Connaissances dans le domaine de la securite.

"Sebastien Vincent" <svincent@idems.fr> a écrit

Bonjour tout le monde,

suite à la discution "Adresse IP d'un attaquant" et l'évocation
de TOR, Mixmaster et compagnie je me demande comment vous avez aquis
votre culture sur les différents outils existants dans le domaine
de la sécurité.

Personnellement je ne connais pas réellement de bon site sur le net
qui traite d'un peu tous ces sujets. Quand je croise un mot sur
usenet que je ne connais pas, google et ca va mieux, j'ai pas
encore trouvé de méthode d'apprendre plus vite, et en fait je n'ai
trouvé quasiement "que" ce newsgroup d'intéressant (bon il est
francais ca joue un peu dans la balance j'avoue).

Y a t'il des bouquins de référence ?

Des sites de référence ?

Vous abreuvez vous de formation en tous genres ? (si oui quel est
votre budget)

Enfin, j'ai 5-6 pc chez moi et je mes DDoS mes propres packet filters
c'est grave docteur ? (ou alors vous faites pareil ?)

Amicalement,

Seb :)

Le bouquin de Ryan RUSSEL est pas mal. Personnellement c'est par ça que j'ai
plongé dans la piscine.
Stratégies Anti-Hackers - Ed. Eyrolles (2002) dans les 40 euros je crois
sinon, ya aussi un certains nombre de zines sur le web ( le très célèbres
Phrack par exemple) en anglais pour la plupart.
Si tu cherches rien que des trucs pour francophiles, tu peux jeter un oeil
sur MISC (www.miscmag.com)

Bonjour,

Si tu cherches rien que des trucs pour francophiles, tu peux jeter un oeil
sur MISC (www.miscmag.com)

Prevoir un peu d'aspirine avec, au debut ca ne fait pas de mal :)

Sinon toujours en magazine il y a Hakin9 qui n'est pas trop mauvais (mais
mal distribue dans les relais de presse).

A+
--
Xavier Belanger

Bonjour tout le monde,

Salut, c'est un peu long mais je suis bavard, pardonnez-moi.

suite à la discution "Adresse IP d'un attaquant" et l'évocation
de TOR, Mixmaster et compagnie je me demande comment vous avez aquis
votre culture sur les différents outils existants dans le domaine
de la sécurité.

Ben, l'expérience et le travail de terrain. Rien de nouveau c'est
valable pour tous les métiers je crois. N'est-ce pas Madame Claude ?
Cela signifie qu'il faut faire des installs, éplucher des
configurations, être bien stressé chez les clients, se gauffrer,
surveiller, optimiser, affiner et continuer à étudier pendant ce temps.
Cent fois sur le métier remet ton ouvrage mon petit.
L'ingénieur sécurité de 2005 a tout de même un ENORME avantage sur son
âiné de, disons, 1994. D'une part la sécurité des SI ne se posait pas
dans les mêmes termes soit mais surtout c'est qu'aujourd'hui et de plus
en plus on peut pratiquement TOUT testé chez soi au chaud !
Grâce à qui ? Grâce aux millers de développeurs qui ont participé peu ou
prou aux produits comme Linux. Free/Net/OpenBSD, NetFilter, IPF, PF,
Snort, Prelude, etc, etc, etc.
Il y a 10 ans si l'on voulait monter un réseau et/ou tester 2, 3 règles
de filtrage il fallait un Cisco et un FW-1 ! Pas le même ticket d'entrée
! C'est un énorme progrès.

La presse spécialisée est un excellent moyen de se tenir au courant et
de s'interroger sur ses propres connaissances et actions et on peut
dire, qu'en France, l'arrivée de MISC a changé un peu la donne.
D'autres ont emboîté le pas avec une mention particulière pour les
polonais avec Hackin9.
En ce qui concerne les bouquins je suis navré mais aucun des bouquins
que j'ai pu lire sur le sujet (en anglo-américain [*] et encore moins en
Français) ne vaut grand chose.
Qui plus est le domaine méthodologique n'est JAMAIS couvert. Il est
pourtant essentiel.

Personnellement je ne connais pas réellement de bon site sur le net
qui traite d'un peu tous ces sujets. Quand je croise un mot sur
usenet que je ne connais pas, google et ca va mieux, j'ai pas
encore trouvé de méthode d'apprendre plus vite, et en fait je n'ai
trouvé quasiement "que" ce newsgroup d'intéressant (bon il est
francais ca joue un peu dans la balance j'avoue).

Y a t'il des bouquins de référence ?

Je n'en ai pas trouver ou alors c'est pour les débutants. Là oui il y a
des ouvrages intéressants.

Des sites de référence ?

Ils sont nombreux, souvent fort bien faits, mais, de mon point de vue,
ne sont intéressants que pour 3 choses : la compilation d'exploits et de
vulnérabilités, les bonnes blagues (**) et l'actualité sommaire.

