Chapitre 9 — Sécurité Physique & Gestion des Actifs

La sécurité physique est souvent négligée mais reste fondamentale : un attaquant physique peut contourner tous les contrôles logiques. Ce module couvre aussi la gestion des actifs et la destruction sécurisée des données.

Contrôles de Sécurité Physique

Mémorisez ! Défense en profondeur physique = concentric rings. Du plus externe au plus interne : Périmètre → Bâtiment → Espace → Racks. À chaque niveau, des contrôles différents : clôtures/caméras → contrôle d'accès → zones sécurisées → câbles Kensington.

Clôtures & Bollards : délimitation du périmètre. Les bollards (bornes anti-véhicule) empêchent les attaques par véhicule bélier (ram attack).
Caméras CCTV : surveillance vidéo. PTZ (Pan-Tilt-Zoom) = caméras orientables à distance. CCTV sans monitoring en temps réel = contrôle détective (non préventif).
Badges & Tourniquets : contrôle d'accès physique. Anti-tailgating = empêcher quelqu'un de suivre en profitant de l'ouverture d'une porte (piggybacking).
Sas de sécurité (Mantrap) : sas avec deux portes — la première doit se fermer avant que la seconde s'ouvre. Empêche le tailgating.
Gardes de sécurité : contrôle humain — détectent les comportements suspects, vérifient les identités. Limitation : coûteux et faillibles.
Câbles Kensington : verrous mécaniques pour ordinateurs portables.
Cages de Faraday : enclos métallique bloquant les signaux RF — utilisé pour les enquêtes forensiques (isoler un appareil) ou les salles sécurisées (SCIF).

Sécurité des Centres de Données

Accès biométrique : empreinte digitale, rétine, veine de la paume. Plus difficile à partager ou voler qu'un badge.
Surveillance de température & humidité : les salles serveurs fonctionnent dans des plages définies. Surchauffe = panne matérielle. Humidité excessive = corrosion, humidité insuffisante = décharge électrostatique (ESD).
Onduleurs (UPS) : alimentation sans interruption — protège contre les coupures courtes et les micro-coupures.
Générateurs diesel : alimentation de secours pour les coupures longues. Démarrent en quelques secondes. L'UPS couvre le gap entre la coupure et le démarrage du générateur.
Extinction incendie : systèmes à gaz (Halon remplacé par FM-200/Novec 1230) — n'endommagent pas les équipements électroniques, contrairement aux systèmes à eau.
Journaux d'accès : qui a accédé à quelle zone et quand. Essential pour l'investigation post-incident.

Gestion des Actifs

Inventaire des actifs : base de la sécurité — "vous ne pouvez pas protéger ce que vous ne savez pas que vous avez". Inclure : matériel, logiciels, données, services cloud.
Classification des actifs : catégoriser par sensibilité et criticité (Public, Interne, Confidentiel, Secret).
CMDB (Configuration Management Database) : base de données des Configuration Items (CI) — matériel, logiciels, connexions réseau, relations entre actifs.
Balisage des actifs : étiquettes physiques, codes-barres, RFID, QR codes pour le suivi.
Fin de vie des actifs (EOL/EOSL) : End of Life = plus vendu. End of Support Life = plus de patches. Systèmes EOSL = risque majeur car vulnérabilités non corrigées.

Destruction Sécurisée des Données

Mémorisez ! Destruction physique > Chiffrement + écrasement > Simple suppression logique. Pour les données très sensibles, toujours choisir la destruction physique (broyage, incinération, démagnétisation).

Effacement logique (Erasing) : supprimer les fichiers — insuffisant, les données restent récupérables.
Écrasement (Overwriting) : écrire des 0 et des 1 sur les données. DoD 5220.22-M = standard 7 passes. Efficace pour les HDD, pas pour les SSD.
Démagnétisation (Degaussing) : champ magnétique intense qui détruit les données sur les supports magnétiques (HDD, bandes). Inutile sur les SSD ou USB.
Chiffrement + effacement de clé (Cryptographic Erase) : chiffrer le disque entier, puis supprimer la clé de chiffrement. Les données sont irrécupérables sans la clé. Méthode recommandée pour les SSD.
Broyage physique (Shredding) : destruction physique du support. Standard pour les HDD/SSD très sensibles.
Incinération : destruction totale par le feu. Méthode la plus sûre.
Classification des méthodes :
- Sanitization (assainissement) = rendre irrécupérable tout en gardant le support utilisable (overwriting, cryptographic erase)
- Destruction = rendre le support inutilisable (broyage, incinération, démagnétisation)
- Purge = méthode reconnue pour un retour à l'état non-sensible

Astuce Examen

Le degaussing (démagnétisation) est inefficace sur les SSD et clés USB (pas de support magnétique). Pour les SSD : cryptographic erase ou destruction physique. Pour les HDD : degaussing, overwriting ou destruction. L'overwriting DoD 7 passes est lui aussi controversé pour les SSD modernes — préférer le cryptographic erase.

Quiz — Sécurité Physique & Actifs

1. Un sas de sécurité (mantrap) est conçu pour :

Détecter les objets métalliques sur les personnes Empêcher le tailgating en s'assurant qu'une seule personne passe à la fois entre deux portes Surveiller les entrées et sorties par caméra vidéo Bloquer les véhicules non autorisés

Mantrap = sas à deux portes (airlock). La première porte doit se fermer et verrouiller avant que la seconde s'ouvre. Empêche le tailgating (suivre quelqu'un en profitant de son accès). Souvent combiné avec un contrôle biométrique ou badge pour chaque porte.

