YT YouTube2Text

YouTube2Text → Transcripts → 03a - Mesures de securite

03a - Mesures de securite — Transcript

by CNAM RSX112 · 10,796 words · 1,767 segments · language en · Watch on YouTube

Open in transcriber Summarize with AI Download SRT/VTT

Full transcript

0:00dans ce chapitre nous allons évoquer les
0:03mesures de sécurité
0:05plus précisément nous allons commencer
0:08par aborder la thématique des
0:10vulnérabilités de la gestion des
0:12correctifs des scan de vulnérabilités
0:14de la modélisation des menaces de la
0:18sécurité des développements logiciels du
0:20code des impacts de la gestion des
0:23risques
0:24l'organisation de la sécurité
0:26les attaques
0:28comment sensibiliser les utilisateurs à
0:31la sécurité informatique
0:32quels sont les éléments d'une politique
0:34de sécurité et enfin nous terminerons
0:37par les évolutions du modèle du château
0:39fort
0:43commençons par les vulnérabilités
0:47les vulnérabilités existe parce qu'il ya
0:50des bugs dans les logiciels
0:52et ses bugs existants en raison de la
0:55complexité croissante
0:56des logiciels à savoir le nombre de
0:59millions de lignes de code
1:00si on regarde la taille des logiciels on
1:03s'aperçoit que apollo 11 par exemple
1:05avait 150 mille lignes de code
1:08un boeing 787 à 6,5 millions de lignes
1:12de code firefox a quasiment 10 millions
1:15de lignes de code
1:16le noyau linux 4.2 à 20 millions de
1:20lignes de code et des logiciels comme
1:22comme par exemple le windows glissons 50
1:26millions de lignes de code donc voilà
1:28une voiture moderne haut de gamme à
1:30l'heure actuelle approche de 100
1:31millions de lignes de code typiquement
1:36donc plusieurs lignes de code plusieurs
1:39bugs et ses bugs peuvent constituer
1:40autant de l'ue n'est habilité un
1:42démineur habilité qui peuvent être
1:44exploitées par les attaquants par des
1:45menaces et qui permettent comme ça
1:48d'avoir un impact et causer d un
1:50préjudice potentiellement aux
1:52utilisateurs aux entreprises
1:56qu'est ce qu'une lune et réhabiliter
1:58d'après la norme iso 27000 à la
2:01définition qui s'y trouve est la
2:02suivante une vulnérabilité est une
2:04faille dans un actif ou dans une mesure
2:06de sécurité qui peut être exploitée par
2:08une ou plusieurs menaces donc voilà un
2:11exemple vulnérabilité dans un système de
2:13contrôle d'accès physique à savoir une
2:15barrière pour accéder au parking
2:18c'est une photo que enfin une barrière
2:21que vous pouvez retrouver dans google
2:23maps à l'eurl indiqué ses rues contre
2:26s'est coincé dans une l'université de
2:28bielefeld en allemagne donc il ya
2:31effectivement une barrière pour le
2:32contrôle d'accès mais on s'aperçoit
2:33qu'en fait il suffit de conduire sur la
2:35droite ou sur la gauche pour contourner
2:37la barrière et ne pas avoir à batterie
2:38et donc ça c'est un exemple typique de
2:41vulnérabilité en l'occurrence physique
2:43mais donc appartement où il a disputé de
2:45sécurité qui peut être contournée ça
2:47constitue une faille en l'occurrence
2:48dans le design ici du système de
2:51sécurité
2:54une vulnérabilité ce n'est pas être
2:57exposé donc
2:59l'exposition c'est la présence d'actifs
3:02susceptibles d'être affectés par exemple
3:04une maison qui est construite sur une
3:06faille sismique est exposée aux séismes
3:09mais si elle est construite selon les
3:11normes parasismiques
3:12elle n'est pas vulnérable en tout cas
3:14laurent théorie voilà donc c'est ça la
3:16différence entre être vulnérable et être
3:18exposés donc le risque n'existe que si
3:21l'actif et exposées et vulnérables il
3:23faut être à la fois exposées et
3:25vulnérables
3:26pour que le risque existe voilà donc
3:29c'est cette case là qui pose problème
3:30quand vous êtes exposées et vulnérables
3:33si vous êtes un vulnérable à tout va
3:35bien donc vous n'êtes pas vulnérable
3:37donc la question se pose pas si vous
3:39êtes vulnérable mais que vous n'êtes pas
3:41exposés il n'y a pas de risque immédiat
3:42mais il faut faire attention aux
3:44évolutions il faudrait pas être exposé à
3:46l'avenir puisque vous avez toujours la
3:47vulnérabilité résiduelles donc c'est pas
3:49une situation idéale non plus si on peut
3:51corriger la vulnérabilité
3:52c'est toujours ça tu es mais c'est vrai
3:54qu'en tout cas il n'y a pas de risque
3:55dans l'immédiat
3:59ce qu'on appelle une vulnérabilité 0 day
4:02c'est une vulnérabilité non publié c'est
4:05à dire que l'éditeur de la solution
4:06matérielle ou logicielle n'a pas
4:09connaissance de la famille puisqu'elle
4:10n'est pas publique et donc a fortiori
4:12aucun correctif n'existe puisque
4:14l'éditeur n'étant pas au courant il n'a
4:16pas développé de correctifs alors il
4:18faut savoir qu'il ya des sociétés qui
4:19commercialisent de telles failles
4:20notamment 0 diom c'est le nouveau nom de
4:24jus pen qui était une société à
4:25montpellier en france qui était créé
4:28donc par des montpelliérains qui ont
4:29maintenant émigré en
4:31à côté de washington aux etats-unis et
4:34dans le bas côté de baltimore et donc le
4:37business model de dans le maryland le
4:40business model de 0 diom c'était au
4:43début il est développé les les exploits
4:46en fait ils trouvaient les
4:47vulnérabilités et il commercialisait les
4:50exploits et désormais ils les achètent
4:53donc si vous allez sur le site de 0
4:55dior.com vous verrez qu'en fait à 0 diom
4:59en fait se concentre sur les
5:01vulnérabilités à très grands risques
5:04avec des exploits complètement
5:06fonctionnel et quand des chercheurs en
5:09trouve et qu il
5:10et qu'il est leur vendent ils payent à
5:14jusqu'à 2 5 millions de dollars en
5:17fonction de la vulnérabilité donc la
5:21somme maximum étant payé quand elles
5:23permettent de prendre le contrôle
5:24complet par exemple d'un appareil ou
5:26d'un périphérique à distance sans même
5:28avoir besoin que l'utilisateur fasse
5:30quelque chose de précis
5:34vous croyez qu'ils achètent des
5:34vulnérabilités sur les systèmes
5:36d'exploitation permettant de prendre le
5:37contrôle de tous ses systèmes des
5:39navigateurs web
5:41des différents outils bureautiques et
5:44également des téléphones mobiles etc etc
5:49en fait ils commercialisent ces
5:51vulnérabilités principalement aux
5:53services secrets des différentes agences
5:55gouvernementales de la planète ce sont
5:57leurs principaux clients
6:02pour éviter être vulnérable évidemment
6:05la première technique c'est la
6:06prévention de nouvelles vulnérabilités
6:08sont découvertes tous les jours et donc
6:11en entreprise pour les combler ça
6:13requiert une discipline opérationnelle
6:14quasi militaire pour maintenir à jour
6:17les systèmes maintenant que les
6:19vulnérabilités qui qui peuvent pas être
6:21exploités ou qui ne sont pas
6:22actuellement son avec un risque faible
6:25mais si elles sont exploitables le
6:28risque plus élevé si elles sont
6:29exploitées l'adorent le risque est
6:32encore plus élevé et si vous êtes
6:33exposés à une vulnérabilité qui est
6:36exploité évidemment le risque devient
6:38critique
6:41donc pour ça il faut définir une échelle
6:43de risque voici l'échelle de sévérité de
6:47microsoft qui est publié sur leur site
6:48web il distingue les failles de sécurité
6:51critiques importantes modérée et faible
6:54les failles de sécurité critiques sont
6:57les vulnérabilités dont l'exploitation
6:58peut permettre l'exécution de code sans
7:01aucune interaction de l'utilisateur
7:03donc on n'a pas besoin que l'utilisateur
7:05ait cliqué ou faire quelque chose de
7:06particulier pour déclencher la le
7:11la vulnérabilité
7:13donc ces scénarios inclus les programmes
7:15malveillants auto propagée par exemple
7:17les verts réseaux ou les scénarios
7:19d'utilisation courant inévitable ou
7:21l'exécution du code se produisent sans
7:22aucun avertissement ni invite il peut
7:25s'agir de la navigation vers une page
7:26web ou de l'ouverture d'un email
7:28microsoft recommande que les clients
7:30applique immédiatement les mises à jour
7:32critiques
7:33les mises à jour importantes sont les
7:35vulnérabilités dont l'exploitation peut
7:37compromettre la confidentialité
7:39l'intégrité ou la disponibilité des
7:41données utilisateurs ou l'intégrité ou
7:43la disponibilité des ressources de
7:45traitement ça inclut les scénarios
7:46d'utilisation courant où le client est
7:48compromis avec des avertissements ou des
7:50invits quelle que soit la provenance la
7:52qualité ou la conviviale la convivialité
7:55de lavit les séquences d'action
7:56utilisateurs qui ne génère pas n'invite
7:58ou d'avertissement sont également
8:00couverts microsoft recommande que les
8:02clients applique les mises à jour
8:03importantes à la première opportunité
8:06les failles que microsoft qualifie de
8:08modérés sont celles dont l'impact la
8:11vulnérabilité est atténuée par des
8:12facteurs tels que les exigences
8:14d'identification ou l'applicabilité
8:15uniquement à des configurations autre
8:18que celle par défaut microsoft
8:20recommande que les clients fassent le
8:21choix d'appliquer la mise à jour de
8:22sécurité
8:23enfin les failles faible scène sur