Vous abreuvez vous de formation en tous genres ? (si oui quel est
votre budget)

Toujours de mon point de vue les formations ne sont intéressantes qu'à 2
niveaux et pour 2 types de population.
Le premier niveau est le consultant qui désire se spécialiser dans des
produits particuliers (Checkpoint, Cisco, BrightMail, Symantec, etc). Là
oui il doit en passer par la formation car ces produits ne se trouvent
pas sous le sabot d'un cheval et ils sont en génral assortie d'un
certificat. Et c'est un choix : il devient le porte-parole de l'éditeur !

L'autre niveau estla sensibilisation et la méthodologie qui concerne
davantage chefs de projets et managers.

Les populations concernées sont le consultant qui désire se spécialiser
dans un ou des produits particuliers, le chef de projet désirant
formaliser ses procédures et la population des managers.

Enfin, j'ai 5-6 pc chez moi et je mes DDoS mes propres packet filters
c'est grave docteur ? (ou alors vous faites pareil ?)

Je reste convaincu que développer soi-même ses PROPRES solutions de
sécurité est un excellent investissment pour comprendre, analyser et
saisir les enjeux et surtout acquérir de la confiance en soi (on ne
devient bon garagiste qu'en démontant et remontant des bagnoles et
TOUTES sortes de caisses) et une sorte de << conscience >> sécuritaire.
Toutefois il ne faut pas se contenter de cela et ce monde (comme
d'autres) est un challenge permanent.
Il faut donc faire un effort régulier de recherche, de mise à jour de
ses connaissances, de tests, de validation (**).
Il faut aquérir une sorte de 6ème sens et << sentir >> lorsque
quelquechose déconne et impacte la sécu.

Ce monde (de la sécurité), bien plus que d'autres, change. C'est tous
les jours qu'il se passe quelque chose aux galeries de l'exploit.
Après il faut faire des choix : être le << trader >> de la sécurité à
savoir accomplir des actions de détections de vulnérabilité,
d'intrusion, etc et donc être constamment sur la brèche pour connaître
le dernier niveau d'attaque existant, s'abonner des tonnes de ML, suivre
des dizaines de canaux IRC.
Ou, être plus << pépère >> et agir plutôt du côté concepts de
protection, sécurité globale, méthodologie, négociation, analyse de
risques/menaces, management/gouvernance de la sécurité. J'ai, dès le
départ, choisi ce camp là (pas fou non plus) que je considère plus
riche. C'est aussi une question de formation.

En résumé, si tu débutes : le terrain et des sites Web pas trop moches.
Ensuite les revues spécialisées pour entretenir.
Enfin des formations appropriées si tu désires te spécialiser.

Je simplifie, of course.

Amicalement,

Bon courage,,

Seb :)

db

(*) Ce n'est pourtant pas ce qui manque chez Eyrolles. Mais ce domaine
souffre comme tant d'autres de sa popularité croissante et les éditeurs
y ont vu là l'intérêt d'y faire plus de fric que d'apporter de réelles
informations. Le mot Hacking fait recette à n'en pas douter.
Et les ouvrages en librairies sont tous edes HarckerZvoice en puissance.
Mais il suffit de comparer un ouvrage de 2001 à un ouvrage de 2005 et on
constatera que la différence est faible. Pourtant que de chemin parcouru
en 4 ans !
A l'inverse les fondamentaux ont tendance à disparaître (proxy,
proxy-inversé, relais de circuits, fingerprinting) au profit de notions
plus << porteuses >> : virus, spam (je ne parle même pas d'antispam).
Bah ... C'est comme à la télé : l'imoprtant est de faire rêver et de
faire croire à madame Michu qu'elle est experte en sécurité des SI après
avoir lu un bouquin de 300 pages noir et jaune.

Il est en revanche un sous-domaine de la sécurité qui reste très bien
documenté car le résultat de travaux de recherche et, surtout, en marge
de l'effet informatique << grand public >>.
Il s'agit des applications spécialisées : Bluetooth, RFID, les liaisons
satellites, réseaux d'opérateurs, protocoles spécifiques, la sécurité
physique, les aspects méthodologiques justement, etc. En effet, c'est
assez technique et les éditeurs de << blockbusters >> ne s'y intéressent
absolument pas car ça représente de si faibles volumes ...
Comme d'hab c'est dans la marge que l'on trouve les richesses.

