Archives

Cloud, Mobilité, IoT, Scada, réseaux sociaux ... : Outils et techniques pour protéger le SI Ouvert

Cloud, Mobilité, IoT, Scada, réseaux sociaux … : Outils et techniques pour protéger le SI Ouvert

Posté on 27 mai 2016 at 9:39

28 juin 2016, RV à l’Intercontinental Paris Avenue Marceau

SI ouvert

Cloud, Mobilité, IoT et Scada, Réseaux sociaux … :

Quels risques ? Quels outils et techniques pour protéger les métiers et tenir compte de tous les nouveaux usages? Doit-on s’assurer pour être protégé contre les attaques cyber ? Quel contrat auprès de son Service Provider pour être bien couvert en matière de Sécurité ? A quel prix ?

Stratégie, Conseils et Solutions

 

 

Cliquer ici pour : S’inscrire en ligne à la matinée Sécurité

 

Le Système d’Information n’a plus de frontière, le rôle des Dirigeants, DSI, RSSI, départements métier, DRH est modifié alors que les législations s’adaptent à ce Monde IT Ouvert . Chacun dans l’entreprise assume sa propre responsabilité pour protéger son métier.  Faut-il penser une stratégie spécifique ? Quels sont aujourd’hui les outils pour protéger et défendre un SI Ouvert en tenant compte de l’IT interne, le Cloud, la mobilité, les réseaux sociaux et autres nouveaux usages ? Quelle place pour la Sécurité dans le contrat avec le Service Provider qui supporte tout ou partie de la DSI ? Doit-on s’assurer contre le cybercrime ? Comment ? A quel coût ?

Autant de questions et sujets auxquels répondront le 28 juin matin des experts Sécurité reconnus, Consultants, Avocats, Acteurs, Chercheurs, Responsables sécurité ou DSI. De la théorie à la pratique, des risques et menaces aux conseils ou solutions potentielles : une matinée d’Informations concrètes, de Sensibilisation et de Networking.

 

Où ?

CNIS Event a choisi un endroit en plein cœur de Paris, à deux pas des champs Elysées et de l’Arc de Triomphe. A deux pas des endroits business les plus stratégiques de Paris (Porte Maillot, Palais des congrès, La Défense…) comme facile d’accès pour ceux de l’extérieur qui viennent tout spécialement assister à la matinée CNIS Event (aéroports Orly et Roissy, accès aisé aux trains grandes lignes via la station de RER Charles de Gaulle-Etoile à proximité, parking).

InterContinental Paris avenue Marceau

64, avenue Marceau,

75008 Paris

Tél : +33 (0)1 44 43 36 36

Pour s’y rendre : métro George V (ligne 1), RER Charles de Gaulle-Etoile (Ligne A),Bus Arrêt Bassano (Ligne 92 Porte de Champerret – gare Montparnasse), parking 75 av. Marceau, Paris 8

 

Pour qui ?

Les Responsables sécurité, les DSI, les décisionnaires d’une façon générale que ce soit de l’infrastructure ou de l’entreprise en ce qui concerne les PME-PMI, les CIL, les avocats et juristes de l’entreprise, les consultants bien entendu. Tous sont concernés par la question de Sécurité du SI… Il faut connaître et comprendre à qui, à quoi on a à faire pour pouvoir envisager et organiser la protection de son système d’information. Un discours d’expertise et de sensibilisation qui concerne tout le monde.

 

Cliquer ici pour : S’inscrire en ligne à la matinée Sécurité 

 

