Veille - Oracle, Ô désespoir, Ô vieillesse ennemie.....

==============================================================================================================================================

Cette semaine, il y a des informations qui méritent d'être retenues, analysées et utilisées par la suite.

Tout d'abord, un très bon post sur l'ISC2, rien de très technique, juste un rappel de bon sens sur les points à prendre en compte avant de sauter le pas du Cloud. L'exemple est ici lié à des données de santé, mais le principe est à peu de choses près le même. Je rajouterai qu'il faut aussi s'assurer des lois concernant les données que vous traitez. Doivent-elles être localisées en Union Européenne. Doivent-elles faire l'objet d'une déclaration, doivent-elles être chiffrées pour plus de sécurité. Etc... A ce sujet, je suis en train de lire le papier sur CryptDB et c'est une approche qui trouve réellement son intérêt dans une infrastructure Cloud.

Ensuite, il y a la faille de conception des bases Oracle. Faille qui est très bien décrite par Réseaux et Télécoms et montre la complexité de correction. Je conseille à tous les DBA de ce monde de se pencher sur cet article. Imaginez un instant qu'un attaquant découvre une méthode pour déclencher le bug et mettre à mal toute la base. On ne parle pas ici d'une corruption de quelques entrées, mais de la base complète. Je vous conseille fortement la lecture de l'article. En première approche, je vous invite à surveiller la valeur du SCN, la mise sous surveillance et nécessaire. Ensuite, pour toutes les bases autonomes, passez le patch.

Un second problème soulevé est lié aux installeurs Windows qui pourraient être détournés. Bon c'est un peu compliqué à mettre en oeuvre, mais la théorie est bien réelle. Il est possible avec deux fichiers différents d'avoir le même hash MD5.

Il est important de noter aussi que :
- la NSA a sorti un SEAndroid, version sécurisée d'Android,
- IBM a établi un petit document bien utile concernant les attaques DoS Applicatives
- DNSSEC pourrait connaitre son apogée en 2012
- Le contrôleur européen de la protection des données existe
- Une nouvelle certification concernant les systèmes d'archivage va bientôt voir le jour

Vous pourrez aussi suivre quelques articles sur l'affaire MegaUpload. Il ne faut pas oublier les lois scientifiques : "Toute action entraîne une réaction égale et opposée".
Et cette loi a manifestement été oubliée par le FBI. Et même si effectivement MegaUpload était responsable de la propagation de contenus piratés, ce n'est pas le seul. Les offres payantes et non encore contrôlées existent encore. Sont-ils vraiment si différents de MegaUpload ? Personnellement, je ne pense pas. D'autres vont-ils sortir de l'ombre ? oui? Donc c'est un petit pas contre le piratage. Dommage que les majors ne comprennent pas que le seul volet répressif n'arrêtera pas le mouvement. Analyser les causes réelles du piratage pourrait aider à le contrer. Mais bon, je ne vais pas refaire le débat ici..... Ah oui et aussi, SOPA et PIPA sont abandonnés.

Facebook continue de faire l'objet d'attaque et de vol de données. Mais cela en devient presque banal tant la fréquence est importante.

Allez voir aussi dans la section "CONSOMMATION" le comparatif des offres téléphoniques. Free c'est bien, mais ce n'est pas le seul et les limitations existent. L'article permet de bien prendre en compte un grand nombre de paramètres.

Un petit outil en fin de Veille pour créer votre propre campagne de phishing. Je rappelle que le but est de s'en servir pour faire de la sensibilisation, pas un usage frauduleux même si certains ont déjà franchi le pas.

Bonne lecture
Tristan

==============================================================================================================================================


A LIRE SECURITE
---------------

Cloud compliance
----------------

Moving Health Care Data Safely to the Cloud – It Can be Done! [Une bonne checklist avant de passer au Cloud]
http://blog.isc2.org/isc2_blog/2012/01/moving-health-care-data-safely-to-the-cloud-it-can-be-done-.html

Here are a few tips on what every healthcare provider should know and do before moving to the cloud:
- Educate yourself on your cloud provider and its security measures.
- Ensure that all members of the healthcare team, from doctors to nurses to office managers and receptionists, are educated on security measures surrounding patient data in the cloud.
- When engaging a cloud provider, involve the appropriate legal, procurement, and contracts teams within your organization. The standard terms of service may not address compliance needs, and would need to be negotiated.1
- Obtain professional assistance to help select the appropriate provider. It is too much to expect doctors and healthcare workers to understand the complexity and danger of cyberspace.
- Make sure you have adequate and complete provisions in the contract(s). This will be a very comprehensive document.
- Be careful in your hiring practices. In the rush to fill positions in your office, perform adequate background checks and check references to try and prevent hiring a malicious insider.
- New security controls are needed in your new “digitized” office as well as your cloud provider. Do you have an IT security plan and policies to govern and monitor your digital environment?
- When using electronic devices, ensure they are equipped with the most up-to-date software and security updates.