(**) Je ne plaisante pas, c'est sérieux. Si j'en suis venu à ce métier
de consultant en sécurité des SI c'est avant tout à cause de/grâce à la
bêtise humaine. L'histoire de la carte bancaire française est riche de
ce point de vue.
Récemment j'en ai encore vu une belle, ce n'est pas directement lié à la
sécurité mais tout de même, il s'agit de validation de paiement.
Souriez brave gens.
Les Transports en Commun Lyonnais ont décidé voici quelques années
d'équiper le métro lyonnais de portes hachoir (une sorte de PAVEL à la
lyonnaise) comme à Paris (on copie toujours la grande soeur).
Soi-disant, la fraude, patati, patata.
Je serai curieux d'analyser le bilan économique de l'affaire en prenant
en compte le coût de maintenance, le taux de panne de ces engins et la
gêne occasionnée aux passagers car enfin, ne pas avoir de portique
lorsqu'on se balade avec un gros sac c'est formidable.
Bref.
Une première station a été équipée en février de ce dispositif coupe-
tête. Pas de chance : l'ascenseur accessible au niveau de la rue conduit
directement sur le quai sans passer par les portes. Hasard, oubli,
volonté de nuire, ja merdé dans la conception, chef ?
Moi ça m'éclate.
ET c'est là tout l'intérêt dse publications comme Pirates que j'adore
pour cela. C'est mon Voici à moi : des paragraphes entiers sur la
connerie humaine : de Bill Gates au PDG de Volkswagen en passant par tel
ou tel jugement : un régal.

(***) En ce moment j'étudie le RFID par exemple.

--

Courriel : usenet blas net

On 15 Mar 2005 08:50:12 GMT, Sebastien Vincent <svincent@idems.fr> wrote:

Bonjour tout le monde,

Bonjour,

suite à la discution "Adresse IP d'un attaquant" et l'évocation
de TOR, Mixmaster et compagnie je me demande comment vous avez aquis
votre culture sur les différents outils existants dans le domaine
de la sécurité.

Au travers d'expériences personnelles & professionnelles, de missions, de
projets, de rencontres notamment.

Personnellement je ne connais pas réellement de bon site sur le net
qui traite d'un peu tous ces sujets.

Sur la sécurité informatique il y en a pléthores. Commences déjà par
consulter les annuaires.
Celui de Google ici :
http://directory.google.com/Top/World/Français/Informatique/Sécurité/
Celui de dmoz ici :
http://dmoz.org/World/Français/Informatique/Sécurité/

Je te conseillerai d'abord d'apprendre à te servir d'un moteur de
recherche pour trouver presque tout ce que tu veux.

Sinon pour obtenir plus d'informations sur les réseaux de type TOR rends
toi ici :
http://www.onion-router.net/Publications.html
Le réseau TOR aujourd'hui :
http://www.noreply.org/tor-running-routers/

Quand je croise un mot sur
usenet que je ne connais pas, google et ca va mieux,

Bonne démarche.

j'ai pas
encore trouvé de méthode d'apprendre plus vite,

Si dans Matrix. lol
Apprendre cela demande du temps, de l'investissement personnel =>
travailler.
Comment travailler ? Par exemple, allier lectures théoriques et cas
pratiques.
En gros, lis des livres, consultes les FAQs & tutoriels, suis les groupes
de discussion, abonnes-toi à des ML, etc.

et en fait je n'ai
trouvé quasiement "que" ce newsgroup d'intéressant (bon il est
francais ca joue un peu dans la balance j'avoue).

Tu as mal chercher. ;)
Mais j'espère que ces quelques pistes vont t'aider dans ton apprentissage
des réseaux et systèmes.

Y a t'il des bouquins de référence ?

Oui beaucoup mais que cherches-tu exactement ?
Te former ? Ou bien juste comprendre ?
En fonction de cela, je pourrais te conseiller.

Des sites de référence ?

Commences déjà par consulter les liens que je t'ai communiqué ci-haut.

Vous abreuvez vous de formation en tous genres ? (si oui quel est
votre budget)

Non. Je sélectionne en fonction de mes centres d'intérêt. Je n'ai pas de
limite de budget.

--

Sebastien Vincent nous disait récement dans fr.comp.securite
<news:42367b13$0$25042$8fcfb975@news.wanadoo.fr> :

[...] je me demande comment vous avez aquis votre culture sur les
différents outils existants dans le domaine de la sécurité.

Avec de la patience, une bonne dose de curiosité et beaucoup de
pratique. Je ne suis qu'un amateur éclairé, mais il y a encore cinq ans
la seule et unique chose que je connaissais en matière de sécurité
informatique, c'est qu'il fallait un anti-virus et un filtre IP ; et
encore ai-je découvert le filtre IP sur le tard. Tout le reste je l'ai
appris en lisant, en écrivant des anneries et en essayant par moi-même.
En fait, le meilleur moyen d'apprendre en dehors du cercle d'étude, ça
reste de se fixer un objectif précis et de le réaliser. Lorsque j'ai
commencé à écrire la FAQ sur les firewalls, je n'avais guère de
connaissance que pour écrire quatre ou cinq lignes. Alors j'ai fouillé
le réseau, lu, comparé, essayé, puis compilé tout ça dans la FAQ. En
deux mois (si je me souviens bien), la FAQ était écrite et pour ce que
j'en sais, je n'y avais commis que trois erreurs légères. Ca m'a permis
d'acquérir les bases, et c'est en les mettant en pratique que j'ai
ensuite progressé.

