Créez un CERT privé pour votre entreprise

Certes l’on connaît bien les CERT ! (*). Ils peuvent être publics, tel le CERTA des administrations françaises. Ou encore privés, créés par des sociétés de conseil en sécurité (Devoteam, XMCO, LEXSI..). Mais l’on n’imagine pas forcément qu’une entreprise puisse créer elle aussi son propre CERT dédié, opéré en interne. Un tel projet ne manque pourtant pas d’atout. En France, la Société Générale à par exemple ainsi ouvert la voie avec son CERT-SG, dédié à ses utilisateurs internes et externes (clients et internautes).

Il convient cependant avant tout de bien saisir la spécificité du CERT, et de comprendre notamment sa valeur ajoutée. « Il ne s’agit pas d’un SOC (Security Operation Center, ndlr) car il n’aura généralement aucune responsabilité opérationnelle », explique David Bizeul, venu présenter le CERT-SG à l’occasion d’une conférence récemment organisée à Paris par le CLUSIF.

Mais s’il n’est pas dans l’opérationnel, le CERT apporte toutefois une forte valeur ajoutée sur quatre axes complémentaires :

Veille. Son rôle est d’anticiper les menaces et de suivre l’évolution des d’attaques (notamment les méthodes d’attaques exploitées contre d’autres entreprises, en particulier dans la même industrie). Par sa veille continue le CERT est notamment l’acteur le mieux placé pour déterminer l’exposition de l’entreprise aux menaces émergentes.

Communication. Le CERT doit pouvoir communiquer librement en interne comme en externe. Sur ce dernier point, notamment, « un CERT sera toujours plus légitime pour entamer le dialogue aussi bien avec la communauté des White Hat que des Black Hat, tandis qu’il sera plus délicat pour la SSI ou la DSI d’entretenir de tels contacts », justifie David Bizeul. Le CERT facilitera également la prise de contact venant de clients ou d’utilisateurs qui feraient remonter des problèmes de sécurité sur les produits / services de l’entreprise. « Le CERT interne devient le point d’entrée de la communauté sécurité extérieure vers l’entreprise », poursuit David Bizeul.

Coordination : Le CERT centralise toutes les remontées d’incidents, qu’ils proviennent de l’interne (SSI, SOC, utilisateur) ou de l’externe (utilisateur, client, internaute). La cellule assure ensuite le suivi de l’incident jusqu’à sa remédiation et teste la validité de cette dernière.

Conformité. Le CERT est le compagnon et l’interlocuteur idéal du Correspondant Informatique & Libertés (CIL), ainsi qu’un outil précieux dans le cadre de la notification des incidents. Et il sera un allié tout aussi précieux lors de la phase d’analyse post-incident.

Les missions du CERT

Au sein de l’entreprise, le CERT aura probablement comme première responsabilité de centraliser la gestion des incidents, qu’ils soient remontés par des utilisateurs internes ou externes, des internautes, d’autres CERT ou constatés par les équipes de la SSI. « La réponse du CERT doit être immédiate, afin de ne pas laisser une autre entité s’emparer du sujet », conseille David Bizeul.

Le CERT doit alors ensuite pleinement jouer son rôle de coordinateur : suivre l’incident, proposer si nécessaire des solutions (assistance, expertise, mise en relation avec un éditeur), veiller à leur bonne mise en œuvre et valider la fin d’incident. « Il faut suivre l’affaire de bout en bout : si le CERT délègue à une autre entité en cours de route, ou si l’entité qui a corrigé la faille s’approprie l’affaire, c’est l’assurance que le CERT ne sera plus sollicité à l’avenir », met également en garde David Bizeul…

Lire la suite...

Quand Apple met 3 ans à corriger une faille critique

Alerté par une vulnérabilité critique dans iTunes dès 2008, Apple n'aura patché la faille de l'un de ses logiciels les plus populaire qu'il y a quelques jours. Un délai étrangement long, surtout quand la faille était utilisée par le Trojan d'une société d'espionnage vendant ses services aux Etats.

