WatchGuard Technologies Inc.

1. WatchGuard Technologies Inc. Utilisation abusive d’Internet dans l’entreprise : comment garder le contrôle ? Pascal Le Digol CISSP – Responsable Technique Pierre Poggi StrategicAccount Manager france@watchguard.com

2. Agenda • Internet dansl’entreprise • Outil de communication et de progrès social• Internet = de nouveaux risques pour l’entreprise• Utilisation de l’accès au réseau et de la messagerie électronique pour des fins personnelles• Encadrer et limiter cette utilisation : outils juridiques et techniques • Garder le contrôle de ses flux • Politique de sécurité / Changement de comportement des utilisateurs• « Monitorer » et filtrer• Inspection HTTPS : pour quoi faire ?• Qui utilise la bande passante, avec quelles applications ?• Un Botnet, c’est quoi ?

3. La Société • Fondée in 1996, HQ à Seattle, Washington • ~500 employés • Pionnier dans l’appliance de sécurité (1996) • 1ère société à utiliser les fonctions de proxies applicatifs transparent (1997) • 2006: rajout des fonctionnalités UTM (Unified Threat Management) sur toute la gamme: Edge, Core, Peak. • Plus de 600,000 appliances déployées • Clients dans plus de 150 pays • Répartition des ventes mondiales • 50% Americas (Canada, USA, South America) • 38% EMEA • 12% APAC

4. WatchGuard Security Solutions • XCS • Anti-Spam • Web Security • Data Loss Prevention • Encryption • Queue Replication • XTM • Firewall • VPN • Reputation Enabled Defense • SpamBlocker • WebBlocker • Gateway AV • Intrusion Prevention Service

5. Utilisation d’Internet au sein de l’entreprise Rencontre entre deux univers divergents Internet : monde de liberté individuelle Entreprise : monde de règlementations et de préservation des droits des tiers L’employeur est responsable des agissements de ses salariés Responsabilité civile de l’employeur du fait de ses préposés (article 1384 alinéa 5 du Code civil) Prérogatives du pouvoir de direction: Fixer les modalités d’usage d’Internet et des TIC Mettre en place des dispositifs de surveillance Contrôler et sanctionner les abus Les Lois HADOPI entrent dans le cadre de cette gestion des risques (Haute Autorité pour la diffusion des œuvres et la protection des droits sur Internet)

6. Utilisation d’Internet au sein de l’entreprise Internet = de nouveaux risques pour l’entreprise Utilisation de l’accès au réseau à des fins personnelles, en laissant des traces de l’entreprise Encombrement de la bande passante Mise en cause de la sécurité informatique (virus, malware, botnet) Téléchargement illicite de fichiers Utilisation de la messagerie électronique à des fins personnelles Divulgation d’informations confidentielles Diffamations et injures en ligne ….

7. Article 6 – Délit de négligences « Obligation de surveillance par les usagers : toute personne titulaire d'un accès à des services de communication au public en ligne aura l'obligation de veiller à ce que cet accès ne fasse pas l'objet d'une utilisation à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d'œuvres ou d'objets protégés par le droit d'auteur. » Les recommandations adressées aux abonnés par la HADOPI les informent sur l'offre légale en ligne, sur la date et l'heure des usages illicites constatés et sur l'existence de moyens de sécurisation

8. Article 2 – Réponse Graduée Dispositif de réponse graduées : Définition des mesures que l'HADOPI pourra mettre en œuvre pour prévenir et mettre fin aux manquements aux obligations d'un abonné à Internet (manquements eux-mêmes définis à l'article 6 du projet de loi) : • Recommandation, envoyée à l'abonné par voie électronique, l'avertissant des sanctions encourues en cas de renouvellement du manquement • En cas de renouvellement dans un délai de six mois, nouvelle recommandation éventuellement assortie d'une lettre remise contre signature • En cas de méconnaissance de la recommandation dans un délai d'un an, possibilité de suspension de l'accès à Internet (pour une durée variant d'un mois à un an), assortie de l'impossibilité de souscrire un autre contrat pendant la même période

9. Mais pourtant !!!! • Je suis protégé monsieur le juge !!

10. Changement de comportement des utilisateurs • Que vont faire les particuliers qui auront peur de télécharger de chez eux ??? • La peur du gendarme.... et de la coupure de la connexion Internet les pousseront à télécharger sur leur lieu de travail • L’éducation des utilisateurs sera à la fois plus importante et … plus inutile….

