Une semaine chargée en failles dans les systèmes industriels

Dans la foulée des bulletins de sécurité publiés la semaine dernière par les grands acteurs de l’IT, les vendeurs de composants des systèmes industriels ont publié leur liste de failles !!!

Continuer la lecture de Une semaine chargée en failles dans les systèmes industriels

J’ai testé le dernier zero-day jQuery… et c’est moche

J’ai lu de nombreux articles qui alertaient sur un zero-day qui exploite une vulnérabilité du plugin jQuery File Upload et qui permet une exécution de code à distance (snif!) . L’ensemble des versions de jQuery File Upload antérieures à la version 9.22.1 est concerné par cette vulnérabilité. Du coup, je me suis penché sur cette vulnérabilité. Cette publication a pour objectif de décrire le fonctionnement du zero-day et voir comment il peut être utilisé pour disposer d’un terminal sur la machine vulnérable.

Continuer la lecture de J’ai testé le dernier zero-day jQuery… et c’est moche

Sécurité des API : pilier de la transformation des systèmes d’information modernes

Le recours aux API se densifie dans les organisations dans le cadre d’un coté la transition numérique des organisations, désigné plus simplement par transformation digitale, et de l’autre la modernisation des architectures des systèmes d’informations.

Continuer la lecture de Sécurité des API : pilier de la transformation des systèmes d’information modernes

Techniques de compromission d’une cible grâce à un fichier malveillant

Dans de précédentes publications, j’avais remonté le cas d’attaques qui ciblent notamment les employés d’opérateurs de systèmes critiques. Ces attaques consistaient à la transmission d’e-mails contenant un fichier qui embarquait une charge malveillante. Cette charge avait pour principal objectif la collecte d’informations sur l’organisation ciblée par l’attaque. Même si la forme semble anodine, à savoir la transmission d’un mail avec une pièce-jointe malveillante, le fait que le contenu du mail et de la charge soient spécifiquement préparés afin d’être ouverts par une cible identifiée doit être considéré comme une attaque ciblée.

Cette publication a pour objectif de présenter le volet technique de l’attaque à savoir la mise en place et l’utilisation de la charge malveillante. Ce volet utilisera des fonctionnalités élémentaires, pour certaines non-détectables par des logiciels antivirus. Sachant que les états et les organisations criminelles disposent d’outils et de capacités largement plus conséquents que le contenu de cette publication.

Continuer la lecture de Techniques de compromission d’une cible grâce à un fichier malveillant

Le drone : nouveau vecteur d’attaque contre les systèmes d’information

L’actualité regorge de contenu sur le piratage des drones (une des cas d’(in)sécurité des objets connectés) et les conséquences associées… J’ai même contribué à une publication sur la sécurisation des drones pour une utilisation dans un contexte de gestion d’une municipalité 🙂 . Afin de changer de perspective, je me suis penché sur l’utilisation des drones comme un outil d’attaque, et non un vecteur d’attaque, contre les systèmes d’information.

Continuer la lecture de Le drone : nouveau vecteur d’attaque contre les systèmes d’information

Micro-segmentation : la technologie qui change les paradigmes de sécurité des infrastructures informatiques

L’avènement de la micro-segmentation est porté par les nouvelles approches de Software Defined Network basé sur un contrôle et une gestion centralisés des ressources réseaux ainsi que la virtualisation des ressources physiques. Elle se généralise dans les datacenters, car elle présente un certain nombre d’avantages en terme de flexibilité, d’efficacité opérationnelle et de coût… en fonction des solutions.

Au-delà des avantages, la micro-segmentation change radicalement deux paradigmes ancrés dans la sécurité des systèmes d’information : le positionnement de filtrage et l’organisation.

Continuer la lecture de Micro-segmentation : la technologie qui change les paradigmes de sécurité des infrastructures informatiques

Supervision de sécurité des systèmes d’information: les limites du modèle actuel

Le panorama des cyber menaces a radicalement changé ces dernières années : d’un côté des attaques de plus en plus violentes et qui exploitent les dernières vulnérabilités voire des vulnérabilités qui n’ont pas encore été dévoilées et d’un autre côté des attaques de plus en plus sophistiqués menées par des groupes de personnes très organisées, des attaques diligentées également par les états !

Dans ce contexte, la supervision de sécurité devient une composante structure du dispositif de protection contre les cyber attaques. Là où elle était un nice to have, elle est devenue le must have.

Continuer la lecture de Supervision de sécurité des systèmes d’information: les limites du modèle actuel

Pourquoi il y a autant de cyber méchants ?

La réponse n’est ni “parce que !”, et encore moins “parce que tu es gentil”. J’admets les références télés sont moisies, mais je ne pouvais pas m’empêcher de le faire… Bref ! Toute organisation qui souhaite améliorer la sécurité de ses systèmes d’information doit identifier sa surface d’attaque et les vulnérabilités qui permettent de protéger contre une cyber attaque. Les mesures techniques et organisationnelles que l’organisation met en oeuvre afin de protéger ses systèmes d’information ne peuvent être efficaces que, si et seulement, elles sont adaptées à l’attaquant et aux moyens qu’il utilise. Il est donc primordial pour l’organisation d’identifier qui est susceptible de l’attaquer et des moyens qu’il utilise pour arriver à ses fins ! Par ailleurs, cette compréhension de ses “ennemis”, désignée par threat intelligence, permet à l’organisation d’adapter en continue ses mesures de protection qu’elle opère au quotidien.

Continuer la lecture de Pourquoi il y a autant de cyber méchants ?

Quelles priorités en 2018, et plus, pour la cyber sécurité des organisations ?

Un début d’année est toujours un moment privilégié de prise de recul afin de faire le bilan de la période écoulée et, par-dessus tout, se projeter dans la nouvelle année voire dans les suivantes. La protection des organisations contre les cyber menaces n’échappe pas à l’exercice.

Dans cette publication, je me concentre sur six actions qui me semblent fondamentales pour la protection contre les cyber menaces. Ces actions s’articulent autour de trois composants : de protéger, détecter et réagir. Elles s’appliquent aux systèmes d’information hébergées dans les datacenters des organisations, mais aussi dans les infrastructures et services proposés par des fournisseurs de solutions dans le cloud.

Continuer la lecture de Quelles priorités en 2018, et plus, pour la cyber sécurité des organisations ?

security.txt, pour simplifier la notification d’une faille de sécurité à une organisation

Le fichier robot.txt situé à la racine d’un site web, et désigné en français par protocole d’exclusion des robots, est devenu le standard destiné à conditionner le référencement des pages du site web sur lequel le fichier a été mis en place. J’ai identifié une initiative intéressante, basée sur le principe de robot.txt, qui permet de proposer à tout internaute les informations nécessaires à la remontée d’une faille de sécurité qui concerne le site web d’une organisation.

Continuer la lecture de security.txt, pour simplifier la notification d’une faille de sécurité à une organisation