#securiser

Croyez vous au SCP? Donner votre avis en commentaires.

1-Non c'est inventé de toute pièce ! C'est juste une farce !

2-BIEN SUR QUE ÇA EXISTE!

3-C'est juste des histoires inventé pour rendre hype les gens qui crois au paranormal.

4- Peux être ?

5- C'est quoi des SCP?

6- JE VAIS ME MARIER AVEC SCP-076! 8D

7- Moi je dit qu'il faut le voir pour le croire!

8- *Chante "on s'en bat les couilles"*

9- *fait un monologue scientifique qui explique pourquoi les SCP ne son pas réelle.*

Les entreprises s’intéressent de plus en plus aux conteneurs – et en particulier à Docker (même si des alternatives existent). « Le placement en conteneurs permet aux développeurs de packager une application et toutes ses dépendances dans un format standardisé, sans besoin ni de recompilation, ni de recherche ou d’installation des environnements adaptés », explique le Sans Institute, pour résumer l’attrait des conteneurs. Une flexibilité qui fait mouche alors que se multiplient les environnements Cloud. D’où la volonté de nombre d’entreprises d’amener Docker jusque sur les environnements de production, alors que la technologie a d’abord gagné ses galons auprès des développeurs et sur les environnements de tests.

Comme le précise le Sans Institute, une organisation américaine à but non lucratif regroupant 165 000 professionnels de la sécurité (Sans signifiant Sysadmin, Audit, Network, Security), l’arrivée de Docker en production soulève toutefois de nouvelles questions, en particulier pour les auditeurs de sécurité. D’où la publication par le Sans d’une checklist permettant à ces spécialistes d’aborder la sécurisation de ces environnements. Une réelle difficulté pour les entreprises, du fait tant de l’architecture sur laquelle reposent les conteneurs (différente de celle, familière, des VM, voir schéma ci-contre), des concepts nouveaux amenés par la technologie (devops, microservices),  que du manque de standardisation des outils de sécurité, comme le souligne le Sans.

Vulnérabilités dispersées

« Auditer des déploiements Docker peut s’avérer difficile tant du fait de l’architecture Docker elle-même que des modèles de microservices et de déploiement continu qui sont si bien alignés avec Docker », résume l’organisation. Selon les chiffres du spécialiste du monitoring New Relic, 46 % des conteneurs ont une durée de vie inférieure à une heure, et 11 % d’entre eux ‘vivent’ même moins d’une minute. Cette caractéristique, associée à la densité des architectures en conteneurs, peut aboutir à « un cauchemar » en matière de gestion des environnements. « Suivre exactement ce qui a été déployé, où cela l’a été et quand » devient en soi un défi, souligne le Sans.

Autre difficulté relevée par l’organisation : la dispersion des vulnérabilités dans les conteneurs et dans les OS hôtes. Des environnements qui requièrent généralement des outils d’audit différents, qui plus est. Qui plus est, si une organisation va chercher ses images Docker en externe, le risque de ramener une faille est grand. Un ingénieur de Docker a estimé que 30 % des images présentes sur le Docker Hub, la place de marché publique de l’éditeur, contenaient des vulnérabilités.

Les secrets mal gardés dans Docker

Sur la base de ces constats, le Sans Institute livre 31 bonnes pratiques de sécurité dans les environnements Docker. Des classiques (comme l’installation des patchs au niveau des hôtes mais aussi de Docker lui-même, l’installation limitée aux seuls composants utiles, la ségrégation des conteneurs en fonction de la confidentialité des données, la centralisation des logs…), mais aussi des conseils plus spécifiques (comme le durcissement de l’OS hôte, l’obligation d’utiliser des images signées, l’interdiction de faire tourner un processus conteneurisé en root, la limitation des ressources pour chaque conteneur afin d’éviter les dénis de service).