Personnellement je ne connais pas réellement de bon site sur le net
qui traite d'un peu tous ces sujets.

En fait il ne me semble pas qu'il en existe un seul qui puisse
répondre à ces deux critères. Soit le site parle de tout, et le plus
souvent l'on y retrouve beaucoup d'anneries, soit il est sérieux et se
contente alors de quelques domaines bien précis, ou alors il abordera
tous les thèmes, mais par le biais d'articles se concentrant à chaque
fois sur un point précis.
La sécurité informatique couvre plusieurs domaines qui sont imbriqués
les uns dans les autres. Configurer un filtre IP, ça demande des
connaissances en matière de réseau, installer une passerelle filtrante
pour protéger ses deux ou trois ordinateurs, ça implique de veiller
aussi à la sécurité de ces derniers, pour qu'il n'y ait pas de trojan
qui viendrait tout ruiner. Sécuriser les postes eux-mêmes, ça oblige à
comprendre comment l'on peut y placer un programme malicieux, comment
il pourrait s'y installer, ce qu'il pourrait exploiter et comment il
pourrait ensuite communiquer. Et ainsi de suite.
C'est pour cela qu'il ne peut pas en soit exister un site à la fois
généraliste et sérieux, à moins d'en faire une bibliothèque virtuelle
qui regrouperait ce que les autres ont écrit. Non pas parce que les
professionnels ne connaissent pas tout les sujets, mais parce qu'il est
impossible d'écrire un document exhaustif sur un sujet à moins de faire
l'impasse sur tout ce qui vient avant et tout ce qui vient après. Et
comme une personne ne peut pas tout écrire...

Des sites de référence ?

Pas forcément "de référence", mais que j'aime bien pour ma part :

[En français]
<http://www.hsc.fr/ressources/index.html.fr>
<http://www.vulnerabilite.com/>
<http://www.infoshackers.com>
<http://www.cru.fr/securite/>

[En anglais]
<http://www.packetstormsecurity.org/>
<http://www.cert.org/>
<http://www.sans.org>
<http://www.sans.org/rr/>
<http://www.securityfocus.com/>

Vous abreuvez vous de formation en tous genres ? (si oui quel est
votre budget)

Formation continue, bugdet ben euh, la facture EDF qui gonfle à chaque
fois et le prix d'un nouvel ordinateur pour ma femme lorsque je décide
d'ajouter le précédant à ma collection de joujoux[1] ;-)


[1]
<le type il en profite qu'il modère pour faire une pub éhontée>
J'en profite pour signaler que je suis preneur de quelques machines
d'occasions à base de Sparc ou SuperSparc, en état de marche normal et
pas trop cher, avec ou sans écran/clavier, mais avec carte réseau ;-)
</>

Enfin, j'ai 5-6 pc chez moi et je mes DDoS mes propres packet filters
c'est grave docteur ? (ou alors vous faites pareil ?)

On fait pareil, et ceux qui ne le font plus le faisaient avant de se
voir contraint de choisir entre le LAN et leur épouse ;-)


--
"En amour, on plaît plutôt par d'agréables défauts que par des qualités
essentielles ; les grandes vertus sont des pièces d'or, dont on fait
moins usage que de la monnaie"
Ninon de Lenclos

Salut, c'est un peu long mais je suis bavard, pardonnez-moi.

Salut, ce n'est pas grave, et meme très bien pour moi :)

Ben, l'expérience et le travail de terrain. Rien de nouveau c'est
valable pour tous les métiers je crois. N'est-ce pas Madame Claude ?
Cela signifie qu'il faut faire des installs, éplucher des
configurations, être bien stressé chez les clients, se gauffrer,
surveiller, optimiser, affiner et continuer à étudier pendant ce
temps. Cent fois sur le métier remet ton ouvrage mon petit.
L'ingénieur sécurité de 2005 a tout de même un ENORME avantage sur
son âiné de, disons, 1994. D'une part la sécurité des SI ne se posait
pas dans les mêmes termes soit mais surtout c'est qu'aujourd'hui et
de plus en plus on peut pratiquement TOUT testé chez soi au chaud !
Grâce à qui ? Grâce aux millers de développeurs qui ont participé peu
ou prou aux produits comme Linux. Free/Net/OpenBSD, NetFilter, IPF,
PF, Snort, Prelude, etc, etc, etc. Il y a 10 ans si l'on voulait
monter un réseau et/ou tester 2, 3 règles de filtrage il fallait un
Cisco et un FW-1 ! Pas le même ticket d'entrée ! C'est un énorme
progrès.

