De l’audit de code pendant un Red Team ?

Magazine
Marque
MISC
Numéro
108
Mois de parution
mars 2020
Domaines


Résumé

Pendant un Red Team, l’exhaustivité des découvertes est mise de côté pour privilégier l’efficacité en se concentrant sur l’identification des vulnérabilités à fort impact permettant de mettre rapidement un pied dans le système d’information ciblé.


Au cours de cet article, la méthodologie utilisée s’appuiera sur les vulnérabilités découvertes en conditions réelles lors d’un engagement Red Team [REDTEAM]. Les exemples choisis seront donc exclusivement illustrés par du code PHP, plus particulièrement sur le projet open source GLPI [GLPI]. Cependant, l’approche est complètement décorrélée du langage étudié et pourra donc être appliquée dans de nombreux contextes. Évidemment, la méthodologie utilisée et présentée n’est pas unique, mais a fait ses preuves dans un grand nombre de situations lors de missions de tests d’intrusion ou de Red Team.

1. Audit de code pendant un Red Team ?

Présentée de nombreuses fois, l’approche Red Team permet de manière pragmatique de couvrir de larges périmètres afin de découvrir des chemins critiques vers le système d’information ciblé ainsi que d’évaluer les capacités de détection et de réaction de la Blue Team (les équipes opérationnelles de...

Cet article est réservé aux abonnés. Il vous reste 97% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

GitHub Actions pour l'outillage offensif

Magazine
Marque
MISC
Numéro
115
Mois de parution
mai 2021
Domaines
Résumé

De nombreux outils disponibles sur GitHub sont publiés et mis à jour régulièrement, mais la parution de leurs binaires pour une plateforme interne laisse parfois à désirer. Les missions de Red Team requièrent de plus en plus le besoin de paramétrer les charges et outils afin de baisser leurs taux de détection par les antivirus et EDR. Cet article propose une solution simple à ces deux problématiques en utilisant GitHub Actions.

Exploration du standard HITAG2 utilisé pour le verrouillage des véhicules grâce à la SDR

Magazine
Marque
MISC
Numéro
114
Mois de parution
mars 2021
Domaines
Résumé

Depuis de nombreuses années, l’ouverture des véhicules ne se fait plus en insérant une clé dans une serrure mécanique comme c’était le cas auparavant. Le verrouillage, et même parfois l’allumage des phares, peuvent être réalisés à partir d’une transmission radio entre la clé et le véhicule. Cette fonctionnalité, devenue essentielle, doit nous questionner sur la sécurité mise en œuvre. Nous allons voir que jusqu’à récemment, beaucoup de systèmes de verrouillage déployés sont vulnérables à des attaques peu sophistiquées qui nécessitent peu de moyens.

Stocker ses secrets dans Git, une mauvaise pratique pouvant avoir de lourdes conséquences

Magazine
Marque
MISC
Numéro
114
Mois de parution
mars 2021
Domaines
Résumé

Dans un rapport datant d’avril 2020, GitLab indique que 18 % des dépôts analysés sur gitlab.com comportaient des problèmes de gestion des secrets. Quelles peuvent être les conséquences liées à ces erreurs ? Quelle stratégie adopter pour gérer au mieux ses secrets ?

Introduction au pentesting

Magazine
Marque
Linux Pratique
HS n°
Numéro
50
Mois de parution
février 2021
Domaines
Résumé

Il n’y a plus une semaine sans qu’une grande entreprise ne révèle publiquement qu’elle a été victime d’un piratage informatique. Entreprises privées, institutions publiques, et même sociétés de services spécialisées dans la cybersécurité, aucun secteur n’est épargné. Des technologies en évolution et en augmentation perpétuelles, et la prolifération incessante d’équipements connectés (IoT) ne vont pas inverser la tendance, mais bien au contraire élargir la surface d’attaque et donc augmenter les piratages.

Introduction au dossier : Réalisez votre premier pentest pour sécuriser votre système

Magazine
Marque
Linux Pratique
HS n°
Numéro
50
Mois de parution
février 2021
Domaines
Résumé

Dans cette série d’articles, je vais vous faire une introduction au pentesting. Non, je ne ferai pas de vous des pirates informatiques. Nous resterons dans la légalité, et vous découvrirez ce qu’est un Ethical Hacker, quelqu’un qui teste le système informatique d’un client, avec son approbation et son consentement, pour l’aider à renforcer sa sécurité informatique.