Sécurité WebAttaques
Les types d'attaques
◊ Accès physique
il s'agit d'un cas où l'attaquant à accès aux locaux, éventuellement même aux machines :
- Coupure de l'électricité
- Vandalisme
- Ecoute du trafic sur le réseau...
◊ Intrusions
- Cross-site scripting (XSS)
- Balayage de ports (port scanning)
- Elévation de privilèges : ce type d'attaque consiste à exploiter une vulnérabilité d'une application en envoyant une requête spécifique, non prévue par son concepteur, ayant pour effet un comportement anormal conduisant parfois à un accès au système avec les droits de l'application. Les attaques par débordement de tampon (en anglais buffer overflow) utilisent ce principe.
- Maliciels (virus, vers et chevaux de Troie...)
◊ Dénis de service
Il s'agit d'attaques visant à perturber le bon fonctionnement d'un service. On distingue habituellement les types de déni de service suivant :
- Exploitation de vulnérabilité des logiciels serveurs comme l'Injection SQL
- Exploitation de faiblesses des protocoles TCP/IP comme l'IP Spoofing ou le SYN Flood
◊ Interception de communications
- Vol de session TCP (session hijacking)
- Usurpation d'identité (phishing)
- Détournement ou altération de messages
◊ Ingénierie sociale
Dans la majeure partie des cas le maillon faible est l'utilisateur lui-même !
En effet c'est souvent lui qui, par méconnaissance ou par duperie, va ouvrir une brêche dans le système, en donnant des informations (mot de passe par exemple) au pirate informatique ou en exécutant une pièce jointe. Ainsi, aucun dispositif de protection ne peut protéger l'utilisateur contre les arnaques, seuls bon sens, raison et un peu d'information sur les différentes pratiques peuvent lui éviter de tomber dans le piège !
◊ Trappes
Il s'agit d'une porte dérobée (en anglais backdoor) dissimulée dans un logiciel, permettant un accès ultérieur à son concepteur.
Source :
- CCM