Faille aie aie
--------------

Oracle Database victime d'une faille critique au coeur de son code
http://www.reseaux-telecoms.net/actualites/lire-oracle-database-victime-d-une-faille-critique-au-coeur-de-son-code-23674.html
Mais « une fois la limite SCN atteinte, il n'existe pas d'autre moyen de sortir du problème, que de fermer toutes les bases de données et de les reconstruire à partir de zéro. »

Elevating Privileges Via Windows Installers [Collision MD5 a exploiter, mais théoriquement réalisable]
http://threatpost.com/en_us/blogs/elevating-privileges-windows-installers-011812

Authentification et Administration
----------------------------------

Voice biometrics will be the authentication of choice, says Opus Research
http://www.infosecurity-magazine.com/view/23332/voice-biometrics-will-be-the-authentication-of-choice-says-opus-research/

Time to tighten up on sysadmins? Ten tips for safer IT management
http://www.silicon.com/management/cio-insights/2012/01/13/time-to-tighten-up-on-sysadmins-ten-tips-for-safer-it-management-39748398/

A suivre
--------

Through the glass box: IBM improves web app security testing
http://www.infosecurity-magazine.com/view/23374/through-the-glass-box-ibm-improves-web-app-security-testing/

Les géants du net ouvriront des accès IPv6 permanents le 6 juin 2012
http://pro.01net.com/editorial/553262/les-geants-du-net-ouvriront-des-acces-ipv6-permanents-le-6-juin-2012/

La NSA propose une version sécurisée d’Android
http://pro.01net.com/editorial/553340/la-nsa-propose-une-version-securisee-d-android/

Will 2012 be the dawn of DNSSEC?
http://news.hitb.org/content/will-2012-be-dawn-dnssec

Données
-------

Les systèmes d'archivage électronique bientôt certifiés [Certification NFZ42-013 à venir]
http://pro.01net.com/editorial/553486/les-systemes-darchivage-electronique-bientot-certifies/

Le Contrôleur européen de la protection des données
http://www.edps.europa.eu/EDPSWEB/
http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Priorities/12-01-10_EDPS%20Inventory_2012_EN.pdf

A la clinique du sauvetage de données
http://www.01net.com/editorial/553442/a-la-clinique-du-sauvetage-de-donnees/

Histoire
--------

Un hommage à Alan Turing
http://www.les-infostrateges.com/actu/12011359/un-hommage-a-alan-turing

Security history: Nothing like an old-fashioned boot sector virus
http://news.hitb.org/content/security-history-nothing-old-fashioned-boot-sector-virus
http://www.networkworld.com/news/2012/011912-security-history-255085.html

The Infections That Will Not Die: Conficker and AutoRun
http://threatpost.com/en_us/blogs/infections-will-not-die-conficker-and-autorun-011712

Bon a lire
----------

[Fr] Orange Business Sécurité » sécurité des réseaux » sécurité de la téléphonie (IP) - authentification à l'accès
http://blogs.orange-business.com/securite/2012/01/securite-telephonie-authentification-acces.html

[Fr] Orange Business Sécurité » actu » slurps sécurité - kick #8 - les killbits
http://blogs.orange-business.com/securite/2012/01/kill-bits-ou-la-securite-a-posteriori.html

DOSSIERS
--------

Megaupload a été fermé par le FBI
http://www.01net.com/editorial/553438/megauload-cest-fini/

FBI shuts down Megaupload.com, Anonymous shut down FBI
http://news.hitb.org/content/fbi-shuts-down-megauploadcom-anonymous-shut-down-fbi

U.S. Shuts Down Megaupload File-Sharing Site, Anonymous Retaliates With DDoS Attacks
http://threatpost.com/en_us/blogs/us-shuts-down-megaupload-file-sharing-site-anonymous-retaliates-ddos-attacks-012012

