations de sécurisation – Messagerie
6.2 Principe du moindre privilège
Le principe du moindre privilège est de ne permettre que ce qui est strictement nécessaire à
la réalisation de la fonction recherchée. Comme le principe de défense en profondeur, il se décline
à tous les niveaux d’un SI. Il se traduit, par exemple, par la limitation des droits accordés à
un utilisateur à ceux nécessaires pour remplir sa mission (utilisation du système, administration,
gestion des sauvegardes. . .) et à aucun autre.
N◦ /SGDN/DCSSI/SDO/BAS Page 17 sur 46Recommandations de sécurisation – Messagerie
7 Sécuriser : mesures générales
7.1 Relevé de configuration
Il est recommandé d’établir et de tenir à jour un relevé de configuration des serveurs en dis-
tinguant les différents types de serveurs et leur localisation dans l’architecture globale du système
d’information. Pour chacun de ces types, un document décrira les choix de configuration réalisés,
et la liste des mesures particulières à ces systèmes comme, par exemple :
– les choix réalisés lors de l’installation, en terme de partitions, de paramétrages du BIOS. . .
– les procédures liées à l’identification/authentification des utilisateurs et des administrateurs ;
– la liste des applications installées et leur version ;
– la liste des services installés, leur propriété (démarrage automatique, manuel. . .), la liste des
services désinstallés ;
– le niveau de mise à jour appliqué, en détaillant les mises à jour principales, comme les «
Service Packs » de Windows, les correctifs cumulatifs, postérieurs aux Service Packs, tels
que les « Rollup Patches » de Windows et les correctifs individuels, postérieurs aux Rollup
Patches, appelés « Hotfixes » dans les environnements Windows ;
– les règles de contrôle d’accès aux ressources, et les droits positionnés sur les clés de registre,
répertoires et fichiers ;
– les règles d’audit et de journalisation ;
– les mesures de chiffrement et d’empreintes des fichiers critiques contenus sur les serveurs.
Les aspects liés à l’organisation doivent également être décrits. Ce document devra en particulier
être utilisé pour toute nouvelle installation de serveurs de même type. Un volet exploitation devra
préciser les tâches liées à la sécurité devant être assurées. On pourra pour cela s’inspirer de la
structure du présent document.
L’objectif de ce document est multiple :
– assurer une continuité de service en cas d’absence de l’administrateur chargé de l’installation
du système ;
– faciliter la constitution d’annexes techniques à la PSSI ;
– savoir sur quels composants assurer une veille technologique.
Ce relevé de configuration papier du serveur contient des informations permettant d’accéder
aux paramétrages du serveur, d’identifier les versions du système, des applications, des services,
etc. Il doit donc être identifié comme confidentiel et stocké dans un endroit protégé (local fermé à
clé par exemple).
D’une façon pratique, ce relevé de configuration peut être constitué en consignant les choix
réalisés lors de l’application des différentes parties de ce document. Ce relevé devra bien évidement
faire l’objet de mises à jour aussi souvent que nécessaire, comme indiqué au paragraphe 9.1.1 page
38.
7.2 Préalables de l’installation
7.2.1 Vérification du système sous-jacent
Avant toute installation d’un logiciel, il convient de vérifier que le système, au sens large (système
d’exploitation ou applicatif) a été installé dans les mêmes conditions que celles décrites ultérieu-
rement et qu’il a fait l’objet d’une sécurisation en se référant, par exemple, au guide DCSSI ad
hoc. Cette partie complète les pré-requis évoqués au début de ce document, partie 3.1.
D’autre part, le système devrait être installé à partir d’une nouvelle version, et il ne devrait
pas être installé à partir d’une mise à jour d’une ancienne version.
N◦ /SGDN/DCSSI/SDO/BAS Page 18 sur 46Recommandations de sécurisation – Messagerie
7.2.2 Version du serveur de la messagerie à installer
Il pourrait paraître naturel d’installer la version française du serveur de la messagerie. Cepen-
dant, un des principes de base de la sécurisation est de maintenir le serveur de la messagerie au
dernier niveau de mise à jour disponible. Or l’expérience montre qu’il existe un décalage de plu-
sieurs jours, voire plusieurs semaines, entre la publication d’un correctif dans le langage de l’éditeur
et sa version francisée, même si ce délai tend à se réduire au fil des ans. Il est donc recommandé
d’installer le serveur de la messagerie dans sa version anglaise, plutôt que sa version francisée.
7.2.3 Vérification des sources d’installation
Lors de l’installation d’un élément logiciel (système d’exploitation ou applicatif) sur une ma-
chine, plusieurs méthodes sont disponibles :
– installation depuis un média physique commercial (disquette, CD-ROM, . . .) ;
– installation à partir d’une archive préalablement téléchargée sur un réseau externe à l’entité ;
– installation directe au travers d’un réseau externe à l’entité.
7.2.3.1 Média physique
Il s’agit certainement du mode d’installation le plus sûr bien qu’un certain nombre de pré-
cautions restent nécessaires. Il convient tout d’abord de s’assurer que le média proposé n’est pas
une contrefaçon mais qu’il émane bien directement de l’éditeur. Ensuite, il convient d’examiner le
contenu de ce média avec un anti-virus et ce quelque soit sa provenance. En effet, il se peut que des
personnes indélicates aient introduit des programmes malicieux (virus, chevaux de Troie, etc. . .)
au cours du processus d’élaboration du média.
Si les fichiers présents sur le média ont fait l’objet d’une signature numérique par l’éditeur, il
convient de vérifier la validité de cette signature en utilisant la clé publique de l’éditeur et les outils
adéquats. Ceci ne constitue cependant pas une preuve irréfutable de l’exemption de contenu mali-
cieux qui aurait pu être introduit à l’insu de l’éditeur avant qu’il ne signe le contenu du média. De
plus, la signature électronique ne peut qu’être un élément de preuve de l’identité de l’émetteur
suivant de nombreux paramètres (dispositif cryptographique employé, mode de récupération de la
clé publique, soin apporté par l’éditeur dans la gestion de ses clés privées, etc. . .). Il convient donc
de bien comprendre les éventuels mécanismes cryptographiques mis en jeu avant de donner une
confiance aveugle à une signature électronique.
7.2.3.2 Installation d’un applicatif téléchargé
La problématique reste la même que pour un support physique. Il convient toujours d’effec-
tuer une analyse antivirale avant installation. Le problème supplémentaire posé ici réside dans le
mode de récupération des sources qui ne peut être considéré comme sûr. Les mécanismes cryp-
tographiques peuvent permettre de sécuriser ce canal de récupération mais certains problèmes
peuvent subsister. On pourra se référer à la note d’information n◦ CERTA-2001-INF-004 émise par
le CERTA traitant du sujet « Acquisition des correctifs » dont la problématique est proche.
7.2.3.3 Installation directe depuis un réseau externe
Cette approche est à proscrire absolument car il ne vous est laissé aucune possibilité de person-
naliser le processus de vérification des sources avant installation si ce processus existe. Il convient
donc de séparer ces deux tâches d’autant plus que l’installation directe depuis Internet suppose
que vous interconnectiez une machine que vous n’avez pas encore sécurisé ce qui serait une grave
erreur.
N◦ /SGDN/DCSSI/SDO/BAS Page 19 sur 46Vous pouvez aussi lire