11. Les outils Anti Hadopi 2 • Paradoxalement, Hadopi 2 vulgarise ces techniques plus ou moins évoluées auprès du grand public : • Metro, Les Echos , NouvelObs, etc… !!! • http://fr.wikipedia.org/wiki/Loi_Création_et_Internet • Blog Linux Manua (les 10 antidotes anti-hadopi) • jusqu’au routeur anti hadopi…

12. UltraSurf • UltraSurf est un anonymizer de seconde génération (et gratuit…) • Plus besoin d’aller sur un site Web Proxy , le logiciel le fait directement en SSL avec des adresses multiples et dynamiques • Trafic complètement encrypté via les ports ouverts (auto détection des ports disponibles en sortie par le logiciel)

13. Classement en France (Déc.10)

14. Filtrage des sites Web Une première étape pour se protéger • Le filtrage d’URL est la première barrière pour empêcher les utilisateurs d’aller sur : • des sites de téléchargement, • sur des sites de streaming • des proxies relais Internet

15. Contrôled’ApplicationsSampling of 2,300+ total and 1,500 unique application signatures Approved applications Unapproved or harmful applications

16. Comment bloquer les logiciels qui tentent de se cacher ? • Inspection du contenu HTTP encrypté via SSL • Une fois décrypté, le flux est identifié comme flux HTTP légitime ou comme du flux applicatif encapsulé en SSL

17. Importation du certificat pour l’inspection HTTPS du Firewall dans le navigateur de l’utilisateur Un nouveau certificat avec le détails du site web est signé avec la clef du Firewall La connexion ssl récupère le certificat du site web L’utilisateur tente d’accéder le site web en HTTPS La connexion ssl est établie avec un certificat web resigné par le firewall Analyse de contenu HTTPS Site Web Sécurisé Firebox HTTPS Inspection INTERNET

18. Tous les équipements de sécurité n’ont pas les mêmes capacités • Tous les équipements de sécurité ne filtrent pas les sites Web • Tous les équipements de sécurité ne filtre pas le contenu des pages Web • Tous les équipements de sécurité n’inspectent pas les flux cryptés • Tous les équipements de sécurité ne disposent pas forcément de la granularité voulue au niveau de la politique de sécurité • Etc...

19. Authentification transparente :Qui est qui? • Authentification automatique des utilisateurs de l’AD, pas d’authentification manuelle des utilisateurs (et donc pas de risque de fraude) – association adresse IP – nom d’utilisateur • Utilisation d’un agent SSO pour donner les informations au Firewall de manière automatique Alice autorisée sans avoir à s’identifier manuellement Requête SSO Alice se logue SSO Info Utilisateur : Alice = IP 10.0.1.100 SSO Agent

20. Hadopi et les Botnets • L’entreprise a la responsabilité de se sécuriser et de nettoyer son réseau des machines zombies fournissant un partage ou des téléchargements automatiques, avec les pénalités associées en cas de manquement (les sanctions sont sur l’entreprise, pas les employés) • Comment identifier un téléchargement d’un employé par rapport à celui d’une machine Zombie? Ou tout simplement… comment arriver à repérer les Botnets qui sont de plus en plus perfectionnés ?!

21. Reputation Enabled Defense • Nouvel abonnement de sécurité • Disponible sur les appliances XCS et XTM dans les bundles sécurité • Bénéfices • Sécurité dynamique dans le Cloud • Surf Web plus rapide • Fonctionne de manière complémentaire avec AV, IPS et WebBlocker • Productivité augmentée en bloquant seulement une partie des sites

22. Tracer les connexions en temps réel • Affichage du débit par connexion et détection des comportements « louches » • Trouvez qui utilise trop la bande passante et qui télécharge peut être !

