Veille - Internet, une solution backup en cas de problème......ou pas

20.07.2014

==============================================================================================================================================

Cette semaine, il y a quelques articles bien utiles.
Le premier donne quelques pistes sur ce qu'il faut faire pour réagir aux incidents de sécurité. Ce n'est pas avec cela que vous deviendrez un expert SoC reconnu sur le marché, mais cela assure quelques bonnes bases et vous évitera certains écueils. Il y a des rappels de bon sens qui sont toujours bon à prendre.

Ensuite, un article sur la justification des investissements sécurité basés sur la réponse aux risques. Si ça peut vous aider.

Les articles suivants sont nettement plus déroutants mais tout aussi pertinents car ils permettent de se remettre en question.

- En premier lieu, celui sur le niveau des agents secrets britanniques en matière d'informatique qui serait moins élevé que celui d'un "hacker moyen". On serait alors loin de la NSA telle que décrite par Snowden. Ou alors, il y a quelques personnes brillantes qui fabriquent des outils et des utilisateurs lambda qui les utilisent. En fait, un peu comme partout quoi. Cela ramène de la normalité et est rassurant. Cela permet d'expliquer toutes les fuites internes (et encore récente pour le GCHQ) par manque de protection, manque de surveillance, bref, manque d'experts.

- L'autre article traite de la réutilisation d'anciens mots de passe qui ne serait pas une si mauvaise idée que cela. J'avoue ne pas avoir tout compris même si conceptuellement, je peux envisager que si on considère une base de 10 millions de mots de passe, et un robot qui teste toutes les possibilités en boucle (de 0 à 1 million), vous serez sauvé si vous réutiliser un mot de passe compris dans la première moitié du spectre des mots de passe quand le robot aura déjà écumé les 500 000 premiers mots de passe possibles. Mais ça, c'est si vous avez de la chance.

- Le troisième article ou plutôt couple d'articles est celui qui prête le plus à réflexion. Il y a un fait simple, les PME ne pouvant se permettre d'investir dans des infrastructures lourdes s'orientent en majorité vers le Cloud avec tous les problèmes de sécurité que cela peut poser selon la nature des données, le type d'hébergement et les contrats encadrant ces prestations. Plus particulièrement, elles comptent l'utiliser pour leur plan de reprise d'activité. Et c'est là que le deuxième article prend tout son sens. Internet pourrait ne plus être accessible !! Bien que tout le monde rappelle toujours qu'il ne peut y avoir d'engagements sur Internet, et que certains évoquent dans leurs analyses de risques des coupures partielles et temporaires (déjà avérées dans plusieurs cas référencés), personne ne se pose la question d'une coupure plus longue. Et pourtant, Internet est de plus en plus complexe, géré par de multiples opérateurs, basé sur des protocoles pas
nécessairement sécurisés. Et même si par essence, le réseau est fait pour résister, des attaques ou erreurs humaines pourraient entrainer une chute globale d'ampleur si ce n'est mondiale, au moins régionale. Certes, si cela arrive, il n'y aura pas qu'une seule société dans ce cas, mais si cela arrive, et qu'en nominal, vos données sont dans les nuages, vous, vous risquez d'être sou l'orage de la Direction .
Donc, mon conseil, pensez aussi à faire des backups croisés sur le minimum vital pour l'entreprise. Internet n'est pas et ne sera pas infaillible. Le ton de l'article est un peu alarmiste, mais on ne peut pas agir sans prendre un blackout sévère en considération.

A propos de blackout de réseau, j'ai bien aimé le produit GoTenna qui permet de fournir un réseau parallèle de communication téléphonique (et un peu SMS) en cas de perte du réseau nominal et ou tout simplement en cas d'encombrement pour des services d'urgence. La portée est limitée, mais le principe est bon. J'ai un peu peur de l'utilisation qui pourrait en être faite par des personnes malintentionnées (pour échapper à la surveillance par exemple et préparer des actions terroristes) mais ça c'est mon côté parano. Mais je ne suis pas le seul si l'on voit ce que le FBI pense des voitures autonomes.

La tendance qui se confirme dans les réseaux sociaux, c'est de pouvoir payer. Tous les acteurs achètent des startups spécialisées et/ou mettent en œuvre des solutions. Les banques et les opérateurs téléphoniques se font déjà la guerre, mais d'autres acteurs arrivent et eux n'ont aucun existant à faire évoluer et à maintenir, juste à trouver la bonne idée qui séduira. Il faut s'attendre à des luttes passionnantes ou des rachats/partenariats étranges de banques prenant des parts dans Facebook ou chez des opérateurs. Quand on voit également qu'IBM et Apple s'allient pour investir encore plus l'entreprise, il faut s'attendre à des surprises.