8:26celles pour lesquelles l'impact de cette
8:28vulnérabilité est complètement atténué
8:29par les caractéristiques du composant
8:31affectés microsoft recommande que les
8:33clients évalue s'il faut appliquer la
8:35mise à jour de sécurité au système avec
8:42on vient de voir les chaînes proposées
8:45par microsoft entreprises il faudra
8:47déterminer également une échelle un
8:49système 2 avec dijon niveau peut-être
8:51trois niveaux peut-être quatre niveaux
8:53donc prenons par exemple à une échelle à
8:56trois niveaux qu'on va comme chez de
8:58rouge jaune et vert et on va déterminer
9:00quel est l'objectif de temps de réponse
9:03donc de colmatage de ces brèches en
9:05fonction de la gravité de la
9:09vulnérabilité donc par exemple ce sont
9:11des exemples on va dire que l'on va on
9:13va viser de colmater les failles les
9:15vulnérabilités rouge classifiés rouge en
9:185 jours maximum
9:19les jeunes en un mois et les vertes dans
9:22les trois mois
9:26pour pouvoir traiter les vulnérabilités
9:28il faut les connaître donc être informé
9:31donc ça peut se faire de manière
9:33préventive par exemple en recevant les
9:35alertes les bulletins de sécurité des
9:36différents éditeurs de logiciel ou de
9:38matériel
9:39vous pouvez également utiliser un outil
9:41de mise à jour fourni par votre éditeur
9:43de logiciels favoris par exemple
9:45microsoft update windows update services
9:476 pour dans le cas de red hat il ya le
9:51réseau de satellites etc etc
9:54pour les logiciels qui n'ont pas de
9:57système de mise à jour automatique
9:59il vous faudra vérifier périodiquement
10:01manuellement s'il existe des mises à
10:03jour pour chacun des logiciels que vous
10:05aurez installé manuellement sur un
10:06serveur par exemple
10:08donc ça c'est l'aspect préventif vous
10:11pouvez également à
10:13combiner ça avec un système réactif en
10:17l'utilisant évidemment un scanner de
10:19vulnérabilités donc par exemple le plus
10:21connu étant née su ce qui est maintenant
10:23commercial en version 3 mais il existe
10:26une version open source de la v2 qui
10:28s'appelle open basse et il ya quelques
10:30autres également scanner de
10:32vulnérabilités commerciaux là dehors qui
10:33existent donc réalisé un scan de
10:36vulnérabilités on verra un exemple de
10:38thaler et donc ça permet également de
10:40détecter des failles de sécurité des
10:41baigneurs habilité qui n'auraient pas
10:42été corrigé enfin dans les grandes
10:45entreprises souvent dans les
10:47multinationales on dispose d'un soc
10:49security operations center qui va
10:52surveiller 24h sur 24 la sécurité des
10:55systèmes informatiques dans les petites
10:58entreprises si on n'a pas les moyens de
10:59créer un choc avec une une vingtaine de
11:02personnes qui vont le staff et à 24
11:04heures sur 24 on peut également faire
11:06appel à un prestataire extérieur par
11:08exemple la plupart des opérateurs
11:09télécoms en france fournissent des
11:11services d'infogérance ou des services
11:14de sécurité hébergés dans lequel il ya
11:16un un soc qui va pouvoir surveiller
11:20votre infrastructure si vous le
11:21souhaitez
11:26évoquons maintenant dans la gestion des
11:28correctifs de sécurité
11:33première question qu'ils ont appliqué
11:35les correctifs donc ce qu'il faut le
11:39faire une fois par trimestre une fois
11:41par an une fois par mois etc alors il ya
11:44quelques en mer il ya des entreprises
11:45qui n'appliquent pas les correctifs pour
11:47ça c'est évidemment une très mauvaise
11:48idée on a vu que les virus comme les
11:51verts comme stuxnet sont capables
11:53d'infecter même des réseaux qui ne sont
11:55pas connectés à internet donc il faut
11:57pas croire que l'isolation vous protège
11:59donc ils sont pas très raisonnable de ne
12:01pas appliquer les correctifs de sécurité
12:02à l'époque actuelle
12:05donc à quelques années il ya des
12:06entreprises qui appliquent et les
12:07correctifs une fois par an une fois par
12:09semestre une fois par trimestre à
12:12l'heure actuelle vu le le développement
12:15des cyber-menaces il semble plus
12:17raisonnable de les appliquer une fois
12:19par mois c'est la fréquence des
12:22correctifs sur pied par microsoft par
12:24exemple est donc
12:27évidemment quand on applique des
12:29correctifs de sécurité et qu'on remonte
12:30les serveurs il ya un risque toujours
12:32qu'une application métier ne s'en
12:33remettent pas donc la question c'est est
12:37ce qu'il vaut mieux le faire plus
12:38souvent ou est ce qu'il vaut mieux le
12:39faire moins souvent donc
12:42il ya un slogan de des techniques de
12:46développement cicid il continue
12:47s'intégrer shon continue de délivrer qui
12:49dit if it hurts dix huit mois open donc
12:51si ça fait mal il faut le faire plus
12:54souvent donc l'avantagé de le faire plus
12:56souvent donc l'appliquer parmi les
12:57correctifs une fois pas moins c'est que
12:59les déploiements seront plus petits
13:01parce que si vous accumulez les
13:02correctifs et couffin de la mise à jour
13:03qu'une fois par an ça va être un
13:05déploiement de big bang et vous avez là
13:07vous avez beaucoup plus de chances que
13:08votre serveur reboot pas ou que vos
13:11applications métiers redémarre pas
13:13correctement donc la montage de fer
13:15d'appliquer les correctifs plus souvent
13:17c'est que les déploiements seront plus
13:20petit
13:20qu on va faire ça plus souvent ça
13:23améliore la pratique en exploitation et
13:25en plus ça permet d'avoir un retour
13:26immédiat sûr expérience et la
13:28possibilité de corriger immédiatement un
13:29problème l'inconvénient c'est évidemment
13:32quand on fait ça plus souvent c'est un
13:34risque de déstabilisation permanent d'où
13:36la nécessité de pouvoir revenir en
13:38arrière immédiatement donc avec des
13:39packs up avec des clips l'instantané des
13:42snapshots par exemple pour les machines
13:43virtuelles etc
13:49en appliquant les correctifs de sécurité
13:51une fois par mois les failles jeunes qui
13:53doivent être corrigées dans le mois et
13:54les files verte qui devrait corriger
13:56sous trois mois sont automatiquement
13:57remédier dans les délais impartis donc
14:00appliquer les correctifs une fois par
14:01mois c'est là la fréquence utilisée par
14:03microsoft pour les publier mais il reste
14:07les failles critiquant les failles rouge
14:08les failles urgente et donc il faut
14:11quand même en plus d'appliquer les
14:12correctifs une fois par mois il va
14:14falloir définir une procédure de mise à
14:16jour en urgence pour ces failles
14:18critiques qui vont devoir être comblés
14:20hors cycle habituel de pacini
14:26dans les grandes entreprises on pratique
14:29la séparation des environnements et donc
14:31les déploiements doivent se faire de
14:33manière successive dans les différents
14:35environnements pour réduire les risques
14:36d'incidents en production donc on a un
14:39certain nombre d'environnements on a les
14:41environnements de développement et de
14:42tests qu'on appelle parfois alphare
14:44d'acceptance ou de recettes en français
14:47qu'on appelle environnement bêta et la
14:50production qui est environnement gamin
14:51et donc voilà un exemple de patch in
14:54mensuel comme oh comment on peut
14:55l'organiser
14:56à travers les différents environnements
14:58on définit donc quand on démarre une
15:00campagne de patching au début du cycle
15:02on va geler la baseline je vous en
15:05parlais dans quelques secondes donc on
15:07va on va gêner jeunes et la liste des
15:09correctifs qui vont être déployés
15:10ensuite on peut les valider au niveau
15:13infra par exemple sur une machine de
15:15test un serveur vierge avec uniquement
15:17l'eau à s'installer vérifier à minima
15:19que les correctifs s'installer que la
15:21chine redoute et redémarrer correctement
15:22et à ce moment là on peut mettre à
15:25disposition les correctifs aux équipes
15:27applicative donc la première semaine par
15:30exemple pour patcher les environnements
15:32de développement et de test la semaine
15:34d'après pour patcher les environnements
15:36de recette
15:37d'acceptance la troisième semaine pour
15:40patcher la production sur le premier
15:42datacenter et la quatrième semaine
15:44patcher la production sur le 2ème
15:46datacenter ce qui permet de minimiser
15:47les risques si jamais si jamais voilà
15:50vous flinguer là pour savoir de
15:52production au moins vous pouvez vous
15:54arrêter là et peut-être retourner en
15:56mode dégradé avec la moitié de vos
15:59serveurs qui se trouve sur l'autre
16:00datacenter
16:05voilà le processus de mise à jour
16:07démarrage du cycle de mise à jour
16:09définition de la baseline et validation
16:11infra et puis par environnement pour
16:14chacun des environnements qu'on va pas
16:15de chez développement tests acceptant ce
16:17production il va falloir créer un
16:20challenge est il si c'est nécessaire là
16:21votre entreprise et le faire approuver
16:23ensuite a alors approuvé à appliquer les
16:27correctifs
16:28redémarrer le serveur les applications
16:30effectuer une validation fonctionnelle
16:32faire un scan de vulnérabilités pour
16:35détecter s'il ya des par hasard des