Agenda

    • 8H00 – Accueil des participants : petit-déjeuner et Networking
    • 8H40 – Menaces Informatiques et pratiques de Sécurité en France, par Lionel Mourer, Administrateur du Clusif
    • 9H00 – Retour d’expérience & Solution, point de vue d’un acteur
    • 9H20 –Conseils et guides pratiques, par Gérôme Billois, Responsable Sécurité Solucom,
    • 9H40 – Expérience terrain, point de vue d’un acteur
    • 10H00 – Assurance et Cybersécurité
    • 10H20 – Conseils et Pratiques, point de vue d’un expert en sécurité
    • 10H40 – PAUSE Networking
    • 11H00 –Panel sur «SI Ouvert : Cloud, Mobilité, IoT et Scada : Quels risques ? Quels outils et techniques pour protéger le business métier ? Doit-on s’assurer pour être protégé ? Quel contrat auprès de son Service Provider pour être bien couvert ? A quel prix ? » avec Maître François Coupez, avocat qui abordera la partie juridique, Expérience en entreprise et conseils avec Philippe Salaün, CIL chez CNP et membre du Forum des Compétences, réalité au sein des entreprises grâce au retour d’un RSSI, Stratégies et Conseils d’un expert en sécurité, Point de vue d’un acteur, Animé par Solange Belkhayat-Fuchs, Rédactrice en Chef CNIS Mag 
    • 11H45 – La Minute Juridique: les impacts juridiques, nouvelles législations et jurisprudences en sécurité du SI par Maîtres Olivier Itéanu et Garance Mathias. Ils répondront à toutes les questions du public sur le sujet de façon interactive.
    • 12H05– PAUSE Networking avec Tirage au sort de Tablettes lors d’un cocktail au champagne
    • 12H30 – Clôture de la conférence

 

L’Indonésie, son exotisme, ses faux DAB…

L’Indonésie, son exotisme, ses faux DAB…

Posté on 09 mai 2016 at 7:56

Parfois, les spécialistes sécurité prennent des vacances, harassés qu’ils sont entre deux CanSec ou Defcon, de Miami Beach à Vegas, en passant par les Philippines ou Shanghai.
Parfois, ces mêmes spécialistes ont besoin de liquide dans la monnaie du pays, et utilisent pour ce faire les services des distributeurs automatiques de billet, ou DAB (ATM dans la langue de Franck Abagnale).
Parfois, il leur arrive de découvrir des skimmers sur ces DAB. C’est le cas de Matt South qui est parvenu à effectuer le « reverse » matériel d’un système d’enregistrement de code PIN (https://trustfoundry.net/reverse-engineering-a-discovered-atm-skimmer/). Techniquement parlant, le hack mérite à peine le qualificatif de bidouille, le cœur de l’équipement se trouvant sans grande difficulté sur Ebay, vendu pour une quarantaine d’euros (http://www.ebay.com/sch/i.html?_from=R40&_trksid=p2050601.m570.l1313.TR12.TRC2.A0.H0.Xspy+camera.TRS0&_nkw=spy+camera&_sacat=0). Par quel moyen technique les voleurs d’identité bancaire parvenaient-ils à récupérer les données propres à la carte de crédit ? South ne le saura jamais. Un coupleur sur la sortie Ethernet ou téléphone de l’appareil ? Un hack direct sur le réseau sur lequel est connecté le DAB ? Il est des moments où il ne fait pas bon traîner dans les terres des mafias indonésiennes.

 

Cette histoire n’est pas sans rappeler d’autres séjours touristiques, celui de Brian Krebs fin août dernier par exemple. L’ancien journaliste du Washington Post, en villégiature à Cancun, inventoriait une foultitude de distributeurs améliorés avec un transmetteur Bluetooth plutôt indiscret (http://krebsonsecurity.com/2015/09/tracking-a-bluetooth-skimmer-gang-in-mexico/), et dévoilait une carambouille orchestrée par d’obscures sociétés privées possédant un parc de distributeurs (http://krebsonsecurity.com/2015/09/whos-behind-bluetooth-skimming-in-mexico/).
L’on pourrait ainsi dresser une sorte de guide des bonnes pratiques du touriste en mal de liquide :

Assener systématiquement quelques claques énergiques sur les différents éléments externes du distributeur, histoire de vérifier toute absence de pièces rapportées, collées ou substituées

Effectuer un balayage large bande sur la totalité des bandes ISM (de 6 MHz à 244 GHz, en surveillant tout particulièrement les segments 430 MHz, 2,4 GHz et 5,8 GHz. Les esprits chafouins qui feraient remarquer que l’on peut difficilement se promener avec un analyseur Anritsu lorsque l’on se promène en short et chemisette d’été ne devront pas se plaindre en cas de vol d’identité

Effectuer un audit sur les antécédents et statuts de l’entreprise possédant le parc de distributeurs. La base Edgar de la SEC, voire une recherche par l’intermédiaire du réseau quasi-public qu’est le système interbancaire Swift peut aider.

