YT YouTube2Text

YouTube2Text → Transcripts → 03b - Mesures de securite

03b - Mesures de securite — Transcript

by CNAM RSX112 · 7,226 words · 1,243 segments · language en · Watch on YouTube

Open in transcriber Summarize with AI Download SRT/VTT

Full transcript

0:00évoquons maintenant le processus de
0:03modélisation des menaces
0:05la modélisation des menaces c'est
0:07l'étude systématique de toutes les
0:09possibilités d'attaquer une application
0:10donc on étudie les ce qu'on appelle les
0:13habilleuses skies donc les possibilités
0:14de d'avoir un usage abusif de
0:17l'application plutôt que les new skies
0:19les cas d' usage c'est une action
0:22préventive qu'on peut réaliser dès la
0:24phase de conception est l'objectif de la
0:26modélisation des menaces ces deux listes
0:28et les menaces de façon à les classer
0:31par ordre de priorité pour traiter les
0:33plus importantes en premier
0:37l'intérêt de la mobilisation des menaces
0:39c'est qu'elle produit des documents
0:41utiles en particulier ce qu'on va
0:43évoquer tout à l'heure à savoir les
0:44diagrammes de flux de données ou data
0:46flow diagramme en anglais ça facilite la
0:50conformité donc les audits et ça permet
0:53de détecter les problèmes en amont au
0:54moment où les corriger coûte le moins
0:56cher voici par exemple des statistiques
0:59fournies par ibm et le nist est
1:03évidemment corriger un problème lors de
1:05la phase de conception du développement
1:06ou de la phase de test ça coûte
1:09infiniment moins cher que de les
1:11corriger lorsque l'application est en
1:13production et qu'il faut faire appel aux
1:15équipes de maintenance
1:17on va mobiliser les menaces comme l'a
1:21écrit georges boxe tous les modèles sont
1:23faux la vraie question c'est à quel
1:25point doit-il être faut pour ne plus
1:27être utile
1:30pour générer des résultats utiles vient
1:32les techniques de mobilisation de
1:33menaces ces méthodes doivent être mises
1:35en oeuvre par des participants qui
1:37disposent d'une certaine expérience ou
1:39d'une certaine maturité en sécurité
1:41informatique donc dans ce court on ne
1:43fournira que n'a perçu sommaire à
1:45travers quelques exemples concrets
1:46l'idée étant de vous donner des notions
1:49relatives à la modélisation de menaces
1:50mais évidemment on pourra pas vous
1:52transformer en expert de la modélisation
1:54simplement en quelques heures de cours
1:59la mobilisation des menaces peut se
2:01faire de trois façons différentes
2:03via des approches qui peuvent être
2:05recentrée sur les attaquants c'est
2:07généralement la proche adopté et
2:09préférait parler pentester donc les
2:12équipes qui teste la sécurité des
2:14systèmes
2:15il yal approche centrée sur les actifs
2:19informationnels
2:20c'est une approche en général qui est
2:21préféré côté business donc l'approchent
2:24préféré du management est également des
2:26équipes d'audit et de gestion des
2:28risques
2:29enfin il ya la proche centrée sur les
2:32applications qu'ils approchent préféré
2:34des équipes techniques par exemple les
2:36développeurs de l'application elle même
2:41commençons par évoquer les approches
2:43centrées sur les attaquants dans ce type
2:46d' approche on va lister et dresser le
2:49profil des attaquants potentiels avec
2:51pour chacun d'entre eux leurs motifs
2:53l'hawaiien et leurs opportunités par
2:56exemple l'attaquant ça pourra être une
2:58entreprise concurrente
2:59le motif c'est évidemment de récupérer
3:02les nos clients les moyens techniques et
3:06financiers dont elle dispose sont
3:08limitées et les opportunités c'est
3:11l'exploitation de vulnérabilités dans
3:13les systèmes des applications
3:19voici un exemple de méthodologie centrée
3:22sur des attaquants elle s'appelle
3:23personal en gratin donc les personnes
3:26non souhaitée en fait les intrus et donc
3:30l'idée de ce genre de médiologie c'est
3:32comme ça de dresser des portraits-robots
3:34d'attaquants potentiel en détaillant
3:37leurs motifs nous ce dont il dispose
3:39comme moyen et qu'est-ce qu'ils ont que
3:43ce qui pourrait faire si l'on avait
3:45l'opportunité
3:51avantage des méthodes sont sur les
3:53attaquants c'est qu'elle matérialise les
3:55menaces et les attaques elles sont
3:57également amusante parce que les
3:59scénarios qui sont produits ressemble à
4:01des scénarios de films qui pourraient
4:02être réalisées à hollywood ou ou ou dans
4:06d'autres studios
4:07inconvénients de ces méthodes c'est
4:10qu'elles sont centrés sur les menaces
4:11humaine il n'y a pas de recherche
4:12exhaustive des menaces technique sur les
4:15plateformes
4:16les menaces peuvent manquer de réalisme
4:18et les résultats sont biaisés en
4:20fonction des préférences personnelles
4:21des participants en particulier des