16:36vulnérabilités résiduelles qui
16:38n'auraient pas été corrigés et les
16:40remédier si besoin est re scanner
16:42jusqu'à ce que le scan de vulnérabilités
16:44soit correct
16:48récapitulons donc le processus de mise à
16:50jour par environnement donc pour les
16:52machines physiques ou virtuels parce que
16:54pour les déploiements de conteneurs ça
16:56se fait tout simplement en tuant les
16:57d'anciens conteneurs et en déployant les
16:59nouveaux donc créé faire approuver le
17:02challenge est il si besoin au moins pour
17:05la production enregistrions que tout
17:07s'est bien déroulé dans l'environnement
17:08précédent
17:09appliqués les correctifs
17:12redémarrer le serveur si besoin donc
17:15parce que par exemple sous linux
17:17remplacer des binaires en appliquant des
17:20correctifs ou des bibliothèques sur le
17:22disque ne suffit pas à corriger une
17:24vulnérabilité
17:24s'il ya des processus qui ne s'exécute
17:26en mémoire et qui ont déjà chargé l'an
17:28mémoire l'ancienne version des binaires
17:30ou débuts avec partage est donc
17:32évidemment quand vous les remplacer sur
17:34le disque ça ne les remplace pas en
17:35mémoire dans les processus qui sont en
17:37train de tourner donc il faut arrêter
17:39ces processus et les relancer pour être
17:42certain de recharger la nouvelle version
17:44des binaires des biotech et tout ça
17:45depuis le disque donc on peut soit faire
17:48l'inventaire des processus qu'il faut
17:50redémarrer donc par exemple aux
17:52environnements interpride linux il ya un
17:54utilitaire qui s'appelle nick fry
17:56starking dans les yeux ou mutilent ce
17:58qui permet justement d'identifier les
18:00processus qui doivent être redémarré en
18:02tenant compte de l'avis de teck
18:04partagez et c'est donc soit vous faites
18:07ça soit tout simplement vous redoutez le
18:08serveur quand on goûte le serveur on est
18:10sûr que tout est nécessairement
18:11redémarrer et donc sa garantie que
18:15effectivement les correctifs sont bien
18:18chargées en mémoire
18:22ensuite si on redoute du serveur
18:25d'applications métier ne démarre pas il
18:26faudra démarrer à la main et ensuite
18:29vérifié que tout continue à fonctionner
18:30d'exécuter des tests fonctionnels s'il
18:32existe vérifier que les processus
18:35tourner etc et éventuellement connectés
18:38collecter des preuves ce qu'on appelle
18:40en anglais les évidences donc collecter
18:42les preuves comme quoi tout fonctionne
18:44correctement qui serviront à justifier
18:46le obtenir l'approbation du challenge
18:48est il pour l'environnement suivant dans
18:49la liste donc une fois que le bâtiment
18:52est terminée pour l'environnement lancé
18:54le scan de vulnérabilités et à réception
18:56du rapport de scan ça va prendre
18:58quelques quelques temps où quelques
18:59heures remédier les vénérables ite
19:01restantes si besoin est re scanner pour
19:04confirmer que le rapport est
19:06vierge et ou en tout cas d'un appelé des
19:10choses sans importance
19:15pourquoi faut-il geler une baseline
19:17avant de démarrer une campagne de
19:18patching bien parce que de nombreux
19:21éditeurs publient des correctifs de
19:22sécurité au fil de l'eau en temps réel
19:24c'est le cas de la plupart des
19:25distributions linux par exemple sur
19:27ubuntu sous red hat etc contrairement à
19:29microsoft carré tendance à tout groupe
19:32et une fois par mois dans les
19:34distributions linux et au fil de l'eau
19:36et donc tous les jours potentiellement
19:38vous avez en tout cas les jours ouvrés
19:39vous avez des nouveaux correctifs qui
19:41sont disponibles chez red hat au
19:43chercher au bout tout et c est donc
19:47le problème est que si vous ne l'est pas
19:51la liste des correctifs que vous allez
19:53appliquée au début de la campagne
19:54mensuel de patch in le temps que vous
19:57déployez hand et en développement tests
19:59en acceptant sans production quand vous
20:00allez arriver en production les
20:02correctifs disponibles chez votre
20:04éditeur favoris seront pas les mêmes que
20:06ceux qui étaient disponibles deux
20:07semaines auparavant
20:08en environnements de développement et de
20:10test or le but de faire un déploiement
20:12dtap c'est justement de déployer la même
20:14chose en développement de tests tancé en
20:18production de façon à minimiser le
20:20risque de casser quelque chose voilà
20:22donc c'est la raison pour laquelle
20:23il faut gelé les correctifs je l'espère
20:28l'appel une base line et donc déployer
20:31comme ça
20:32déployée pour être sûr pour avoir la
20:35garantie absolue qu'on va déployer la
20:37même chose et la même liste de
20:38correctifs dans les différents
20:40environnements
20:44en plus de la campagne de patching
20:46mensuel programmé de manière régulière
20:49on a dit qu'il fallait définir une
20:51procédure de mise à jour en urgence hors
20:53cycle pour déployer en catastrophe les
20:57correctifs des vulnérabilités critiques
21:00donc par exemple si on souhaite les
21:02corriger en 5 jours maximum voilà
21:05typiquement le genre de planification
21:07qu'on peut faire donc définition aux
21:08gènes de la baseline lorsque le
21:10correctif est publié prendre une journée
21:13pour le valider haut niveau la france
21:15installé sur sur un serveur vierge et
21:19vérifier que savoir goûter tout se passe
21:21bien et puis après déployé 100 en
21:23urgence en environnements de
21:25développement et de test puis
21:26d'acceptance puits de production sur
21:28chacun des deux datacenters
21:33dans les cas catastrophique il peut
21:35arriver que les failles de sécurité
21:37soient tellement énorme que on n'a pas
21:39cinq jours pour
21:41pour les déployer et donc dans ce cas là
21:44exceptionnellement on peut être amené à
21:46patcher en priorité les actifs critiques
21:48non négociable en production et donc
21:50commencer par la production pour être
21:53sûr de corriger la faille immédiatement
21:55alors évidemment c'est beaucoup plus
21:56risqué parce que les correctifs n'ont
21:57pas été validés en interne on n'a pas
21:59fait le déploiement de l'été ap parce
22:01que ça prendrait trop de temps ça
22:02prendra peut-être cinq jours mais dans
22:04certains cas si l'affairé calas
22:05trophique il peut être nécessaire d'agir
22:07immédiatement sur les actifs exposés en
22:09production
22:10donc à ce moment là on prend des risques
22:12les risques sont plus élevés faute de
22:14validation préalable des correctifs en
22:16environnement des terrains et donc il
22:18faut évidemment encore plus a fortiori
22:20avoir la possibilité de revenir en
22:22arrière de fer en roll back et de
22:24rétablir le système à l'état antérieur
22:25si jamais ça se passe vraiment dans donc
22:28pour cela utiliser les sauvegardes me
22:29cliché instantané
22:34si vous utilisez des applications métier
22:36qui ne dispose pas d'un système de mise
22:38à jour automatique
22:39à ce moment là les mises à jour doivent
22:41être réalisés régulièrement et
22:42manuellement ce qui est toujours pénible
22:44par exemple des logiciels qui ont été
22:47téléchargées manuellement d'internet en
22:49trente deux utilitaires comme par
22:50exemple sevens iep ou bien sous linux
22:53des des paquetages rpm ou debian
22:57télécharger depuis les dépôts tiers sur
22:59internet et installer manuellement sur
23:01un serveur linux comme cc package ne
23:04proviennent pas de la distribution linux
23:06que vous utilisez
23:08l'art correctifs de sécurité ne sont pas
23:11fournis avec les correctifs dans la
23:12distribution linux donc il faudra les
23:14mettre à jour à la main et donc c'est un
23:16problème auquel on est souvent confronté
23:17à l'entreprise des gens qui qui est par
23:20exemple déploie une distribution red hat
23:23ampleur et a26 et qui vient avec apache
23:252 2 et donc je la trouve que c'est une
23:28version trop vieille donc il arrive à
23:29trouver des dr pm avec apache 2 points 4
23:32sur internet et il pense que c'est une
23:33bonne idée de l'installer sur un serveur
23:35linux mais le problème c'est que vous
23:37avez ça une version de la page qui est
23:38pas celle de la distribution donc les
23:41correctifs de sécurité sont pas
23:42appliquées lorsque chaque mois on
23:44applique les correctifs le rédacteur par
23:46exemple voilà donc je suis un vrai
23:48problème parce qu'on se retrouve avec
23:49des logiciels qui ont été manuellement
23:52installé et donc ils ne sont pas
23:53maintenues et donc à terme si une faille
23:55de sécurité qui apparaît il faudra
23:57manuellement également installer la
24:00version officielle
24:02soir soit remplacé ces logiciels par la
24:06version officielle distribué par la
24:07distribution linux soit si ça fait pas
24:10partie de la distribution linux il
24:11faudra il faudra manuellement faire les
24:14mises à jour de ses logiciels qui ont
24:15été installé manuellement à l'origine
24:18voilà et c'est le cas également pour
24:19toutes les applications métier qui ne
24:21disposent pas de système de mise à jour
24:22automatique
24:28une fois les mises à jour effectuées
24:30c'est le bon moment pour déclencher un
24:31scan de vulnérabilités
24:33exemples d'outils nessus qui est
