MISC N°
Numéro
73

Confrontez-vous aux meilleurs : mesurez vos compétences grâce aux challenges de sécurité !

Temporalité
Mai/Juin 2014
Article mis en avant

Résumé

Du jeune padawan au jedi accompli, nous avons certainement tous des souvenirs émus de nos soirées passées sur des challenges de sécurité. Qui parmi vous n’a pas perdu quelques nuits à taquiner du crackme à coup d’ollydbg et d’IDA Pro, à bruteforcer les adresses de retour sur la pile ? Ou encore à relire pour la quinzième fois le célèbre “Éviter les failles de sécurité dès le développement d'une application : les chaînes de format” [2] sans réussir à dompter totalement le %n?

Dans ce numéro...


Soyons (le)franc, les gens du marketing ne manquent pas d'imagination ! On voit apparaître régulièrement de nouveaux termes, comme les breach detection systems (BDS — ah tiens, dans BDS, il y a BD :) ). Je ne trollerai pas sur ce n-ième concept, mais plutôt sur celui élu « concept de l'année 2013 » par Gartner, à savoir le threat intelligence.
Fin décembre 2013, une faille permettant une élévation de privilèges sur les systèmes Windows a été largement exploitée par des malwares se propageant via des fichiers PDF. Ces derniers embarquaient du code visant à exploiter une faille PDF (CVE-2013-3346) permettant le contournement de la sandbox d'Adobe Reader.
L'API JMX fournie par JAVA permet aux administrateurs de monitorer et administrer l'environnement d’exécution de la machine virtuelle JAVA. Cette API peut être activée dans le contexte du serveur applicatif Tomcat. L'API JMX offre à un auditeur de nouvelles possibilités de compromission du serveur d'application. Au cours de cet article, nous présenterons différents exemples de compromission du serveur Tomcat en utilisant l'API JMX.
La visualisation analytique est une technologie qui vise à combiner des algorithmes de fouille de données et des techniques de visualisation. Cet article présente l'application de cette nouvelle technologie dans l'identification et l'investigation de campagnes d'attaques ciblées telles que APT1 et Elderwood. Nous démontrons en particulier son utilisation comme outil d'aide à l'analyse forensics « post-mortem » des tactiques, techniques, et procédures (TTP's) utilisées par les cybercriminels.
Un challenge de sécurité informatique ? Qu'est-ce que c'est ? Pour quoi faire ? Cet article est une introduction qui vous fera découvrir un univers passionnant. Le ton n'est volontairement pas complètement neutre, car outre vous informer, le but avoué est de titiller votre curiosité.
Le 3 février 2012, l'agence nationale de la sécurité des systèmes d'information (ANSSI) a publié son nouveau logo et a eu la bonne idée d'y cacher un challenge de sécurité informatique. Des morceaux de solutions furent rapidement trouvés et rendus publics, mais ce challenge a su se faire désirer puisque deux ans plus tard, j'ai finalement été le premier à en voir le bout. Dans cet article, je vous présente ma solution, le raisonnement adopté, les galères rencontrées ainsi qu'un petit bonus, le tout sur un ton assez peu formel.
Lors d'un CTF, le temps est un facteur crucial, les équipes doivent résoudre les épreuves le plus rapidement possible pour finir avant les autres, mais aussi pour remporter le plus de points possible. Ainsi, chaque grande équipe possède son propre attirail d'outils pour faciliter et accélérer la résolution de certaines épreuves. Certains de ces outils ont même été rendus publics comme pwntools le « framework » utilisé par l'équipe pwnies. Cet article propose d'étudier ce dernier.
Les conférences en sécurité informatique organisent régulièrement des challenges – ou CTF - qui consistent à réussir des épreuves de différents types : récupération de données sur des serveurs web, compréhension d'un fichier exécutable, etc. Nous avons récemment participé au CTF de la conférence Hack.lu 2013. Notre équipe de trois ingénieurs/chercheurs a terminé dans le « Hall of Fame » des équipes locales. Nous vous donnons dans cet article un aperçu de quelques épreuves types que nous avons réussies.
En environnement Active Directory, les stratégies de groupe permettent d’assurer une homogénéité dans la configuration d'un parc de machines ou dans la gestion des profils d'utilisateur. Souvent méconnues des auditeurs, les stratégies de groupe sont pourtant essentielles pour évaluer le niveau de sécurité d’un parc de machines.Chargées d’appliquer la politique de sécurité, les stratégies de groupe peuvent être une cible intéressante pour tout attaquant souhaitant assurer sa persistance sur un domaine Active Directory.Cet article se propose de décrire le moteur d’application des stratégies de groupe en détaillant les points d’attention et les outils à utiliser lors d’un audit de sécurité.
Côté offensif, l’exploitation d’une vulnérabilité peut parfois être considérée comme de l’art au même titre que certaines démonstrations mathématiques et la rubrique « exploit corner » de ce magazine en est l’illustration. La gestion des vulnérabilités côté défensif n’a malheureusement pas le même écho auprès du public. Le but de cet article est de partager ce qui a été appris suite à la mise en place d’un processus de gestion des vulnérabilités à l’échelle d’une société du CAC40, tant sur la technique que sur l’organisation.
À l'heure où nous rédigeons cet article, il ne se passe pas une semaine sans que son lot de révélations sur l'ampleur de la surveillance électronique réalisée par la NSA (et ses alliés plus ou moins proches...) ne soit dévoilé. La cryptographie est-elle encore un moyen sûr de se protéger, alors qu'elle est elle-même au centre de la controverse ? Est-ce la « fin de la cryptographie » annoncée par Adi Shamir ?

