Quand la Threat Intel rencontre le DFIR – 1ère partie

Magazine
Marque
MISC
Numéro
85
Mois de parution
mai 2016
Domaines


Résumé
Qu’on se prenne pour James Bond ou pour un shaman, ce que notre industrie appelle la Threat Intelligence fait place à beaucoup de fantasmes que les vendors nourrissent joyeusement à chaque fois qu’un nouveau rapport est publié. Mais, concrètement, à quoi ça sert de « faire de la threat intelligence » ? Quelle est la différence par rapport au renseignement classique ? Quels sont les avantages concrets que le renseignement sur les menaces apporte lors de la gestion d’un incident de sécurité ? C’est ce que cet article cherche à expliquer, du point de vue de deux DFIRers.


1. La Troll Intelligence

Commençons par aborder certaines idées reçues sur la Threat Intelligence qui nuisent à la compréhension de la discipline et qui sont souvent la source de trolls bien velus.

1.1 Feeds. Feeds everywhere.

À écouter les forces de vente de sociétés de sécurité informatique ou en traînant l’oreille dans des conférences cyber « executives », la Threat Intelligence, c’est souscrire à des « Feeds ». Un feed, ou flux dans les allées de l’Académie Française, est une technique de distribution de données succinctes suite à un changement ou l'ajout de nouvelles données. Les flux ne sont pas destinés à être directement interprétables par un humain et nécessitent un agrégateur ou un interpréteur pour leur bonne lecture. Vous avez peut-être l’impression que nous sommes en train de parler de RSS, d'Atom et de syndication de contenus et vous auriez totalement raison !

Les Feeds donc, sont des « flux RSS » de malwares, C&C, de certificats...

Cet article est réservé aux abonnés. Il vous reste 97% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

Sécurisez votre réseau

Magazine
Marque
Linux Pratique
HS n°
Numéro
49
Mois de parution
novembre 2020
Domaines
Résumé

Maintenant que notre serveur principal est déployé et que nous y avons appliqué un premier niveau de sécurisation système, occupons-nous de sa sécurisation réseau. Nous allons détailler en quoi les attaques réseau sont primordiales dans notre modèle de menace. Comme nous le verrons, l’accès distant est le risque principal qui guette nos serveurs. Nous allons mettre en œuvre une sécurité en profondeur et les mesures de protection réseau en seront une de ses dimensions importantes.

CVE-2020-3433 : élévation de privilèges sur le client VPN Cisco AnyConnect

Magazine
Marque
MISC
Numéro
112
Mois de parution
novembre 2020
Domaines
Résumé

Cet article explique comment trois vulnérabilités supplémentaires ont été découvertes dans le client VPN Cisco AnyConnect pour Windows. Elles ont été trouvées suite au développement d’un exploit pour la CVE-2020-3153 (une élévation de privilèges, étudiée dans MISC n°111). Après un rappel du fonctionnement de ce logiciel, nous étudierons chacune de ces nouvelles vulnérabilités.

Introduction au dossier : Sécurisez vos serveurs et votre réseau local

Magazine
Marque
Linux Pratique
HS n°
Numéro
49
Mois de parution
novembre 2020
Domaines
Résumé

2020 aura été une année marquante pour nos vies et nos sociétés. Il aura fallu se réinventer, trouver des solutions à des situations exceptionnelles. Dans les entreprises, l'Éducation ou la Santé, la mobilisation des ressources informatiques aura été maximale. Nos infrastructures auront ployé, tangué, parfois presque craqué, mais au final, cela aura tenu.