Megaupload Shutdown: Who’s Next? RapidShare, SoundCloud or DropBox?
http://www.ibtimes.co.uk/articles/285423/20120121/megaupload-shutdown-who-s-next-rapidshare-soundcloud.htm

Megaupload, pour en savoir plus
http://www.presse-citron.net/megaupload-pour-en-savoir-plus

INSOLITE
--------

Peter Cochrane's Blog: Data protection - Who's sticking to the letter of the law?
http://www.silicon.com/management/cio-insights/2012/01/20/peter-cochranes-blog-data-protection-whos-sticking-to-the-letter-of-the-law-39748415/

UN PETIT GESTE POUR LA PLANETE
------------------------------

FACEBOOK
--------

Research by Sophos reveals the gang behind Koobface
http://www.infosecurity-magazine.com/view/23266/research-by-sophos-reveals-the-gang-behind-koobface/

Facebook chat phishing attack impersonates Facebook security team
http://news.hitb.org/content/facebook-chat-phishing-attack-impersonates-facebook-security-team

Hacker Leaks 30,000 Facebook Passwords
http://news.hitb.org/content/hacker-leaks-30000-facebook-passwords

A BOOKMARKER
------------


SALONS / CONFERENCES / EVENEMENTS
---------------------------------

Hack In Paris : la deadline approche...
http://sid.rstack.org/blog/index.php/528-hack-in-paris-la-deadline-approche

Infiltrate 2012. [beaucoup de liens vers des présentations]
http://sid.rstack.org/blog/index.php/527-infiltrate-2012

PRODUITS
--------

Stonesoft certifié par l’Anssi
http://pro.01net.com/editorial/553232/stonesoft-certifie-par-l-anssi/

RSA to focus on mobile threats and Pegasus cloud security
http://news.hitb.org/content/rsa-focus-mobile-threats-and-pegasus-cloud-security
http://news.techworld.com/security/3331317/rsa-focus-on-mobile-threats-pegasus-cloud-security/

CloudFlare, the Startup That Thwarts Hackers
http://news.hitb.org/content/cloudflare-startup-thwarts-hackers
http://www.businessweek.com/magazine/cloudflare-the-startup-that-thwarts-hackers-01192012.html

Alcatel-Lucent et Arbor s'associent pour lutter contre les attaques par déni de service
http://pro.01net.com/editorial/553378/alcatel-lucent-et-arbor-sassocient-pour-lutter-contre-les-attaques-par-deni-de-service/

Un boîtier pour iPhone qui se répare tout seul
http://www.01net.com/editorial/553360/un-boitier-pour-iphone-qui-se-repare-tout-seul/

ePawn Arena, un plateau de jeu de société high-tech !
http://www.nowhereelse.fr/epawn-arena-plateau-high-tech-58082/

S'assurer pour protéger sa e-réputation
http://www.lemonde.fr/rendez-vous/article/2012/01/20/s-assurer-pour-proteger-sa-e-reputation_1632455_3238.html

BON A SAVOIR
------------

AXA global insurance company adopts data analytics to reduce fraud
http://www.infosecurity-magazine.com/view/23260/axa-global-insurance-company-adopts-data-analytics-to-reduce-fraud/

European test center takes network security for a 4G ride
http://www.infosecurity-magazine.com/view/23286/european-test-center-takes-network-security-for-a-4g-ride/

Mobile devices in the workplace cause more security breaches, say firms
http://www.infosecurity-magazine.com/view/23350/mobile-devices-in-the-workplace-cause-more-security-breaches-say-firms/

Corporates struggle to secure employee mobile devices
http://news.hitb.org/content/corporates-struggle-secure-employee-mobile-devices
http://news.techworld.com/security/3331022/corporates-struggle-secure-employee-mobile-devices/

Ice Cream Sandwich update for original Transformer coming 'mid-February,' says ASUS
http://www.engadget.com/2012/01/21/ice-cream-sandwich-update-for-original-transformer-coming/

SCIENCES
--------

Quantum leap in the works for super-secure cloud computing
http://news.hitb.org/content/quantum-leap-works-super-secure-cloud-computing
http://cosmiclog.msnbc.msn.com/_news/2012/01/19/10192330-a-quantum-leap-is-in-the-works-for-secure-cloud-computing