En particulier, le Sans souligne que « de nombreuses techniques courantes employées pour stocker des secrets sur des hôtes dédiés ou des machines virtuelles – comme les dotfiles (fichiers cachés dans les systèmes Unix, NDLR) avec des accès limités ou le stockage dans des fichiers chiffrés – ne sont plus viables dans des environnements avec des conteneurs. » Dans ces derniers, si le secret est stocké dans l’image Docker, il sera accessible à quiconque récupérant l’image depuis un magasin de conteneurs (qu’il s’agisse de celui public fourni par l’éditeur ou de sa version privée). Stocker ledit secret dans les variables n’est guère préférable, puisqu’il pourra fuiter via les logs, via des commandes de Docker ou être partagé avec des conteneurs associés. Cette particularité doit pousser les entreprises à déployer des solutions différentes comme Vault, Keywhiz, ou Crypt, insiste le Sans. Même si ces options souffrent encore d’un manque de maturité, selon l’organisation.

Communications entre conteneurs

Autre spécificité de la technologie, offrant une piste intéressante à des assaillants : par défaut, les conteneurs peuvent envoyer du trafic via le réseau interne de Docker que les ports soient ouverts ou pas. « Les utilisateurs Docker devraient désactiver ces communications inter-conteneurs et demander des associations explicites entre conteneurs ou l’ouverture de ports publics pour ces échanges », écrit l’organisation spécialisée dans la sécurité.

Selon une étude menée par Devops.com et publiée en juin dernier, les difficultés que rencontrent les entreprises avec les conteneurs se concentrent sur l’exploitation : la sécurité notamment, mais surtout le réseau et les problématiques de stockage persistant. Le signe d’un manque certain de maturité de la technologie quand elle aborde les environnements de production. Le Sans ne manque pas, de son côté, de relever la jeunesse des outils d’audit à disposition des spécialistes de la sécurité. Même si, pour l’organisation, Docker Bench for Security (ici sur Github) est aujourd’hui une solution des plus prometteuse.

A lire aussi :

Les conteneurs de Docker s’imposent, y compris dans la prod

BlaBlaCar généralise les conteneurs et préfère Rocket à Docker

Open Source : Docker est-il menacé d’implosion ?

Crédit photo : Andrii Stashko via Visualhunt.com / CC BY-NC-ND

Go to Source

Zscaler, fournisseur de solutions de sécurité dans le Cloud, permet d’accéder à Internet et au réseau d’entreprise à l’aide d’une seule et unique plate-forme. Cette plate-forme tout-en-un assure un accès sécurisé à Internet en associant les modules de sécurité sur le Web (Web Security), de protection contre les menaces persistantes (Advanced Threat Protection — APT),  de contrôle et de visibilité des applications dans le Cloud (Cloud Application Visibility & Control) et de pare-feu de nouvelle génération (Next Generation Firewall), tout en sécurisant l’accès à distance aux données résidant sur le réseau d’entreprise ou sur le Cloud avec sa nouvelle offre Zscaler Private Access (ZPA). Cette plate-forme dote les entreprises des meilleurs outils pour protéger les points de « breakout » Internet locaux de chaque site sans avoir recours à du matériel ou à des logiciels nécessitant un haut niveau de maintenance. De plus, leurs employés ont la possibilité d’accéder rapidement aux applications dans le Cloud sans re-routage via des lignes MPLS onéreuses.

Avant de déployer sur le Cloud des projets comme la mise en œuvre d’Office 365, les entreprises doivent s’assurer que leur architecture réseau est conçue pour supporter la future augmentation du volume de données acheminé sur Internet. La possibilité de pouvoir y accéder de façon rapide et sécurisée à partir de chaque site jouera un rôle critique dans la réussite d’un tel projet. De nombreuses entreprises peinent encore à abandonner des modèles et des structures informatiques qui ont fait leur temps, et préfèrent dresser un mur de protection autour de leur réseau et de leur data center avec des appliances visant à optimiser leur sécurité. De plus en plus nomades, les employés modernes s’aventurent fréquemment en dehors du réseau d’entreprise pour accéder à des données résidant dans le Cloud à l’aide d’appareils mobiles dépourvus de paramètres de sécurité. C’est ainsi que les données franchissent le périmètre sécurisé pour gagner Internet, créant des failles potentiellement dangereuses et exposant l’ensemble du réseau à toutes sortes d’attaques.