Accessoirement masquer la main qui tapote le code PIN au moment de la saisie

Il va sans dire que de telles précautions sont totalement inutiles sur l’ensemble du territoire Français …

Vol d'information : Mot de passe ? Passe !

Vol d’information : Mot de passe ? Passe !

Posté on 09 mai 2016 at 7:46

Une étude portant sur l’ensemble des failles déclarées ayant occasionné une fuite d’information révèle que, dans 22% des cas, la cause initiale est le vol d’un couple identifiant/mot de passe. Ladite étude a été réalisée par Centrify et financée par le Cloud Security Alliance.

Rien de franchement nouveau sous le soleil. Les intrusions se suivent et les causes demeurent les mêmes. La progressive évolution de l’informatique interne d’entreprise vers des délocalisations « Cloud » laisse donc prévoir un accroissement quasi certain de ce genre de sinistres… il est logique que le CSA s’en inquiète.

Les victimes de ces fuites de données représentent 17% de l’ensemble des responsables NTIC interrogés lors de cette étude. 57% estiment n’avoir subi aucune intrusion ayant occasionné de telles conséquences (rappelons au passage qu’il faut toujours en moyenne plus de 300 jours pour que de tels problèmes soient découverts) et 26%, plus prudents, prétendent « ne pas savoir ».

Ce qui surprend le plus les experts ayant conduit l’étude, c’est que le taux d’équipement de protection et le type d’outils utilisés (firewall, SSO, token, authentification à facteurs multiples, outils de management de flotte d’appareils mobiles etc.) ne varie pas d’une entreprise à l’autre, qu’elle ait été victime ou non. Les « protégés » le seraient donc tout simplement parce qu’ils ne seraient pas encore victimes… ou ignorent l’avoir été.

TAC 2016 : Internet, le décloisonnement du crime

TAC 2016 : Internet, le décloisonnement du crime

Posté on 09 mai 2016 at 7:27

Avec Internet, la criminalité suit un véritable « business model », passe de l’artisanat à une structure de réseaux comparable à l’économie libérale. Un constat que dresse Cécile Augeaud, Chef du Service d’Information de Renseignement et d’Analyse Stratégique sur la Criminalité Organisée (Sirasco, Ministère de l’Intérieur). Les groupes spécialisés des cités, explique-t-elle, se décloisonnent radicalement, et ce que l’on pourrait appeler les « flux de business » ouverts sur l’extérieur s’organisent et se développent notamment avec l’aide des nouvelles technologies. Les groupes spécialisés dans le trafic des stupéfiants, par exemple, collaborent de plus en plus avec d’autres filières mafieuses spécialisées notamment dans le blanchiment d’argent. Sans ce genre d’alliance, pas de progression du volume d’affaire. Un développement du business qui entraîne à son tour une diversification. C’est ainsi que l’on a pu voir se développer une tendance à la pénétration de certains corps de métier pouvant avoir accès à des biens ou des identités : opérateurs de téléphonie, bagagistes… on a même vu les « banques » des triades Chinoises accorder des « prêts » ou à d’autres mafias ou faciliter le blanchiment de leurs revenus.

L’adaptation de la lutte contre cette délinquance ne peut dépendre des seuls efforts des services de police. Elle ne peut pas s’opérer sans le secours du secteur privé, explique Peter Fifka, de la Digital Crime Unit de Microsoft. Une participation active du secteur privé, celui-là même qui est à l’origine des nouvelles technologies de l’information et de la communication, c’est également le vœu exprimé lors de l’allocution de Bernard Cazeneuve, Ministre de l’Intérieur, qui va même jusqu’à estimer qu’ « il est fini le temps où l’Etat seul pouvait assurer sa sécurité ».