24:36commercial depuis la version 3 ou open
24:39vaste qui est la version open source de
24:41nessus version 2
24:43et donc ces outils vont vous permettre
24:44de tenir un rapport avec la liste des
24:46vénérables it est résiduel détecté sur
24:49vos machines nouveau sauveur
24:51alors également en cas de déploiement
24:54des correctifs de sueur sur des canapés
24:57sur un mois étalé sur moi il faut bien
24:59comprendre que le temps que vous
25:00arriviez à patcher la production
25:02atypique mans 3e et 4e semaine après le
25:05gel de la baseline donc vous allez
25:08déployés en production une des
25:10correctifs d'une base line qui date de
25:12trois à quatre semaines plus tôt et donc
25:14il est normal que dans le scan de
25:17vulnérabilités
25:18ils apparaissent des des failles de
25:22sécurité mais qui doivent être de niveau
25:25jaune ou vert sert des failles de
25:28sécurité qui date d'il ya de moins de 30
25:31jours c'est normal parce qu'encore une
25:33fois on n'applique pas les correctifs en
25:35temps réel depuis l'éditeur de sécurité
25:37mais à partir d'une base line qui a été
25:40gelée 3 à 4 semaines auparavant voilà
25:42donc dans le scan de vulnérabilités il
25:44est normal qu'il y ait des
25:45vulnérabilités non critiques qui
25:47apparaissent et toutes celles non
25:49critique date de moins de 30 jours
25:51doivent être ignorée dans le rapport de
25:53scan pour la production ce sont des
25:55failles qui sont apparues et qui ont été
25:57donc publié depuis le moment où vous
26:00avez gelé la baseline
26:07évoquons maintenant justement les scan
26:09de vulnérabilités
26:13les scanner de vulnérabilités sont
26:15également appelées outils daste pour
26:18dynamique à plus d'actions sécurité
26:19sting une liste de tel outil est
26:22disponible sur le site de l'oas pas
26:23parmi les plus connus les plus utilisés
26:26on peut signaler nessus bien sûr qui est
26:29maintenant une petit commercial métiers
26:31disponibles en version d'évaluation est
26:34la version open source de nessus v2 qui
26:37s'appelait open face s'appelle
26:38maintenant green bonne vulnerability
26:40management
26:41pour les applications web on peut
26:44également citer le logiciel open source
26:46développé par l'oas pas qu'ils
26:48s'appellent aux wasps ap pour z attaque
26:51proxy est un logiciel commercial
26:54également en version d'évaluation lyon
26:56mais qui est très utilisé là dehors à
26:58savoir barbe sweet
27:03voici par exemple un rapport de scan
27:07effectué par open basse donc on voit que
27:11il ya trois failles critiques qui ont
27:12été repérés 4 de niveau intermédiaire
27:15les héros de niveau faible et vous avez
27:18le détail ici de ce que open va ce qu'on
27:22considère comme problème avec une
27:24sévérité associés est également un score
27:27cvss dont on va parler donc quelques
27:30secondes
27:34en termes de types de venir habiter il
27:37ya deux grands types de vulnérabilité
27:39premièrement les problèmes de
27:41configuration
27:43et deuxièmement les failles de sécurité
27:45dans le code alors commençons par
27:47l'épreuve de configuration à l'épreuve
27:49de configuration c'est le fait que vos
27:51logiciels ont une configuration
27:54inadaptés ou qui n'est pas aussi
27:57sécurisé et qu'elle devrait l'être et la
27:59solution potentielle à ce problème c'est
28:00le durcissement de configuration qu'on
28:02appelle en anglais le confie gardening
28:05voilà un exemple de trouver dans un scan
28:09de vulnérabilités
28:10un exemple de vulnérabilité du lié à un
28:13problème de configuration sur ce serveur
28:15sur le port tcp 443 donc le port https
28:19il y à empreinte de configuration qui
28:21est que
28:24la configuration qui a été détectée
28:26n'est pas la configuration recommandée
28:28il y à t le serveur ssl enfin https
28:33supporte les protocoles tlc 1.011 et 1,2
28:37alors qu en fait seul tu l as 1.2
28:39devrait être activé et les anciennes
28:41versions 2 du protocole ssl tls donc
28:43sslv2 v3 et ls 1 0 et 1 devrait être
28:47désactivée à l'heure actuelle donc la
28:49solution c'est de s'assurer que tls 1.2
28:52est activée mais surtout de désactiver
28:54les versions précédentes de ce protocole
28:56est donc c'est une faille de niveau
28:59moyen c'est pas une faille critique mais
29:01en tout cas c'est quelque chose qui
29:02devrait être corrigé au niveau de la
29:04configuration
29:07le durcissement de configuration ou en
29:10anglais confie gardening ça consiste à
29:12réduire la surface d'attaqué pour
29:14réduire le nombre de failles
29:15exploitables donc le par exemple
29:19modifier tous les mots de passe par
29:20défaut sur serveurs sous linux interdire
29:24à route de se loguer par ssh à travers
29:26le réseau par exemple l'obligé à se
29:28loguer obligatoirement sur la console à
29:30console physique du serveur physique ou
29:31la console virtuelle d'une machine
29:33virtuelle
29:35ensuite également désinstaller ou
29:38désactiver tout ce qui est superflu
29:40moyen de logiciels installés - il ya
29:43deux vulnérabilités donc moyen de
29:45correctifs à installer et moins souvent
29:46il ya rebooter un serveur donc par
29:49exemple au niveau des logiciels ou des
29:50services installés at on besoin de x 11
29:54ou d'un compilateur sur un serveur de
29:56production linux au niveau des pilotes
29:58de périphériques désactiver les
30:00interfaces radio tout ce qui est wi fi
30:02bluetooth sur un serveur
30:03désactiver le protocole obsolète à
30:05rouler protocole non utilisées a par
30:07exemple si dans votre entreprise
30:09on n'utilise pas
30:11ipv6 dans ce cas là autant désactiver ce
30:16protocole au niveau de la pile tcp/ip
30:19et également désactiver les comptes
30:21utilisateurs ou les comptes de services
30:23inutiles
30:26pour configurer correctement
30:29les options du protocole ssl tls pour la
30:33plupart des logiciels en tout cas open
30:35source bien connu on trouve une sorte de
30:37configurateur un outil qui génère une
30:39configuration correcte sur le site de la
30:42fondation mozilla à l'eurl ssl config
30:45pour un mozilla point d'orgue est donc
30:47c'est un outil qui est assez bien fait
30:48vous invitez quel logiciel utilisé par
30:51exemple a pas à chaud haproxy ou ou bien
30:54nginx par exemple
30:57ensuite vous choisissez est ce que vous
30:59voulez une configuration
31:02extrême où vous n'autorisez que la toute
31:05dernière version du protocole ssl tls
31:07mais là on va s'apercevoir que c'est pas
31:09une bonne idée parce que y'a contient
31:11des clients à l'heure actuelle par
31:13exemple qui supportent cette version du
31:14protocole donc l'aspect le plus sûr qui
31:17permet d'être compatible avec 99 et
31:19quelques pour cent des clients qui
31:21pourraient se connecter c'est la
31:23configuration intermédiaire c'est-à-dire
31:24que on incite à utiliser la dernière
31:26version du protocole mais on est aussi
31:28compatible avec la version juste avant à
31:29savoir tls 1.2 et enfin si vraiment il
31:33ya besoin on peut également laisser
31:35activer les versions antérieures du
31:37protocole mais c'est vraiment pas une
31:39bonne idée parce qu'il ya des trous de
31:40sécurité qui ont été trouvés dans c dans
31:41ses versions antérieures
31:43donc voilà donc on a le choix entre une
31:44configuration extrémistes
31:47qui n'exige les dernières améliorations
31:50de sécurité donc ça c'est utilisable
31:52uniquement en environnement contrôlé
31:54lorsque vous contrôler à la fois la
31:55configuration des clients et des
31:56serveurs et donc vous avez absolument
31:59sûr que tout le monde supporte la toute
32:01dernière version du protocole ou bien
32:03une configuration plus conservatrices
32:04permettant d'assurer une compatibilité
32:06maximale avec l'existant et donc en
32:08ayant choisi le logiciel et le type de
32:11configuration voulait générer
32:12automatiquement ça va vous naviguez ce
32:14que vous devez mettre ce que vous
32:15déplacer dans vos fichiers de
32:17configuration
32:22voici un autre exemple de durcissement
32:25qui concerne cette fois ci le java
32:28runtime donc en l'occurrence le jr
32:31version 11 mais c'est quasiment
32:33identique pour le le java runtime du jr
32:35java version 8 donc c'est une
32:39configuration où on va désactiver les
32:42temples les fonctions de la charge qui
32:43ont été cassées y compris à sacha reins
32:45et on va exiger 2048 bits minimum comme
32:48taille de clés rsa ou bien ou bien
32:51difficile man et
32:53256 bits en groupes politiques on va
32:57désactiver tous les vieux protocole qui
32:59ne sont plus sûrs à l'heure actuelle
33:01comme sslv2 sslv3 caisse 1.0 1.1
33:06les protocoles commerce et 4 d'un triple
33:09des cetc
33:11et en terme de connexion client on va
33:15essayer d'utiliser théret 100.3 donc ça
33:16c'est disponible uniquement à partir de
33:18java 11 si vous utilisez java 8 vous
33:20pouvez uniquement utilisé tls 1.2
33:22puisque j'avais à me supporter
33:24uniquement intéressant point de il faut
33:25avoir j'avance minimum pour pourquoi ces
33:28implémente pour que le moteur java
33:30implémente ets 1.3 et on voit là on va
33:33imposer une taille de clé dix films and
