comment bloquer les intrusitons netcat sous windows?

Le Tue, 22 Feb 2005 10:25:05 +0000, LaDDL a écrit :

Mais comment arrivent-ils à ce chiffre de 70% ? Combien de machines
ont-ils étudié ?

Étude genre FBI auprès de grands comptes. C'est forcément biaisé par
le nombre d'intrusions non remontées dans l'étude. Et un truc que je
n'ai pas précisé, il s'agissait des intrusions externes, les incidents
internes ne nécessitant pas souvent une élévation de privilèges par
rapport au statut existant.

As-tu un lien stp concernant cette étude ?

L'étude, dont je ne me souviens plus l'origine, n'était pas en ligne.


--
Demande éclaircissements: - que signifie "Suivi-à positionné sur fuad"?
"quoter" je présume voulant dire, raccourcir? "gâchi des ressources"
comment ça? C'est qui, quoi, Usenet.abus ? et vous-même qui êtes vous ?
-+- AH in: Guide du Neuneu d'Usenet - Questions pour un champion -+-

Sebastien Vincent <svincent@idems.fr> wrote:

De plus on parle de sécurité (tout a rajoutant quelques
services si je te suis) alors je recommande OpenBSD (protection
contre les buffer Overflow, securité par défaut, créateur de
Packet Filter).

Purée, un trollomètre tout neuf !

Non, sérieusement, tous les BSD de ce point de vue se valent, dans la
mesure où les corrections des uns sont immédiatement implantées dans les
autres.

XAv
--
Xavier HUMBERT - Systemes et Reseaux - INJEP - MJENR

On 22 Feb 2005 11:05:30 GMT, Cedric Blancher <blancher@cartel-securite.fr>
wrote:

Le Tue, 22 Feb 2005 10:25:05 +0000, LaDDL a écrit :

Mais comment arrivent-ils à ce chiffre de 70% ? Combien de machines
ont-ils étudié ?

Étude genre FBI auprès de grands comptes.

Ok mais étude américaine ou française ou autres ?

C'est forcément biaisé par
le nombre d'intrusions non remontées dans l'étude.

Faut regarder leur protocole d'étude.
A priori s'ils ont seulement interrogé les DSI, RSSI l'étude n'a aucun
sens.

Et un truc que je
n'ai pas précisé, il s'agissait des intrusions externes,

Ce sont les résultats les plus intéressants pour évaluer le niveau de
sécurité des SI.

les incidents
internes ne nécessitant pas souvent une élévation de privilèges par
rapport au statut existant.

Ca dépend de la gestion des risques de l'entité privé ou public concernée.

Tiens pour alimenter la discussion autour des TSE/TSI, la société IMPERVA
avait publié IMHO un rapport intéressant sur la vulnérabilité des
applications web : http://www.imperva.com/download.asp?id#

As-tu un lien stp concernant cette étude ?

L'étude, dont je ne me souviens plus l'origine, n'était pas en ligne.

Ok.
Etude 2004 ou plus ancienne ?

Le Tue, 22 Feb 2005 15:19:56 +0000, LaDDL a écrit :

Ok mais étude américaine ou française ou autres ?

Américaine.

Faut regarder leur protocole d'étude.
A priori s'ils ont seulement interrogé les DSI, RSSI l'étude n'a aucun
sens.

Bien sûr, mais il n'est pas mentionné, comme la plupart des études.
De plus, je ne vois pas en quoi le fait d'interroger un DSI/RSSI n'a pas
de sens. S'il fait bien son boulot, il doit être au courant des incidents
sur son SI... Tu me diras, la pratique vs. la théorie, tout ça, blabla.

Ce sont les résultats les plus intéressants pour évaluer le niveau de
sécurité des SI.

Ça dépend...

Ca dépend de la gestion des risques de l'entité privé ou public
concernée.

Je connais peu d'organisation où aucune information accessible en interne
n'a de caractère confidentiel (i.e. qu'on peut la coller sur le site
web). Ce que je voulais dire par là, c'est que pour créer un "incident
de sécurité" interne, il n'est souvent pas nécessaire de procéder à
une intrusion, un élément interne ayant très souvent (pour ne pas dire
toujours) accès à des informations qui ne doivent pas se retrouver aux
mains de la concurrence.