Trois ans pour corriger une importante faille de sécurité c'est long, très long. C'est pourtant le temps qu'a mis Apple pour patcher son populaire logiciel iTunes. C'est ce que révèle l'expert Brian Krebs, s'appuyant sur un e-mail signé par un certain  Francisco Amato envoyé à Apple le 11 juillet 2008 pour avertir qu'"une fonctionnalité de mise à jour d'iTunes pourrait être utilisée pour diffuser un logiciel malveillant". Or, dans la mise à jour datée de 14 novembre dernier, Apple corrige cette faille d'iTunes, créditant bien Francisco Amato comme étant celui ayant découvert la faille.

Société de "surveillance"

Trois ans est une durée anormalement importante. Surtout que cette faille a été précisément utilisée par la société Gamma, spécialisée dans la surveillance et vendant ses services aux Etats, comme l'a révélé le Wall Street Journal. Le quotidien américain explique d'ailleurs en détails comment cette société commercialisait "FinFisher", qui n'est autre qu'un cheval de Troie permettant une surveillance à distance et qui se déguisait justement en une fausse mise à jour d'iTunes pour exploiter la vulnérabilité découverte par Francisco Amato.

Une faille exploitée par l'Egypte ?

Gamma refuse évidemment de nommer ses clients, mais la "fiche produit" du cheval de Troie "FinFisher" évoque le cas d'un client qui pu déployer le malware via "le principal FAI " d'un pays. Un autre document, apporté par l'expert en sécurité Mikko Hypponen (F-Secure) semblent aussi prouver que l'ancien gouvernement égyptien ait acheté des licences pour ce logiciel FinSher, pour un montant de près de 300 000 euros.

Apple aurait-il sciemment laissé la vulnérabilité ? Interrogé sur la raison pour laquelle, selon lui, la firme de Cupertino a mis autant de temps pour corriger la faille dans iTunes, Mikko Hypponen a confié sa perplexité, préférant laisser à Apple le bénéfice du doute.

Source

Record de la plus grand attaque DDoS jamais enregistrée en 2011

Jusqu'à 250 000 ordinateurs compromis ont attaqué un e-commerçant asiatique pendant sept jours. L'attaque par déni de service a culminé à 45 Gbps.

La puissance de feu d'un botnet de pas moins de 250 000 ordinateurs infectés s'est abattue pendant près d'une semaine sur un e-commerçant spécialisé dans les hydrocarbures début novembre, rapporte aujourdh'ui Prolexic. Selon cette société qui défend justement les sites contre de telles attaques, les ordinateurs compromis ont pu réaliser 15 000 connexions par seconde sur le site, le submergeant avec des pics de 45Gbps.

Jamais une telle attaque n'avait été enregistrée cette année par Prolexic ou par son rival Arbor Network. Cependant ces deux sociétés indiquent avoir enregistré dans le passé des attaques dépassant les 100Gpbs.

Cette année, la plupart des attaques DDoS seraient originaires d'Asie, mais Prolexic précise que les pistes issues de ses outils de traçabilité remontent le plus souvent vers des serveurs aux Etats-Unis ou la Chine.

Source

Cinq mesures pour limiter le piratage des appels téléphoniques

En quelques heures, une entreprise victime de détournement téléphonique peut se retrouver avec des factures de dizaines de milliers d’euros. Voici quelques mesures pour limiter les risques.

Le détournement de trafic téléphonique consiste à prendre, à distance, le contrôle d’un ou plusieurs postes téléphoniques, pour y passer des appels aux frais de l’entreprise piratée. La messagerie vocale est le point d’accès, à partir duquel un pirate accède à toutes les fonctions actives du téléphone, dont le transfert et le renvoi d’appel. Pendant les vacances ou le week-end, le pirate redirige les postes sous son contrôle vers des numéros internationaux, dont le prix à la minute est élevé ou des numéros surtaxés. Alors que faire?