4:24jeunes testeurs qui contribue à mon
4:27profil qui sont dressés
4:29pour pouvoir mettre en oeuvre une telle
4:31mythologie
4:32il faut avoir des participants orienté
4:34sécurité donc les experts sécurité des
4:37peines testeurs et ce terrain
4:42deuxième famille d' approche les
4:44approches centrées sur les actifs
4:46informationnels
4:47dans ce type de méthodologie on va
4:50commencer par lister les actifs
4:51informationnels donc côté business et
4:55détaillé les composants et les flux de
4:57données et pour chacun d'entre eux on va
5:00établir une liste de menaces donc un
5:02exemple d'une telle approche ses
5:04passe-temps un process for attaque
5:06simulation un traitement l'isis qui est
5:08une méthode qui a été créée par tonné
5:10c'est vide à vélez et qui comprend ce
5:13n'est cette étape suivante
5:17voici les sept étapes de la mythologie
5:20passe temps donc première étape définir
5:22les objectifs identifier les objectifs
5:24business les exigences de sécurité et de
5:27conformité faire un bilan d'impact de
5:30l'activité
5:32étape 2 définir la portée de la portée
5:37technique de la muséologie donc capturer
5:40les frontières donc définir les
5:42frontières de l'environnement technique
5:45définir ce qu'on va étudier donc
5:48l'infrastructure les applications et les
5:50dépendances logiciel
5:52troisième étape des composés
5:54l'application identifier les new skies
5:57donc les cas d' usage définir les points
6:00d'entrée des applications les niveaux de
6:01confiance
6:02identifier les acteurs donc les
6:04intervenants les actifs informationnels
6:06les services leyrolles les sources de
6:08données
6:09établir les diagrammes de foot d'honneur
6:11et définir les frontières de confiance
6:16étape 4 l'analyse des menaces on peut
6:20analyser les menaces avec desservir la
6:22taca probabiliste faire un ace de
6:24régression sur les événements de
6:26sécurité est également mettre en oeuvre
6:28dès des des renseignements sur les
6:32menaces des techniques de corrélation et
6:34d' analyse
6:36est absent analyse des vulnérabilités et
6:40des faiblesses donc analyse des rapports
6:43de vulnérabilité préexistants fait par
6:45exemple via un scan de vulnérabilités
6:47ainsi que des problèmes en cours non
6:49encore résolus
6:51à faire correspondre des menaces aux
6:54vulnérabilités existantes en utilisant
6:56par exemple les arbres d'attac et
6:59analyser les erreurs de conception avec
7:02les cas des usages et elika d'abus
7:04également on peut pour ce un cd de tout
7:07ce qui est système de scoring de
7:09notation comme cvss housse et wss et
7:13système de numération de failles comme
7:15common weakness énumération de
7:17l'organisme m
7:20étape 6 l'harmonisation des attaques
7:23donc analyser la surface d'attac analysé
7:27le feu développer l'arbre d'attac
7:31utiliser des bibliothèques d'attac
7:34également et est donc utilisé des arbres
7:39d'attac pour regarder quels sont les
7:41vulnérabilités comment on pourra les
7:43attaquer et comment pour exploiter
7:44également
7:45les failles potentielles
7:49enfin étape cette analyse du risque et
7:52de l'impact donc qualifier et quantifier
7:54l'impact sur le business
7:57identifier les contre-mesures et faire
7:59une analyse de risques résiduels et
8:01identifier les stratégies de réduction
8:04du risque
8:09davantage d approche centrée sur les
8:11actifs informationnels et qu'elle suive
8:13l'échelle d'impact sur l'activité
8:16lorsqu'il permet d'ignorer les menaces
8:17dont l'impact est négligeable est
8:20également qu'elles sont centrés sur le
8:21risque donc elle facilite l'évaluation
8:23du risque en se focalisant sur la
8:25probabilité d'attac la vraisemblance des
8:27menaces le risque inhérent et l'impact
8:29des compromissions
8:30les inconvénients de ces techniques
8:34c'est qu'elles ne sont pas centrés sur
8:35les applications et que la
8:36correspondance entre les menaces et les
8:38actifs informationnels n'est pas évident
8:40qu
8:43il grande famille d' approche celles
8:47centrées sur les applications elle
8:49consiste en général à d'abord
8:51schématiser l'application par exemple
8:53sous forme de diagrammes de flux de
8:54données donc les data flow diagramme un
8:56disque dur
8:58ensuite on énumère les menaces pour
9:00chaque élément du diagramme et on
9:02guérard cheese les menaces via un modèle
9:05modèle de notation
9:10quels sont les avantages des méthodes
9:13centrées sur les applications
9:15d'abord elle améliore et elle diffuse la
9:17connaissance de l'application au sein
9:19des équipes elles sont également faciles
9:21et efficaces pour les développeurs de
9:23l'application puisqu'ils connaissent
9:24bien l'application sur laquelle
9:25travaillent leurs inconvénients elle