33:35de 2048 bits et encore une fois imposé
33:382048 bits minimum comme taille de clés
33:40rsa dit phil man et 256 bits en courbes
33:43elliptiques voilà donc les objectifs là
33:46ce que ce que ce hardening donc ce
33:49changement de la configuration par
33:50défaut un paiement tu sais la
33:52désactivation des algorithmes obsolète
33:54notamment les fonctions de la charge qui
33:55ont été cassées md5 à sa charge des
33:58fonctions de chiffrement qui ne sont
34:00plus considérés comme sûrs à l'heure
34:01actuelle la rc4 d'un strict des ce et
34:04des anciennes versions du protocole ssl
34:06tls et donc exigé t rès 1.3 ou 1.2 pour
34:11assurer la compatibilité avec les
34:12clients j'avais 8 par exemple
34:15exige un minimum de son 2048 bits pour
34:18étayer de claira salle i feel man et 256
34:20bits pour les courbes elliptiques
34:26la version actuelle du protocole tls et
34:29la version 1.3 donc on pourrait se
34:31demander pourquoi ne pas exiger la
34:34version 1.3 uniquement et bloquer toutes
34:36les autres est en fait pour ça pour
34:38comprendre le problème il faut regarder
34:39précisément
34:41les statistiques avaient regardé quel
34:44est le pourcentage par exemple de site
34:46web qui supporte t elle à 5.3 et on
34:49s'aperçoit qu'on est à peine à 40% on
34:52est à 38 pour cent à l'heure actuelle à
34:54la date où cet enregistrement et fait
34:56donc en
34:58octobre 2020 donc on est deux ans et
35:02deux mois après la sortie de
35:03normalisation finale de la langue t rès
35:061.3 et deux ans plus tard avait plus de
35:08deux ans plus tard on atteint à peine
35:1040%
35:12d'implémentation
35:14alors on si on compare avec thérèse 1.2
35:17c'est quand même une adoption plus
35:18rapide pour tls 1.2 qui a été normalisée
35:21en 2008 il a fallu attendre six ans en
35:232014 pour atteindre 50% donc six ans ont
35:28été nécessaires pour atteindre là on
35:30n'était qu'à la moitié au bout de six
35:31ans on était à la moitié des clients qui
35:33implémentent et tls 1.2
35:37donc
35:38donc pour thérèse 1.2 pour le support
35:42intéressant points 2 il a fallu attendre
35:44quatre ans pour que ça arrive dans
35:45openssl cinq ans pour que ça arrive dans
35:48google chrome et 6 ans pour que ça
35:51arrive dans firefox ce qui était une
35:54durée assez longue c'était beaucoup plus
35:56rapide d'intérêt 100.3 parce qu'il ya eu
35:59des pré version de la norme qui avait
36:01déjà été la version bêta avec implémenté
36:03dans des versions expérimentales de
36:05chrome et de firefox donc dès que c'est
36:07sorti d'hec la norme finale est sorti en
36:08août 2010 8 à peu près au même moment ça
36:11a été implémentée dans chrome dans
36:13firefox et dans openssl mais encore une
36:15fois voilà deux ans après on est à peine
36:18à 40% et donc la conclusion de tout ça
36:20c'est que quand un nouveau protocole
36:22sort il faut cinq à dix ans avant avant
36:26que ce soit implémenté à peu près
36:27partout et donc de pouvoir exiger cette
36:30version qui est l'état de l'art du
36:32protocole donc en attendant que ce soit
36:35implémenté partout on peut
36:36malheureusement pas se couper
36:37de la base de clients installés il faut
36:40que les gens par ample puissent se
36:41connecter à votre site web https et donc
36:44c'est pour ça que on est obligé de
36:45laisser pendant cinq ans avec le
36:47coffrage jusqu'à 10 ans la compatibilité
36:49avec les versions antérieures pour être
36:51sûr que les gens puissent se connecter
36:53donc t elle à son point 3 si vous
36:55d'avoir le support pendre de tls 1.3 ça
36:58nécessite d'avoir des programmes
37:00compilé avec le avec jeanne rose tous
37:03les programmes java 8 s'arrête
37:05intéressant points 2 donc il faut java
37:0811 il faut la version 1 1 de connaissez
37:11c'est le minimum ou dans le cas des
37:13smartphones par exemple il faut android
37:14glisse et donc ça veut dire que tous les
37:16smartphones qui sont plus vieux et qui
37:18sont pas agréables android 10 ne peuvent
37:21pas utiliser tls 1.3 donc encore une
37:25fois c'est difficile de se couper d'une
37:27d'une part de marché significative
37:30voilà si on regarde au niveau des
37:33programmes java d'entreprise à l'heure
37:36actuelle donc de deux trois ans après la
37:39sortie de java 11 on s'aperçoit que deux
37:42tiers des développements en entreprise
37:43utilise toujours java 8 une plateforme
37:45de référence donc il ya qu un tiers des
37:48gens qui ont migré vers java 11
37:51si on regarde au niveau des systèmes
37:53d'exploitation si on regarde temple red
37:55hat enterprise linux est qui est la
37:57version qui est sorti en 2014 c'est ne
38:00reste qu'un qui vient avec openssl 1.02
38:03et donc la philosophie de red hat c'est
38:06de geler les versions des des package
38:09romande la sortie du système
38:10d'exploitation et après d'assurer la
38:13maintenance pour les correctifs de
38:14sécurité pendant dix ans donc ça veut
38:17dire que red hat 7 sera supporté de 2014
38:20à 2024 et que jusqu'en 2024 il y aura
38:26donc des gens équipés cette version de
38:28linux qui est supporté au niveau des
38:30correctifs de sécurité mais qui ne
38:31plaisante pas
38:33terrey son poing droit parce qu'ils
38:35n'ont pas openssl 1
38:37donc si vous voulez implémenter tls 1.3
38:40il n'y a pas le choix il faut à gré des
38:42verts red hat enterprise linux 8 qui est
38:44sorti l'an dernier en 2019 et qui se
38:47portait jusqu'en 2029 donc met donc sur
38:50les anciens systèmes d'exploitation il
38:51n'y a pas de solution
38:53ce sont des les os qui n'offriront pour
38:57dans le cas de red hat 7 qui n'offriront
38:59jamais
39:00thérèse 1.3 en tout cas au niveau du
39:02système d'exploitation
39:04voilà donc les os professionnelle par
39:07ample les versions aux professionnels
39:08entreprises de windows les versions
39:10serveurs sont supportés par microsoft en
39:13dix ans c'est la même chose pour la
39:14plupart des distributions professionnels
39:16de linux donc ses supporter mais c'est
39:20encore une fois c'est une distribution
39:22qui peut avoir jusqu'à qui peut dater de
39:26jusqu'à 10 en dix ans et la fin de
39:29support et là à ce moment là on espère
39:30que tout le monde a migré et donc du
39:32coup il n'y a pas d'amélioration en
39:35termes de fonctionnalités il n'y a pas
39:36de nouvelles fonctionnalités là
39:37uniquement des correctifs de sécurité
39:38sur les fonctionnalités existantes
39:41si vous voulez rajouter une
39:41fonctionnalité comme intéressant points
39:433 il faudra migrer vers une version plus
39:45récente voilà et donc c'est la raison
39:47pour laquelle quand on introduit des
39:48nouveautés en sécurité
39:50malheureusement il faut il faut
39:52anticiper suffisamment à la rance parce
39:54qu'on sait que il faudra 5 à 10 ans
39:57avant que tout le monde soit équipée et
39:59est implémenté la nouveauté en question
40:02et pouvoir arrêter la compatibilité avec
40:05les versions précédentes
40:11si vous souhaitez en savoir plus sur le
40:14durcissement de configuration il ya un
40:17salon bhr de deux guides qui existent
40:19d'abord les éditeurs de systèmes
40:21d'isolation par exemple ont leur propre
40:23guide par exemple dans le cas de red hat
40:25enterprise linux 1,8 vous avez le hard
40:27downing idol sécurité harding haider et
40:30date qui est disponible à cette url chez
40:32microsoft vous avez ce que microsoft
40:33appelle les windows security by lines
40:36donc les parités durcissement vous avez
40:39l'équivalent chez cisco pour l'heure
40:41leurs routeurs etc leur équipement
40:45enfin aux états unis il ya une
40:47association à but non lucratif qui
40:49s'appelle center for internet security
40:51qui publie une centaine de guides
40:53durcissement qui sont extrêmement
40:54détaillées pour linux par exemple il ya
40:57quelques centaines de pages et surtout
40:59spécifiques à chaque distribution linux
41:01par exemple il ya l'équivalent pour
41:02windows est pour pour tout un tas
41:04d'autres systèmes donc il ya plus d'une
41:06centaine de guides spécifiques même à
41:08chaque version de linux et même à chaque
41:10version par exemple double ou linux ou
41:12deux enterprise linux ou de centos donc
41:15sans des guides qui sont très bien faits
41:16et qui sont des références soit
41:17planétaire sur la façon de l'implémenter
41:21justement le durcissement de
41:22configuration pour tel ou tel
41:24logiciel
41:26non seulement ces guides sont
41:29extrêmement connue mais en plus dans
41:31l'est la plupart des environnements
41:32cloud des images préconfigurés et durci
41:36selon le type de configuration du cis
41:38sont disponibles chez un grand nombre de
41:42d'hébergeur cloud a notamment amazon a w
41:45s azur chez microsoft et google club
41:47plateforme
41:49il ya également des guides de
41:50durcissement publié par 26 en france
41:52mais qui sont beaucoup plus petits que
41:54les guides du seuil est ce un oubli
41:56d'avoir quelques centaines de pages ils
41:58ont uniquement une vingtaine ou
41:59trentaine de pages donc vous avez une
42:01guide relatif à linux et vous avez
42:04également un guide pour les postes de
42:05travail et serveurs mais donc c'est