Tiens pour alimenter la discussion autour des TSE/TSI, la société
IMPERVA avait publié IMHO un rapport intéressant sur la
vulnérabilité des applications web :
http://www.imperva.com/download.asp?id#

Le papier est très intéressant en effet, même s'il faut être prudent
dans la généralisation. Mais ça montre cependant qu'avec la
généralisation des applications Web, la gestion de la menace dépasse
largement le patch management.

"Je comprends pas comment vous avez fait, M. le Pentester, toutes mes
applications sont à jour, j'ai même vérifié en lançant un Nessus hier
soir"...

Etude 2004 ou plus ancienne ?

De mémoire, 2003. Mais avec l'explosion des configurations serveur web
supposés prêt-à-l'emploi (IIS, LAMP, EasyPHP, etc.) et la
généralisation des sites perso à la maison, je ne pense pas que le
chiffre ait franchement baissé, au contraire.


--
EF: pour l'instant, ce sont des linuxiens qui mènent la danse...
ST: J'ai appris qu'il était question de mettre la gestion du système
ST: solaire sous Linux, c'est Dieu qui va etre content.
-+- ST in Guide du linuxien pervers : "Linux : les affres de la création"

On 22 Feb 2005 15:35:34 GMT, Cedric Blancher <blancher@cartel-securite.fr>
wrote:

Faut regarder leur protocole d'étude.
A priori s'ils ont seulement interrogé les DSI, RSSI l'étude n'a aucun
sens.

Bien sûr, mais il n'est pas mentionné, comme la plupart des études.

Ca dépend. En général toutes les études émanant d'organismes publique ou
semi-publique expose clairement leurs démarches.

De plus, je ne vois pas en quoi le fait d'interroger un DSI/RSSI n'a pas
de sens.

Ils ne peuvent communiquer publiquement sur la nature des intrusions.
Amha les seules personnes légitimes pour s'exprimer sur les types
d'intrusions rencontrées sur les SI sont les professionnels des pentests.
Au moins là pas de risque de publication d'informations sensibles sur les
SI de leurs clients.

S'il fait bien son boulot, il doit être au courant des incidents
sur son SI...

J'espère pour lui sinon faut qu'il change de métier.

Tu me diras, la pratique vs. la théorie, tout ça, blabla.

Ouaip.

Ce sont les résultats les plus intéressants pour évaluer le niveau de
sécurité des SI.

Ça dépend...

Certes les TSE ne donnent qu'un aperçu des risques pour un SI.
C'est l'analyse des risques qui permet de gèrer la sécurité de son SI.

[...]

Tiens pour alimenter la discussion autour des TSE/TSI, la société
IMPERVA avait publié IMHO un rapport intéressant sur la
vulnérabilité des applications web :
http://www.imperva.com/download.asp?id#

Le papier est très intéressant en effet, même s'il faut être prudent
dans la généralisation. Mais ça montre cependant qu'avec la
généralisation des applications Web, la gestion de la menace dépasse
largement le patch management.

Ah si les codeurs de certains éditeurs pouvaient prendre en amont la
sécurité pour programmer...

"Je comprends pas comment vous avez fait, M. le Pentester, toutes mes
applications sont à jour, j'ai même vérifié en lançant un Nessus hier
soir"...

Bah M. le DSI ou M. le RSSI si vous appreniez à vos utilisateurs à ne pas
cliquer/installer n'importe quoi vous n'auriez jamais corrompu votre
système avec notre cheval de troie par exemple.

Etude 2004 ou plus ancienne ?

De mémoire, 2003. Mais avec l'explosion des configurations serveur web
supposés prêt-à-l'emploi (IIS, LAMP, EasyPHP, etc.) et la
généralisation des sites perso à la maison, je ne pense pas que le
chiffre ait franchement baissé, au contraire.

Bah c'est toujours difficile de chiffrer et encore plus de généraliser
mais on le constate aussi tous les jours...

On Wed, 23 Feb 2005 15:04:37 +0000, LaDDL wrote:

Ils (les DSI) ne peuvent communiquer publiquement sur la nature des
intrusions.

Il reste toujours la possibilité de remonter des données anonymisées.
On peut imaginer une institution de confiance collectant ces données
auprès de DSI/RSSI et générant ensuite une synthèse chiffrée. C'est
déjà un peu ce que fait l'OSSIR avec son annuel "Panorama de la
Cybercriminalité".