Bonne lecture,
Tristan

==============================================================================================================================================

A LIRE SECURITE
---------------

Plan de réaction aux incidents de sécurité : à faire et à ne pas faire
http://www.lemagit.fr/actualites/2240224361/Plan-de-reaction-aux-incidents-de-securite-a-faire-et-a-ne-pas-faire

toutes les recommandations formelles existantes - ISO 27001, PCI DSS, NIST, SANS, etc. - ne sont in fine que des recommandations : « elles n’ont pas vocation à

être copiées/collées. Mais elles vont alimenter largement votre réflexion. Lisez-les et conduisez votre propres recherches. »

How To Justify Risk-Based Security Investments
http://www.tripwire.com/state-of-security/featured/justifying-security-investments

Researchers Say Password Re-Use Isn’t All Bad
http://threatpost.com/researchers-say-password-re-use-isnt-all-bad/107265

CNET.com hacké pour sensibiliser le web aux questions de sécurité ?
http://www.01net.com/editorial/623770/cnet-com-hacke-pour-sensibiliser-le-web-aux-questions-de-securite/

Cartes bancaires : 20 fois plus de fraudes sur Internet qu’en magasin
http://www.01net.com/editorial/623890/cartes-bancaires-20-fois-plus-de-fraudes-sur-internet-qu-en-magasin/
https://www.banque-france.fr/uploads/media/OSCP_Rapport_internet_2013_01.pdf

British Secret Agents No More Skilled Than An 'Average Hacker'
http://news.hitb.org/content/british-secret-agents-no-more-skilled-average-hacker
http://www.forbes.com/sites/jasperhamill/2014/07/15/british-secret-agents-no-more-skilled-than-an-average-hacker/

Total internet failure: are you prepared?
http://www.computerweekly.com/news/2240224650/Total-internet-failure-are-you-prepared

65 % des PME utilisent un stockage cloud pour sécuriser leur stratégie de reprise d'activité
http://www.lemagit.fr/actualites/2240224641/65-des-PME-utilisent-un-stockage-cloud-pour-securiser-leur-strategie-de-reprise-dactivite

E-réputation : Les Infostratèges prennent position sur l’application du droit à l’oubli par Google
http://www.les-infostrateges.com/actu/14071847/e-reputation-les-infostrateges-prennent-position-sur-lapplication-du-droit-a-loubli-par-google

DOSSIERS
--------

Leaked GCHQ catalog of exploit tools for manipulation and mass surveillance
http://news.hitb.org/content/leaked-gchq-catalog-exploit-tools-manipulation-and-mass-surveillance
http://blogs.computerworld.com/privacy/24145/leaked-gchq-catalog-exploit-tools-manipulation-and-mass-surveillance

INSOLITE
--------

Finale de Coupe du monde, quand le foot fait de l’ombre au porno
http://www.01net.com/editorial/623790/finale-de-coupe-du-monde-quand-le-foot-fait-de-l-ombre-au-porno/

UN PETIT GESTE POUR LA PLANETE
------------------------------

FACEBOOK AND SOCIAL NETWORKS
----------------------------

Twitter rachète Cardspring, spécialiste du paiement
http://pro.01net.com/editorial/624034/twitter-rachete-cardspring-specialiste-du-paiement/

Facebook teste un bouton « Acheter »
http://www.01net.com/editorial/624024/facebook-teste-un-bouton-acheter/

A BOOKMARKER
------------

SALONS / CONFERENCES / EVENEMENTS
---------------------------------

PRODUITS
--------

goTenna : communiquer avec son smartphone même sans réseau
http://www.clubic.com/reseau-mobile/actualite-716327-gotenna-messages-texte-radio-sans-reseau-gsm.html

BON A SAVOIR
------------

Les voitures autonomes sont des «armes mortelles» aux yeux du FBI
http://www.01net.com/editorial/623972/les-voitures-autonomes-sont-des-armes-mortelles-aux-yeux-du-fbi/

La Poste organise un brainstorming géant
http://pro.01net.com/editorial/623868/la-poste-organise-un-brainstorming-geant/

SCIENCES
--------

Du sable dans les batteries pour une autonomie multipliée par trois !
http://www.01net.com/editorial/623712/du-sable-dans-les-batteries-pour-une-autonomie-multipliee-par-trois/

