MISC N°
Numéro
123

Patch management - Améliorer les processus de mise à jour de sécurité

Temporalité
Septembre/Octobre 2022
Image v3
Patch management - Améliorer les processus de mise à jour de sécurité
Article mis en avant

Résumé

À l’époque où j’ai commencé l’informatique, lorsqu’une faille de sécurité était découverte sur une brique applicative, le passage des mises à jour sur les serveurs se faisait souvent à renfort de ./configure;make;make install. Certains vieux barbus restent nostalgiques de l’époque dorée où recompiler sendmail chaque semaine sur autant de distributions Linux qu’ils géraient de serveurs constituait le cœur de leur travail. Pour nos Bastard Operator From Hell, la valeur professionnelle se mesurait au nombre d’options de compilations connues sur gcc et leur capacité à modeler chaque serveur à leur image en s’éloignant au maximum des standards. Si certains regardent de haut les plus jeunes qui ne savent même plus recompiler un noyau, il convient de rappeler que le nombre de serveurs gérés par un admin sys a souvent été multiplié par un facteur dix à cent en vingt ans.

Dans ce numéro...


« Il existe deux types de cryptographie dans le monde : la cryptographie qui protège vos documents de la curiosité de votre petite sœur et celle qui empêche les gouvernements les plus puissants de lire vos fichiers. ». Quand Bruce Schneier écrivait ceci en 1998, peu de citoyens de pays occidentaux considéraient l'intérêt de protéger leurs communications d’oreilles indiscrètes et surtout pas de leur gouvernement.
Lorsque l’on parle de tests d’intrusion mobiles, les poils de certains auditeurs se hérissent lorsqu’il s’agit d’auditer une application iOS. En effet, la pomme croquée rend plus complexe l’analyse de ses applications que ses concurrents. Et pourtant ! Bien que moins documentée, la mise en place d’une analyse instrumentalisée des applications iOS est largement possible avec des outils facilement accessibles, laissez-vous juste guider !
Finie l'administration compliquée de l'Active Directory, de l'Exchange ! Finie la maintenance de l'infrastructure ! Mais finie la réponse à incident maîtrisée...
Les véhicules électriques, nous en entendons parler depuis plusieurs années et ceux-ci sont de plus en plus présents sur nos routes. Cela engendre de nouveaux usages et la mise en place d’un réseau dédié qui nécessite d’être correctement sécurisé.
Une fois une faille découverte et corrigée, il est crucial de mettre à jour au plus vite ses systèmes. Cependant, avec la complexité des infrastructures logicielles, il n’est pas toujours aisé d’effectuer la manœuvre. C’est là que disposer d’un outil d’automatisation aussi complet et puissant qu’Ansible se révèle un atout considérable. Démonstration par la pratique…
À l’ère du numérique, de plus en plus d’aspects de notre vie se voient confiés à des programmes. Les chercheurs et les entreprises mettent sur pied des stratégies pour améliorer la qualité et la sécurité des programmes. Ceci dans le but de minimiser la probabilité d’apparition de bugs et réduire la surface d’attaque par d’éventuelles vulnérabilités. Cet article met en exergue les problèmes liés au développement de code et le besoin d’automatiser les analyses de programmes.
Pierre angulaire d’une posture de sécurité réussie, la gestion du patch management avec la phase de l’évaluation de l’exposition aux vulnérabilités est un exercice potentiellement complexe. Voyons quels sont les moyens qui sont à notre disposition et comment un nouveau format de description nous aide dans cette tâche.
En quelques années, eBPF (Extended Berkeley Packet Filter) est devenu un des sous-systèmes les plus actifs du noyau Linux. Grâce à ses nombreuses promesses de sûreté de fonctionnement et d’observabilité, eBPF a beaucoup gagné en popularité auprès des outils de surveillance réseau et système. Malheureusement, cette nouvelle technologie a involontairement introduit un risque majeur pour Linux : une considérable simplification du développement des rootkits.
Lors du développement d'une application, un développeur va intégrer des dépendances tierces à son projet. Ces dépendances peuvent provenir de dépôts publics ou internes à l'entreprise. Les différents langages de programmation fournissent des gestionnaires de paquets pour faciliter l'installation et la mise à jour de ces dépendances (pip pour Python ou npm pour JavaScript par exemple). La confiance accordée à ces gestionnaires de paquets ouvre la voie à un nouveau type d'attaque permettant à un attaquant d'installer des dépendances malveillantes au sein du système d'information d'une entreprise. Cet article présente la possibilité de corrompre la chaîne d'approvisionnement (supply chain) d'un projet via ses dépendances privées, dont la sécurité est rarement remise en question.
Alcasar est un portail captif (NAC) utilisé pour filtrer et contrôler les utilisateurs ayant accès à un réseau ouvert sur le Web. C’est un projet français développé initialement au sein du ministère de la Défense. Open source et maintenu par une petite communauté, ce projet répond à un besoin bien réel, mais malheureusement de manière imparfaite : utilisation par défaut du HTTP, emploi de MD5 à des fins de sécurité, utilisation de « crypto-maison », mots de passe utilisateurs transmis en clair… Au final, Alcasar est un NAC au service de l’usurpation d’identité de ses utilisateurs.

Magazines précédents

Les derniers articles Premiums

Les derniers articles Premium

Sécurisez vos applications web : comment Symfony vous protège des menaces courantes

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Les frameworks tels que Symfony ont bouleversé le développement web en apportant une structure solide et des outils performants. Malgré ces qualités, nous pouvons découvrir d’innombrables vulnérabilités. Cet article met le doigt sur les failles de sécurité les plus fréquentes qui affectent même les environnements les plus robustes. De l’injection de requêtes à distance à l’exécution de scripts malveillants, découvrez comment ces failles peuvent mettre en péril vos applications et, surtout, comment vous en prémunir.

Bash des temps modernes

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Les scripts Shell, et Bash spécifiquement, demeurent un standard, de facto, de notre industrie. Ils forment un composant primordial de toute distribution Linux, mais c’est aussi un outil de prédilection pour implémenter de nombreuses tâches d’automatisation, en particulier dans le « Cloud », par eux-mêmes ou conjointement à des solutions telles que Ansible. Pour toutes ces raisons et bien d’autres encore, savoir les concevoir de manière robuste et idempotente est crucial.

Présentation de Kafka Connect

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Un cluster Apache Kafka est déjà, à lui seul, une puissante infrastructure pour faire de l’event streaming… Et si nous pouvions, d’un coup de baguette magique, lui permettre de consommer des informations issues de systèmes de données plus traditionnels, tels que les bases de données ? C’est là qu’intervient Kafka Connect, un autre composant de l’écosystème du projet.

Le combo gagnant de la virtualisation : QEMU et KVM

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

C’est un fait : la virtualisation est partout ! Que ce soit pour la flexibilité des systèmes ou bien leur sécurité, l’adoption de la virtualisation augmente dans toutes les organisations depuis des années. Dans cet article, nous allons nous focaliser sur deux technologies : QEMU et KVM. En combinant les deux, il est possible de créer des environnements de virtualisation très robustes.

Body