MISC N°
Numéro
125

Web 2023 - Les nouvelles surfaces d’attaques !

Temporalité
Janvier/Février 2023
Image v3
Web 2023 - Les nouvelles surfaces d’attaques !
Article mis en avant

Résumé

Depuis les débuts d'Internet, les technologies web n'ont cessé d'évoluer. Des langages de programmation comme PHP ont permis de passer de sites statiques à du contenu ultra-dynamique permettant de répondre à toute sorte de besoins. Les hackers n’ont pas mis longtemps à identifier les premières vulnérabilités web et déjà en 1996 l’US Air Force en faisait les frais.

Dans ce numéro...


Une fois après avoir racheté Twitter, Elon Musk licencie plus de la moitié des effectifs. Un crash de la plateforme à brève échéance semblait probable. Peut-être que celui-ci se sera produit à l’heure où vous lirez ces lignes, mais le système a finalement plutôt bien tenu alors que l’activité sur la plateforme n’a pas fléchi et qu’un événement tel que la coupe du monde faisait craindre le pire. Elon Musk a certes fait fuir une partie des annonceurs avec ses errements sur les comptes certifiés à 8$, mais les utilisateurs sont toujours présents et l’exode annoncé vers Mastodon n'a clairement pas eu lieu. Beaucoup d’utilisateurs qui indiquaient rejoindre le mammouth continuent finalement d’alimenter leur compte Twitter et se contentent de crossposter sur les deux plateformes.
Le nombre d'appareils connectés ne cesse de croître. L’impact de ces objets grandissant avec leur nombre, les exigences réglementaires et normatives de sécurité deviennent une préoccupation majeure. Cet article fait un état des lieux de ces exigences, en s’attardant sur les cadres européens.
Dans cet article, nous allons découvrir comment tirer parti d’eBPF dans le but d’innover les modèles d’attaques sous Linux en se focalisant sur trois étapes essentielles : Persistance, Latéralisation et Anti forensics !
Aujourd’hui, que vous travailliez dans une équipe de Cyber Threat Intelligence (CTI), un Security Operations Center (SOC), un Computer Security Incident Response Team (CSIRT), ou même comme pentester, il y a fort à parier que nous ne pouviez faire l’économie d’utiliser, peut-être même au quotidien, la matrice MITRE ATT&CK. Un tel succès appelle une analyse critique de ses causes, l’examen de ses éventuelles limites, ainsi que la définition de quelques bonnes pratiques d’utilisation.
Les vulnérabilités XSS, omniprésentes et très communément remontées lors d’audits de sécurité, pentests et Bug Bounty, restent mal considérées et sous-évaluées. Les protections et spécificités des navigateurs modernes ainsi que les contre-mesures applicatives complexifient la conception de payloads génériques. Cet article vise à présenter la dissection d’un payload dans un contexte (très) contraint et filtré rencontré lors d’un audit.
GraphQL est certainement l'une des étoiles montantes du milieu des API. Il séduit toujours plus d’entreprises, et est actuellement déployé sur des centaines de milliers de sites. Armé de son langage homonyme et d'un paradigme bien différent du modèle REST, celui-ci tente de répondre à des problématiques d'optimisation, de simplification et de clarté. Mais qu’en est-il de la sécurité ?
Lors de recherches de vulnérabilités web sur des périmètres très vastes, il est essentiel d’automatiser la première phase de reconnaissance. Pour ce faire, les pentesters utilisent souvent des scanners de vulnérabilités, open source ou payants. Le plus connu d’entre eux est le scanner open source Nuclei, comportant de nombreuses fonctionnalités et une communauté très active sur le développement de templates et de workflows.
L’énergie de l’analyste est précieuse : économisons-la ! Si la nécessité d’automatiser la corrélation de données ou les remédiations en cas de cyberattaque n’est plus une idée innovante depuis longtemps, son application concrète ou la méthodologie de sa mise en œuvre demeurent problématiques. Cet article est le premier d’une série de 2 articles visant à expliciter pourquoi et comment orchestrer efficacement les alertes de sécurité au sein d’une équipe de détection ou réponse à incidents.
En 2022, les industries et leurs ingénieurs pensent encore ne pas être des cibles de cyberattaquants. Et pourtant, nous pouvons lire régulièrement dans les news des incidents majeurs dus à des cyberattaques. Nous allons voir comment, en moins de deux heures, il est facile d’exploiter la faiblesse des systèmes industriels et de leurs protocoles avec de simples outils disponibles sur Internet gratuitement.
La cybersécurité est un domaine en perpétuelle évolution et a connu de très forts changements au cours de ces dernières années. Problématique toujours plus complexe et devenue d’importance capitale avec la transformation numérique de nos sociétés, le nombre de professionnels du secteur n’a jamais été aussi élevé. En revanche, le milieu connaît d’importants problèmes de recrutement : 45 % des entreprises déclarent peiner à pourvoir les postes ouverts et on estime que 70 % des entreprises dans le monde manquent de spécialistes. Quels sont les tenants et les aboutissants de ces difficultés ?

Magazines précédents

Les derniers articles Premiums

Les derniers articles Premium

Stubby : protection de votre vie privée via le chiffrement des requêtes DNS

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Depuis les révélations d’Edward Snowden sur l’espionnage de masse des communications sur Internet par la NSA, un effort massif a été fait pour protéger la vie en ligne des internautes. Cet effort s’est principalement concentré sur les outils de communication avec la généralisation de l’usage du chiffrement sur le web (désormais, plus de 90 % des échanges se font en HTTPS) et l’adoption en masse des messageries utilisant des protocoles de chiffrement de bout en bout. Cependant, toutes ces communications, bien que chiffrées, utilisent un protocole qui, lui, n’est pas chiffré par défaut, loin de là : le DNS. Voyons ensemble quels sont les risques que cela induit pour les internautes et comment nous pouvons améliorer la situation.

Surveillez la consommation énergétique de votre code

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Être en mesure de surveiller la consommation énergétique de nos applications est une idée attrayante, qui n'est que trop souvent mise à la marge aujourd'hui. C'est d'ailleurs paradoxal, quand on pense que de plus en plus de voitures permettent de connaître la consommation instantanée et la consommation moyenne du véhicule, mais que nos chers ordinateurs, fleurons de la technologie, ne le permettent pas pour nos applications... Mais c'est aussi une tendance qui s'affirme petit à petit et à laquelle à terme, il devrait être difficile d'échapper. Car même si ce n'est qu'un effet de bord, elle nous amène à créer des programmes plus efficaces, qui sont également moins chers à exécuter.

Donnez une autre dimension à vos logs avec Vector

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Avoir des informations précises et détaillées sur ce qu’il se passe dans une infrastructure, et sur les applications qu'elle héberge est un enjeu critique pour votre business. Cependant, ça demande du temps, temps qu'on préfère parfois se réserver pour d'autres tâches jugées plus prioritaires. Mais qu'un système plante, qu'une application perde les pédales ou qu'une faille de sécurité soit découverte et c'est la panique à bord ! Alors je vous le demande, qui voudrait rester aveugle quand l'observabilité a tout à vous offrir ?

Body