Oui c'est vrai que c'est pratique, et ca ne coute pas tres cher :)
Le recyclage d'un poste de bureautique dans l'entourage se transforme
facilement en firewall. Free et Net je t'avoue que je connais pas
très bien, OpenBSD un peu mieux, je l'utilise en desktop et
firewall/routeur, et linux en desktop/serveur (donnees, web, etc...).

Je ne connais "aucune" solution propriétaire pour la raison que sous
entend, a savoir le prix :/

En meme temps je me dis que l'on semble pouvoir tout faire de facon
modeste avec les outils existants (j'ai entendu qu'un routeur cisco
peut répliquer sa config sur tous les autres routeurs du réseau, heu
la j'avoue je vois pas comment le faire :)).

La presse spécialisée est un excellent moyen de se tenir au courant
et de s'interroger sur ses propres connaissances et actions et on
peut dire, qu'en France, l'arrivée de MISC a changé un peu la donne.
D'autres ont emboîté le pas avec une mention particulière pour les
polonais avec Hackin9. En ce qui concerne les bouquins je suis navré
mais aucun des bouquins que j'ai pu lire sur le sujet (en
anglo-américain [*] et encore moins en Français) ne vaut grand chose.
Qui plus est le domaine méthodologique n'est JAMAIS couvert. Il est
pourtant essentiel.

Oui je n'ai pas trouvé grand chose en effet, a part les deux mags que tu
cite mais que je n'arrive pas a me procurer ici, enfin je vais essayer
quand meme par abonnement meme si ca ne m'arrange pas trop :/

Pour ce qui est de la méthodologie cela fait deux ans que je suis
administrateur réseau, a petite echelle, dans deux boites d'une
15aines de postes chacune. J'ai tout organisé autour de linux/OpenBSD
et dans la durée ca semble relativement costaud et très fiable comme
installation, mais la encore ce sont des réseaux calmes, je n'ai
malheuresement pas encore eu l'occasion de travailler dans des
structures un peu plus grandes pour acquerir une méthodologie un peu
plus tangible.

Y a t'il des bouquins de référence ?
Je n'en ai pas trouver ou alors c'est pour les débutants. Là oui il y

a des ouvrages intéressants.

Pour les debuts je pense que j'ai fait le plus gros (comprend ce qu'est
un routeur, les principaux protocols, mettre en place un firewall etc..)

Je pensais donc a quelque chose de plus consistant, domage :/

Des sites de référence ?
Ils sont nombreux, souvent fort bien faits, mais, de mon point de

vue, ne sont intéressants que pour 3 choses : la compilation
d'exploits et de vulnérabilités, les bonnes blagues (**) et
l'actualité sommaire.

Moi j'aime bien milw0rm.com pour les exploits et k-otik pour les
informations (je m'abonnerais peut etre a leur service s'ils finissent
par répondre a ma demande de tarifs par mail).

Vous abreuvez vous de formation en tous genres ? (si oui quel est
votre budget)
Toujours de mon point de vue les formations ne sont intéressantes

qu'à 2 niveaux et pour 2 types de population. Le premier niveau est
le consultant qui désire se spécialiser dans des produits
particuliers (Checkpoint, Cisco, BrightMail, Symantec, etc). Là oui
il doit en passer par la formation car ces produits ne se trouvent
pas sous le sabot d'un cheval et ils sont en génral assortie d'un
certificat. Et c'est un choix : il devient le porte-parole de
l'éditeur !

Je suis plutot attiré par le libre moi, Linux/*BSD car je n'ai pu
essayer que cela pour l'instant, mais j'aimerais me pencher un peu
plus sur les technologies cisco, on trouve pas mal de documentations
gratuite apparement, et j'ai entendu parler d'un "simulateur" logiciel
de cisco gratuit, si quelqu'un sait où le trouver cela m'interesse.

L'autre niveau estla sensibilisation et la méthodologie qui concerne
davantage chefs de projets et managers
Les populations concernées sont le consultant qui désire se
spécialiser dans un ou des produits particuliers, le chef de projet
désirant formaliser ses procédures et la population des managers.

Mettre la main à la patte est pour l'instant ce qui m'interesse le plus,
mais la question de la méthodologie est primordiale our tenir des délai
intéressant dans l'étude d'évolution/mise en place d'une stratégie de
sécurité.

Enfin, j'ai 5-6 pc chez moi et je mes DDoS mes propres packet
filters c'est grave docteur ? (ou alors vous faites pareil ?)