Amha les seules personnes légitimes pour s'exprimer sur les types
d'intrusions rencontrées sur les SI sont les professionnels des
pentests.

Pas d'accord. Les pen-testeurs pourront parler de ce qu'ils ont réalisé,
mais il leur manquera toute la partie réellement significative, ie. les
intrusions réussies mais non réalisées par un prestataire, c'est-à-dire
les *vrais* piratages .... Là, vaudrait mieux se tourner vers les
spécialistes du post-mortem/forensics, mais il est rare qu'il soit fait
appel à eux (honte de s'être fait piraté + besoin de relancer la prod).


Nicob

Le Wed, 23 Feb 2005 15:04:37 +0000, LaDDL a écrit :

Amha les seules personnes légitimes pour s'exprimer sur les types
d'intrusions rencontrées sur les SI sont les professionnels des pentests.

Un pentest n'est justement pas une intrusion. On ne peut pas généraliser
l'expérience d'un gars qui fait ce genre de prestation au piratage
lui-même (même si mon expérience rejoint mon affirmation).

Personnellement, je préférerait écouter un gars qui fait du
post-mortem...


--
Ca fait 2 jours que j'essaie d'envoyer un post avec une pièce
jointe = de 900 Ko (Base de donnée de gestion de portefeuille)
Y'a un petit malin qui s'amuse à effacer les messages ou quoi ?
-+- LL in <http://neuneu.mine.nu> -+- Same Neuneu shoot again -+-

On 24 Feb 2005 08:55:26 GMT, Nicob <nicob@I.hate.spammers.com> wrote:

On Wed, 23 Feb 2005 15:04:37 +0000, LaDDL wrote:

Ils (les DSI) ne peuvent communiquer publiquement sur la nature des
intrusions.

Il reste toujours la possibilité de remonter des données anonymisées.

Dans le cadre d'une étude bien entendu.

On peut imaginer une institution de confiance collectant ces données
auprès de DSI/RSSI et générant ensuite une synthèse chiffrée. C'est
déjà un peu ce que fait l'OSSIR avec son annuel "Panorama de la
Cybercriminalité".

Tu veux dire le CLUSIF plutôt.
L'OSSIR fait aussi du bon travail en ce sens d'ailleurs certains membres
travaillent avec le CLUSIF.
Mais je trouve que les études réalisées en France ne donnent pas un réel
aperçu des VRAIS problèmes rencontrés sur le terrain :
- les types attaques réussies,
- les types de vulnérabilités le plus souvent rencontrées,
- les nouvelles formes de menaces.
- etc.

En fait, une/des études françaises à l'image de celle réalisée par IMPERVA
donneraient une vision beaucoup plus réaliste de la situation de la SSI en
France.

Amha les seules personnes légitimes pour s'exprimer sur les types
d'intrusions rencontrées sur les SI sont les professionnels des
pentests.

Pas d'accord. Les pen-testeurs pourront parler de ce qu'ils ont réalisé,

C'est déjà un premier niveau de connaissances pertinentes.

mais il leur manquera toute la partie réellement significative, ie. les
intrusions réussies mais non réalisées par un prestataire, c'est-à-dire
les *vrais* piratages...

Tout dépend du niveau de relation entre le prestataire et le client.
Mais je reconnais qu'ils sont plutôt discrets et c'est logique.

Là, vaudrait mieux se tourner vers les
spécialistes du post-mortem/forensics, mais il est rare qu'il soit fait
appel à eux (honte de s'être fait piraté + besoin de relancer la prod).

Merci de l'avoir précisé, j'avais omis d'élargir le spectre. ;)

Quoiqu'il en soit je pense vraiment que pour avoir une vision réaliste de
la situation en SSI en France il faut que chacun d'entre nous réalisions
des études comme celle d'IMPERVA. D'ailleurs ce travail d'IMPERVA a
suscité dans notre société la réalisation d'une étude en ce sens. (si
d'autres confrères en tests d'intrusion et analyse de preuves numériques
sont intéressés par cette démarche il pourrait être intéressant de se
regrouper...)