IBM invente le stockage atomique
http://www.01net.com/editorial/553026/ibm-invente-le-stockage-atomique/

H5N1 : Les chercheurs créateurs du supervirus font une pause
http://www.francesoir.fr/actualite/sante/h5n1-les-chercheurs-createurs-du-supervirus-font-une-pause-176486.html?google_editors_picks=true

CONSOMMATION
------------

Comparatif des offres face à Free mobile
http://www.journaldugeek.com/2012/01/20/comparatif-mobile-offres-free-mobile/

RACHAT / UNION
--------------

Partenariat entre Orange et Bouygues sur le déploiement de la fibre optique
http://pro.01net.com/editorial/553210/partenariat-entre-orange-et-bouygues-sur-le-deploiement-de-la-fibre-optique/

DROIT
-----

Data protection: Nine things you should know about the new EU draft law
http://www.silicon.com/management/cio-insights/2012/01/16/data-protection-nine-things-you-should-know-about-the-new-eu-draft-law-39748401/

Lois antipiratage : sous pression, Washington fait machine arrière
http://www.lemonde.fr/technologies/article/2012/01/20/lois-antipiratage-sous-pression-washington-fait-machine-arriere_1632652_651865.html

Answering work emails after hours is overtime: Brazil
http://www.thestar.com/business/article/1114949--answering-work-emails-after-hours-is-overtime-brazil?bn=1

MARCHE DE L'INFORMATIQUE ET DES TELECOMS (MAIS PAS QUE)
-------------------------------------------------------

IBM : les syndicats vent debout contre la fermeture du site de Sophia Antipolis
http://pro.01net.com/editorial/553212/ibm-les-syndicats-vent-debout-contre-la-fermeture-du-site-de-sophia-antipolis/

Les gisements de rentabilité encore ignorés des opérateurs de téléphonie mobile
http://pro.01net.com/editorial/553316/les-gisements-de-rentabilite-encore-ignores-des-operateurs-de-telephonie-mobile/

CARRIERE
--------

Information Security Skills Shortage Continues
http://news.hitb.org/content/information-security-skills-shortage-continues

MICROSOFT
---------



GOOGLE
------

Google lance l'édition 2012 de son concours de science
http://www.les-infostrateges.com/actu/12011356/google-lance-l-edition-2012-de-son-concours-de-science

Google : un code QR pour sécuriser la connexion à son compte
http://www.clubic.com/internet/google/actualite-470068-google-exploite-code-qr-securiser-connexion-compte.html

APPLE / IPHONE
--------------

F-Secure outlines the 2011 Mac malware scene
http://news.hitb.org/content/f-secure-outlines-2011-mac-malware-scene
http://reviews.cnet.com/8301-13727_7-57362326-263/f-secure-outlines-the-2011-mac-malware-scene/

Apple Textbooks : entre philanthropie et stratégie…
http://www.presse-citron.net/apple-textbooks-entre-philanthropie-et-strategie?

PALM / PRE
----------

CyanogenMod 9 Alpha 0 released for the HP TouchPad
http://news.hitb.org/content/cyanogenmod-9-alpha-0-released-hp-touchpad

FREE
----

Free Mobile : 50 millions d'abonnements en vue selon GfK !
http://www.01net.com/editorial/553192/free-mobile-50-millions-dabonnements-en-vue-selon-gfk/

GEEK POWER
----------

LIBRE / OPEN SOURCE
-------------------

Mozilla offers alternative to OpenID
http://www.net-security.org/secworld.php?id=12259

ATTAQUES, PHISHING, PIRATAGE, VERS, VIRUS, ETC....
--------------------------------------------------

Carberp loading: New generation of financial malware on the rise
http://www.infosecurity-magazine.com/view/23321/carberp-loading-new-generation-of-financial-malware-on-the-rise/

UPDATE - Stuxnet Expert: Analysis Shows Design Flaw, Not Vulnerability Sunk Siemens
http://threatpost.com/en_us/blogs/stuxnet-expert-langner-analysis-shows-design-flaw-not-vulnerability-sunk-siemens-011812

Absinthe - 'Dream Team' A5 untethered jailbreak released
http://news.hitb.org/content/absinthe-dream-team-a5-untethered-jailbreak-released