Je reste convaincu que développer soi-même ses PROPRES solutions de
sécurité est un excellent investissment pour comprendre, analyser et
saisir les enjeux et surtout acquérir de la confiance en soi (on ne
devient bon garagiste qu'en démontant et remontant des bagnoles et
TOUTES sortes de caisses) et une sorte de << conscience >>
sécuritaire. Toutefois il ne faut pas se contenter de cela et ce
monde (comme d'autres) est un challenge permanent. Il faut donc faire
un effort régulier de recherche, de mise à jour de ses connaissances,
de tests, de validation (**). Il faut aquérir une sorte de 6ème sens
et << sentir >> lorsque quelquechose déconne et impacte la sécu.

J'envisage de faire une boite à tout (filtreur, routeur, vpn, mail, dns,
http, dhcp, etc...) basée sur OpenBSD avec interface d'administration
HTTPS, je n'en ai pas encore les compétances mais ca viens :)

Pour le sixième sens je n'arrive pas réellement a voir ce quoi du parle
mais je pense que c'est parce que je ne l'ai pas encore, il y a deux ans
je ne savais pas réellement ce qu'était un routeur ou un serveur dns...

Ce monde (de la sécurité), bien plus que d'autres, change. C'est tous
les jours qu'il se passe quelque chose aux galeries de l'exploit.
Après il faut faire des choix : être le << trader >> de la sécurité à
savoir accomplir des actions de détections de vulnérabilité,
d'intrusion, etc et donc être constamment sur la brèche pour
connaître le dernier niveau d'attaque existant, s'abonner des tonnes
de ML, suivre des dizaines de canaux IRC.

C'est un domaine passionant, la détection de vulnérabilité autant que
les intrusions j'en ai deja fait un peu, mais il faut toujours etre
informé en effet et le rythme est très très soutenu :/

Ou, être plus << pépère >>
et agir plutôt du côté concepts de protection, sécurité globale,
méthodologie, négociation, analyse de risques/menaces,
management/gouvernance de la sécurité. J'ai, dès le départ, choisi ce
camp là (pas fou non plus) que je considère plus riche. C'est aussi
une question de formation.

Je connais pas du tout ce domaine mais il est très intéressant aussi
et j'aimerais le connaitre un peu mieux, mais il y a moins ce coté
"main a la patte" et ca me chagrine un peu ca par contre :/

En résumé, si tu débutes : le terrain et des sites Web pas trop
moches. Ensuite les revues spécialisées pour entretenir. Enfin des
formations appropriées si tu désires te spécialiser.

Je continue sur ma lancée meme si j'ai largement le savoir faire pour
des structures commes celles que j'administre, je vais me lancer vers
des structures plus grosses. Pour les revues je vais m'abonner a MISC
et Hackin9 (tu devrait leur demander une commission pour avoir convaincu
un nouvel abonné :p)) et le terrain c'est sur mon réseau chez moi qui
est assez consistant :)

Je simplifie, of course.
Bon courage,
db

oui merci et de toutes tes réponses aussi :)

Amicalement,

Seb :)

(*) Ce n'est pourtant pas ce qui manque chez Eyrolles. Mais ce
domaine souffre comme tant d'autres de sa popularité croissante et
les éditeurs y ont vu là l'intérêt d'y faire plus de fric que
d'apporter de réelles informations. Le mot Hacking fait recette à
n'en pas douter. Et les ouvrages en librairies sont tous edes
HarckerZvoice en puissance. Mais il suffit de comparer un ouvrage de
2001 à un ouvrage de 2005 et on constatera que la différence est
faible. Pourtant que de chemin parcouru en 4 ans ! A l'inverse les
fondamentaux ont tendance à disparaître (proxy, proxy-inversé, relais
de circuits, fingerprinting) au profit de notions plus << porteuses

: virus, spam (je ne parle même pas d'antispam). Bah ... C'est
comme à la télé : l'imoprtant est de faire rêver et de faire croire à

madame Michu qu'elle est experte en sécurité des SI après avoir lu un
bouquin de 300 pages noir et jaune.

Oui c'est vrai que lire "protéger votre ordinateur des hackers" (deja
mauvais emploi du mot) ne m'a jamais donné envie de lire la préface
d'un de ces bouquins :)

Il est en revanche un sous-domaine de la sécurité qui reste très bien
documenté car le résultat de travaux de recherche et, surtout, en
marge de l'effet informatique << grand public >>. Il s'agit des
applications spécialisées : Bluetooth, RFID, les liaisons satellites,
réseaux d'opérateurs, protocoles spécifiques, la sécurité physique,
les aspects méthodologiques justement, etc. En effet, c'est assez
technique et les éditeurs de << blockbusters >> ne s'y intéressent
absolument pas car ça représente de si faibles volumes ... Comme
d'hab c'est dans la marge que l'on trouve les richesses.

