VMware, le glouton discret de la sécurité

Et de sept ! En s’offrant l’éditeur PacketMotion, VMware complète discrètement un porte-feuille déjà bien garni en matière de solutions de sécurité.

Au fil de ses acquisitions, VMware dessine ce qui pourrait bien être la norme de la sécurité virtuelle de demain : une approche bâtie sur la visibilité intra-VM et l’interaction sécurisée entre les infrastructures locales (serveurs et clients) et les applications dans le nuage. Le tout fortement intégré…

PacketMotion s’inscrit parfaitement dans cette stratégie. Sa solution PacketSentry permet d’associer les traces réseau aux utilisateurs qui en sont responsables, via un lien avec l’annuaire de l’entreprise. L’équipe SSI peut ainsi par exemple savoir immédiatement qui utilise la Messagerie Instantanée ou qui initie des connexions SSH. Et avec VirtualProbe PacketMotion offre aux équipes d’administration une visibilité inter-VM afin de garder un oeil sur qui fait quoi à travers la totalité du datacenter virtualisé.

Mais PackeMotion n’est que la dernière brique en date à un édifice déjà bien avancé. Les acquisitions précédentes de VMware en matière de sécurité s’inscrivent elles aussi dans cette tendance : soit en facilitant la visibilité inter-VM, soit en intégrant un peu mieux les clients de l’entreprise, les VM locales et l’infrastructure Cloud distante.

Avec par exemple le rachat de Shavlik. Ce spécialiste de la gestion des correctifs apporte à VMware la capacité à corriger non seulement les systèmes invités mais surtout les applications tierces (non Microsoft, par exemple) au sein des machines virtuelles, et cela depuis une console centrale. Avant cette acquisition les deux éditeurs collaboraient d’ailleurs déjà sur le sujet, au point d’avoir commis un  Livre blanc qui soulignait l’importance de corriger les applications tierces.

Toujours au rang de la visibilité entre machines virtuelles, VMware s’est également offert le Ionix Server Configuration Manager d’EMC. L’outil facilite non seulement la génération de rapports de conformité (HIPAA ou PCI par exemple) pour chaque VM, mais il offre surtout une visibilité transversale sur l’état de conformité des machines virtuelles.

Article complet

Nasdaq piraté : le FBI révèle des failles béantes dans le système

L'enquête portant sur l'attaque informatique dont a été victime la société gérant le Nasdaq a révélé l'absence de mise en place de mesures de sécurité basiques.

Ordinateurs équipés de logiciels non mis à jour, pare-feux mal configurés, patchs de sécurité non déployés... L'enquête sur l'intrusion dont a été victime Nasdaq OMX il y a un an a découvert de bien mauvaises pratiques de sécurité chez cette société gérant le Nasdaq. Par exemple, "l'OS Windows 2003 Server n'avait pas été correctement mis à jour" révèle aujourd'hui l'agence Reuters qui cite les personnes proches de l'enquête sur cette intrusion qui a plus précisément concerné Directors Desk, son outil web de partage d'informations sensibles destiné aux hauts responsables des sociétés clientes.

Bref, la société Nasdaq OMX était "une proie facile" pour les pirates, selon une source connaissant bien les pratiques de sécurité en vigueur dans cette société également citée par Reuters. Les enquêteurs ont cependant aussi constaté que l'architecture informatique de base était solide, ayant notamment pu garder les systèmes de trading à l'abri des pirates.

Une attaque sophistiquée ?

Nasdaq OMX a notamment voulu rappeler qu'aucune donnée n'avait été subtilisée lors de la cyber-attaque, qui a été détectée en octobre 2010. Or, selon Carl-Magnus Hallberg, vice-président senior et responsable des services informatiques au sein de cette société, il s'agissait d'une attaque sophistiquée basée une faille non divulguée, contre laquelle il n'était pas possible de se défendre. Il a cependant refusé de donner plus de détails.

Selon certaines sources, le malware dans le réseau du Nasdaq était en effet complexe et sournois, mais des mesures de sécurité plus sévères et plus de vigilance auraient pu aider l'entreprise à détecter l'intrusion plus rapidement. Il est cependant encore difficile aujourd'hui de savoir depuis combien de temps le malware était sur le réseau du Nasdaq quand il a été découvert.