 

Il y a pourtant une certaine contradiction dans ces différentes demandes, objecte Jürgen Storbeck, premier directeur d’Europol. « D’un côté, nous appelons tous à une meilleure collaboration des polices sur un plan international, afin que les organisations criminelles ne puissent bénéficier des « niches législatives » qui les mettent à l’abri de poursuites transfrontières. De l’autre, nous demandons aux industriels des TIC de fournir tous les efforts possibles pour aider les polices du monde entier à ne pas perdre pied dans cette course à la cyber-technologie criminelle. C’est oublier le troisième panneau du triptyque, celui des lois locales portant sur la préservation des libertés individuelles. Ainsi, en Allemagne, il est absolument impensable qu’une entreprise des TIC puisse collaborer activement dans le cadre d’une enquête en cours. Qu’elle soit consultée à périodes régulières, oui. Qu’elle puisse donner son avis, des conseils techniques, voire contribuer aux efforts de développement de manière générale et dégagé de tout contexte lié à une instruction, oui encore. Mais les organisations de défense des libertés n’acceptent pas la moindre implication directe d’une entreprise dans les affaires régaliennes ».

L’attitude de l’Allemagne n’est pas, fait remarquer Jean Pierre Maulny (Iris France), partagée par tous les pays d’Europe. Chargé d’orchestrer une consultation sur le sujet auprès de plusieurs Thinktanks (au total 8 pays d’Europe), il constate que les préoccupations varient énormément en fonction des géographies. La Pologne, par exemple, voit dans le « cyber » un risque d’attaque orchestré par des Etats-Nation, particulièrement la Russie. Cette sorte de « complexe de la cyber-guerre Estonienne » semble logique pour un ex-satellite de l’URSS. Les pays du sud, Italie notamment, sont plus polarisés par les problèmes posés par les filières d’immigration. Et parler des libertés individuelles n’est pas franchement un souci de premier ordre en Grande Bretagne. Si le crime se décloisonne, l’Europe politique, quant à elle, reste fortement égotiste et fuit toute idée de véritable concertation idéologique.

En Bref ...

En Bref …

Posté on 09 mai 2016 at 5:48

Freak, Logjam, le Magic Hash, Illusory TLS … WhiteHat Security dresse le “top 10” des techniques d’attaque apparues au fil de l’année 2015. Des approches à la fois très techniques et très simples à exploiter

En Bref ...

En Bref …

Posté on 09 mai 2016 at 5:27

Palo Alto Networks a mis le doigt sur ce qui semble être la première infection IOS frappant des machines non « rootées » (ou « jailbreakées » selon la phraséologie Appelienne). L’infection, baptisée AceDeceiver, exploite un défaut du mécanisme DRM.

TAC 2016 : un « global village » des polices

TAC 2016 : un « global village » des polices

Posté on 06 mai 2016 at 6:46

Internet ne connaît pas de frontière, et les Etats-Nation ne peuvent répondre à la grande délinquance qu’avec la loi… laquelle ne peut s’appliquer que dans le cadre restreint des frontières. Il est donc impératif de renforcer les coopérations internationales. Tel était le leitmotiv des rencontres TAC 2016 (Technology Against Crime), qui se sont tenues à Lyon les 28 et 29 avril dernier. La cyber-réponse aux cyber-risques commencerait-elle à sortir de sa crise schizophrénique ?

 

 

Pour les policiers attachés à Interpol (partenaires de TAC), la chose ne fait aucun doute depuis longtemps. Reste que l’évolution des outils, la rapidité d’adaptation du milieu criminel grâce à l’usage généralisé des nouvelles technologies ne facilite pas franchement le travail des forces de l’ordre. La toute première conférence donne le ton, avec un bilan sur le trafic d’êtres humains dressé par Ruth Pojman (OSCE, Organisation for security and cooperation in Europe) : un « chiffre d’affaires » de plus de 152 milliards de dollars, donc 65 milliards en Europe, alimenté principalement par les filières de la prostitution, du travail forcé et du trafic d’organes. Des filières qui, de plus en plus, reposent sur un usage adapté des nouvelles technologies. Jean Marc Droguet, Chef de l’Office Central pour la Répression de la Traite des Etres Humains explique en substance : « Ces usages des TIC sont sélectifs. Le Darknet (les réseaux chiffrés) servent essentiellement aux échanges de biens, au trafic de stupéfiants ou d’armes. Les réseaux de trafic d’êtres humains empruntent des chemins plus simples, parfois simplement protégés par des législations locales. Ainsi, les sites Web liés à la prostitution sont localisés en Europe Centrale, voire en Suisse, où la loi ne condamne pas ce genre de pratique. Sans coopération internationale, les « NTIC du crime» conserveront l’avantage ».