1. Changer les mots de passe régulièrement

Prendre le contrôle à distance d’un poste téléphonique est un acte simple ne nécessitant aucune compétence en informatique : une fois arrivé sur la boîte vocale, il suffit d’entrer un mot de passe, généralement à quatre chiffres, pour accéder au menu. Or souvent, les utilisateurs conservent le mot de passe par défaut (0000, 1234, etc. généralement disponibles sur internet, donc à portée de tous), ou utilisent les derniers chiffres de leurs numéro de poste et d'autres combinaisons facilement identifiables. « Il faut inciter les utilisateurs à définir des mots de passe plus complexes et à les changer régulièrement », conseille Guy Tétu, délégué général de la Fédération interprofessionnelle de la communication d'entreprise (Ficome).

 2. Cartographier un plan de numérotation précis

Au moment de l’installation du système de téléphonie ou à l’arrivée de nouveaux collaborateurs, le responsable télécoms doit analyser et définir, poste par poste, les besoins en services de téléphonie en fonction du métier de chacun. Si l’entreprise n’a pas de responsable télécoms, son intégrateur réalise cette opération. « Il est indispensable de limiter l’accès des collaborateurs à certains services comme l'accès à messagerie vocale depuis l'extérieur, l'accès à l’international ou encore au transfert d’appels, s’ils n’en n’ont pas besoin », explique Guy Tétu. Les pirates sont en effet à la recherche de ces services pour détourner les appels.

3. Installer un pare-feu avant le PABX

Les entreprises doivent installer un pare-feu devant l’autocommutateur. Il protège ainsi les entreprises équipées de téléphonie sur IP (ToIP), laquelle offre des possibilités supplémentaires d’accès aux postes téléphoniques, voire à d’autres parties du système d’information. De plus, le pare-feu bloque les virus développés pour les téléphones IP, capables de renvoyer toutes les données de paramétrage des postes, dont les codes d’accès aux services.

« Nous conseillons également aux entreprises d’installer un système de détection d’intrusion (IDS), stoppant rapidement les attaques dites par brute force ou par saturation », explique Fabrice Pronnier, directeur de Telecom Object. Une attaque brute force consiste à tester tous les mots de passe possibles sur un compte SIP actif du réseau de l'entreprise.

Lire la suite...

INSOLITE: Windows 8 pas encore sorti mais déjà piraté

L'OS de Windows est encore à plusieurs mois de sa commercialisation qu'un hacker a déjà réussi à percer certaines de ses défenses.

Un chercheur en sécurité affirme avoir développé un malware taillé pour Windows 8, capable de se charger dès le démarrage de l'OS. Peter Kleissner réservera tous les détails de cette première mondiale pour une conférence qui se tient la semaine prochaine, mais certains ont déjà filtré. Le malware fonctionne en contournant le contrôle du compte de l'utilisateur (ou UAC pour User Account Control). Pesant 14Kb, il peut facilement être déclenché à partir d'une clé USB ou un CD.

Peter Kleissner précise cependant que son bootkit, appelé "Stoned Lite", ne pourra pas contourner les défenses de Windows 8 sur les terminaux les plus récents. Il ne fonctionnera en fait pas sur les machines utilisant l'UEFI, le système qui remplacera le BIOS. En outre, Stoned Lite n'attaque pas la nouvelle fonction de sécurité de Windows 8 appelée  "Boot sécurisé" (Secured Boot) qui réalise un scan et sécurise le système d'exploitation avant son démarrage.

L'UEFI a notamment été critiqué pour pouvoir empêcher de faire fonctionner des systèmes alternatifs comme Linux ou FreeBSD. Ce que Microsoft a démenti, sans convaincre totalement tout le monde. Cependant, "quel que soit le poids de ces arguments" l'expert en sécurité Dan Goodin fait remarquer que "l'incapacité de Stoned Lite à déjouer les défenses de l'UEFI et du Boot sécurisé montre que ces fonctionnalités remplissent parfaitement leur rôle. Pour l'instant."

