MISC N°
Numéro
127

Bug Bounty - Quand les hackers deviennent chasseurs de primes !

Temporalité
Mai/Juin 2023
Image v3
Bug Bounty - Quand les hackers deviennent chasseurs de primes !
Article mis en avant

Introduction au dossier : Bug Bounty

Résumé

Lorsqu'une société cherche à évaluer le niveau de sécurité de ses systèmes d'information, plusieurs solutions s'offrent à elle. Traditionnellement, elle pouvait faire appel à des sociétés de conseil pour leur commanditer des audits ou des tests d'intrusion tout en maîtrisant les coûts associés. L'une des limites de cette approche est la temporalité de l'audit et la nécessité de les renouveler fréquemment pour tenir compte des changements sur ses systèmes.

Lire la suite

Dans ce numéro...


Édito
Par Foll Cédric
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Foll Cédric
Vincent Strubel, le nouveau directeur général de l'ANSSI, a récemment souligné lors du FIC l'importance d'un Cloud de confiance et de la qualification SecNumCloud pour faire émerger des acteurs nationaux et garantir la sécurité du patrimoine informationnel des entreprises et des administrations françaises.
> Lire l'extrait
HTTP : les aléas et faiblesses liés aux en-têtes saut par saut
Par Duchemin Stéphane
Pentest Exploit
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Duchemin Stéphane
Souvent méconnus ou oubliés, les en-têtes « saut par saut » font bel et bien partie du socle définissant le protocole HTTP/1.1. Ces derniers ont pu notamment retrouver une certaine notoriété depuis la mise en lumière de la CVE-2022-1388, exploitable notamment via ce type d'en-tête. Cette vulnérabilité critique (CVSS v3 9.8 [1]) parue en mai 2022 a affecté une solution largement utilisée par les entreprises : F5 BIG-IP. Cet article détaille le fonctionnement de ce type d'en-tête ainsi que les enjeux sécurité liés, notamment à travers l'étude de la vulnérabilité CVE-2022-1388.
> Lire l'extrait
Are you (JSON Web) Token to me ?
Par Senet Régis, Reygnaud Arnaud
Pentest
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Senet Régis, Reygnaud Arnaud
Alors que le danger de l'exposition des interfaces d'administration n'est (presque) plus à démontrer et que les défauts de contrôle d'accès raflent la première place du Top 10 de l'OWASP aux injections, l'analyse en profondeur ainsi que la compréhension des JWT (JSON Web Tokens) sont devenues un impératif.
> Lire l'extrait
Branle-bas de combat dans Kubernetes
Par Bette Jean-François
Forensic
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Bette Jean-François
Avec l’usage de plus en plus massif des conteneurs et de Kubernetes pour l’hébergement des applications métiers, les infrastructures basées sur Kubernetes sont de plus en plus des cibles de choix pour les attaquants. Il convient d’apprendre à détecter et investiguer ces attaques en tenant compte des spécificités de ces plateformes
> Lire l'extrait
Les plateformes de bug bounty
Par Samhi Jordan
Sécurité système
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Samhi Jordan
Les plateformes de bug bounty sont des espaces permettant de connecter des chercheurs en sécurité et des organisations dans le but de signaler des vulnérabilités dans les systèmes de ces organisations, en échange d’une récompense pour les chercheurs. Ces plateformes gagnent en popularité pour les entreprises, car elles fournissent de nombreux avantages, notamment pour la gestion de leur politique de sécurité et pour la sécurité de leurs systèmes. En effet, elles permettent de maximiser les chances de trouver des problèmes de sécurité en s'appuyant sur les compétences externes des chercheurs et de minimiser le risque que des acteurs malveillants exploitent ces vulnérabilités. Dans cet article, nous allons, entre autres, voir les avantages qu’offrent les plateformes de bug bounty ainsi que les différents types de plateformes disponibles sur le marché.
> Lire l'extrait
Le bug bounty vu côté client
Par Vuillard Victor
Sécurité système
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Vuillard Victor
En s’approchant au plus près de ce que ferait un attaquant, le bug bounty offre la promesse d’identifier des vulnérabilités avant qu’un acteur malveillant ne les exploite. Cet article décrit un exemple de mise en place de bug bounty, sa plus-value, mais aussi ses limites et ses contraintes. Sur la base d’un bug bounty appliqué à des drones, nous traiterons également des spécificités portant sur le domaine de l’IoT.
> Lire l'extrait
Bug Bounty : le retour d’un chasseur
Par Le Gall Daniel
Sécurité système Exploit
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Le Gall Daniel
Le bug bounty est un marché en plein essor qui attire de plus en plus de professionnels de la cybersécurité. Dans cet article, nous allons rencontrer un « chasseur » expérimenté qui nous parlera des avantages de cette activité, ainsi que des compétences nécessaires pour réussir dans le domaine.
> Lire l'extrait
Coupe du monde 2022 : Ehteraz, entre précaution et surveillance
Par Herbette Matthieu
Sécurité système Cyber Intelligence
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Herbette Matthieu
Organisée en pleine pandémie de Covid-19, la Coupe du Monde de football au Qatar a réuni des millions de supporters venus des quatre coins du globe. Une seule solution : Ehteraz, une application pour alerter et protéger la population du risque sanitaire. Mais qu’en est-il vraiment ?
> Lire l'extrait
-ftrivial-auto-var-init : le prix du progrès
Par Guelton Serge
Sécurité du code
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Guelton Serge
En C et en C++, les variables déclarées sur la pile sans initialisation n’ont pas de valeur par défaut. Accéder à leur valeur est à la fois une source de comportement indéfini et une source de fuite de données reconnue. De telles situations sont complexes à détecter à la compilation et coûteuses à détecter à l’exécution. Cet article propose d’explorer une alternative disponible dans les compilateurs clang et gcc : -ftrivial-auto-var-init=<value>.
> Lire l'extrait
Des pare-feux pour le HDMI
Par Ricordel Pierre-Michel, Lopes Esteves José, Redon Kévin
Sécurité réseau
Marque
MISC
n°
Numéro
127
|
Mois de parution
mai 2023
| Ricordel Pierre-Michel, Lopes Esteves José, Redon Kévin
Le standard HDMI renferme un ensemble de fonctionnalités qui dépasse le simple transfert de signal vidéo. Ces fonctionnalités sous souvent inutilisées, mais présentent une surface d'attaque non négligeable. Cet article détaille la nature de ces fonctionnalités, puis propose des outils de filtrage pour protéger les périphériques HDMI.
> Lire l'extrait