9:28nécessite une bonne connaissance de
9:30l'application attention aux angles morts
9:32voir ses propres vulnérabilité est
9:34difficile pour des développeurs parfois
9:37et les menaces peuvent sembler abstraite
9:39ou
9:42un exemple d'intérêt méthodes de
9:44modélisation des menaces centrée sur les
9:46applications et la méthode de microsoft
9:48parfois appelé de manière incorrecte la
9:50méthode stride donc la méthode de
9:53microsoft consiste à identifier les
9:55actifs informationnels
9:56document telle architecture de
9:58l'application des composés l'application
10:01identifier les menaces documenter les
10:03menaces et les hiérarchiser
10:05l'objectif étant d'établir un classement
10:08des menaces et un diagramme documentant
10:10l'application
10:14microsoft fournit gratuitement en
10:16téléchargement un outil gratuit qui est
10:19l'outil de modélisation des menaces
10:20qu'ils ont développés qui est accessible
10:23librement à cette url et ainsi que sa
10:25documentation donc c'est un lieu qui
10:28quand on ne démarre propose trois types
10:30de composants ce qu'ils appellent les
10:33stencil donc selon vous voulez modéliser
10:35soit une application hébergée chez vous
10:37en interne soit une application hébergée
10:39sur le cloud typiquement azur ou bien
10:42une application médicale
10:44donc vous sélectionner le bon type
10:45d'application et puis ensuite dans le
10:47style qui apparaît vous avez toutes
10:48sortes d'objets prédéfinis typique de
10:51jean l'application que vous pouvez faire
10:52glisser déposer pour dessiner le
10:55diagramme de flux de données dont par
10:57exemple tendance exemple ici j'ai mis un
11:00navigateur web sur internet
11:02l'utilisateur donc une audit externe qui
11:05va être recomptés sous forme de carrés
11:06qui accède à une application web
11:10hébergés dans l'entreprise via https et
11:14ensuite cette application elle va
11:15authentifier les utilisateurs
11:17sur un annuaire ldap et ensuite elle va
11:20par exemple accéder à une base de
11:22données sql donc
11:24l'annuaire et la base données et en
11:26étant hébergé sur des serveurs tiers
11:29donc il ya également une frontière de
11:31confiance en l'entreprise puisque c'est
11:33pas le même serveur donc il ya des
11:35échanges de données entre ces différents
11:36serveurs voilà donc une fois que vous
11:38avez fait votre votre dessin vous avez
11:40ajuster les propriétés ça vous pose un
11:42solde de questions sur les flux par
11:44exemple est-ce qu'ils sont protégés en
11:45confidentialité en intégrité et c'est
11:47donc une fois que vous avez fini de
11:50dessiner votre votre architecture vous
11:52pouvez cliquer sur cette icône est
11:54l'outil gère automatiquement une liste
11:57de menaces là en l'occurrence il a
11:58généré 32 d'après un catalogue
12:00prédéfinis et donc ça permet d'avoir
12:03déjà une base pour commencer la
12:06l'analyse des des menaces et regarder
12:10déterminer quelles sont celles qui sont
12:12prioritaires et pour lesquelles il ça
12:14vaut la peine d'étudier des
12:16contre-mesures ou des mesures
12:18d'atténuation
12:22ces diagrammes de flux de données donc
12:25en anglais dataflow diagramme ou des fds
12:27sont utilisés par la plupart des
12:29méthodes de modélisation des menaces et
12:31l'objectif c'est de représenter les
12:33échanges de données entre les différents
12:34composants d'un système ils sont simples
12:38et faciles à comprendre et ils peuvent
12:40également avoir d'autres usages par
12:41exemple dans certaines entreprises on
12:44exige un dfd lors des firewall request
12:47lors des demandes d'ouverture de flux
12:50sur des pare feux
12:55voici les conventions graphiques qui
12:57sont utilisés dans ces diagrammes de
12:59flux de données présente sous forme
13:01circulaire ou ovale tout ce qui est une
13:03unité de traitement donc des processus
13:06etc
13:07les flux de données sortantes avec des
13:09flèches
13:10l'identite externes sont représentés de
13:14manière rectangulaire tout ce qui va
13:16stocker les données que ce soit des
13:17bases de données des systèmes de
13:19fichiers etc
13:20sera indiquée ainsi avec deux traits
13:24horizontaux en haut et en bas et enfin
13:27donc le plus important nos points de vue
13:29sécurité c'est de les terminer les
13:31frontières de confiance
13:32donc intérieur desquels tous les
13:36composants nous serons considérés comme
13:38de confiance lors de leurs échanges
13:43quelles sont les différentes méthodes
13:45pour identifier les menaces on peut
13:48utiliser une bibliothèque d' attaque
13:49maitere en disposent d'une qui s'appelle
13:52cap lac commande numérique
13:54classification qui est disponible sur le
13:56site web capec point maitere point org