Source

S'assurer contre une cyber-attaque, mode d'emploi

Essor du piratage et changements législatifs incitent de plus en plus d'entreprises à se tourner vers les assureurs, pour se protéger contre les éventuels préjudices d'une cyber-attaque. Guide pratique.

S'assurer contre une cyber-attaque, mode d'emploi

Essor du piratage et changements législatifs incitent de plus en plus d'entreprises à se tourner vers les assureurs, pour se protéger contre les éventuels préjudices d'une cyber-attaque. Guide pratique.

Qu’est-ce qu’une assurance contre les cyber-attaques ?

Les « cyber-assurances » sont des assurances professionnelles qui permettent de se prémunir contre les éventuels préjudices d’une cyber-attaque. Elles sont destinées à tout type d’entreprises, de la PME au grand compte. Marché de niche oblige, ces contrats sont plutôt vendus par des acteurs spécialisés d’origine anglo-saxonne, comme Hiscox ou XL Group. « Aujourd’hui un contrat complet couvre les préjudices liés à la responsabilité civile, aux coûts de notifications, à la perte de chiffre d’affaire et aux frais de dysfonctionnement », explique Luc Vignancour, directeur adjoint chez Marsh, un courtier en assurance. Même la perte d’image peut être assurée, l’assureur s’engagera alors sur les frais en communication et marketing.

Ces contrats sont loin d’être standards et nécessitent une évaluation du risque au cas par cas, d’où découleront le niveau des indemnités et la hauteur de la prime annuelle. Dans une grande entreprise, l’assureur ou le courtier se mettra en relation avec le Risk Manager de l’entreprise pour effectuer cette évaluation.

Pourquoi en parle-t-on maintenant ?

Anonymous, LulzSec, AntiSec, réseaux mafieux, etc. L’émergence de cette nouvelle génération de hackers, plus organisés et plus professionnels, amènent les entreprises à se tourner vers les produits d’assurance pour diminuer leur risque financier.

Un changement législatif dans l’espace européen incite, par ailleurs, les assureurs à se positionner. Adoptée le 25 novembre 2009 et transposée en France depuis 24 août dernier, la directive européenne 2009/136/CE oblige les opérateurs et les FAI de notifier auprès de leurs clients toute violation de leurs données personnelles.

Une obligation que Viviane Reding, vice-présidente de la Commission européenne, souhaite élargir dans les prochains mois à l’ensemble des secteurs économiques. Or, « les frais les plus lourds dans un dossier de cyber-attaque sont ceux liés aux expertises informatiques et aux notifications », souligne François Brisson, souscripteur Assurances professionnelles chez Hiscox France. 

A combien peut s’élever le préjudice d'une cyber-attaque ?

Cela dépend de l’entreprise, de son secteur économique, du pays et de son cadre réglementaire, etc. Mais cela peut monter très vite. Aux Etats-unis, on estime que les notifications aux clients – qui y sont obligatoires depuis presque dix ans – génèrent un coût entre 20 et 200 dollars par enregistrement. La facture est particulièrement élevée quand il s’agit de données bancaires, car les entreprises doivent non seulement avertir leurs clients, mais aussi s’assurer qu’ils ne se font pas piquer d’argent (credit monitoring). Or, les cyber-attaques peuvent facilement compromettre les données de milliers, voire de dizaines de milliers de clients !

Exemple : l’attaque à répétition contre le réseau Playstation Network de Sony qui a généré la perte de 80 millions de données clientes. Elle coûtera au groupe nippon plus de 173 millions de dollars, en raison de la perte d’exploitation, de la mise à jour des systèmes, des dédommagements des clients, des recours de tiers, etc. Dans ce cas, les effets de la cyber-attaque sont donc comparables à ceux d’un accident industriel majeur.

Combien coûte une cyber-assurance ?

