ConnecTIC Mada : Sécurisation des Communications Unifiées

Sécurisation des Communications Unifiées

De nos jours, la sécurité moderne des systèmes d’information n’est pas seulement une affaire de produits, mais elle doit être pensée et conçue non seulement comme une propriété intrinsèque de chaque composant du système d’ensemble. Mais plus largement, elle doit se décliner sous forme d’un écosystème dynamique qui se compose d'unités actives de sécurité, intelligentes qui fonctionnent et interagissent de façon synchronisée. Le tout dans le cadre d’un cycle d’opération complet qui inclut non seulement les équipements de sécurisation et leurs propriétés de sécurité, mais aussi les procédures qui vont permettre de vérifier leur efficacité ainsi que les procédures qui vont permettre d’assurer l’évolution face à l’évolution du risque.

La Communication Unifiée sur IP est probablement l’application de l’entreprise qui, de nos jours, met le plus en évidence la nécessité d’une telle approche. En effet, une solution de communications unifiées se compose de plusieurs ensembles de composants qui sont à la fois nombreux et complexes dans leur fonctionnement. Ces ensembles incluent les terminaux (téléphones matériels ou logiciels, et applications de communication), des serveurs, de nombreux protocoles de communication, et pour finir l’infrastructure qui accueille physiquement les terminaux et qui assure le transport de bout en bout des communications.

Maitriser l’ensemble des produits et des technologies mis en action nécessite une véritable expertise. Et la réalité du risque qui pèse sur ces nouvelles applications de collaboration, augmente la nécessité pour chaque entreprise d’anticiper tous les cas de sinistres possibles. La réponse à ce besoin passe par la nécessité de se doter des moyens humains et techniques qui permettront de faire face efficacement à la menace y compris quand celle-ci n’est pas connue à l’avance.

En tant que constructeur de solutions de Communications unifiées Cisco porte d’importants et

constants efforts sur la capacité de chaque composant actif à lutter contre des agressions et à alerter l’équipe de surveillance de l’entreprise. D’autre part, en tant qu’utilisateurs intensifs de nos propres solutions de communication et soumis à une forte exposition au risque dû aux challenges que représentent ces nouvelles technologies pour la communauté des attaquants, nous bénéficions d’un savoir faire en matière de sécurisation, directement issu du déploiement, lors de ces sept dernières années, de la communication unifiée au sein de notre propre entreprise.

Ce document a pour objectif d’illustrer la stratégie de défense Cisco d’une solution de Communications unifiées, et ce sous tous ses aspects techniques.

L’analyse de risques

L’approche pour traiter les problématiques de sécurité n’est pas une approche spécifique à Cisco. C’est une approche bien connue depuis bien longtemps dans le domaine de l’industrie, c’est l’analyse de risque.

En tant que constructeur, l’analyse de risque nous permet de mettre en évidence les points de vulnérabilité de notre solution, puis ensuite de les éliminer. Et c’est l’engagement que Cisco prend vis-à-vis des entreprises qui utilisent ses solutions. A savoir que pour chaque vulnérabilité identifiée sur un des éléments qui composent la solution d’ensemble, Cisco apporte une correction et/ou une contre-mesure.

Dans chacun des composants d’une solution de Communications Unifiées existe plusieurs services ou plusieurs techniques qui vont leurs permettre de se protéger contre toute agression. De plus, la mise en collaboration de ces outils de défense amplifie la performance de la réponse aux agressions.

L’analyse de risques permet aux entreprises d’ajuster la réponse de sécurité en termes de choix d’architecture, choix de produits et choix de services de sécurité à implémenter, pour faire face à la menace telle qu’elle pèse réellement.

Elle permet l’évaluation d’une probabilité de sinistre, qui dépend d’une part du niveau de vulnérabilité et d’exposition aux risques de la solution matérielle et d’autre part du niveau d’agressivité qui pèse sur l’entreprise auquel s’ajoute le niveau d’impact ( la plupart du temps financier ) engendrée par une agression.

L’analyse de risque permet de mettre en adéquation l’importance de la réponse de sécurisation (et par voie de conséquence des coûts qui y sont associés) et le niveau réel de risque.

Le retour d’expérience que nous avons sur ce point nous permet d’identifier trois grands niveaux de sécurisation dans lesquels vont se retrouver chaque entreprise :

• Niveau 1 : Sécurité standard. Qui correspond à un usage classique des Communications Unifiées sur un réseau privé.

• Niveau 2 : Sécurité élevée. Qui correspond à un usage des Communications Unifiées sur un réseau privé dans un contexte d’entreprise critique.

• Niveau 3 : Sécurité Critique. Qui correspond à la mise en oeuvre des Communications Unifiées au sein de l’entreprise avec des communications au travers du réseau Internet Public.

Cette classification permet l'identification rapide des composants et des services de sécurité qui seront mis en oeuvre pour un profil d'entreprise connu à l’avance.

Les risques

En tant qu’applications de données hébergées par une infrastructure de réseau IP, les Communications Unifiées héritent des menaces et artifices mis en place pour les réseaux de données IP à savoir :

1 La reconnaissance (l’identification par scanning aveugle)

2 L’exploitation de failles de l’OS

3 Le déni de service

4 L’usurpation d’identifiant ou d’identité

5 L’écoute pirate

6 Le vol de données sensibles (Annuaire, ou messages confidentiels, etc.)

7 Corruption des systèmes d’extrémité