Avec sa plate-forme de sécurité pour le Cloud, Zscaler accompagne la transformation numérique des entreprises en mettant à leur disposition une solution compatible avec les usages de travail modernes. Grâce à des mécanismes de filtrage de hautes performances dans le Cloud, les données qui circulent d’un bout à l’autre de l’entreprise sont sécurisées à l’endroit même où elles sont échangées. Zscaler Internet Access (ZIA) sécurise les données transmises vers et en provenance d’Internet au moyen de différentes fonctionnalités qu’il est possible de déployer de façon modulaire. Zscaler Private Access (ZPA) quant à elle, se charge de protéger les accès externes utilisés par les employés ou les partenaires de l’entreprise pour accéder à son réseau ou aux infrastructures hybrides.

La nouvelle approche d’accès à distance incarnée par ZPA s’appuie sur l’infrastructure de la plate-forme de sécurité de Zscaler et permet de sécuriser l’accès aux différentes applications sans que les utilisateurs nomades puissent se connecter à la totalité du réseau, comme c’est généralement le cas avec les réseaux privés virtuels (VPN). Grâce à cette approche basée sur le Cloud, la connexion à distance entre un utilisateur dédié et une application spécifique a lieu sur la base d’un accès granulaire facilement configurable et administrable à partir d’une interface centralisée. La gestion de ZPA s’effectue sans matériel spécifique (concentrateurs VPN, pare-feu et autres équilibreurs de charge), ce qui réduit les efforts et les dépenses d’administration ou de mise en œuvre. Le service sépare l’application et le réseau physique, permettant aux utilisateurs de disposer d’autorisations distinctes pour accéder aux applications et services qui résident dans le réseau interne de l’entreprise, dans leur propre data center ou dans des environnements de Cloud publics, tels qu’AWS, Azure ou Google.

Didier Guyomarc’h, Directeur Régional de Zscaler pour l’Europe du Sud, explique : « À l’heure de la cloudification, de nombreuses entreprises se focalisent sur l’introduction d’applications basées dans le Cloud sans tenir compte des défis qu’elle implique au niveau des réseaux locaux étendus (WAN) et de leur sécurité sur Internet. Avec la plate-forme de sécurité de Zscaler, nous répondons aux attentes de nos clients en protégeant les points de « breakout » Internet locaux dans tous les sites, de sorte que le trafic des données peut être directement routé vers le siège de l’entreprise et, en toute sécurité, vers l’application sur le Cloud sans procéder à un onéreux re-routage empruntant des lignes MPLS ».

Go to Source

XMedius, anciennement Sagemcom Enterprise Solutions, tente de prolonger son héritage en matière de solutions d’échange sécurisé de documents, passant du monde de la télécopie à celui de la transmission de fichiers par Internet. Dans cette perspective, l’éditeur vient de lancer SendSecure,

Stéphane Vidal, vice-président marketing et communication de XMedius, décrit un service Cloud penser pour la sécurité, avec en premier lieu une authentification du destinataire à double facteur, « afin de s’assurer que la personne qui reçoit le fichier est bien la bonne ». Une chose que l’on ne trouve pas, par exemple, sur un service comme AR24, utilisé par de nombreux notaires pour l’expédition de courriers recommandés électroniques.

En fait, SendSecure apparaît surtout centré autour du concept de coffre-fort numérique éphémère : c’est là que l’expéditeur dépose le document à partager – ce qu’il peut faire via une extension pour Outlook. Le fichier correspondant est stocké chiffré avec l’algorithme AES sur 256 bits. Le destinataire ne reçoit pas véritablement le document, mais un e-mail avec un lien vers le coffre-fort virtuel. Pour y accéder, il doit s’authentifier en utilisant un code à usage unique transmis par SMS ou appel vocal, voire un second courriel. Une fois dans le coffre-fort, le destinataire peut télécharger le document, le signer numériquement, voire déposer à son tour un autre document. Chaque fichier est limité à 5 Go.

Toutes les communications sont sécurisées avec le protocole TLS 1.2 et toutes les interactions sont consignées dans une trace d’audit. Le coffre-fort lui-même peut être protégé par une seconde couche de chiffrement afin d’empêcher un tiers non autorisé – comme un administrateur système – d’accéder à son contenu. Il est en outre assorti d’une durée de vie limitée, définie à sa création. Une fois qu’il est fermé, son contenu est détruit et devient inaccessible aux parties concernées.