C’est loin d’être donné. Le marché français des cyber-assurances étant tout récent, il n’existe pas d’historique, ni de statistiques actuarielles. Un assureur va s’engager au maximum sur 10 millions d’euros d’indemnisation, ce qui sera trop peu pour une grande entreprise. « Un groupe du CAC 40 devra donc travailler avec plusieurs compagnies qui se partageront le risque », explique Luc Vignacour.

Par ailleurs, les primes annuelles sont plutôt élevées, « entre 5 et 10 % du montant d’indemnisation », estime le directeur adjoint. Par comparaison, la prime d’une assurance habitation est de l’ordre de 0,01 % du montant assuré. Là encore, cela s’explique par le caractère récent et risqué des cyber-assurances.

Source

Un éditeur dresse un palmarès des attaques DDOS dans le monde

La société Prolexcic a publié un palmarès des plus grosses attaques par déni de service. En tête, un site chinois de commerce électronique a été victime d'une frappe de 15 000 connexions secondes et d'un trafic atteignant 45 Gbt/s.

Une attaque en déni de service distribué (DDoS) lancée à l'encontre d'une société asiatique de commerce électronique, pendant une semaine début novembre, a constitué jusqu'à présent l'incident le plus important de l'année dans ce domaine, selon Prolexic, une société qui protège les sites web contre de telles attaques. Quatre vagues successives ont été lancées à partir de botnets multiples entre le 5 novembre et le 12 novembre 2011, a précisé le spécialiste de la sécurité.

Ce dernier estime que jusqu'à 250 000 ordinateurs infectés avec le malware ont participé à l'attaque, nombre d'entre eux se trouvant en Chine. Au plus fort de l'assaut ces ordinateurs ont réalisé 15 000 connexions par seconde sur leur cible (la plateforme de la société de e-commerce), la noyant sous un trafic allant jusqu'à 45 Gbt/s, soit 69 millions de paquets par seconde indique Prolexic. Ce dernier n'a pas souhaité donner le nom de la société, qui est l'un de ses clients, en raison d'accords de confidentialité.

Des attaques pouvant être soutenues par l'Etat

La raison de l'attaque est inconnue, mais un utilisateur mécontent ou un concurrent effectuant un sabotage industriel sont deux des possibilités, a estimé Paul Sop, directeur technique chez Prolexic. « Parfois, nous voyons aussi une attaque soutenue par un Etat ou par des factotums, car une large quantité de paiements sur Internet sont effectués hors du pays dans le cadre des transactions de e-commerce », a-t-il ajouté. « L'Etat ne collecte pas d'impôts sur ces dernières, et dans certains pays, les transactions de e-commerce sont prises pour cibles ». Arbor Networks, un autre société qui lutte contre les attaques par déni de service,  n'a pas eu d'informations sur cette attaque, mais a déclaré que la description réalisée par Prolexic était conforme aux données recueillies récemment.

L'ampleur du phénomène décrit par Prolexic est plausible, et se situe juste au-dessus de ce que nous avons pu voir au cours troisième trimestre, a pour sa part  déclaré Jose Nazario, chercheur en sécurité chez Arbor Networks. Pour lui, et bien que ce type d'attaque soit jusqu' a présent la plus importante cette année, elle est loin d'être la plus massive de tous les temps. Le chercheur a rappelé que la plus grande attaque observée par Arbor en 2010 avait culminé à plus de 100 Gbt/s.

Des attaques moins puissantes mais plus nombreuses

Prolexic a également indiqué avoir observé des incidents de plus de 100 Gbt/s dans le passé. La firme considère que les attaques sont généralement moins puissantes aujourd'hui, mais que leur fréquence a augmenté. « Il ya encore des milliers de botnets capables de prendre 99% des sites web sur Internet » a exposé Paul Sop. « Actuellement, les pirates préfèrent utiliser la puissance combinée de plus petits réseaux de botnets au lieu d'en construire de plus grands. « Si vous vous appuyez sur un botnet géant  il est probable que cela attirera davantage l'oeil des professionnels de la sécurité. Les attaquants savent qu'ils peuvent rester sous le radar si leur botnets contrôlent moins de 50 000 postes ».