2. Quelle méthode de destruction de données est appropriée pour un SSD contenant des données confidentielles ?

Démagnétisation (degaussing) Overwriting 7 passes DoD 5220.22-M Simple formatage rapide Cryptographic erase (chiffrement puis suppression de la clé) ou destruction physique

Pour les SSD : le degaussing ne fonctionne pas (pas de support magnétique). L'overwriting est problématique (le firmware SSD peut ne pas écrire là où on le demande — wear leveling). Cryptographic erase = méthode recommandée pour SSD (chiffrer avec AES, puis supprimer la clé). Ou destruction physique (broyage).

3. Une cage de Faraday est utilisée pour :

Protéger les équipements contre les incendies Empêcher les accès non autorisés aux racks de serveurs Bloquer les signaux électromagnétiques RF entrants et sortants (isolation radio) Contrôler la température d'une salle serveur

Cage de Faraday = enclos métallique qui bloque les champs électromagnétiques RF. Utilisations : 1) Forensique = isoler un téléphone/ordinateur pour empêcher l'effacement à distance (kill switch). 2) SCIF (Sensitive Compartmented Information Facility) = salle sécurisée anti-écoute. 3) Protection contre EMP (Electromagnetic Pulse).

4. Des bollards (bornes anti-véhicule) autour d'un bâtiment protègent contre :

Les attaques par véhicule bélier (smash and grab, ramming attacks) Les tentatives d'escalade des clôtures Les attaques par tailgating Les interceptions de communications Wi-Fi

Bollards = bornes de béton ou métal encastrées dans le sol autour d'un bâtiment. Empêchent les véhicules de percuter l'entrée (ram attack, vehicular terrorism). Souvent utilisés autour des banques, ambassades, centres de données. Ne protègent pas contre les attaquants à pied.

5. La "cryptographic erase" (effacement cryptographique) consiste à :

Chiffrer les données avec un algorithme irréversible Chiffrer un support entier, puis supprimer/détruire la clé de chiffrement Utiliser un algorithme de hachage pour rendre les données illisibles Écrire des données chiffrées par-dessus les données originales

Cryptographic erase = 1) Tout le disque est chiffré (ou l'était déjà). 2) La clé de chiffrement est détruite (supprimée du TPM ou HSM). Sans la clé, les données chiffrées sur le disque sont inutilisables même si physiquement récupérées. Méthode recommandée pour SSD, smartphones, et stockage cloud.

6. Un système d'extinction incendie à gaz (FM-200, Novec 1230) est préféré dans un centre de données car :

Il est moins coûteux que les systèmes à eau Il détecte les incendies plus rapidement Il ne laisse pas de résidus chimiques Il éteint le feu sans endommager les équipements électroniques, contrairement à l'eau

Systèmes à eau (sprinklers) = destruction certaine des équipements électroniques. Gaz inertes (FM-200, Novec 1230, CO2) = éteignent le feu en réduisant l'oxygène ou en absorbant la chaleur, sans dommages matériels. Note : CO2 est dangereux pour les humains, nécessite évacuation. FM-200 et Novec sont plus sûrs pour le personnel.

7. EOSL (End of Support Life) représente un risque de sécurité majeur parce que :

Le matériel s'arrête de fonctionner automatiquement La licence logicielle expire et bloque l'accès Le fabricant ne fournit plus de patches de sécurité, laissant les vulnérabilités découvertes non corrigées Le système ne peut plus être mis à jour manuellement

EOSL = plus de support du fabricant = plus de patches de sécurité. Les nouvelles vulnérabilités découvertes restent à jamais non corrigées. Ex: Windows XP (EOSL 2014) — EternalBlue (2017) a exploité des systèmes XP non patchés. Solution : migrer vers des systèmes supportés ou isoler (segmenter) les systèmes EOSL critiques.

8. Une CMDB (Configuration Management Database) est utilisée pour : Maintenir un inventaire des actifs IT avec leurs configurations et relations Stocker les clés de chiffrement des serveurs Gérer les comptes utilisateurs et leurs droits d'accès Centraliser les journaux de sécurité

CMDB = base de données centralisant tous les Configuration Items (CI) : serveurs, réseaux, applications, et leurs relations. Utilisée pour le change management, impact analysis, et la réponse aux incidents. Permet de savoir "si je modifie ce serveur, quels systèmes sont affectés ?" Outil clé d'ITIL/ITSM.

9. Le "degaussing" est la technique appropriée pour détruire les données sur : Un SSD NVMe Une clé USB Un disque dur magnétique (HDD) ou des bandes magnétiques Un smartphone

Degaussing = champ magnétique intense qui désorganise les domaines magnétiques. Fonctionne uniquement sur les supports magnétiques : HDD mécaniques et bandes magnétiques (LTO). Inefficace sur SSD, USB (mémoire flash), CD/DVD (optique), smartphones. Pour ces supports : cryptographic erase ou destruction physique.

10. La "défense en profondeur" physique (concentric rings) signifie : Utiliser le même type de contrôle à chaque niveau Implémenter des couches successives de contrôles physiques (périmètre → bâtiment → zone → rack) de sorte qu'un attaquant doit franchir plusieurs barrières Surveiller le périmètre physique avec plusieurs caméras redondantes Avoir plusieurs gardes de sécurité à chaque entrée

Defense in Depth physique = cercles concentriques. Ex: Clôture extérieure → Badges d'accès bâtiment → Sas (mantrap) → Badge accès salle serveur → Cage de rack verrouillée → Câble Kensington. Chaque couche ajoute du temps et de la difficulté pour l'attaquant, et une opportunité de détection.