Outils

Section

Fiches des outils de sécurité : à quoi ils servent, ce qu'ils montrent, ce qu'ils ne montrent pas, et dans quel cadre on a le droit de s'en servir.

Rubrique · 4 pages · 3 sous-sections

Outils

Réseau : cartographier et écouter

2 pages

Découvrir les machines et les services d’un réseau, capturer les échanges et lire ce qu’ils disent vraiment.

• Nmap pour cartographier un réseau, des hôtes aux services exposés
• Wireshark, capturer et lire des trames réseau avec filtres et TLS

Mots de passe

1 page

Casser hors ligne des empreintes de mots de passe, pour mesurer ce que vaut vraiment leur stockage.

• Hashcat pour casser hors ligne des empreintes de mots de passe

Distributions de test

1 page

Les systèmes qui rassemblent l’outillage du test d’intrusion, et pourquoi on n’en fait pas son poste.

• Kali Linux pour les tests d'intrusion, usages, limites et détection

Par où commencer

1. 1Réseau : cartographier et écouter

   Voir ce que le réseau expose

2. 2Mots de passe

   Éprouver le stockage des mots de passe

3. 3Distributions de test

   Rassembler l’outillage, hors de son poste

Voir l’affiche seule · Toutes les affiches

Outils

L’essentiel

Un outil de sécurité ne sait pas de quel côté il travaille. Le même programme sert à vérifier qu’une porte est fermée et à chercher laquelle ne l’est pas ; seuls changent l’intention de celui qui le lance et l’autorisation qu’il a, ou n’a pas, dans sa poche. Cette rubrique décrit ces outils un par un : ce qu’ils font, ce qu’ils laissent croire, et ce qu’ils apprennent à celui qui protège autant qu’à celui qui attaque.

Explication de la marmotte

Dans un atelier, chaque outil a sa place au mur, avec une étiquette : à quoi il sert, quand le sortir, et ce qu’il ne faut pas lui demander. Cette rubrique est ce mur pour les outils de sécurité informatique. Elle rappelle aussi qu’un pied-de-biche ne s’essaie que sur sa propre porte, ou sur celle d’un voisin qui a dit oui par écrit.

→ Lire l’explication complète de la marmotte

Lire une fiche d’outil

Toutes les fiches suivent le même ordre, pour qu’on puisse les comparer et aller droit à la question qu’on se pose :

• à quoi sert l’outil, en une phrase qui tient debout toute seule ;
• qui l’édite et sous quelle licence, parce qu’un outil gratuit n’est pas toujours libre, et qu’un outil libre a parfois des clauses qu’on découvre en le revendant ;
• quand on le sort, et quand un autre ferait mieux ;
• ce qu’il montre et ce qu’il ne montre pas : c’est la partie la plus utile, un résultat rassurant venant presque toujours d’un angle mort plutôt que d’une bonne nouvelle ;
• deux ou trois usages concrets, avec des commandes courtes et commentées ;
• ses limites et ses conditions d’exploitation ;
• le côté défense : ce que l’outil apprend sur son propre système, et comment on repère son usage par quelqu’un d’autre ;
• le cadre légal.

Les outils décrits

• nmap cartographie un réseau : quelles machines répondent, quels ports sont ouverts, quels services écoutent, et ce qu’un pare-feu placé sur le chemin fausse dans la réponse.
• Wireshark capture les trames et les décode couche par couche : filtres de capture et d’affichage, suivi d’un flux, et ce que le chiffrement cache ou laisse voir.
• hashcat casse hors ligne des empreintes de mots de passe : modes d’attaque, et pourquoi la fonction de hachage et le sel décident de presque tout.
• Kali Linux n’est pas un outil mais une distribution qui les rassemble : ce qu’elle contient, pour qui, et pourquoi on n’en fait pas son poste de travail.

La règle qui passe avant les autres

On ne scanne, n’écoute et ne casse que ce qu’on a le droit de tester : un périmètre défini, un accord écrit du responsable du système, des dates. En France, les articles 323-1 et suivants du code pénal répriment l’accès frauduleux à un système d’information, et la bonne foi de celui qui « voulait juste vérifier » n’y figure pas parmi les exceptions. Pour s’exercer, il existe des laboratoires, des machines à soi et des cibles mises à disposition par les éditeurs ; la page sur le test d’intrusion décrit comment un test se commande et se cadre quand il porte sur un vrai système.

🐝 Ce qui arrive si on s’en passe

Une équipe qui ne connaît pas ces outils défend un système qu’elle n’a jamais regardé de l’extérieur. Elle tient pour exacte la liste des services déclarés, alors que personne n’a vérifié ce qui répond réellement ; elle ignore à quoi ressemble, dans ses journaux, un scan ou une capture en cours, et ne sait donc pas les reconnaître le jour où ils ne viennent pas d’elle. L’attaquant, lui, utilise exactement ces programmes, gratuits et documentés. L’écart de connaissance joue alors entièrement en sa faveur : il sait ce que le système expose, et ceux qui en ont la charge l’apprennent par lui.

🦫 Explication de la marmotte 🍫

Cette rubrique présente des programmes utilisés en sécurité informatique. Chacun a une tâche précise : l’un dresse la liste des machines et des services d’un réseau, un autre enregistre les messages qui y circulent pour qu’on puisse les lire, un autre encore essaie de retrouver des mots de passe à partir de leur forme protégée. Ces programmes servent aussi bien à attaquer qu’à défendre. Celui qui protège un système s’en sert pour voir ce qu’un attaquant verrait, et pour corriger avant lui. Chaque fiche suit le même plan : à quoi sert l’outil, qui le fabrique, quand on l’utilise, ce qu’il montre, ce qu’il ne montre pas, des exemples, ses limites et la façon de repérer que quelqu’un s’en sert. La partie sur ce que l’outil ne montre pas est importante : un résultat qui semble rassurant vient souvent de ce que l’outil n’a pas pu voir. Enfin, la loi interdit d’utiliser ces programmes sur un système qui ne vous appartient pas sans l’accord écrit de son responsable. Pour apprendre, on s’exerce sur ses propres machines ou sur des cibles prévues pour cela.