Mais Internet ne sert pas uniquement de vecteur commercial. C’est également un moyen de recrutement, notamment en Bulgarie, Serbie, Roumanie.

Cet « internet recruteur » sera, plus tard, également dénoncé au fil d’un autre débat, par Franck Pavero, Conseiller de Défense et de Sécurité pour la Lutte contre le Cyberterrorisme, ou Stephane Duguin (centre antiterroriste à Europol). Dans le cadre du cyberterrorisme, Internet ne sert pas seulement, explique-t-il, à diffuser des messages de propagande et de radicalisation, à attirer des jeunes en rupture de ban, à justifier l’usage de la violence, voire à faire naître l’idée d’un « djihad individuel ». C’est également un « appel au voyage » vers les terres du djihad, une forme différente de manipulation et de trafic d’êtres humains.
« D’autant plus que les pratiques criminelles changent du tout au tout en l’espace de 3 ou 5 ans », témoigne le professeur Campbell Fraser (Université de Griffith, Brisbane, Australie). En 2013, Fraser subit une transplantation rénale « selon les méthodes traditionnelle et légale. Mais j’ai rapidement appris qu’un nombre important de malades avaient obtenu des organes par des moyens totalement différents ». Cet épisode le conduit à enquêter sur le phénomène. « Longtemps, le trafic d’organes était organisé par le corps médical même. Un chirurgien pouvait vendre un rein dans les 30 000 dollars. Lorsque les organisations mafieuses ont appris l’existence de ce marché, elles ont verrouillé les filières d’approvisionnement. Les prix ont immédiatement augmenté (au-delà de 100 000 dollars par organe) et les chirurgiens sont devenus des « employés » de ces filières. On constate même des convergences de réseaux, des alliances d’intérêt. Ainsi, on compte actuellement une forte proportion de Syriens au nombre des victimes du prélèvement d’organe, souvent le seul moyen pour eux de payer les sommes exigées par les passeurs qui leur promettent un moyen de transport vers l’Europe ». Souvent, également, ce sont les transplantés eux-mêmes qui, pour rembourser l’achat de l’organe, sont engagés comme « rabatteurs » de clients potentiels. Là encore, l’Internet « non chiffré », et notamment les forums spécialisés, joue un rôle primordial : détection de clients potentiels, prise de contact, vérification de l’authenticité de la demande…

Facebook : Souriez, vous êtes filmé

Facebook : Souriez, vous êtes filmé

Posté on 05 mai 2016 at 6:42

Réservé jusqu’à présent à la buzzosphère (artistes, personnalités politiques ou du monde du spectacle), le service de flux vidéo personnel Facebook Live est désormais à la portée de tout un chacun. Sur le territoire US dans un premier temps, mais le projet ne cache pas ses ambitions mondiales. Plus fort, plus généralisé, plus instantané, Facebook Live, explique la Zuckerberg Company, génère 10 fois plus de réactions de la part d’autres abonnés au service que n’importe quel autre type de diffusion vidéo tel Youtube. Là où échouait la politique en faveur d’une « vidéoprotection » prônée par l’ex-Ministre de l’Intérieur Claude Guéant, pourrait bien triompher l’égotisme extraverti du Web 2.0.