Hackers steal $6.7 million in bank cyber heist [déjà abordé la semaine dernière, mais ça fait une grosse somme quand même]
http://net-security.org/secworld.php?id=12230

It was a happy New Year's Day for gang who pulled off...R42m Postbank heist
http://www.timeslive.co.za/local/2012/01/15/it-was-a-happy-new-year-s-day-for-gang-who-pulled-off...r42m-postbank-heist

FAILLES
-------

OUTILS
------

VLC 2.0 bientôt dans les bacs
http://www.01net.com/editorial/553246/vlc-2-0-bientot-dans-les-bacs/

Phishing toolkit exposes human vulnerability [Pour faire de la sensibilisation, très bien]
http://news.hitb.org/content/phishing-toolkit-exposes-human-vulnerability
http://www.h-online.com/security/news/item/Phishing-toolkit-exposes-human-vulnerability-1416415.html
http://www.sptoolkit.com/download/

SP Toolkit illustrates the dangers inherent in many security audit tools
http://www.infosecurity-magazine.com/view/23331/sp-toolkit-illustrates-the-dangers-inherent-in-many-security-audit-tools/

DiskStation Manager 4.0 : Synology propulse à son tour ses NAS dans le cloud
http://www.clubic.com/disque-dur-memoire/nas/actualite-470330-synology-dsm-4-cloud-personnel.html

WinMend Folder Hidden
http://www.winmend.com/folder-hidden/

------------

01net. Actualités || http://feediz.01net.com/synd/2203.xml
01net. Les actualites Entreprise || http://feediz.01net.com/synd/2205.xml
A Day in the Life of an Information Security Investigator || http://rss.ittoolbox.com/rss/security-investigator.xml
Actualités intrusion/hacking || http://feeds.feedburner.com/idg_fr/rt2/intrusion-hacking/rss
Actualités Open Source || http://feeds.feedburner.com/idg_fr/rt2/open-source/rss
Actualités satellite || http://feeds.feedburner.com/idg_fr/rt2/satellite/rss
Black Hat Announcements || https://www.blackhat.com/BlackHatRSS.xml
Ciscomag || http://feeds.feedburner.com/ciscomag
Finjan MCRC Blog: Posts || http://www.finjan.com/MCRCblog_RSS_feed.aspx
Hack In The Box || http://www.hackinthebox.org/backend.php
Infosecurity Magazine || http://www.infosecurity-magazine.com/RSS/LiveFeed.xml
Latest Security Advisories || http://www.microsoft.com/technet/security/advisory/RssFeed.aspx?securityadvisory
Le blog des experts || http://expert.01net.com/expert/feed/rss2
Ma petite parcelle d'Internet... || http://sid.rstack.org/blog/rss.php
McAfee Avert Labs || http://feeds.feedburner.com/McafeeAvertLabsBlog
Microsoft Security Bulletins || http://www.microsoft.com/technet/security/bulletin/secrss.aspx
OSVDB Most Recent Stable Entries || http://osvdb.org/backend/rss.php
Seb's guide || http://www.smtechnologie.com/backend.php
SecuriTeam.com || http://www.securiteam.com/securiteam.rss
SecurityFocus News || http://www.securityfocus.com/rss/news.xml
SecurityFocus Vulnerabilities || http://www.securityfocus.com/rss/vulnerabilities.xml
SecurityTracker Vulnerability Headlines || http://news.securitytracker.com/server/affiliate?61D319BD39309004
silicon.com : || http://feeds.silicon.com/0,39025093,40000024,00.htm
TaoSecurity || http://taosecurity.blogspot.com/atom.xml
TechNet Magazine RSS Feed || http://www.microsoft.com/technet/technetmag/rss/newrss.aspx?issue=true
Toute l'actualité sécurité informatique || http://feeds.vulnerabilite.com/vuln-actu
Toutes les actualités || http://www.reseaux-telecoms.net/rss/rss.xml
ZATAZ News || http://feeds.feedburner.com/ZatazNews
(ISC)2 Blog || http://feeds.feedburner.com/isc2Blog
Following The white Rabbit Blog || http://feeds.feedburner.com/RafalLos
Sécurité des réseaux et des Si - Orange Business Services || http://blogs.orange-business.com/securite/atom.xml
Les-infostrateges.com : flux général || http://www.les-infostrateges.com/rss/cat/?num=1
moxie's blog | http://blog.thoughtcrime.org/rss.xml