Cette année, la plupart du trafic DDoS est sorti de l'Asie, mais le problème reste mondial. Par exemple, la semaine dernière Prolexic a enregistré un certain nombre d'attaques provenant d'Europe de l'Est. Toutefois, si l'on compte le nombre d'ordinateurs infectés qui ont participé à des attaques DDoS, la Chine et les États-Unis occupent les premières places.

Source

GPG4Browsers : une extension à Chrome pour chiffrer les messages de Gmail

Une extension permettant de chiffrer chacun des emails envoyés depuis Gmail a été déployée pour le navigateur Chrome.

La société allemande Recurity Labs, spécialisée dans la sécurité informatique, s'est penchée sur les spécifications OpenPGP utilisées pour la signature de données, le chiffrement des fichiers et la sécurité des communications électroniques. L'utilisation d'OpenPGP sur un logiciel de courriers électroniques peut s'avérer relativement contraignante. Il n'est en effet pas possible de sécuriser les messages envoyés depuis un second ordinateur à moins d'importer sa base de données de clés publiques et privées pour la signature, le chiffrement et le déchiffrement des messages.

Cette extension, baptisée GPG4Browsers propose une implémentation JavaScript de cette technologie ne nécessitant aucune installation supplémentaire. Celle-ci prend en charge le jeu de clés publiques et privées, la signature et la validation des messages ainsi que l'importation et l'exportation des certificats. A l'heure actuelle l'extension serait fonctionnelle au travers de Gmail.

Pour installer cette dernière il faudra télécharger ce fichier zip, puis, à partir du gestionnaire d'extensions de Google Chrome, choisir d'installer une extension non compilée. Actuellement en version 0.1, GPG4Browsers n'est effectivement pas encore disponible depuis le répertoire du Chrome Web Store. D'autres navigateurs devraient être pris en charge par la suite.

Source

Etude : le top 25 des pires mots de passe, édition 2011

L'éditeur de logiciels SplashData a dressé le top 25 des pires mots de passe utilisés par les internautes et les mobinautes, en se basant sur les listes de mots de passe mises en ligne par des pirates durant l'année 2011. Classée selon le degré d'utilisation des différents termes, du plus élevé au moins élevé, cette liste met en avant que l'importance d'un mot de passe sécurisé n'est pas encore entrée dans les mœurs… loin de là !

Ce n'est pas un hasard si SplashData réalise chaque année le classement des 25 mots de passe les plus volés par les hackers, puisque l'éditeur propose SplashID, un logiciel justement destiné à aider les utilisateurs à sécuriser correctement leurs mots de passe. Une chose est certaine, à l'heure des clés USB chiffrées et autres systèmes destinés à protéger au mieux les données sensibles des technophiles et internautes, il semble qu'il y ait encore du travail pour faire des mots de passe complexes un automatisme.

Même si la liste dressée par SplashData concerne visiblement les internautes anglophones, elle reste tout de même éloquente et mêle des termes simples, faciles à déchiffrer, des suites de chiffres sans aucune complexité ou encore des prénoms populaires :

  §  password

  §  123456

  §  12345678

  §  qwerty

  §  abc123

  §  monkey

  §  1234567

  §  letmein

  §  trustno1

  §  dragon

  §  baseball

  §  111111

  §  iloveyou

  §  master

  §  sunshine

  §  ashley

  §  bailey

  §  passw0rd

  §  shadow

  §  123123

  §  654321

  §  superman

  §  qazwsx

  §  michael

  §  football

Un top 25 qui confirme une tendance qui n'est pas nouvelle : BitDefender mettait en avant il y a un an que 73% des questionnés d'une étude avaient déclaré utiliser le même mot de passe pour chaque compte nécessitant une identification. En juin dernier, un développeur indépendant soulignait que la suite de chiffres « 1234 » constitue le mot de passe le plus utilisé par les possesseurs d'iPhone.