42:07beaucoup moins détaillée et ce temple le
42:09deal linux n'est pas spécifique à une
42:11distribution linux unis même à une
42:13version précise donc évidemment ce
42:16serait beaucoup plus générique en termes
42:18de recommandation
42:23autre outil liées au durcissement de
42:26configuration c'est ce qu'on appelle tsm
42:29technical state compliance monitoring
42:31dont tsn ça consiste à vérifier la
42:34conformité de la configuration des
42:36équipements à la politique de sécurité
42:39sauf dérogation dûment justifiés et
42:42approuvée par l'autorité compétente et
42:44dûment enregistrés l'objectif de tsmc de
42:48réduire la surface d'attac en
42:50désinstallant ou en désactivant tous les
42:53composants inutile
42:55voici quelques exemples de politiques de
42:58sécurité et donc de vérification de
43:00conformité tsm que l'on peut développer
43:04sur les serveurs en entreprise on n'a
43:07pas besoin des interfaces radio en wifi
43:08bluetooth etc et donc on peut le
43:10désactiver en dur sur les serveurs qui
43:12sont installés dans les datacenters
43:14également si votre coeur de réseau par
43:16exemple est purement ipv4 et que vous
43:19implémentez pas ipv6 dans ce cas autant
43:21désactivé en dur ipv6 sur les serveurs
43:23également ce qui réduira d'autant la
43:25surface d'attac potentiel
43:27en production pour les savoirs de
43:30production typiquement on n'a pas besoin
43:32de compilateurs de débogueur d'outils
43:35d'analysé de trafic ou quoi que ce soit
43:36de ce genre donc par exemple on peut
43:38décréter que ce genre d'outil ne doit
43:40pas être installée sur les serveurs de
43:42production ou pour les avoir en
43:44développement environnement de
43:45développement de tests etc mais ya pas a
43:47priori pas de raison que ces outils se
43:50trouve sur le serveur de production dans
43:52certains cas exceptionnels bien sûr on
43:54peut être amené à faire des exceptions
43:55dûment justifiée dans la mesure du
43:57possible si vraiment à titre
43:59exceptionnel on a besoin d'un
44:00compilateur ou dans le débogueur dans ce
44:02cas là ce qu'on peut recommander ces de
44:04l'installer juste avant de l'utiliser et
44:07de le désinstaller si possible
44:08immédiatement après utilisation
44:09lorsqu'on n'a plus besoin donc de façon
44:12à ce que dans la majorité des cas
44:13effectivement il ne soit pas installée
44:15sur les serveurs de production
44:17on peut également dire que par exemple
44:20des serveurs linux en production on ne
44:22va pas installer d'interfaces graphiques
44:23x11 a priori y en a vraiment besoin sur
44:26sur les serveurs unix
44:28on peut également prescrire les fichiers
44:31dossiers à whitehall sur les systèmes
44:34unix sauf les dossiers spéciaux comme
44:36cela je t aime pas mais qui possèdent
44:38eux mêmes des contre mesures de sécurité
44:41qu'on appelle le ch'ti tibbitt qui
44:43garantit que n'importe qui peut pas
44:44l'effacer n'importe quel fichier dans ce
44:45répertoire
44:47enfin sur les systèmes unix l'innovation
44:50privilèges se fait traditionnellement en
44:52ayant un vitesse sur les fichiers
44:55exécutables qui vous confère des droits
44:58additionnels d'un autre utilisateur ou
45:00d'un autre groupe ce qu'on appelle donc
45:02le bit s'est tu ailles 10 ou sept gi's
45:04et donc c'est extrêmement important de
45:06surveiller ces séminaires et donc que
45:09typiquement on va par exemple avoir une
45:11liste prédéfinie des binaires qui ont
45:14ces droits particuliers sur le système
45:16de façon à ce que si de nouveaux binaire
45:18de ce type apparaissent automatiquement
45:19il ya une alarme de sécurité qui soit
45:21déclenchée
45:25on vient de voir les problèmes de
45:27configuration regardons maintenant les
45:30vulnérabilités liées à des bugs dans les
45:31logiciels dans le code lui même donc les
45:34failles de sécurité dans le code et donc
45:36si ce temps du code qui a été compilée
45:38par exemple typiquement il va falloir
45:41appliquer un correctif de sécurité
45:42fournies par l'éditeur du logiciel pour
45:45boucher le trou en un pour boucher la
45:47faille donc ça suppose évidemment que le
45:50logiciel soit toujours maintenu
45:51activement par son éditeur que ce soit
45:54un logiciel développé en interne auquel
45:55cas c'est l'entreprise qui veulent
45:56maintenir ou bien fournie par un éditeur
45:59tiers là dehors dans ce cas évidemment
46:01il faut grands contrats de support pour
46:02bénéficier des mises à jour et donc il
46:04faut récupérer la mise à jour par le
46:06correctif si jamais le correctif n'est
46:09pas publié il faut ouvrir un ticket
46:11d'incident au support technique de
46:12l'éditeur sas haxaire le contrat de
46:15support c'est justement pour pouvoir
46:17demander des correctifs y compris les
46:20correctifs de sécurité quand on a besoin
46:21donc récupérer le correctif auprès de
46:24l'éditeur du logiciel ça suppose que le
46:25logiciel soit toujours maintenu c'est
46:27pour ça que c'est important d'air
46:28d'utiliser des versions qui sont
46:30maintenus et non pas qu'ils sont en fin
46:31de vie
46:32sinon quand il ya trop de sécurité vous
46:35pourrez pas obtenir le correctif
46:37est donc récupéré le corps actif est
46:39installé
46:45voici un exemple sur deux planches de
46:50vulnérabilité de code qui a été détecté
46:52par un scanner de vulnérabilités donc on
46:55voit que là en l'occurrence hull
46:58le module du scanner de vulnérabilités
47:02c'est le module qui s'intéresse aux
47:03clients am cul voilà et dans ceux
47:06relatifs à un avis de sécurité red hat
47:09tralala de security advisor 2020 qui
47:12porte le numéro 3817 chez red hat et
47:15donc le ce que ce module qui est
47:17développée spécifiquement pour tester
47:19cette faille de sécurité
47:20indique c'est que le package qui a
47:24installé ses le package python qu'une
47:26pays des protons version 0 28 or la
47:29version qui devrait être installé c'est
47:31là 0,32 et pareil il ya ce package la cu
47:35pays des protons et ses versions 0,28
47:38installé ça devrait être remplacée par
47:40la version 0 32 voilà et donc
47:447,7 ce problème de sécurité il n'est
47:46donc qui corrigeable facilement en
47:49installant la version à jour
47:51des package en question du paquet
47:53mentionné a été découvert en regardant
47:56simplement la numéro de version des
47:58package d'installer voilà voilà un peu
48:00plus de détails sur le problème j'ai
48:03trouvé ici
48:04soit la vulnérabilité d'une même donc
48:07c'est le serveur red hat enterprise
48:09linux à des package qui sont impactés
48:12par de multiples vulnérabilités qui sont
48:14documentés dans la vie de sécurité de
48:17red hat dont on a déjà parlé le rhs à
48:202020 numéro 3817 à savoir voix la liste
48:25des problèmes de sécurité
48:27jackson data bind il ya un problème de
48:29sécurité qui a enregistré auprès du avec
48:32le cv le suivant on va parler des
48:34cellules dans quelques secondes donc
48:35c'est la faille de sécurité cv eu 2020
48:3911 1113
48:41il ya un problème au niveau du module
48:43wild ride avec des interprètes java bean
48:46et c'est donc qu'ils peuvent subir un
48:49déni de service c'est une faille de
48:50sécurité qui est enregistré sous ce
48:52numéro là il ya un autre problème avec
48:54notre failles de sécurité enregistrés
48:56tous numéros et enfin il ya un frein
48:57avec l'oc forget
48:59un problème de validation de certificats
49:02qui n'est pas fait correctement et donc
49:04c'est également une faille de sécurité
49:05enregistrés sur ce numéro la solution
49:08c'est de mettre à jour les package
49:09incriminés
49:15et parmi eux les détails complémentaires
49:17il ya un certain nombre d'url qui sont
49:19fournies par l'outil de scanner de
49:21vulnérabilités il ya les liens directs
49:23vers les notes techniques chez red hat
49:25qui explique
49:27les correctifs que red hat la sortie
49:30concernant ces failles de sécurité il ya
49:32le red hat security advisory qui
49:34regroupe le tout ces problèmes et il ya
49:38également les références des tickets
49:40bugzilla chez red hat qui ont conduit à
49:43l'émission de ces correctifs
49:45il ya également la référence des
49:47vulnérabilités donc on va en parler on
49:49va parler des cellules dans quelques
49:50secondes
49:51voilà c'est un c'est une touffe à une
49:55sécurité il y a à cet os spécifique à
49:57red hat enterprise linux etc une
49:59vulnérabilité de type pas de chat
50:01appliquée c'est pas un problème de
50:02configuration c'est
50:04un patch à appliquer sur le système
50:07d'exploitation une gérald véniard
50:09habilités de niveau intermédiaire
50:16lorsqu'on fait des scan de
50:19vulnérabilités souvent les outils
50:21permettent de soi de scanner de
50:22l'extérieur on appelle ça du scan en
50:25black box en boîte noire c'est-à-dire
50:27qu'on effectue le scan directement
50:28depuis le réseau en découvrant les ports
50:31disponibles et en essayant de deviner ce
50:32qui se cache derrière chaque porte mais
50:34en fait on peut également fournir à
50:38l'outil de le scanner de vulnérabilités
50:40un accès au système d'exploitation lui
50:42créant un compte et en lui permettant
50:44d'aller regarder la machine de