Magazines précédents

Les derniers articles Premiums

Les derniers articles Premium

Stubby : protection de votre vie privée via le chiffrement des requêtes DNS

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Depuis les révélations d’Edward Snowden sur l’espionnage de masse des communications sur Internet par la NSA, un effort massif a été fait pour protéger la vie en ligne des internautes. Cet effort s’est principalement concentré sur les outils de communication avec la généralisation de l’usage du chiffrement sur le web (désormais, plus de 90 % des échanges se font en HTTPS) et l’adoption en masse des messageries utilisant des protocoles de chiffrement de bout en bout. Cependant, toutes ces communications, bien que chiffrées, utilisent un protocole qui, lui, n’est pas chiffré par défaut, loin de là : le DNS. Voyons ensemble quels sont les risques que cela induit pour les internautes et comment nous pouvons améliorer la situation.

Surveillez la consommation énergétique de votre code

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Être en mesure de surveiller la consommation énergétique de nos applications est une idée attrayante, qui n'est que trop souvent mise à la marge aujourd'hui. C'est d'ailleurs paradoxal, quand on pense que de plus en plus de voitures permettent de connaître la consommation instantanée et la consommation moyenne du véhicule, mais que nos chers ordinateurs, fleurons de la technologie, ne le permettent pas pour nos applications... Mais c'est aussi une tendance qui s'affirme petit à petit et à laquelle à terme, il devrait être difficile d'échapper. Car même si ce n'est qu'un effet de bord, elle nous amène à créer des programmes plus efficaces, qui sont également moins chers à exécuter.

Donnez une autre dimension à vos logs avec Vector

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Avoir des informations précises et détaillées sur ce qu’il se passe dans une infrastructure, et sur les applications qu'elle héberge est un enjeu critique pour votre business. Cependant, ça demande du temps, temps qu'on préfère parfois se réserver pour d'autres tâches jugées plus prioritaires. Mais qu'un système plante, qu'une application perde les pédales ou qu'une faille de sécurité soit découverte et c'est la panique à bord ! Alors je vous le demande, qui voudrait rester aveugle quand l'observabilité a tout à vous offrir ?

Body