En fait en protocol de transport je ne connais qu'ethernet, meme
pas ppp (histoire de compression des données et ppp.conf m'ont
fait fuir). Pour la securité physique je ne vais pas plus loin
que pass bios et blindage gestionnaire de boot malheuresement,
encore un peu de travail a faire ici. Mais peut etre parles tu
des choses a plus grande echelle (cage de faraday, securité
incendit, etc...) ?

(**) Je ne plaisante pas, c'est sérieux. Si j'en suis venu à ce
métier de consultant en sécurité des SI c'est avant tout à cause
de/grâce à la bêtise humaine. L'histoire de la carte bancaire
française est riche de ce point de vue. Récemment j'en ai encore vu
une belle, ce n'est pas directement lié à la sécurité mais tout de
même, il s'agit de validation de paiement. Souriez brave gens. Les
Transports en Commun Lyonnais ont décidé voici quelques années
d'équiper le métro lyonnais de portes hachoir (une sorte de PAVEL à
la lyonnaise) comme à Paris (on copie toujours la grande soeur).
Soi-disant, la fraude, patati, patata. Je serai curieux d'analyser le
bilan économique de l'affaire en prenant en compte le coût de
maintenance, le taux de panne de ces engins et la gêne occasionnée
aux passagers car enfin, ne pas avoir de portique lorsqu'on se balade
avec un gros sac c'est formidable. Bref. Une première station a été
équipée en février de ce dispositif coupe- tête. Pas de chance :
l'ascenseur accessible au niveau de la rue conduit directement sur le
quai sans passer par les portes. Hasard, oubli, volonté de nuire, ja
merdé dans la conception, chef ? Moi ça m'éclate. ET c'est là tout
l'intérêt dse publications comme Pirates que j'adore pour cela. C'est
mon Voici à moi : des paragraphes entiers sur la connerie humaine :
de Bill Gates au PDG de Volkswagen en passant par tel ou tel jugement
: un régal.

Oui pirate mag est assez sympa pour les annecdote, mais je ne le trouve
plus trop ici non plus (ile de la reunion), m'enfin dans six mois je
serais a aix en provence, je pourrais m'abonner :)

Cette annecdote est sympa en effet :)

(***) En ce moment j'étudie le RFID par exemple.

J'ai cru lire ca dans tes posts en effet :) Je lis f.c.s depuis quelques
mois deja :)

Bonjour,

Bonjour :)

Au travers d'expériences personnelles & professionnelles, de missions,
de projets, de rencontres notamment.

J'y ai déja énormément appris c'est vrai :)

Sur la sécurité informatique il y en a pléthores. Commences déjà par
consulter les annuaires.
Celui de Google ici :
http://directory.google.com/Top/World/Français/Informatique/Sécurité/
Celui de dmoz ici :
http://dmoz.org/World/Français/Informatique/Sécurité/

Merci beaucoup je vais visiter tout ca :)

Sinon pour obtenir plus d'informations sur les réseaux de type TOR
rends toi ici :
http://www.onion-router.net/Publications.html
Le réseau TOR aujourd'hui :
http://www.noreply.org/tor-running-routers/

Merci je regarde cela :)

j'ai pas
encore trouvé de méthode d'apprendre plus vite,
Si dans Matrix. lol

C'est vrai :)

Apprendre cela demande du temps, de l'investissement personnel =>
travailler.
Comment travailler ? Par exemple, allier lectures théoriques et cas
pratiques.
En gros, lis des livres, consultes les FAQs & tutoriels, suis les
groupes de discussion, abonnes-toi à des ML, etc.

Je continue comme c'est alors merci :)

et en fait je n'ai
trouvé quasiement "que" ce newsgroup d'intéressant (bon il est
francais ca joue un peu dans la balance j'avoue).
Tu as mal chercher. ;)

Mais j'espère que ces quelques pistes vont t'aider dans ton
apprentissage des réseaux et systèmes.

Pour les sites ok, mais pour ce qui est newsgroup a part f.c.r.ip il
n'y a pas l'air d'y avoir grand chose :)

Y a t'il des bouquins de référence ?
Oui beaucoup mais que cherches-tu exactement ?

Te former ? Ou bien juste comprendre ?
En fonction de cela, je pourrais te conseiller.

Me former a tes technologies liées à la sécurité :)
J'ai déja compris pas mal de choses, mais comme l'as crompris
dominique c'est surtout le coté méthodologique qu'il me manque
et qu'on ne trouve pas réellement sur le net, en dehors de l'aspect
technique (là un coup de google et hop comme je disais :)).

Des sites de référence ?
Commences déjà par consulter les liens que je t'ai communiqué ci-haut.

Oui merci :)

Vous abreuvez vous de formation en tous genres ? (si oui quel est
votre budget)
Non. Je sélectionne en fonction de mes centres d'intérêt. Je n'ai pas

de limite de budget.

C'est ce que je compte faire aussi :)

Amcialement,

Seb :)

Bonjour :)

Avec de la patience, une bonne dose de curiosité et beaucoup de
pratique.