Selon une autre étude récemment réalisée par la Lieberman Software Corporation, le problème viendrait du nombre de mots de passe à retenir, notamment dans les entreprises. « Près de la moitié des professionnels IT interrogés ont déclaré qu'ils devaient retenir 10 mots de passe ou plus dans le cadre de leur travail, tandis que 42% ont indiqué partager des mots de passe pour accéder aux systèmes et applications » résume l'enquête.

Le nombre conséquent d'attaques et autres intrusions sur des bases de données, largement médiatisées cette année à l'image du hack du Playstation Network n'a donc visiblement pas influencé les internautes dans le renforcement de la sécurité de leurs comptes. Une tendance qui, malheureusement, se vérifie chaque année… à la grande joie des hackers, et surtout des adeptes de la méthode par force brute qui ont peu d'efforts à fournir pour accéder à des comptes peu sécurisés.

Source

Les mobiles de plus en plus victimes de malwares selon McAfee

2011 est une année record dans l'histoire des logiciels malveillants pour mobiles, selon le dernier rapport trimestriel sur les cyber-menaces de McAfee 2011. La plate-forme Android a représenté cet été la principale cible des pirates dans cet univers. Il rejoint ainsi l'étude de Juniper Networks, qui montre aussi une explosion de logiciels malveillants s'attaquant à l'OS mobile de Google. Au total, McAfee prévoit un bilan approximatif de 75 millions de logiciels malveillants uniques détectés d'ici la fin de l'année 2011. Android a été pour sa part victime d'une augmentation des menaces de 37%, par rapport au trimestre précédent.

Une hausse des sites vecteurs de malware

L'éditeur de solutions antivirus rapporte également une augmentation du nombre de sites propageant des logiciels malveillants, soit 3 500 nouveaux sites par jour, contre 3 000 au deuxième trimestre de cette année. Ces trois derniers mois, les principales attaques ont été lancées par les hacktivistes d'Anonymous. McAfee en compte pas moins d'une dizaine de grande envergure.

Source

Le Clusif dévoile son annuaire des formations en sécurité informatique

L'association des spécialistes en sécurité informatique a retenu 128 formations.

Le Club de la Sécurité de l'Information Français (CLUSIF) a publié un annuaire de 128 formations à la sécurité des systèmes d'information. Constitué au fil de l'année écoulée, il accumule à ce jour 100 000 pages vues et 15 000 clics vers les organismes référencés. Le référencement des formations est gratuit pour les organismes adhérant au Clusif. Cependant, le club précise qu'il ne valide en rien le contenu ou la qualité des formations référencées.

La liste générale ne précise que l'intitulé et l'organisme de formation. Elle permet d'accéder à une fiche par formation proposée. Chaque fiche comporte le contenu pédagogique, les contacts pour obtenir plus d'information ou s'inscrire, les lieux et durées de formation ainsi que les possibilités d'organisation en intra/inter-entreprise et les certifications éventuellement préparées. Bien entendu, les pré-requis pour suivre la formation avec profit sont évidemment indiqués ainsi que tous les détails pratiques, y compris les tarifs. Chaque fiche dispose, de plus, d'un rappel des autres formations dispensées par le même organisme.

Certaines formations sont proposées aux adhérents du Clusif avec une réduction pouvant atteindre 20%. La réduction est précisée en rouge dans la liste générale et les formations concernées sont en tête de liste.

La liste générale peut faire l'objet d'un filtrage par type de formation (développement, gestion des risques, méthodologies, etc...) et par lieu.

Source

VMware, le glouton discret de la sécurité

Et de sept ! En s’offrant l’éditeur PacketMotion, VMware complète discrètement un porte-feuille déjà bien garni en matière de solutions de sécurité.