50:45l'intérieur de l'os ce qu'on appelle un
50:48scan en white box en boîte blanche et ça
50:52évidemment c'est beaucoup plus
50:53intéressant c'est beaucoup plus précis
50:54en terme de résultat non seulement donc
50:56examiner toujours depuis le réseau mais
50:58en plus d'aller voir ce qui se passe à
51:00l'intérieur de la machine parce que le
51:03fait que le scanner de vulnérabilités
51:04est un accès au système d'exploitation
51:06ça lui permet d'accéder aux versions
51:08précise et spécifiques des pacages
51:11installé et donc ça évite les faux
51:13positifs
51:14pour comprendre
51:20pour comprendre le problème des faux
51:22positifs il fait pourquoi est-ce que ce
51:24cas n'est depuis l'intérieur de la
51:25machine permet de ne pas avoir de faux
51:28positifs ou de résoudre ce problème
51:30prenons par exemple une version dorée
51:32leur d'entreprise linux ou le centre est
51:34simple la version 6 qui est livré donc
51:37c'est une version qui a quasiment 10 ans
51:39à l'heure actuelle est donc à l'époque
51:41où loin ça a été construit il ya une
51:43dizaine d'années la version d' apache
51:45httpd qui était livrée avec leur aide à
51:476 c'est la version 2.2 or il se trouve
51:50que disons plus tard la version 2.2
51:52n'est plus supporter officiellement au
51:54niveau de la fondation apache ils sont
51:56passés à 2.4 et y ait entre temps ils
51:59ont décidé que depuis 2010 et 2018 il ne
52:01pas porter plus les correctifs de
52:03sécurité
52:03dans la version 2.2 donc si on inscrit
52:07redevenir habilité et qui ce cadre
52:09extérieur une machine red hat 6 par
52:11exemple où est installé un serveur
52:12apache httpd 2.2 donc le scanner de
52:16vulnérabilités va détecter qu' il ya une
52:18logique celle installée avec une version
52:21qui n'est plus supporté au niveau des
52:22correctifs et donc du coup qui a
52:24accumulé potentiellement ensemble de
52:26correctifs de salon de vulnérabilités
52:28dont qui pose problème mais en fait il
52:31se trouve que cette version d'inde
52:33apache httpd 2.2
52:35même si elle n'est plus supporté au
52:36niveau de la fondation apache comme elle
52:39est incluse dans rédac si serré d'axis
52:41et en os qui est toujours supporté alors
52:44plus pour longtemps puisque je crois que
52:45la fin de support et et en début 2021
52:48mais en tout cas c'est toujours en phase
52:50de support actif chez relate ce qui veut
52:53dire qu'en fait tu as contiendront de
52:54sécurité il le corrigerez date le
52:56corrige et fournit des correctifs
52:57spécifiquement pour apache httpd 2.2
53:00alors même que cette version n'est plus
53:03supportée par ce qu'on appelle la
53:05distribution appstream en amont en amont
53:07il n'ya pas les correctifs mais par
53:09contre red hat les produits en fait ils
53:13prennent les correctifs de sécurité de
53:14la version 2.4 et les bacs porte c'est à
53:17dire qu'ils font le portage de façon à
53:19les appliquer dans la distribution de la
53:21version 2.2 qu'ils distribuent à leurs
53:23clients voilà donc du coup s'explique
53:26pourquoi si on fait un skarn de
53:29l'extérieur de la machine un scan de
53:30vulnérabilités de l'extérieur on va
53:32détecter une version apache httpd 2.2
53:35qui n'est plus supporté donc qui pose
53:37problème en terme de sécurité mais en
53:40fait en examinant un depuis l'intérieur
53:42de la machine en examinant précisément
53:45la version des package installé on va
53:47s'apercevoir que la version d' apache
53:48httpd installé c'est la version de red
53:51hat livré avec l'a6 qui est toujours en
53:54phase de support du moins jusqu'au début
53:562021 et donc du coude à partir du moment
53:58où la version installée inclut les
54:00correctifs qui ont été portées par red
54:02hat du coup le scanner de vulnérabilités
54:05sera capable de déterminer qu'en fait il
54:06n'y a pas de problème et il n'y a plus
54:08de vulnérabilités résiduelle du moins de
54:10temps que vous êtes à jour des mises à
54:12jour de celle de ce logiciel avec red
54:14hat
54:19pour s'assurer que les vulnérabilités
54:21soient répertoriés et et surtout et le
54:24même nom chez tous les éditeurs de
54:26sécurité un organisme l'organisme mitre
54:30leur attribue un numéro unique qu'on
54:32appelle le numéro cv ou donc évidemment
54:34ça ne répertorie que les vulnérabilités
54:35public un seul qui sont publiés s'il ya
54:38six ans une vulnérabilité sont gardées
54:39secrètes par certains intervenants
54:40évidemment mitre peut pas être au
54:43courant mais à partir du moment où une
54:45vulnérabilité est publié donc elle va
54:47être répertoriés sur cv au point mitre
54:50point org / type genre de registre
54:51central et donc c'est le projet cbo le
54:54projet commande vulnerabilities and
54:56exposures
54:57donc
54:59mitre attribue aux vulnérabilités un
55:01numéro qui est composé de la forme
55:05suivante à ces cv e tir et l'emmener où
55:08a été attribué le numéro en question
55:12suivi d'un numéro de séquences qui
55:13commence à 1 et puis qui incrémente
55:15voilà donc par exemple à l'heure
55:19actuelle quand quand je viens d'aller
55:20sur le site re le site web cv aux points
55:23ni trop point org on s'aperçoit qu'il ya
55:25142 mille vulnérabilité recensés alors
55:29où j'enregistre cette présentation est
55:32donc ces vulnérabilités alors sur le
55:34site du mitre le site web cvae pour un
55:36mythe report de n'est pas très pratique
55:38notamment pour faire des recherches par
55:41contre ces vulnérabilités sont envoyés
55:43tant le site du nist ce qu'on appelle la
55:46haine vd la nationale 20 beatty database
55:49dans l'url est mentionné en bas du
55:51transparent donc nvd point nist point
55:53gauvin qui y dispose d'un moteur de
55:55recherche extrêmement
55:57sophistiqué qui permet facilement de
55:59faire des recherches dans la base de
56:02vulnérabilité donc les cv sont attribués
56:05sont numérotées son site du mitre mais
56:08en fait le plus souvent il est plus
56:09facile
56:10d'accepter de les rechercher sur le site
56:13du nist
56:16voilà une capture d'écran de la nv des
56:20de la nation est vulnérable et il a été
56:21banni du nist donc le nist c'est le
56:24national institute of standards and
56:25technology américain c'est une sorte
56:27d'équivalent américain de l'afnor en
56:29france donc c'est le bureau des
56:32standards et des technologies et donc
56:34sur leur site nvd ils ont donc un moteur
56:37de recherche et on peut rechercher une
56:39vulnérabilité particulière par exemple
56:40ici c'est la cvae de 2020 numéro 3807 et
56:45quand on regarde le contenu on
56:47s'aperçoit que il ya une description et
56:51il ya une sévérité donc au niveau de la
56:53description on voit que c'est une faille
56:57liée à acrobat adobe acrobat est accro
57:00et nos billes acrobat reader avec des
57:02versions particulières
57:03qui ont un prendre le débordement de
57:05tampon ce qui peut permettre l'arbitré
57:07discuter du code arbitraire
57:09il ya le numéro deux de ces lieux qui a
57:12été attribué ce qu'une faille découverte
57:14en 2020 et c'est la fine numéro 3807
57:17elle a été publiée le 25 mars
57:202020 sont des dates américaines au
57:23format américain et la vie de sécurité a
57:26été mise à jour deux jours après
57:28et on a également un code de sévérité
57:32pour
57:33pour 7 enfin niveau de sévérité pour
57:36cette faille on va vous on va voir
57:38expliquer c'est dans quelques secondes
57:40mais en tout cas voilà les éléments
57:43important c'est le fait que c'est une
57:44faille critique
57:45à les critiques parce que on va voir que
57:48le score et on a fait 10 1 le score peut
57:50être entre 0 et 10 et donc plus on se
57:52rapproche de 10 plus le niveau de
57:53criticité est important et on va
57:56également parler de ce qu'on appelle la
57:58saq vector donc cette chaîne qui peut
58:00sembler cryptic
58:01à voir ce qu'elle représentait également
58:03elle donne en fait les détails sur
58:04comment un pirate peut exploiter cette
58:07vulnérabilité est ce que ça est ce que
58:09cela nécessite d'avoir un accès local au
58:11système ou est-ce que ça peut se faire à
58:12distance etc il ya toutes sortes de
58:13catégories qui sont indiqués là et on va
58:15voir dans quelques secondes dans le
58:16prochain transparent ce que ça signifie
58:18plus précisément
58:26donc comment est encodé la sévérité
58:28l'anc la sévérité ce qu'on appelle le
58:30score serré ss commandes vulnerability
58:33scoring system alors c'est un score qui
58:36discutent d'un projet développé par
58:38first qui est un
58:40organisme de surveillance de sécurité
58:44donc voilà la version de css art actuel
58:48il a trois points donc le score cvss
58:51trois points est composée de trois
58:53groupes de métriques on va voir qu'il ya
58:55que le premier groupe le groupe de base
58:57qui est obligatoire les deux autres
58:59groupes sont optionnelles donc ils sont
59:01ils sont rarement enseignée alors ce qui
59:04est important c'est le groupe de base
59:05qui vit est obligatoire donc et des
59:07métriques d'exploitabilité
59:10d'impact et de portée de la faille de
59:13sécurité donc les métriques
59:15d'exploitabilité c'est le vecteur d'adak