Nasdaq OMX a enfin expliqué avoir largement investi dans la sécurité de son réseau et dispose aujourd'hui de près de 1 000 personnes travaillant sur les questions relatives à son système d'informations dans le monde entier.

Source

Vidéosurveillance : la Cnil dresse son rapport 2010

La Commission Nationale de l’Informatique et des Libertés vient de dévoiler son rapport d'activité 2010. Pour la période couverte depuis juin 2010, la Cnil note l'augmentation de son activité et s'interroge également sur les risques liés à la vidéosurveillance.

Pour son 31ème rapport (.pdf), la Cnil indique que le nombre de ses contrôles portant sur le traitement des données personnelles est en hausse. A la loupe, l'organisme rapporte que 308 contrôles ont été effectués, soit une augmentation de 14 % par rapport à l'année 2009. De même, la Cnil explique avoir reçu un « nombre record de plaintes (4 821) pour non-respect de la loi Informatique et Libertés. Ce chiffre représente une hausse de 13 % par rapport à 2009 ». Le thème qui revient principalement s'avère être le droit à l'oubli.

Parmi les constats mis en lumière par l'autorité, la Cnil explique avoir réalisé 55 contrôles portant sur des installations de vidéosurveillance. La commission relève que sur : « 27 dispositifs jugés excessifs, 6 (soit 10 % des contrôles effectués) étaient délibérément orientés sur des salariés. Or, la mise en œuvre d'un dispositif de vidéosurveillance ne peut pas avoir pour seule finalité la surveillance des salariés ».

Elle ajoute que « dans les 21 autres cas (soit 38 % des contrôles effectués), les dispositifs avaient pour finalité d'assurer la sécurité des biens (par exemple des marchandises) mais filmaient également des postes de travail de salariés qui n'étaient pas en contact avec la marchandise à protéger ». Elle invite donc les entreprises qui souhaitent se doter de telles installations à prendre en compte certaines conditions avant tout travaux comme de mesurer la légitimité de ce type de contrôle (un simple vol de crayons ne peut justifier le recours aux caméras).

Enfin, elle précise également que les professionnels doivent favoriser d'autres moyens de protection s'ils désirent préserver certains de leurs biens (armoires fortes, sécurité des locaux..).

Pour rappel, la législation récente, notamment grâce à la loi Loppsi, renforce considérablement le rôle de la Cnil en matière de vidéosurveillance. En effet, la loi d'orientation et de programmation pour la performance de la sécurité intérieure confère à l'autorité la capacité de contrôler tout dispositif vidéo. Elle entame donc un travail de longue haleine dans ce domaine. A ce titre, elle a déjà prévu de programmer pas moins de 150 contrôles pour l'année à venir.

Source

Eye Tracking sur Google Maps

Où et pourquoi les internautes cliquent dans Google Maps

Quel est le chemin du regard des internautes sur Google Maps ? Quelle place accordent-ils aux listes Google Places, à la recherche de bonnes adresses, sont-ils plus sensibles aux cartes présentés ou aux suggestions sponsorisées ? Le point avec Mediative, spécialiste du marketing à la performance.

Le texte privilégié aux cartes

La société de marketing à la perfomance canadienne Mediative a réalisé une étude d'eye-tracking sur Google Maps dans le cas d'une recherche standard. Ici les sujets doivent rechercher un tatoueur à proximité d'Hamilton dans l'Ontario et tapent donc "Tattoo in Hamilton, Ontario". La couleur rouge correspond aux endroits où les internautes ont le plus porté leur regard, les zones chaudes, le vert représente quant à lui des points d'intentions limités. Premier constat, on observe que le regard se pose avec insistance sur le premier résultat Google Places dans la colonne de gauche, avant d'observer le suivant, puis la carte.

Sur cette même recherche, les clics sont en conséquence massivement réalisés sur le premier et second résultat de recherche de la colonne Google Places. Ils sont moins nombreux sur la carte et sont principalement réalisés sur le résultat "A".