13:59il ya également la technique des arbres
14:03d'attac une technique qui a été inventé
14:04par bruce schneier une vingtaine
14:06d'années
14:07donc l'idée est de développer une
14:10arborescence
14:11qui va représenter comme ça
14:14les attaques en les décompose en une
14:17étape intermédiaire et donc ça fait
14:19comme ça un cheminement entre les
14:21différentes étapes nécessaires pour
14:24aboutir à un objectif précis et enfin on
14:28va parler maintenant on va évoquer
14:30la la méthode stride
14:35stride est une technique
14:37d'identification des menaces qui était
14:39développé chez microsoft son nom
14:41provient des initiales en fait les
14:43différents critères à savoir spoofing
14:45tempéré une répudiation informations
14:48disclosure dénis services et élévation
14:50de privilèges donc pour chacune de ses
14:53six menace
14:55donc on a en face la propriété recherché
14:58et éventuellement donc certaines de ces
15:02de ces menaces a peut être contré par
15:04des techniques cryptographique
15:05permettant de sécuriser les systèmes
15:09donc la première le spoofing c'est
15:11l'usurpation d'identité en français par
15:14exemple un utilisateur qui fait passer
15:16pour un autre utilisateur ou pour
15:17l'administrateur nous donc la technique
15:20recherché c'est évidemment
15:22l'authentification des des participants
15:25de manière fiable donc pour ça on peut
15:28utiliser par exemple des protocoles
15:29d'identification cryptographique par
15:31exemple kerberos en cryptographie
15:33symétrique
15:35autre menace possible c'est tout ce qui
15:37est technique donc falsification de
15:40données la propriété recherché c'est
15:42l'intégrité des données et donc pour la
15:45garantir on peut par exemple mettre en
15:46oeuvre dès hachage cryptographique
15:49autre menace la répudiation donc la
15:53propriété recherché à la place c'est
15:55tout ce qui est traçabilité et non
15:57répudiation le fait qu'un utilisateur ne
15:59peut pas nier avoir effectué une action
16:00est par exemple on pourrait mettre en
16:03oeuvre des signatures digitales
16:05entre menaces une formation disclosure
16:09c'est la fuite ou la divulgation d'un
16:11groupe d'information donc des atteintes
16:13à la confidentialité
16:14est donc ce qu'on peut mettre en oeuvre
16:16pour préserver la confidentialité
16:18c'est par exemple le chiffrement des
16:20données
16:22entre menace le déni de service donc les
16:25atteintes à la disponibilité donc là il
16:28n'y a pas de technique cryptographique à
16:30ce sujet et enfin tout ce qui est et
16:32l'évasion privilège le fait que ça petit
16:34thater puisse acquérir par exemple les
16:36droits administrateurs et et et s'élever
16:39au delà du niveau de privilèges qu'il
16:40est supposé avoir
16:42donc la probité recherché c'est
16:44l'autorisation le contrôle d'accès et
16:47donc là également il n'y a pas de
16:49technique cryptographique à permettant
16:50de résoudre ce problème
16:56lorsqu'on va à énumérer les menaces
16:59selon par exemple la méthode stride on
17:02va indiquer pour chacune la cible par
17:04exemple le serveur web la technique
17:07attaque par exemple falsification de
17:08cookies http
17:10et les contre mesures qu'on va pouvoir
17:13déployer pour atténuer cette menace ou
17:16l'éliminer par exemple pour éviter qu'un
17:20utilisateur puisse deviner la cookies le
17:23cookie d'un autre utilisateur de notre
17:25session on va par exemple générés
17:26aléatoirement les cookies de façon à
17:28empêcher leurs prédictions on va
17:31utiliser les techniques de signature
17:33cryptographique qui seront impossibles à
17:35contrefaire on va par exemple limiter
17:37leur validité à quelques heures pour
17:39éviter l' impôt limiter la durée pendant
17:42laquelle un coût qui peut être réutilisé
17:44et on va également les transmettre
17:47chiffré à travers le réseau via un court
17:48de quoi le talent qssl kenneth pour
17:51éviter qu'il ne soit intercepté par un
17:54tiers
17:58comment évaluer les menaces plusieurs
18:01techniques de notation de secours qui
18:02n'existe on a déjà parlé de cvss common
18:06vulnerability scoring system le wasp a
18:09également une méthodologie de ce
18:12qu'auront de notation et on va évoquer
18:15maintenant la méthode de raids dont
18:17dredd basé sur les initiales des
18:19critères à savoir le potentiel de dégâts
18:22le caractère reproductible de la menace
18:25son exploitabilité donc la facilité avec
18:28laquelle on peut l'exploiter
18:30le nombre d'utilisateurs impactés et est
18:32ce qu'elle est facile à découvrir au
18:34point
18:37pour évaluer et numériquement les
18:40menaces on va par exemple définir une
18:42échelle de trois niveaux donc on va
18:44mettre au score 2 1 si le risque est