23. Projet de Spécifications Fonctionnelles HADOPI (SFH)  • « Les journaux sécurisés doivent être archivés et conservés par le titulaire de l’abonnement pendant la période d’une année » • Élément 1 : Observation en temps réel et sans enregistrement des flux et protocoles qui transitent par l’accès ; sur la base de l’observation et de la politique de sécurité choisie, une ou plusieurs des actions techniques suivantes peuvent s’appliquer : laisser faire ou bloquer (selon des critères définis dans le présent document, et qui incluent notamment le type de flux ou protocoles, selon le protocole applicatif, des listes1, des caractéristiques de formats, de débits, de volumes, des profils d’utilisateurs, des plages horaires). • Élément 2 : Analyse optionnelle de la gestion de configuration informatique (ex : analyse statique de la configuration de postes informatiques ; logiciels installés), analyse statique de la configuration réseau (ex : analyse de la configuration routeur / boîtier ADSL) ; analyse dynamique des logiciels en fonctionnement, et contrôle des utilisations par le titulaire de la connexion. • Élément 3 : Affichage de notifications et d’alertes pédagogiques (ex : « Vous allez télécharger un fichier en utilisant le protocole pair à pair « nom du protocole » : voulez-vous continuer ? »). • Élément 4 : Double journalisation(version normale en clair et version sécurisée ; les deux versions sont identiques, sauf si la version en clair est manipulée) des événements significatifs (ex : éléments de la vie interne du moyen de sécurisation : démarrage, arrêt, activation, désactivation, modification des profils de sécurité, etc. ; • Les éléments 1, 2 et 3 sont à la discrétion et dans les termes choisis par le titulaire. L’élément 4 est obligatoire et s’opère automatiquement dès lors que le moyen de sécurisation est en fonctionnement (même si les éléments 1, 2 et 3 ne sont pas activés).

24. Archivage des logs Le Firebox envoie ses logs chiffrés au Serveur de Logs L’Administrateur Réseau et Système consulte logs et rapports Les Logs sont stockés dans une base SQL et archivés pour la durée légale nécessaire

25. Serveur de Logs et Rapports • WatchGuard Log Server • Protocole propriétaire basé sur TCP (en mode connecté) • Automatiquement Chiffré • Mécanisme de backup • Alternative au standard de fait “Syslog” qui ne convient pas à cette fonction • Le WatchGuard Log Server est inclut en standard avec les produits WatchGuard

26. Logs are stored in a SQL Database Firebox connects to Log Server to store the logs Log Viewer Automatic Refresh of reports Report Manager Report Server Log / Report Architecture Log Server Firebox

27. Génération de rapports sur les utilisateurs • Les rapports deviennent une obligation pour s’assurer du bon usage d’internet par ses utilisateurs • Un outil essentiel pour affiner la politique de sécurité

28. Réponse Graduée

29. Ajustement de la charte d’entreprise • La Charte d’entreprise devra refléter les obligations de l’entreprise vis-à-vis de cette loi

30. Quid de la Politique de sécurité en entreprise • Arriver à bloquer tous les types de trafic de type téléchargement ou streaming va devenir un casse tête pour les administrateurs

31. XTM, XCS et VPN SSL Une combinaison de solutions regroupées dans une seule appliance.

32. Résumé des Avantages : Productivité améliorée Simple à installer et à administrer Moins de problèmes d’administration : Appliance « tout-en-un » Couts d’exploitation faibles Compliance assurée Permet la mise en place de règles spécifiques fonctionnalités d’audit et reportingen standard Les services LiveSecurity offre le Support Technique, les mises à jour mineures et ainsi que la garantie matérielle avec échange anticipé. Retour sur Investissement maximisé

33. Merci !