Les commentaires aident à améliorer le taux de clics

Dans le cas d'une recherche approchante, "Tattoo in London, Ontario", le regard est toujours porté sur le premier résultat de recherche. La curiosité des internautes testés les incite aussi à jeter un oeil aux lieux touristiques indiqués sur la carte, mais sans qu'ils aient de lien avec leur recherche.

Toutefois le résultat "C", en troisième position, bénéficie d'un taux de clic supérieur à ce que le précédent test laissait suggérer. Il se différencie en effet des autres puisqu'il comporte une citation d'un internaute ainsi qu'une note d'appréciation de trois étoiles sur cinq. Le schéma ci-dessous rend ainsi compte de l'importance des marqueurs sociaux sur les résultats de recherche. Grâce à eux, le résultat "C" obtient tout autant si ce n'est plus de clics que le "A".

Lire la suite...

BizzTrust d'Android divise un smartphone unique en deux téléphones virtuels

De nos jours, les entreprises sont à juste titre préoccupés par la sécurité des appareils mobiles fournis aux travailleurs, de nombreux travailleurs se retrouvent porter autour de deux téléphones mobiles - un pour une utilisation personnelle et une autre pour les affaires. Bien sûr, les téléphones mobiles ne sont pas les immenses poches d'étirement périphériques qu'elles étaient autrefois, mais pour des raisons de commodité, on est très certainement mieux que deux. Maintenant les chercheurs de Fraunhofer ont développé un logiciel qui permet la création de deux smartphones virtuels dans un seul dispositif, offrant une sécurité pour les entreprises tout en laissant les travailleurs installent leurs propres applications.

Pour créer la nouvelle solution de sécurité pour les smartphones sous Android, appelé BizzTrust pour Android, Fraunhofer experts en sécurité a modifié le système d'exploitation Android de séparer les applications privées et professionnelles sur un téléphone. Avec deux zones protégées pour les données et applications, le logiciel est capable d'identifier si le contenu appartient à une entreprise ou une application privée et les stocke séparément dans la partition appropriée, tout en contrôlant l'accès aux données.

Cela permet aux utilisateurs d'installer toutes les applications potentiellement dangereuses qu'ils aiment sur la partition personnelle, tout en protégeant l'accès aux applications métier et les données stockées sur l'autre partition. Même si les attaquants réussissent à s'infiltrer dans une application non garantis, ils ne peuvent pas l'utiliser pour accéder aux données d'entreprise, et l'impact de l'attaque est confiné à des données privées sur le smartphone.

Les utilisateurs sont en mesure de basculer entre les fonctions de travail et à la maison avec deux clics de l'écran tactile tout en un symbole de couleur permet aux utilisateurs de savoir si elle est dans l'entreprise (rouge) ou personnelle (en vert) région.

Le logiciel permet à une entreprise de décider quelles applications sont autorisées pour les affaires, et qui a accès à quelles parties de l'entreprise IT. Avant de se connecter au réseau de l'entreprise via un lien sécurisé VPN, le logiciel du téléphone est contrôlé et l'accès peut être bloqué pour les applications critiques et les données peuvent être bloquées si des modifications sont détectées. Avec des règles sur l'accès entreprise susceptible de changer au fil du temps, le système permet également aux applications d'entreprise être modifiées ou supprimées selon les besoins lorsque l'utilisateur se connecte au réseau de l'entreprise.

Les chercheurs de Fraunhofer dire à fournir une sécurité supplémentaire, la prochaine étape est d'équiper les smartphones avec des cartes à puce intégré. En attendant, ils cherchent à développer des outils pour permettre aux administrateurs d'établir un lien sécurisé avec des appareils mobiles de l'entreprise pour la synchronisation sans fil et de sauvegarde de données ou de supprimer les données si l'appareil est volé.

Le logiciel Android pour les BizzTrust développé par Fraunhofer chercheurs est à l'affiche du commerce IT-SA show running au Centre des Expositions de Nuremberg en Allemagne jusqu'en Octobre 13.

Source

Une faille de sécurité permet de contrôler un iPhone à distance

Les iPhone et iPad ne sont pas à l'abri des failles. Charlie Miller, un chercheur en sécurité informatique, a mis en évidence une nouvelle vulnérabilité d'iOS permettant de prendre le contrôle d'un terminal à l'insu de l'utilisateur grâce à un code malicieux caché dans une application.