18:47faible 2 si des moyens 3 s'il est élevé
18:49et pour chacun écrit car dread on va
18:52donc affecter un score
18:54donc par exemple pour la falsification
18:55de ctp dégâts potentiels sont élevés
18:59c'est facile à reproduire des fois tu
19:01habilité et élever leurs utilisateurs
19:03impactés est également élevé et la
19:05facilité avec laquelle on peut découvrir
19:07cette technique est élevé également et
19:09donc on obtient en l'occurrence le scr
19:11au maximum à savoir 15 donc on va ainsi
19:14calculé un score pour chacune des
19:16techniques et ça permettra donc de les
19:18hiérarchiser et de terminer celle qui va
19:20falloir traiter en priorité
19:22alors une petite remarque sur la méthode
19:25dredd certains experts en sécurité
19:27préfère ne pas tenir compte ici du
19:30critère discographie ziti 1 parce que
19:33j'estime que que toutes les failles de
19:35sécurité peuvent potentiellement être
19:36découvertes un jour ou l'autre donc du
19:39coup on peut très bien faire la méthode
19:41dread sans ce critère là ou bien tout
19:43simplement si on répond à ce critère lui
19:46mettre tout en å note toutes les menaces
19:48à savoir par exemple 3 le maximal et
19:51donc du coup ce critère n'intervient
19:53plus réellement dans le classement des
19:55différentes menaces
19:59évoquons maintenant la sécurité du code
20:02lorsqu'on fait des développements
20:08donc s'il ya des failles de sécurité
20:10dans les logiciels et s'il faut
20:11appliquer des correctifs c'est parce
20:13qu'en fait il ya des failles de sécurité
20:14dans le code qui a été programmé alors
20:18il ya toute une ribambelle de failles
20:20possibles je vous montrerai une liste
20:22donc un classement également rédigé par
20:25mitre tout à l'heure mais parmi les
20:27failles les plus classiques il ya tout
20:28ce qui est débordement de tampon à ce
20:30qu'on appelle en anglais des buzzers
20:31overflow principalement dans les
20:33langages comme le sait par exemple où on
20:35doit allouer la mémoire à la main si
20:37vous allouez un tableau de 2,10 octet et
20:39que j'essayais d'écrire en onzième
20:41position vous avez débordé du tableau et
20:43vous allez écrabouillé le
20:45le reste de la mémoire et donc
20:47potentiellement y inscrire des données
20:49arbitraires et donc c'est ça le type de
20:51faille qu'on appelle débordement de
20:53tampon où le buffer overflow
20:54ans et il ya également le problème des
20:57chaînes de format sprint f3 gens qui
20:59connaissent donc d'ailleurs sprint un
21:01sprint info-afp wintek faudra mettre une
21:03chaîne de format avec des pur sang si
21:06vous oubliez de le faire si vous mettez
21:07directement une string si un petit malin
21:10dans la chaîne de caractères arrive à
21:11injecter 1 % donc ça va prendre des
21:14arguments additionnel sur la pile et
21:16donc du coup ça peut créer des problèmes
21:18de sécurité
21:19autre preuve de sécurité plus facile à
21:22comprendre c'est tout ce qui est
21:23débordement d'entier donc dans la
21:26plupart des langages de programmation
21:28les entier ne sont pas en taille limitée
21:30par défaut et donc du coup quand vous
21:32débordez sur les entiers c'est un peu
21:36comment anne oudot mettre un compteur
21:38kilométrique
21:39sur une voiture quand il arrive à 9 9 9
21:439 9 les à la position d'après ça va être
21:46de repasser à 0 et donc c'est ce qu'on
21:48appelle un débordement donc ce type de
21:51de problème a été responsable de l'auto
21:54destruction du tout premier lancement
21:56d'ariane 5 en 1996 a rien de cinq ans
22:00fait
22:01comme ariane 4 la génération précédente
22:04du lanceur qui était programmé en nahda
22:07avait une réputation de fiabilité à
22:10toute épreuve le même code informatique
22:12a été repris dans ariane 5 mai ariane 5
22:15beaucoup plus vite parce qu'elle est
22:17équipée de deux boosters propergol je
22:19crois donc du coup elle a une vitesse
22:22ascensionnelle beaucoup plus élevé car
22:24yens 4 et et cette vitesse était codée
22:27sur des chantiers 16 bits et du coup ça
22:30a donc qu'il a dépassé la valeur
22:32maximale et donc du coup ça ça a causé
22:36le l'apparition de valeurs aberrantes
22:38dans le calculateur qui ont conduit à
22:40l'autre l'instruction de la juge
22:43alors le débordement d'entier c'est
22:45quelque chose qu'on peut facilement
22:46tester soi ans est ici en langage c soit
22:50en java on sait comment java les entier
22:53par défaut le type int et encoder sur 32
22:57bits et comme c'est dit entier signé ils
23:00sont pas entre 0 et de puissance 30 2
23:03sur 4 3 milliards mais les valeurs
23:05possibles sont entre moins 2,1 milliards
23:08et plus de 20 milliards donc si on prend
23:11la valeur maximale 2,1 milliards et
23:13quelques ici et qu'on rajoute 1 et bien