Computer memory that can store about one terabyte of data on a device the size of a postage stamp
http://news.hitb.org/content/computer-memory-can-store-about-one-terabyte-data-device-size-postage-stamp
http://www.kurzweilai.net/rices-silicon-oxide-memories-catch-manufacturers-eye

CONSOMMATION
------------

Des PC portables sous Windows à 99 $ pour contrer les Chromebook ?
http://www.01net.com/editorial/623806/des-pc-portables-sous-windows-a-99-a-pour-contrer-les-chromebook/

La carte de France du haut débit, quartier par quartier
http://www.01net.com/editorial/623862/la-carte-de-france-du-haut-debit-quartier-par-quartier/

RACHAT / UNION
--------------

Salesforce rachète la startup RelateIQ opur 390 millions de dollars
http://pro.01net.com/editorial/623794/salesforce-rachete-la-startup-relateiq-opur-390-millions-de-dollars/

Apple et IBM, 35 ans d’une relation tumultueuse
http://www.01net.com/editorial/623886/apple-et-ibm-35-ans-d-une-relation-tumultueuse/

Microsoft rumored to be buying security firm Aorato
http://news.hitb.org/content/microsoft-rumored-be-buying-security-firm-aorato
http://www.marketwatch.com/story/microsoft-in-talks-to-buy-israeli-cybersecurity-firm-source-2014-07-15-9103346

Twitter rachète Cardspring, spécialiste du paiement
http://pro.01net.com/editorial/624034/twitter-rachete-cardspring-specialiste-du-paiement/

DROIT
-----

Gestion des cookies : la Cnil passe aux contrôles en octobre
http://pro.01net.com/editorial/623796/gestion-des-cookies-la-cnil-passe-aux-controles-en-octobre/

Cookies : Contrôles de la Cnil à partir d’octobre
http://www.les-infostrateges.com/actu/14071846/cookies-controles-de-la-cnil-a-partir-doctobre

MARCHE DE L'INFORMATIQUE ET DES TELECOMS (MAIS PAS QUE)
-------------------------------------------------------

Steria signe un contrat de 4 ans avec l’Autorité européenne des marchés financiers
http://pro.01net.com/editorial/623744/steria-signe-un-contrat-de-4-ans-avec-l-autorite-europeenne-des-marches-financiers/

Microsoft supprime 18 000 emplois dans le monde
http://www.01net.com/editorial/623930/microsoft-supprime-18-000-emplois-dans-le-monde/

Snapchat se prépare à concurrencer PayPal et Western Union
http://www.01net.com/editorial/623966/snapchat-se-prepare-a-concurrencer-paypal-et-western-union/

CARRIERE
--------

Google Introduces Project Zero Research Team
http://www.tripwire.com/state-of-security/top-security-stories/google-introduces-project-zero-research-team/

MICROSOFT
---------

Windows Server 2003 : la fin du support se rapproche...
http://pro.01net.com/editorial/623878/windows-server-2003-la-fin-du-support-se-rapproche/

GOOGLE
------

Google Set to Change Malware, Phishing Warnings Following Study
http://threatpost.com/google-set-to-change-malware-phishing-warnings-following-study/107217

Google Introduces Project Zero Research Team
http://www.tripwire.com/state-of-security/top-security-stories/google-introduces-project-zero-research-team/

APPLE / IPHONE
--------------

PALM / PRE
----------

FREE
----

Free met à jour sa Freebox et intègre la télé dans Freebox OS
http://www.01net.com/editorial/623766/freebox-os-3-0-ameliore-les-services-tele/

GEEK POWER
----------

LIBRE / OPEN SOURCE
-------------------

Early Review of LibreSSL Finds Problematic PRNG
http://threatpost.com/early-review-of-libressl-finds-problematic-prng/107239

OpenSSL fork LibreSSL is declared "unsafe for Linux"
http://news.hitb.org/content/openssl-fork-libressl-declared-unsafe-linux

ATTAQUES, PHISHING, PIRATAGE, VERS, VIRUS, ETC....
--------------------------------------------------

Abusing JSONP with Rosetta Flash
http://news.hitb.org/content/abusing-jsonp-rosetta-flash
http://miki.it/blog/2014/7/8/abusing-jsonp-with-rosetta-flash/

Piratage de box Orange ?
http://www.zataz.com/piratage-de-box-orange/

Critroni Crypto Ransomware Seen Using Tor for Command and Control
http://threatpost.com/critroni-crypto-ransomware-seen-using-tor-for-command-and-control/107306