Ce n'est pas la première fois que Charlie Miller met en lumière une faille sur les terminaux d'Apple. Cet ancien de la NSA, spécialiste en sécurité informatique, avait déjà révélé une vulnérabilité de l'iPhone. Grâce à un SMS spécial, il était possible d'écouter les conversations sur le téléphone ou d'en prendre le contrôle. Cette fois-ci, le chercheur pointe du doigt un défaut de sécurité avec une application.

La méthode utilisée est en fait assez simple. Il existe une faille de sécurité dans Nitro, le moteur Javascript du navigateur Safari présent sur iOS. Cette brèche permet d'exécuter du code non signé sans que l'iPhone ou l'iPad ne bronche. En résumé, il suffit qu'une personne mal intentionnée cache une action nocive dans une application pour prendre le contrôle complet du terminal.

Charlie Miller est d'ailleurs passé de la théorie à la pratique. Il a créé une application appelée Instastock permettant de suivre le cours de la bourse en direct mais il a inclus un code malicieux permettant d'exploiter la fameuse faille. Il a soumis l'application en question à Apple qui l'a validée sans le moindre problème.

Du coup, les terminaux Apple sur lesquels l'application est installée peuvent être la cible de nombreuses actions (exploration des dossiers, ajout et suppression de fichiers, vibration du terminal, téléchargement du carnet de contacts...) sans que l'utilisateur ne s'en rende compte. Charlie Miller dévoile justement dans la vidéo ci-dessous les possibilités offertes par cette vulnérabilité :

Cet exemple montre une nouvelle fois que le système mis en place par Apple pour la publication des applications n'est pas exempt de défauts. Pour l'instant, les seules réponses apportées par la firme à la pomme sont la suppression de l'application Instastock de l'App Store et l'exclusion de Charlie Miller de la communauté des développeurs iOS. Il reste maintenant à savoir si une mise à jour d'iOS est prévue pour colmater cette faille rapidement.

Source

Sécurité informatique : la vente de services progressera au moins jusqu'en 2015

Le marché des services délivrés autour des produits de sécurité informatique ne connaît pas la crise et ne devrait pas la connaître avant quelques années. Selon le cabinet d'études Gartner, la fourniture de ce type de prestations devrait représenter un chiffre d'affaires mondial de 35,1 Md$ cette année contre 31,1 Md$ un an plus tôt. L'an prochain, les revenus du secteur devraient progresser de 9% et atteindre enfin 49,1 Md$ en 2015. « Le marché des services de sécurité a évolué rapidement ces dernières années avec [...] des clients qui préfèrent souvent souscrire à des prestations. Cela leur permet de baisser leurs coûts d'exploitation pendant qu'ils consacrent leurs ressources à des problématiques de sécurité plus stratégiques », indique Lawrence Pingree, directeur de recherche chez Gartner.

La gestion des ressources IT : premier poste de dépenses en 2015

Parmi les différents services proposés, le développement et l'intégration est celui dont les revenus seront les plus importants, 11,3 Md$ en l'occurrence. Un montant qui devrait atteindre 13,8 Md$ en 2015. Arrivent en seconde position les services de conseil avec 9,6 Md$ en 2011 (12,1 Md$ en 2015). La gestion des ressources IT, le support logiciel ainsi que le support et la maintenance matériel devraient dégager quant à eux 8 Md$, 5 Md$ et 1 Md$ de revenus cette année. A noter que la croissance du segment des services de gestion des ressources IT sera telle dans les années à venir que ses revenus devraient passer à près de 15 Md$ en 2015. A cette date, il s'agira du poste de dépense le plus important consacré par les entreprise aux services de sécurité IT.

Comme l'indique Gartner, c'est en Amérique du Nord que les fournisseurs de services de sécurité IT trouvent les plus importants débouchés. Outre-Atlantique, le chiffre d'affaires du secteur devrait en effet atteindre 14,6 Md$ en 2012 puis 19 Md$ en 2015. Pour l'Europe de l'Ouest, Gartner table sur des revenus de l'ordre de 12 Md$ l'an prochain et de 14,4 Md$ en 2015.

Fabrice Alessi

Source