59:19la complexité de la tacc est-ce qu'elle
59:21a besoin de privilèges par exemple de
59:23privilèges d'administrateur ou ou pas
59:24est-ce qu'elle a besoin du que
59:26l'utilisateur interagissent ou pas fasse
59:29quelque chose de précis pour déclencher
59:31la vulnérabilité ou pas ou est ce que
59:33c'est complètement automatisée
59:35en termes d'impact est-ce que ça impacte
59:37la confidentialité l'intégrité ou la
59:39disponibilité des systèmes et quelle est
59:42la portée de la tacc est ce qu'elle se
59:46contente de nuire au système en question
59:50qui est vénérable ou est ce qu'elle peut
59:52aussi nuire au système avoisinants ou
59:54par amp la totalité du système
59:55d'exploitation etc
59:57voilà il ya également deux groupes de
1:00:00metric mais que je je détaillerai pas
1:00:03puisqu'ils sont optionnelles est souvent
1:00:05le plus souvent ils sont pas mentionnés
1:00:06seller métrique temporelle est ce que
1:00:08est ce qu'il ya le code permettant
1:00:10d'exploiter cette faille de sécurité est
1:00:12largement disséminé ou pas le niveau 2
1:00:16les correctifs qui sont publiés il ya
1:00:18des correctifs qui existe ou pas donc ça
1:00:20évolue dans le temps au fur et à mesure
1:00:21que les éditeurs publiés correctifs et
1:00:23ses pas et
1:00:25[Musique]
1:00:29donc pour obtenir le score cbs alors
1:00:33qu'à une formule très sophistiqué qui
1:00:35est publié sur le site du fort ce qui
1:00:37permet d'obtenir un score entre 0 et 10
1:00:39mai donc les métriques de base elles
1:00:42sont obligatoires on va les tailles et
1:00:44différentes métriques avait à cpr hui
1:00:46cis donc les métriques de base sont
1:00:49injectées là dedans et on peut rajouter
1:00:52les métriques optionnel sur le
1:00:53souhaitent un mais au final tout ceci va
1:00:55produire un score cvss entre 0 et 10 et
1:00:59c'est ça qui va indiquer si la sévérité
1:01:01du de la vulnérabilité est faible
1:01:04moyenne élevée ou critique
1:01:08donc en plus du score et de la sévérité
1:01:11on va publier également la chaîne d'un
1:01:13vecteur d'attac
1:01:20donc voilà les composants de base
1:01:22obligatoire du score cvss donc ce qu'on
1:01:25a vu tout à l'heure ce qui est et ce
1:01:26qu'on appelait la tacc vector lorsque me
1:01:29trouver ici c'est le numéro de version
1:01:30cvss donc cvss on utilise la version 3
1:01:33points que la version actuelle si vous
1:01:36recherchez des très très vieille failles
1:01:37de sécurité il ya dix ans par exemple ce
1:01:40sera probablement le score cvss de 0,1 à
1:01:43l'époque dont qui est construit
1:01:45légèrement différemment avec le le
1:01:47standard de l'époque et donc la version
1:01:48actuelle celle à trois points et donc ce
1:01:51qu'on en côte derrière entre les slash
1:01:52par exemple avait deux points m c'est
1:01:55tout simplement les différentes
1:01:57catégories et la valeur la valeur en
1:01:59question qui correspond donc dans le
1:02:02groupe de bazar on a dit qu'il y avait
1:02:03trois voix trois parties les métriques
1:02:05d'exploitabilité de la une et
1:02:06réhabiliter la portée et les métriques
1:02:09d'impact en terme de maîtrise
1:02:11portabilité donc l'attaqué vector c'est
1:02:15pour indiquer s'il attaque est effectué
1:02:17à travers le réseau à travers une
1:02:18machine adjacentes elle doit être si la
1:02:22taille doit être mené en local sur la
1:02:23machine elle même ou si c'est une
1:02:25attaque physique
1:02:27l'attak complexité dont la complexité de
1:02:29la tacc on indique que si elle est
1:02:31élevée ou faible
1:02:35est-ce que l'attak nécessite des
1:02:37privilèges ou pas donc qu'est ce qui
1:02:39nécessite aucun privilège des privilèges
1:02:41faible donc simple utilisateur ou des
1:02:43droits administrateurs
1:02:44est-ce qu'elle attaque nécessite
1:02:46l'interaction de l'utilisateur donc
1:02:48interactions requises ou pas du tout
1:02:51quelle est la portée de la tacc est-ce
1:02:53que la portée est inchangé donc c'est
1:02:55uniquement le composant vulnérables ou
1:02:57est-ce que la vulnérabilité permet
1:02:58d'atteindre d'autres composants que
1:03:00celui vulnérables et enfin quel est
1:03:02l'impact impact en termes de
1:03:04confidentialité d'intégrité et de
1:03:06disponibilité
1:03:08donc si on regarde la le vecteur d'attac
1:03:12de la vulnérabilité précédentes
1:03:15concernant acrobat reader donc avec un
1:03:18score de 9.8 c'est une faille qui
1:03:20critiquent et l'attaquent vector cdss
1:03:23trois points on s'aperçoit donc la tacc
1:03:26vector ça se fait à travers le réseau la
1:03:28complexité de l'attaqué faible
1:03:30les privilèges nécessaire aucun
1:03:34est-ce que l'interaction d'utilisateurs
1:03:36est nécessaire la réponse est non
1:03:39le le scope est inchangé donc ça c'est
1:03:44une vulnérabilité qui ne va impacter que
1:03:45acrobat reader est par contre il ya un
1:03:48impact très fort sur la confidentialité
1:03:49l'intégrité et la disponibilité et donc
1:03:52on applique la formule du first et on
1:03:54obtient un score de 9.8 à ce qui permet
1:03:57de catégoriser comme une faille critique
1:04:06les scripts d'exploitation font des
1:04:09outils logiciels généralement automatisé
1:04:11permettant à un attaquant de pénétrer
1:04:13dans un système en exploitant une
1:04:15vulnérabilité avec typiquement un
1:04:17objectif malveillant et si vous pensez
1:04:20que trouvé de tel script est compliquée
1:04:22en fait pas du tout il ya des des sites
1:04:24web là dehors typiquement exploits des
1:04:26baies qui recense les différentes
1:04:29vulnérabilités et pour chacune d'elles à
1:04:31mettre à disposition les scripts
1:04:34préprogrammés permettant d'en tirer
1:04:36parti
1:04:40db voilà par exemple une capture d'écran
1:04:44de exploiter base de ce site web qui est
1:04:48complètement public 1
1:04:50à l'heure actuelle
1:04:52et donc voilà vous avez la date à
1:04:54laquelle les différents scripts sont
1:04:56publiés on peut les télécharger et voilà
1:04:59la faille qu'il qui cible et sur quelles
1:05:02plateformes et est l'auteur de la
1:05:04générale
1:05:11ceci sans oublier tout ce qu'on peut
1:05:12trouver avec de simple recherche google
1:05:14donc on en une simple recherche sur
1:05:17google en utilisant des mots-clés à
1:05:19particulier on peut par exemple trouver
1:05:21toutes les webcams qui sont accessibles
1:05:24librement sur internet tous les to les
1:05:27copieurs multifonctions et c est donc qu
1:05:30on appelle ça des google d'orx des mots
1:05:32clés qui mam est de trouver
1:05:34donc ces sites et donc vous avez
1:05:37également dans l'exploit db vous avez
1:05:39une page une catégorie spécifique qui
1:05:41s'appelle la google rating database qui
1:05:44permet comme ça de répertorier tous les
1:05:46mots clés qu'on peut mettre dans google
1:05:48pour trouver
1:05:49donc des par exemple des portails de
1:05:53logging et cetera ou voilà donc par
1:05:56exemple regardons les webcams il ya un
1:05:58modèle particulier de webcams sur le
1:06:00marché qui lorsqu'on affiche l'image en
1:06:02question met live images dans le titre
1:06:08de la page donc c'est une page qui est
1:06:10fini par un exploit html et qui contient
1:06:12lively pledge est également pop up donc
1:06:15si on fait une recherche là dessus on
1:06:18trouve un certain nombre d'instances de
1:06:20webcams non protégés sur internet et
1:06:23donc en l'occurrence on pas que cette
1:06:25recherche on trouve parmi les webcams
1:06:28disponible a par exemple celle ci dont
1:06:30qui manifestement film elle une piscine
1:06:33ainsi que
1:06:35ainsi que l'océan à sarasota donc en
1:06:39floride
1:06:42autre recherche indiqué par
1:06:46explique bbc par exemple rechercher un
1:06:49web images monitor et on trouve ainsi
1:06:51tous les les serveurs d'impression des
1:06:55copieurs multifonctions qui sont à
1:06:57l'accès libre et non protégées donc en
1:06:59l'occurrence celui site et en république
1:07:01tchèque où manifestement les petits
1:07:03malins qui ont changé le nom de
1:07:05l'appareil pour indiquer qu'il a été à
1:07:07pirater qu'il a été hacké et donc voilà
1:07:10il ya un nombre d'appareils qui sont en
1:07:11libre accès sur internet

About this transcript

This page contains the full transcript of 03a - Mesures de securite by CNAM RSX112, generated from the public captions YouTube serves with the video. The transcript has 10,796 words across 1,767 segments, with the original timestamps preserved so you can click any line to jump to that moment in the embedded player.

What you can do with it

Use the transcript to take notes, quote the speaker, build a study guide, generate a summary with ChatGPT or Claude via the YouTube Summary tool, or export it as a timed subtitle file with YouTube to SRT. You can also re-open it in the transcriber to choose a caption track available on the video.

Free YouTube transcript tool

YouTube2Text is a free YouTube transcript generator — no signup, no daily limit. Paste any YouTube link and get the full transcript instantly, with timestamps, click-to-jump, caption language selection, AI prompts for ChatGPT, Claude, and Gemini, and exports to TXT, SRT, VTT, or Markdown.