Magazines précédents

USB - Votre pire ennemi ? Un vecteur d’attaque souvent négligé…
MISC N°126
USB - Votre pire ennemi ? Un vecteur d’attaque souvent négligé…
Web 2023 - Les nouvelles surfaces d’attaques !
MISC N°125
Web 2023 - Les nouvelles surfaces d’attaques !
Objets connectés : Quels risques pour votre système d’information ?
MISC N°124
Objets connectés : Quels risques pour votre système d’information ?
Patch management - Améliorer les processus de mise à jour de sécurité
MISC N°123
Patch management - Améliorer les processus de mise à jour de sécurité
Adopter le DevSecOps - Intégrer la sécurité dans votre production informatique
MISC N°122
Adopter le DevSecOps - Intégrer la sécurité dans votre production informatique
Sécurité & langages de programmation
MISC N°121
Sécurité & langages de programmation

Les derniers articles Premiums

Les derniers articles Premium

Le combo gagnant de la virtualisation : QEMU et KVM

Le combo gagnant de la virtualisation : QEMU et KVM

Magazine
Marque
Contenu Premium
Auteurs
Par
Samhi Jordan
Spécialité(s)
Système
Résumé

C’est un fait : la virtualisation est partout ! Que ce soit pour la flexibilité des systèmes ou bien leur sécurité, l’adoption de la virtualisation augmente dans toutes les organisations depuis des années. Dans cet article, nous allons nous focaliser sur deux technologies : QEMU et KVM. En combinant les deux, il est possible de créer des environnements de virtualisation très robustes.

Ajouter à une liste de lecture
Brève introduction pratique à ZFS

Brève introduction pratique à ZFS

Magazine
Marque
Contenu Premium
Auteurs
Par
Samhi Jordan
Spécialité(s)
Système
Résumé

Il est grand temps de passer à un système de fichiers plus robuste et performant : ZFS. Avec ses fonctionnalités avancées, il assure une intégrité des données inégalée et simplifie la gestion des volumes de stockage. Il permet aussi de faire des snapshots, des clones, et de la déduplication, il est donc la solution idéale pour les environnements de stockage critiques. Découvrons ensemble pourquoi ZFS est LE choix incontournable pour l'avenir du stockage de données.

Ajouter à une liste de lecture
Générez votre serveur JEE sur-mesure avec Wildfly Glow

Générez votre serveur JEE sur-mesure avec Wildfly Glow

Magazine
Marque
Contenu Premium
Auteurs
Par
Pelisse Romain
Spécialité(s)
Système
Résumé

Et, si, en une ligne de commandes, on pouvait reconstruire son serveur JEE pour qu’il soit configuré, sur mesure, pour les besoins des applications qu’il embarque ? Et si on pouvait aller encore plus loin, en distribuant l’ensemble, assemblé sous la forme d’un jar exécutable ? Et si on pouvait même déployer le tout, automatiquement, sur OpenShift ? Grâce à Wildfly Glow [1], c’est possible ! Tout du moins, pour le serveur JEE open source Wildfly [2]. Démonstration dans cet article.

Ajouter à une liste de lecture
Utilisation avancée de SQLPage
Voir les 43 articles premium
Body