Pourtant, le panoptique Facebook qui aurait comblé d’aise les vieux briscards des services de renseignements Soviétiques pourrait bien ne pas rencontrer le succès escompté , estime Deepa Seetharaman dans un article du Wall Street Journal. Car statistiquement, le Facebookeur s’amollit, poste de moins en moins souvent, chipote du clavier et renouvelle ses fiches anthropométriques volontaires avec moins de constance. La contribution gratuite des abonnés qu’exploite commercialement Facebook est en chute de 21 % par rapport à l’an passé. L’exhibitionnisme dactylographique et photographique nécessite un travail fatiguant, une constante attention de l’ego, de perpétuels efforts d’inventivité pour entretenir une veine populiste qui garantira son arrivage de « Like ». Or, filmer et surtout pouvoir diffuser sans avoir à franchir une dizaine d’étapes parfois complexes, c’est toujours moins épuisant que de devoir construire une phrase, penser une accroche, bâtir un article ou une intervention. C’est du moins ce que pensent les techniciens qui mettent au point ce service « Live ».

Mais ce ralentissement d’activité, est-ce réellement la conséquence d’une certaine lassitude, ou bien le résultat d’une prise de conscience, le germinal d’une graine semée le 6 juin 2013 par un certain « Citizen Four » ?

Réclame, intimidation et coup de torchon

Réclame, intimidation et coup de torchon

Posté on 05 mai 2016 at 6:31

La parfois insupportable omniprésence des réclames au fil des pages Web, tout comme leur coût somptuaire supporté par les usagers d’Internet et les opérateurs a fortement contribué au développement des logiciels de blocage de publicités. En contrepartie, les diffuseurs de publicité ont cru pouvoir faire chanter leurs visiteurs en bloquant tout ou partie de leurs pages Web : informations contre réclame, la gratuité de la diffusion est à ce prix.

Reste qu’en termes de poids binaire, la bataille est rarement en faveur de l’information, laquelle ne constitue bien souvent que 5 à 10 % du contenu d’une page. Du coup, entre le matraquage et la possibilité d’aller « voir ailleurs » (ou plus simplement de se passer de cette pitance), une frange non négligeable d’internautes tourne le dos à ces sites et à ce chantage « temps de cerveau contre contenu ».

Et c’est chiffres à l’appui (à l’aide de l’outil d’analyse Alexa) que nos confrères de The Stack ont étayé cette thèse. Wired, les publications Axel Springer, Forbes, et même le quarteron de quotidiens Français qui a déclaré la guerre aux « opposants au bourrage de crâne » voient leur taux de fréquentation s’effondrer, ou sont forcés de revoir leur politique intransigeante.

Afin de bénéficier de tarifs postaux avantageux, la presse écrite est soumise à des règles plus que libérales mais strictes en matière de quota publicité/contenu. Des quotas dont la presse en ligne pourrait peut-être s’inspirer. « Pas plus de 20 % du poids binaire d’une page et 50 % de la charge CPU consacrée à la réclame sous peine de contreparties financières importantes ou de refus d’acheminement»… voilà qui provoquerait une élimination radicale des scripts rédigés à la diable, des extensions Flash frisant la mise en danger de la vie numérique d’autrui, ou de pop-up quasi modaux apparentés à un abus de bien social à distance.

New-York : Attaque de réclame

New-York : Attaque de réclame

Posté on 04 mai 2016 at 6:24

Nos confrères de Wired qualifient de « vandalisme » l’expérience de Katsu, artiste-hacktiviste et pratiquant assidu des techno-happening. A l’aide d’une bombe de peinture et d’un quadcoptère, ledit Katsu a consciencieusement barbouillé une énorme réclame s’étalant sur une façade d’immeuble de New York.

Aux USA comme en France, l’affichage publicitaire (à l’instar du spam dans le domaine de la messagerie électronique) utilise dans une très large proportion des emplacements totalement illégaux, et s’impose avec des méthodes qui parfois frise les pratiques mafieuses*. La croisade humoristique inventée par Katsu pourrait bien inspirer quelques pilotes européens de modèles réduits télécommandés.

* Le nombre de panneaux publicitaires considérés comme illégaux sur le territoire Français est estimé entre 600 000 et 1 000 000. Source Paysage de France

Publicité

MORE_POSTS

Archives

mai 2016
lun mar mer jeu ven sam dim
« avr    
 1
2345678
9101112131415
16171819202122
23242526272829
3031