Dans ce chapitre, nous allons nous rappeler de différentes bonnes pratiques à adopter concernant la sécurité et surtout la confidentialité des données produites, traitées et stockées par Nmap.
L’utilisation de Nmap au sein d’un système d’information peut rapidement être catégorisée comme une action offensive. En conséquence, plusieurs précautions sont à prendre pour agir dans un cadre légal, mais garantir la sécurité des cibles visées, des données récoltées et du système utilisé pour le scan.
II. Obtention d'autorisations appropriées
Avant de scanner un réseau ou un système, assurez-vous d'avoir obtenu les autorisations appropriées. Scanner des systèmes notamment pour y détecter des vulnérabilités (scripts NSE) sans autorisation peut être illégal et entraîner des conséquences juridiques, notamment si la sécurité du système d’information n’est pas dans vos attributions officielles.
Les résultats produits par Nmap peuvent être considérés comme sensibles, notamment lorsqu’ils contiennent des informations sur les faiblesses du système d’information pouvant être exploitées par un attaquant. Mais aussi lorsqu’ils concernent des systèmes qui ne sont pas accessibles par tous (exemple : SI sensible, industriel, de santé, de sauvegarde).
Nous avons également vu qu’en fonction des scripts NSE utilisés, les résultats de scan NSE de Nmappeuvent aussi contenir des identifiants.
Ainsi, un individu malveillant qui parvient à accéder à ces résultats de scan aura sous la main une cartographie du système d’information et des nombreuses informations techniques, sans avoir lui-même effectué ces actions au risque de se faire détecter.
Il est donc important de veiller à ne pas collecter ou stocker de manière inappropriée des informations sensibles lors de l'utilisation de Nmap, cela inclut, entre autres, les points suivants :
Chiffrement des données de sortie : si vous avez besoin de stocker ou de transmettre les résultats de vos scans Nmap, assurez-vous de les chiffrer pour protéger la confidentialité des données. Cela empêchera toute interception non autorisée des informations sensibles. Dans l’idéal, les données devront être chiffrées dès leur sortie du système utilisé pour la réalisation du scan (une archive ZIP chiffrée avec un mot de passe robuste sera un très bon début).
Mise en place de contrôles d'accès : assurez-vous que seules les personnes autorisées ont accès aux résultats de vos scans Nmap à l’endroit où ils seront stockés. Mettez en place des contrôles d'accès appropriés pour protéger les informations sensibles contre les accès non autorisés.
Vigilance sur la manipulation des données : lors du transit, de la copie, du traitement des données de scan, assurez-vous de maîtriser strictement la sécurité des données. Cela signifie ne pas les laisser traîner dans le répertoire « Téléchargement » d’un poste connecté à Internet, ne pas les faire transiter au travers de votre application interne d’échange de fichier en HTTP, ne pas laisser votre Notepad ouvert sans verrouillage du poste pendant la pause midi, etc.
IV. Maitriser l’agressivité des scans
Nous l’avons vu tout au long du cours, Nmap peut être très verbeux au niveau réseau. Également, il peut être amené à envoyer des paquets qui ne sont pas bien formatés et qui ne respectent pas à la lettre la structure des protocoles dans les trames et paquets réseau qu’il génère. Toutes ces actions peuvent avoir un impact sur certains systèmes et services, parfois jusqu’à causer un dysfonctionnement ou une saturation des ressources système et réseau.
Il convient donc, pour éviter tout incident, de maîtriser le comportement de Nmap et de savoir l’adapter au contexte dans lequel il est utilisé via les différentes options vues dans ce cours. Nous n'utiliserons pas forcément Nmap de la même manière sur un système d’information contenant du matériel industriel que dans un réseau utilisateur composé de systèmes Windows protégés par un pare-feu local ou dans un coeur de réseau.
Les différents apprentissages du cours vous ont, je l’espère, appris à maîtriser et analyser le comportement de Nmap, mais le meilleur apprentissage reste la pratique. Assurez-vous donc de correctement maîtriser les options de Nmap que vous utiliserez.
V. Protéger le système de scan
Le premier module nous a permis de voir que Nmap nécessite dans la majorité des cas une exécution en tant que “root” ou administrateur local. Cela, car il réalise des opérations réseau parfois assez bas niveau au travers des librairies réseau, ce qui nécessite des permissions élevées et risquées du point de vue de la stabilité du système ou de la confidentialité des autres applications.
Ainsi, Nmap peut être vu comme un composant sensible du système sur lequel il est installé. Assurez-vous d'utiliser la dernière version de Nmap, car les versions plus anciennes peuvent contenir des vulnérabilités de sécurité connues. En utilisant une version à jour, vous pouvez minimiser les risques liés à l'utilisation de l'outil.
Si vous avez opté pour une utilisation de Nmap non pas via une session en tant que "root", mais en accordant des privilèges spécifiques à un utilisateur privilégié pour qu’il ait tout ce dont il a besoin pour utiliser Nmap ("sudo" ou capabilities), sachez que Nmap peut être utilisé dans le cadre d’une élévation de privilège complète :
Élévation de privilèges Nmap via sudo.
Ici, j’utilise la commande Nmap à travers "sudo", mais cela me permet d’obtenir un shell interactif en tant que "root" sur le système, ce qui n’était pas l’objectif initial.
Également il est vivement déconseillé d’installer Nmap sur des systèmes qui ne sont pas prévus pour réaliser des scans réseau à la base. Je pense notamment aux serveurs ou postes de travail. Cela ajouterait d’une part un vecteur potentiel d’élévation de privilège, mais surtout donnerait à l’attaquant un accès à un outil offensif sans effort.
Enfin, la sécurité du système utilisé pour le scan doit être assurée de façon plus large afin qu’il ne soit pas lui-même vecteur d’une intrusion ou d’une fuite d’informations. En tant qu’administrateur système, préférez utiliser un système dédié, idéalement avec une durée de vie limitée, plutôt que votre propre poste de travail.
VI. Conclusion
En conclusion, assurez-vous de correctement maîtriser Nmap avant toute utilisation dans des conditions réelles ou de production et soyez vigilant concernant le traitement et la gestion de ses résultats. Il serait dommage de causer des dommages, d’entraîner une fuite de données ou de faciliter une compromission alors que la démarche initiale va dans le sens d’une amélioration de la sécurité de son entreprise.