23:16en fait on fait un tour complet du
23:17compteur est con quand on prend cette
23:19valeur et qu'on rajoute un et qu'on
23:20affiche le résultat on se retrouve avec
23:22la valeur ou un 2,1 milliards et donc du
23:25coup c'est ça peut avoir des
23:26conséquences fâcheuses dans les
23:28programmes notamment où viennent parler
23:29du cade d'ariane 5 qui a explosé lors de
23:32son premier lancement à cause de ça en
23:34l'occurrence était un débordement
23:35d'entier ennhada sur un entier connaît
23:38sur 16 bits au lieu de 32 mais le
23:40résultat a été le même
23:46le mithra recense sur ce site web
23:50qui est cw e point mitre point org la
23:55liste des 25 problèmes de sécurité les
24:00plus fréquents lorsqu'on développe des
24:02logiciels et donc dans cette liste on a
24:05retrouvé des problèmes convient
24:06d'évoquer par exemple les débordements
24:09entier dont on vient de parler
24:10intelligence par flo
24:12mais il ya également d'autres problèmes
24:14il ya le location mémoire news after
24:17free ou bien des écritures hors des
24:19limites ou bien le fait qu'on n'a pas
24:21validé correctement les entrées de
24:23l'utilisateur et c'est donc c'est la
24:26liste selon le mythe rendez des 25
24:29failles de sécurité les plus fréquentes
24:31dans les développements logiciels avec
24:33ici une sorte de score pour illustrer
24:36leur fréquence d'apparition
24:39si vous souhaitez en savoir plus sur les
24:42problèmes de sécurité lors des
24:44développements logiciels donc vous avez
24:46cette liste des 25 failles les plus
24:48fréquentes sur le site du mitre et vous
24:51avez également le site de l'oas pas
24:52l'owasp à l'origine c'est plus pour les
24:54développements web pour les applications
24:56web mais en fait la plupart de ces
24:58failles sont aussi applicables au
24:59développement non moins de code donc le
25:02wasps et l'open web application security
25:04project et sur leur site web owasp.org
25:07vous retrouverez ce qu'on appelle le top
25:09ten avec les dix failles
25:11de sécurité les plus fréquentes pour les
25:13applications web
25:18comment éviter ce genre de problème
25:20alors la première étape avant même de
25:22parler de d'éviter l'épreuve de sécurité
25:24la première étape quand on fait des
25:25développements et du code c'est
25:27d'améliorer la qualité du code et donc
25:30notamment de se baser sur le feedback du
25:32compilateur pour les langages qui sont
25:34compilés donc il faut évidemment activé
25:37et et traiter tous les avertissements
25:39tous les warnings des compilateurs par
25:42exemple avec gcc il y attirer double des
25:44majuscules le rôle qu'il avait activé
25:46tous les warnings et quelques optionnel
25:48quelques blagues optionnel qu'on peut
25:50rajouter pour justement par exemple tiré
25:53win8 live etc pour déclencher des
25:57avertissements quand on essaie de lire
25:58le contenu de variables qui n'ont pas
26:00été préalablement initialiser et donc
26:03ceci fournit déjà un premier niveau de
26:05deux de problèmes potentiels dans le
26:10code qu'on peut être amené à examiner et
26:12à corriger si ce sont des véritables bug
26:15autre solution en entreprise c'est ce
26:18qu'on appelle les revues de code donc
26:20l'on appelle les pieds review le fait de
26:21que quand quelqu'un rédige du goût
26:24programme quelque chose en fait donc il
26:27va faire un rival le tchèque les danses
26:31d'un guide par exemple et ça va on va
26:33demander à quelqu'un d'autre un autre
26:36collègue forcément une personne
26:37différente d'aller jeter un coup d'oeil
26:40aux codes et de fournir l'approbation
26:42finale pour fusionner pour merde j'ai en
26:46fait là le code qui a été proposé donc
26:49c'est ce qu'on appelle les pieds review
26:50à les revues par les pairs les revues
26:52par les collègues les revues de code ou
26:54bien également on appelle ça le for ice
26:56principal en anglais donc le principe
26:58d'avoir 4 4 yeux donc deux paires d'yeux
27:00pour aller
27:02validé on va dire qu'ils programment une
27:04paire qui programme le code est
27:06quelqu'un d'autre qui va aller vérifier
27:08en fait comme moi il n'ya pas d'erreurs
27:11flagrantes dans la logique du code qui a
27:13été enregistré
27:16autre possibilité c'est utiliser un
27:18outil d analyse ou de vérification de
27:20code ce qu'on appelle historiquement à
27:23linker du fait de l'utilité arrêt
27:25historique qui s'appelait lindt sous
27:26unix il ya dans les années 80 pour
27:30vérifier le code c est donc dans la
27:34liste de codes on distingue l'analyse de
27:36code statiques ou dynamiques
27:37l'analyse de code statique sert à
27:40examiner le code source pour détecter
27:43les heures de programmation il ya un an