Au fil de ses acquisitions, VMware dessine ce qui pourrait bien être la norme de la sécurité virtuelle de demain : une approche bâtie sur la visibilité intra-VM et l’interaction sécurisée entre les infrastructures locales (serveurs et clients) et les applications dans le nuage. Le tout fortement intégré…

PacketMotion s’inscrit parfaitement dans cette stratégie. Sa solution PacketSentry permet d’associer les traces réseau aux utilisateurs qui en sont responsables, via un lien avec l’annuaire de l’entreprise. L’équipe SSI peut ainsi par exemple savoir immédiatement qui utilise la Messagerie Instantanée ou qui initie des connexions SSH. Et avec VirtualProbe PacketMotion offre aux équipes d’administration une visibilité inter-VM afin de garder un oeil sur qui fait quoi à travers la totalité du datacenter virtualisé.

Mais PackeMotion n’est que la dernière brique en date à un édifice déjà bien avancé. Les acquisitions précédentes de VMware en matière de sécurité s’inscrivent elles aussi dans cette tendance : soit en facilitant la visibilité inter-VM, soit en intégrant un peu mieux les clients de l’entreprise, les VM locales et l’infrastructure Cloud distante.

Avec par exemple le rachat de Shavlik. Ce spécialiste de la gestion des correctifs apporte à VMware la capacité à corriger non seulement les systèmes invités mais surtout les applications tierces (non Microsoft, par exemple) au sein des machines virtuelles, et cela depuis une console centrale. Avant cette acquisition les deux éditeurs collaboraient d’ailleurs déjà sur le sujet, au point d’avoir commis un  Livre blanc qui soulignait l’importance de corriger les applications tierces.

Toujours au rang de la visibilité entre machines virtuelles, VMware s’est également offert le Ionix Server Configuration Manager d’EMC. L’outil facilite non seulement la génération de rapports de conformité (HIPAA ou PCI par exemple) pour chaque VM, mais il offre surtout une visibilité transversale sur l’état de conformité des machines virtuelles.

Article complet

Nasdaq piraté : le FBI révèle des failles béantes dans le système

L'enquête portant sur l'attaque informatique dont a été victime la société gérant le Nasdaq a révélé l'absence de mise en place de mesures de sécurité basiques.

Ordinateurs équipés de logiciels non mis à jour, pare-feux mal configurés, patchs de sécurité non déployés... L'enquête sur l'intrusion dont a été victime Nasdaq OMX il y a un an a découvert de bien mauvaises pratiques de sécurité chez cette société gérant le Nasdaq. Par exemple, "l'OS Windows 2003 Server n'avait pas été correctement mis à jour" révèle aujourd'hui l'agence Reuters qui cite les personnes proches de l'enquête sur cette intrusion qui a plus précisément concerné Directors Desk, son outil web de partage d'informations sensibles destiné aux hauts responsables des sociétés clientes.

Bref, la société Nasdaq OMX était "une proie facile" pour les pirates, selon une source connaissant bien les pratiques de sécurité en vigueur dans cette société également citée par Reuters. Les enquêteurs ont cependant aussi constaté que l'architecture informatique de base était solide, ayant notamment pu garder les systèmes de trading à l'abri des pirates.

Une attaque sophistiquée ?

Nasdaq OMX a notamment voulu rappeler qu'aucune donnée n'avait été subtilisée lors de la cyber-attaque, qui a été détectée en octobre 2010. Or, selon Carl-Magnus Hallberg, vice-président senior et responsable des services informatiques au sein de cette société, il s'agissait d'une attaque sophistiquée basée une faille non divulguée, contre laquelle il n'était pas possible de se défendre. Il a cependant refusé de donner plus de détails.

Selon certaines sources, le malware dans le réseau du Nasdaq était en effet complexe et sournois, mais des mesures de sécurité plus sévères et plus de vigilance auraient pu aider l'entreprise à détecter l'intrusion plus rapidement. Il est cependant encore difficile aujourd'hui de savoir depuis combien de temps le malware était sur le réseau du Nasdaq quand il a été découvert.

Nasdaq OMX a enfin expliqué avoir largement investi dans la sécurité de son réseau et dispose aujourd'hui de près de 1 000 personnes travaillant sur les questions relatives à son système d'informations dans le monde entier.

Source