Acquerir le savoir technique sur les principaux outils (du moins les
plus connus) n'est pas réellement

Personnellement je ne connais pas réellement de bon site sur le net
qui traite d'un peu tous ces sujets.
En fait il ne me semble pas qu'il en existe un seul qui puisse

répondre à ces deux critères. Soit le site parle de tout, et le plus
souvent l'on y retrouve beaucoup d'anneries, soit il est sérieux et se
contente alors de quelques domaines bien précis, ou alors il abordera
tous les thèmes, mais par le biais d'articles se concentrant à chaque
fois sur un point précis.

J'ai trouvé un truc pas mal, c'est gcu-squad.org et c'est pour le
domaine technique réseu.

La sécurité informatique couvre plusieurs domaines qui sont imbriqués
les uns dans les autres. Configurer un filtre IP, ça demande des
connaissances en matière de réseau, installer une passerelle filtrante
pour protéger ses deux ou trois ordinateurs, ça implique de veiller
aussi à la sécurité de ces derniers, pour qu'il n'y ait pas de trojan
qui viendrait tout ruiner. Sécuriser les postes eux-mêmes, ça oblige à
comprendre comment l'on peut y placer un programme malicieux, comment
il pourrait s'y installer, ce qu'il pourrait exploiter et comment il
pourrait ensuite communiquer. Et ainsi de suite.

Oui, le travail sur les postes est amha le plus compliqué, car souvent
sous microsoft et un peu "insondable" avec les 10aines de failles
critiques qui sortent tous les ans et patchées parfois en quelques
mois :/

C'est pour cela qu'il ne peut pas en soit exister un site à la fois
généraliste et sérieux, à moins d'en faire une bibliothèque virtuelle
qui regrouperait ce que les autres ont écrit. Non pas parce que les
professionnels ne connaissent pas tout les sujets, mais parce qu'il est
impossible d'écrire un document exhaustif sur un sujet à moins de faire
l'impasse sur tout ce qui vient avant et tout ce qui vient après. Et
comme une personne ne peut pas tout écrire...

Bien sûr, mais il pourrait y avoir plusieurs auteurs ayant des
connaissances dans des domaines particuliers et publiant des articles
sur un domaine particulier, par exemple un spécialiste crypto qui nous
ferais un bel article sur Sha-1 cassé avec des références historiques.
Une fois de plus le coté technique n'est pas réellement fondamental
et je comprend qu'il ne puisse être couvert par un site qui
rassemblerait "news" et "technique".

Des sites de référence ?
Pas forcément "de référence", mais que j'aime bien pour ma part :

C'est noté merci beaucoup :)

[1]
<le type il en profite qu'il modère pour faire une pub éhontée>
J'en profite pour signaler que je suis preneur de quelques machines
d'occasions à base de Sparc ou SuperSparc, en état de marche normal et
pas trop cher, avec ou sans écran/clavier, mais avec carte réseau ;-)
</>

[2]
<le type qui en profite de s'etre fait modéré deux fois dans la matinée
pour faire une autre pub éhontée>
Moi aussi, je cherche du travail dans l'administration réseau linux/unix
a partir de septembre sur la région PACA :) (mails privés svp)
</>


Merci de ta longue réponse,

Amicalement,

Seb :)

On 15 Mar 2005 08:50:12 GMT, Sebastien Vincent <svincent@idems.fr>:

Enfin, j'ai 5-6 pc chez moi et je mes DDoS mes propres packet filters

Euh... Juste une question con : on peut faire un DDoS avec une
demi-douzaine de machines ?


--
;-)

On 18 Mar 2005 06:24:49 GMT, Sebastien Vincent <svincent@idems.fr>:

Il faut aquérir une sorte de 6ème sens
et << sentir >> lorsque quelquechose déconne et impacte la sécu.

Pour le sixième sens je n'arrive pas réellement a voir ce quoi du parle

C'est un mélange de réflexes conditionnés et d'expérience.

Par exemple, devant une situation difficile, un conducteur expérimenté
prendra très vite la bonne décision (sans avoir eu vraiment le temps
de réfléchir consciemment) tandis que le conducteur débutant a des
chances de se planter.

A noter que ce n'est pas compartimenté : à l'époque où j'étais en fac
de maths, je voyais tout de suite si un point de ma démonstration
pouvait être mis en défaut. Parfois je le laissais, faute de mieux, en
espérant que le prof n'y voie que du feu (espoir souvent déçu ~_~ ),
mais au moins, je savais qu'il était là. Et quand j'ai commencé à
programmer sérieusement en C++, j'ai tout de suite retrouvé le même
réflexe, appliqué à un domaine différent : repérer immédiatement que
telle ligne de code qu'on écrit n'est pas 100 % sûre.


--
;-)