Ransomware: 5 Threats To Watch
http://www.darkreading.com/endpoint/ransomware-5-threats-to-watch/d/d-id/1297317

FAILLES
-------

Active Directory Flaw Enables Attackers to Change Enterprise Passwords
http://www.tripwire.com/state-of-security/top-security-stories/active-directory-flaw-enables-attackers-to-change-enterprise-

passwords/http://www.csoonline.com/article/2453930/data-protection/critical-design-flaw-in-active-directory-could-allow-for-a-password-change.html

Researchers Discover Critical Vulnerabilities in Popular Password Managers
http://www.tripwire.com/state-of-security/top-security-stories/researchers-discover-critical-vulnerabilities-in-popular-password-managers/
http://devd.me/papers/pwdmgr-usenix14.pdf

Why password managers are not as secure as you think
http://news.hitb.org/content/why-password-managers-are-not-secure-you-think
http://www.csoonline.com/article/2453941/identity-access/why-password-managers-are-not-as-secure-as-you-think.html

Five Vulnerabilities Fixed in Apache Web Server
http://threatpost.com/five-vulnerabilities-fixed-in-apache-web-server/107278

Oracle Issues 20 Critical Java Patches Affecting Mac Users
http://www.tripwire.com/state-of-security/top-security-stories/oracle-issues-20-critical-java-patches-affecting-mac-users/

Siemens Working on Patches for OpenSSL Bugs Under Exploit
http://threatpost.com/siemens-working-on-patches-for-openssl-bugs-under-exploit/107308

OUTILS
------

------------

01net. Actualités || http://feediz.01net.com/synd/2203.xml
01net. Les actualites Entreprise || http://feediz.01net.com/synd/2205.xml
A Day in the Life of an Information Security Investigator || http://rss.ittoolbox.com/rss/security-investigator.xml
Actualités intrusion/hacking || http://feeds.feedburner.com/idg_fr/rt2/intrusion-hacking/rss
Actualités Open Source || http://feeds.feedburner.com/idg_fr/rt2/open-source/rss
Actualités satellite || http://feeds.feedburner.com/idg_fr/rt2/satellite/rss
Black Hat Announcements || https://www.blackhat.com/BlackHatRSS.xml
Ciscomag || http://feeds.feedburner.com/ciscomag
Finjan MCRC Blog: Posts || http://www.finjan.com/MCRCblog_RSS_feed.aspx
Hack In The Box || http://www.hackinthebox.org/backend.php
Infosecurity Magazine || http://www.infosecurity-magazine.com/RSS/LiveFeed.xml
Latest Security Advisories || http://www.microsoft.com/technet/security/advisory/RssFeed.aspx?securityadvisory
Le blog des experts || http://expert.01net.com/expert/feed/rss2
Ma petite parcelle d'Internet... || http://sid.rstack.org/blog/rss.php
McAfee Avert Labs || http://feeds.feedburner.com/McafeeAvertLabsBlog
Microsoft Security Bulletins || http://www.microsoft.com/technet/security/bulletin/secrss.aspx
OSVDB Most Recent Stable Entries || http://osvdb.org/backend/rss.php
Seb's guide || http://www.smtechnologie.com/backend.php
SecuriTeam.com || http://www.securiteam.com/securiteam.rss
SecurityFocus News || http://www.securityfocus.com/rss/news.xml
SecurityFocus Vulnerabilities || http://www.securityfocus.com/rss/vulnerabilities.xml
SecurityTracker Vulnerability Headlines || http://news.securitytracker.com/server/affiliate?61D319BD39309004
silicon.com : || http://feeds.silicon.com/0,39025093,40000024,00.htm
TaoSecurity || http://taosecurity.blogspot.com/atom.xml
TechNet Magazine RSS Feed || http://www.microsoft.com/technet/technetmag/rss/newrss.aspx?issue=true
Toute l'actualité sécurité informatique || http://feeds.vulnerabilite.com/vuln-actu
Toutes les actualités || http://www.reseaux-telecoms.net/rss/rss.xml
ZATAZ News || http://feeds.feedburner.com/ZatazNews
(ISC)2 Blog || http://feeds.feedburner.com/isc2Blog
Following The white Rabbit Blog || http://feeds.feedburner.com/RafalLos
Sécurité des réseaux et des Si - Orange Business Services || http://blogs.orange-business.com/securite/atom.xml
Les-infostrateges.com : flux général || http://www.les-infostrateges.com/rss/cat/?num=1
moxie's blog | http://blog.thoughtcrime.org/rss.xml