Sans aller jusqu’à des offres telles que celles de Brainloop, Drooms, ou Intralinks, voire Diligent, SendSecure propose une couche supplémentaire de sécurité et d’audit par rapport à ce que l’on trouver chez un acteur classique de la synchronisation et du partage de fichiers en ligne.

Pour l’heure, SendSecure est proposé en mode SaaS, facturé au nombre d’utilisateurs, par mois, entre 7 et 30 $ – avec un nombre fixe d’authentifications doubles à se partager entre utilisateurs ; des extensions peuvent être acquises. Une version à déployer en local est prévue pour le début 2017.

Go to Source

On les compte par milliards. Le nombre d’objets connectés dans le monde connaît une croissance fulgurante. Tout objet du quotidien peut potentiellement est relié à internet pour lui adjoindre une intelligence logicielle supplémentaire. Pour les entreprises, l’internet des objets une véritable mine d’informations et d’opportunités business à saisir. Mais comme toute innovation, elle s’accompagne de défis à relever. Au premier rang d’entre eux, comment assurer la sécurité de ces quantités astronomiques de données, du capteur jusqu’au datacenter ?

  Go to Source

Microsoft semble vouloir faire table rase de la mauvaise réputation d’Internet Explorer et égrène les déclarations sur la sécurité et la fiabilité de son nouveau navigateur Edge. Lors de sa conférence Ignite, Microsoft a ainsi présenté une nouvelle fonctionnalité destinée à Microsoft Edge baptisée Windows Defender Application Guard.

  Derrière ce nom à rallonge se cache un mécanisme visant à isoler le processus d’Edge dans une machine virtuelle. Celui-ci tire parti des nouvelles fonctionnalités de virtualisation introduites dans Windows 10 pour mieux protéger l’utilisateur des attaques exploitant le navigateur comme principal vecteur d’infection. 

Celui-ci est en effet largement considéré comme la cible principale des cybercriminels, qui ont fréquemment recours au phishing pour infecter les machines de leurs cibles à travers l’utilisation de sites contrefaits ou d’exploits kits. Application Guard entend limiter ceci en offrant à l’utilisateur la possibilité de faire fonctionner Edge dans une machine virtuelle minimale, ou un container, afin d’isoler celui-ci du reste du système d’exploitation. 

[embedded content]

Faire oublier Internet Explorer

Ce paramètre peut être activé lorsque l’utilisateur visite certains sites jugés potentiellement malveillants par la DSI : la session est alors ouverte dans une machine virtuelle, qui est ensuite entièrement supprimée une fois la fenêtre fermée. Un code malveillant peut ainsi s’exécuter sur le site en question et tenter d’infecter la machine, mais il ne pourra pas accéder à l’OS de la machine de l’utilisateur et sera ensuite supprimé à la fin de la session.La fonctionnalité semble donc principalement destinée aux entreprises.

Edge proposait déjà un fonctionnement sécurisé de ses processus au sein d’une sandbox, mais les cybercriminels pouvaient néanmoins avoir recours à des vulnérabilités permettant de contourner cette protection. Avec son nouveau projet, Microsoft assure que l’étanchéité sera bien mieux garantie.

Celle-ci ne sera néanmoins disponible dans un premier temps que pour son navigateur Edge et n’échappera pas à certains désavantages. Ainsi, les sessions protégées par Application Guard ne pourront pas garder en mémoire les cookies et les informations d’identifications, puisque la machine virtuelle et les données conservées seront automatiquement supprimées à la fin de la session. Microsoft évoque également un impact possible sur les performances du navigateur, sans donner de détails sur celui-ci.

Il faudra donc attendre les premières versions, qui seront proposées via le programme Microsoft Insider dans la fin d’année, pour se faire une idée. La sortie officielle de Windows Defender Application Guard est programmée de son côté pour 2017.

Voir aussi notre page Chiffres clés : le marché mondial des navigateurs Internet

Go to Source