27:45nombre d'outils commerciaux qui sont
27:46disponibles pour faire ça notamment
27:48parmi les plus connus fortify tchèque
27:50marx et c'est qu'ils vont aller comme ça
27:53analysé le code qui a été programmé
27:58voici par exemple un exemple de rapport
28:01suit l'analyse de code fait par l'outil
28:04tchèque marx donc on voit que nos
28:07l'occurrence celui de colza on voit
28:09qu'il est capable d'analyser également
28:11les dépendances les bibliothèques que
28:12vous utilisez donc en l'occurrence le
28:15projet en question utiliser son avis
28:16biotech est donc 96 d'entre elles ne
28:19posent pas de problème est par contre 23
28:21sont vulnérables et 19 sont dépassés
28:25elles sont il existe des versions plus
28:27récentes
28:28et pour le code lui même qui a été
28:31programmé localement dans l'entreprise
28:33on voit qu'en l'occurrence il ya quatre
28:36vulnérabilités importantes qui ont été
28:37trouvés 342 médium donc moyenne et 1973
28:43problème marginaux et donc si on regarde
28:47par exemple le détail des vulnérabilités
28:49importantes
28:50donc en ce qui concerne cette partie du
28:52code qui en java voilà les quatre
28:54vulnérabilités qui ont été trouvés et en
28:56fait les deux dernières correspondent à
28:58la même chose la ligne à 64 du code et
29:02on s'aperçoit qu'effectivement la
29:04personne n'utilise sha1 comme
29:06algorithmes donc si je deviens programme
29:09d'entreprise qui a été fait d'une
29:11dizaine d'années
29:12or sachant a été
29:14a été officiellement cassé en 2017 et
29:17donc effectivement il est temps de le
29:18remplacer par une fonction type
29:22sha256 par exemple d'envoyer qu'ici ce
29:25genre d'outil est capable de détecter
29:26genre de problèmes et de vous signaler
29:28que vous devriez remplacer la fonction
29:31de hachage de chiffrement que vous
29:33utilisez ici par l'état de l'art à
29:35l'heure actuelle
29:41les outils pour l'analyse statique de
29:43code sont également appelées outils
29:45sastre ou statique application security
29:47testing
29:49une liste de tel outil est disponible
29:51sur le site de l'oas ainsi que sur le
29:53site du nist
29:57est également il ya ce qu'on appelle
29:59l'analyse de code dynamique donc la
30:01dynamique parce que c'est durant
30:02l'exécution du programme qui permet
30:04d'analyser le code mais aussi d'analyser
30:06les performances et aussi de détecter
30:08les anomalies dans la location mémoire
30:10dynamique puisque la location mémoire
30:11dynamique on peut vérifier
30:14on peut vérifier ceux ci réellement que
30:17l'exécution au moment où elle a lieu
30:18donc c'est là qu'on va pouvoir détecter
30:20par exemple les fuites de mémoire ce
30:22qu'on appelle les memory leak ce
30:23notamment c'est donc la mémoire qui a
30:25été alloué mais qui n'est jamais rendu
30:27au système et donc il fait
30:29potentiellement gonflé location mémoire
30:31au fur à mesure que le temps s'écoule
30:32qui fait votre programme va consommer de
30:35plus en plus de mémoire sur le serveur
30:37on va pouvoir également détecter les
30:40rangs du multiple de mémoire les
30:41libérations multiples du même bloc
30:43mémoire ce qui est une erreur de
30:44programmation on sait quand on fait
30:47malok on peut pas attendre a appelé free
30:50pour libérer un mémoire mais si vous
30:51appelez free plusieurs fois de suite
30:53vous avez rajouté le blog mémoire
30:54plusieurs fois dans la liste des blocs
30:56libres et du coup ça va créer une
30:57corruption de la mémoire donc c'est le
31:00genre d'erreur qui peut être détecté par
31:01l'analyse de code dynamique
31:03alors pour éviter ça on peut aussi
31:06privilégié de langage de programmation
31:08qui gère automatiquement la mémoire pour
31:10lesquels on n'a pas besoin de libérer la
31:12mémoire avec free il n'ya pas l'appel
31:14free pour libérer un mémoire en java en
31:16c# et c'est à la place ces langages
31:18intègre un un collecteur de miettes un
31:21garbage collector comme on dit en
31:22anglais un gc qui va automatiquement
31:25récupérer là la mémoire allouée lorsque
31:29les variables sont des ce copé et donc
31:32elles sortent du du leurs portes et se
31:35termine donc la variable n'existe plus
31:37et donc à ce moment-là automatiquement
31:38la mémoire sous jacente va être
31:39récupérée par le garbage collector qui a
31:44intégré dans la machine virtuelle java
31:46par exemple
31:50outre l'amélioration de la qualité du
31:53code on peut également évoqué
31:55l'amélioration du code en termes de
31:57sécurité donc parmi les bonnes pratiques
31:59de sécurité le premier est la première
32:01chose auquel il faut penser ses valises
32:03et toutes les données provenant de
32:05sources qui ne sont pas dignes de
32:07confiance par exemple des données qui
