Technologies & Protocols

🌐 24.1 — Protocoles de couche application et securite

Les protocoles de couche 7 (Application) du modele OSI sont les plus proches de l'utilisateur et donc les plus souvent exploites par les attaquants.

HTTP et HTTPS

HTTP et HTTPS sont les deux protocoles de couche 7 utilises pour la messagerie client-serveur web :

HTTP et iFrames malveillants

HTTP est le protocole exploite pour la creation d'iFrames malveillants. Un attaquant injecte un iFrame invisible dans une page web qui charge du contenu malveillant (exploit kit, drive-by download) dans le navigateur de la victime.

DNS : protocole de choix pour le C&C

Le DNS est le protocole le plus frequemment utilise par les malwares pour communiquer avec les serveurs de Command & Control (C&C/C2). Le trafic DNS est rarement bloque par les firewalls, ce qui en fait un vecteur ideal pour :

• DNS tunneling : encapsuler des donnees dans les requetes/reponses DNS
• DGA (Domain Generation Algorithm) : generer des domaines C2 aleatoires
• Fast Flux : changer rapidement les enregistrements DNS pour eviter la detection

IMAP et menaces email

Le protocole IMAP (Internet Message Access Protocol) menace la securite de l'entreprise car les emails importent des malwares dans le reseau. Les pieces jointes infectees, les liens de phishing et les macros malveillantes transitent par IMAP/POP3 vers les boites mail des employes.

VPN et chiffrement

La technique qui assure la confidentialite des donnees privees lors du transfert via VPN est le chiffrement (encryption). Le VPN cree un tunnel chiffre entre le client et le serveur, rendant les donnees illisibles pour quiconque intercepte le trafic.

📡 24.2 — ICMP et techniques de tunneling

Messages ICMP et filtrage

ICMP (Internet Control Message Protocol) est utilise pour le diagnostic reseau, mais certains types de messages doivent etre bloques en amont (upstream) :

ICMP Tunneling

L'ICMP tunneling est la methode utilisee par les malwares pour transferer des fichiers depuis les hotes infectes. L'attaquant encapsule des donnees (exfiltration) dans les champs de donnees des paquets ICMP Echo/Reply, qui passent souvent les firewalls car ICMP est considere comme un protocole de diagnostic inoffensif.

🕸️ 24.3 — Technologies P2P et Darknet

Reseaux Peer-to-Peer (P2P)

Les technologies utilisees dans les reseaux peer-to-peer incluent :

Tor (The Onion Router)

Tor est une plateforme logicielle P2P dont les participants fonctionnent comme des routeurs Internet. Le trafic passe par plusieurs relais (noeuds) chiffres en couches successives (comme un oignon), rendant la source pratiquement intraçable.

⚔️ 24.4 — Attaques basees sur les protocoles

Attaques NTP (Network Time Protocol)

Les acteurs de menace utilisent les attaques NTP pour corrompre le timing (horodatage) afin de dissimuler les traces de leurs exploits. En manipulant l'heure des systemes, ils rendent l'analyse forensique et la correlation des logs extremement difficile.

Reconnaissance et ACL

La reconnaissance est le type d'attaque qui determine quels adresses IP, protocoles et ports sont autorises par les ACL (Access Control Lists). L'attaquant scanne le reseau pour identifier les regles de filtrage et trouver des ports/protocoles ouverts qu'il peut exploiter.

🔧 24.5 — Technologies de securite reseau Cisco

Cisco WSA (Web Security Appliance)

Le Cisco WSA est un equipement qui fonctionne comme un proxy web. Il intercepte tout le trafic web sortant et entrant pour :

• Filtrer le contenu reseau et generer des rapports
• Bloquer par reputation : score de reputation des sites web
• Prevention DLP (Data Loss Prevention) : en analysant et journalisant le trafic sortant
• Detecter les malwares dans les telechargements

Cisco ESA (Email Security Appliance)

Le Cisco ESA protege contre les menaces email :

• Filtrage anti-spam et anti-phishing
• Detection de malwares dans les pieces jointes
• Verification SPF, DKIM, DMARC
• DLP pour les emails sortants