On 24 Feb 2005 10:15:12 GMT, Cedric Blancher <blancher@cartel-securite.fr>
wrote:

Le Wed, 23 Feb 2005 15:04:37 +0000, LaDDL a écrit :

Amha les seules personnes légitimes pour s'exprimer sur les types
d'intrusions rencontrées sur les SI sont les professionnels des
pentests.

Un pentest n'est justement pas une intrusion.

Où as-tu lu pentest = intrusion ?

Ious les tests d'intrusion réalisés en externe et en aveugle sur un SI
mettent les testeurs dans la peau de pirates informatiques & ils agissent
en simulant le comportement de personnes malveillantes.

On ne peut pas généraliser
l'expérience d'un gars qui fait ce genre de prestation au piratage
lui-même (même si mon expérience rejoint mon affirmation).

Mais de quoi tu parles ??? :(
Un ingénieur consultant en sécurité informatique spécialisé en test
d'intrusion n'est pas un pirate voyons !

Personnellement, je préférerait écouter un gars qui fait du
post-mortem...

Pas d'accord. Les deux points de vue sont essentiels dans le cadre d'une
étude sur les intrusions dans les SI. Pourquoi ? Parce que l'on analyse
des informations avant et après l'attaque.

Le Thu, 24 Feb 2005 15:11:49 +0000, LaDDL a écrit :

Un pentest n'est justement pas une intrusion.
Où as-tu lu pentest = intrusion ?

Je te parle d'étude sur les _intrusions_ (les vrais, celles qui sont
arrivées) et tu me dis qu'il faudrait consulter les professionnels du
pentest. Pourquoi est-ce qu'ils seraient au courant des intrusions
produites sur un SI donné, et donc de leurs causes, qui plus est sur un
grand nombre de SI ?

Ious les tests d'intrusion réalisés en externe et en aveugle sur un SI
mettent les testeurs dans la peau de pirates informatiques & ils
agissent en simulant le comportement de personnes malveillantes.

Je te remercie encore une fois de m'expliquer mon métier, mais ça ne
fait pas avancer le schmiblick pour autant. Se mettre dans le peau d'un
pirate ne te donne pas plus d'information sur le nombre de machine
piratées dans le monde et les méthodes employées.

Prenons juste les spécialisations. Tu prends un pro du pentest d'appli
web, il va te dire que c'est les applis web qui présentent le plus de
trous parce que c'est ce qu'il connaît, et surtout c'est ce qu'il
cherche quand il travaille. Est-ce que pour autant cette expérience est
généralisable à la réalité de la criminalité informatique ?
Personnellement, je ne crois pas.

Mais de quoi tu parles ??? :(

De la même chose qu'au dessus.

Un ingénieur consultant en sécurité informatique spécialisé en test
d'intrusion n'est pas un pirate voyons !

Et ça l'empêcherait de généraliser ce que lui fait de manière légale sur
des systèmes à ce que font d'autres, mais de manière illégale ? Ou
alors, il faut que tu m'expliques ce que viennent faire les pentesteurs
dans _ton_ discours.

Pas d'accord. Les deux points de vue sont essentiels dans le cadre d'une
étude sur les intrusions dans les SI. Pourquoi ? Parce que l'on analyse
des informations avant et après l'attaque.

À la différence près que le seul des deux qui sait pourquoi et comment
s'est produit une intrusion est le mec qui a fait l'analyse. Si on
reprends l'étude qui affirme que 70% des machines piratée l'ont été
via une faille web, c'est le résultat d'une analyse d'incidents, donc
d'une idée de la réalité, pas de conjectures tirées de l'expérience
d'un mec qui fait des pentests et qui généralise son expérience (par
exemple, sur tous mes pentests, je rentre à 70% via une faille web) à la
réalité de la criminalité informatique.

D'un côté tu estimes une partie de la réalité, et tu en extrapoles une
tendance, et de l'autre tu extrapoles une tendance d'une expérience qui
n'est pas la réalité, ne serait-ce que parce qu'un pentesteur n'est pas
un pirate, même s'il fait semblant pour les besoins de son travail.


--
FB - Il a quand meme decime toute une compagnie de panzers...ah!..
BB - Il etait dans les chars? (Bernard Blier)
FB - Nan! Dans la limonade! Sois a ce qu'on te dit!..
-+- Francis Blanche et Bernard Blier, les Tontons Flingueurs