32:09viennent de l'extérieur des arguments en
32:11ligne de commande des interfaces réseaux
32:13de données qui sont reçus à travers le
32:14réseau les variables d'environnement les
32:16fichiers contrôlée par l'utilisateur et
32:18c'est donc tout ça doit être vérifiée et
32:20on doit on doit en particulier faire
32:23attention à ce qu'ils aient pas dedans
32:24des choses qui pourraient déclencher des
32:27actions non prévus
32:29autre conseil qui améliore la sécurité
32:31dans le code c'est de toujours faire
32:33simple dans la mesure du possible rester
32:35simple parce que les choses qui sont
32:37complexes augmente la probabilité
32:39d'erreur dans leurs mises en oeuvre dans
32:41leur configuration et dans leur
32:42utilisation
32:44également au niveau du contrôle d'accès
32:47il faut refuser par défaut et identifier
32:50les conditions qui autorise l'accès donc
32:52ça doit être ce qu'on appelle en anglais
32:54difool jean a
32:58utilisé le principe du moindre privilège
33:01c'est à dire que lorsqu une élévation de
33:03droit est nécessaire
33:04elle doit durer le moins longtemps
33:06possible pour réduire les opportunités
33:08de l'attaquant d'exécuter du code
33:09arbitraire avec des privilèges élevés
33:13il faut également nettoyé les données
33:15transmises à d'autres systèmes en
33:17particulier si c'est sous systèmes sont
33:19complexes par exemple d'un interpréteur
33:21de commandes des bases de données des
33:23composants commerciaux des api et c'est
33:25parce que un attaquant pourrait invoquer
33:27des fonctionnalités inutilisés ou
33:29additionnels dans ces composants en
33:31injectant par exemple du code sql ou des
33:33commandes
33:50dernière bonne pratique de sécurité
33:51pratiquer la défense en profondeur avec
33:54plusieurs stratégies défensives qui
33:55s'additionnent pour limiter les
33:56conséquences d'une vulnérabilités
33:58exploitables donc par exemple développer
34:01du code sécurisé qui en plus s'exécute
34:02dans un environnement de machine
34:04virtuelle java ou dotnet donc il ya déjà
34:06les bonnes pratiques en termes de code
34:08sécurisé et derrière il ya en plus une
34:11sandbox additionnel un bac à sable java
34:13ou de naître qui va fournir une sorte de
34:15barrière supplémentaire avant de pouvoir
34:18après
34:19donc il faut à franchir cette barrière
34:21additionnel avant de pouvoir atteindre
34:23le système d'exploitation par exemple
34:25enfin parmi les techniques de sécurité
34:28permettant d'améliorer la qualité du
34:30code il ya des techniques de funding ou
34:33de face et sting on dit parfois et les
34:35tests de pénétration dans tout ce qui
34:37est en test pénétration testing
34:42le fuzzing oulfa ce testing c'est une
34:46méthode de test automatisé qui consiste
34:48à injecter du dollar et at war ou bien
34:51prendre des données initialement valide
34:53mais les modifier aléatoirement et
34:55injecté ça dans un programme pour
34:58vérifier le comportement d'un programme
35:00et sa robustesse
35:01et donc on regarde si le programme va
35:04être capable de gérer ses données qui
35:06ont été corrompus et il est géré sans
35:08les cracher ou sans avoir un
35:09comportement inattendu
35:11si on observe un crash du programme ou
35:14un comportement inattendu alors
35:15potentiellement c'est un problème qu'il
35:17faudra corriger et donc grâce à cette
35:19technique on a pu faire de gros progrès
35:21à ces dernières années dans la détection
35:22des vulnérabilités parce qu'on a pu
35:24automatisés cette détection donc
35:26notamment par exemple microsoft a
35:28grandement amélioré
35:29la qualité des logiciels de sa suite
35:33office par exemple si on prend ward en
35:35prenant des fichiers word qui avaient
35:37été générés les fichiers doc docx et en
35:39changeant des octets aléatoirement dans
35:41ses fichiers au hasard quelques octets
35:43par ci par là et en rechargeant en
35:44essayant de recharger ces documents du
35:46coup il ya vincent nombre de cas où
35:49ward a craché en fait et donc quand le
35:52programme s'est planté ça prouve qu'il y
35:54avait une erreur de programmation
35:55quelque part et ils ont dû la chercher
35:57et la corriger donc cette méthode de
36:00fuzzing est extrêmement efficace et elle
36:02permet comme ça détecter un de manière
36:03c'est automatique un très grand nombre
36:05de trous de sécurité qui qui serait
36:07passée sous le radar autres
36:15dernières techniques ce sont les tests
36:17de pénétration des frissons testing ou
36:19pentest ce sont dont les tests
36:22d'intrusion français les tests
36:24d'intrusion permettent d'évaluer la
36:25sécurité des systèmes informatiques en
36:27simulant une attaque par un pirate est
36:29donc un pirate de l'extérieur du système
36:33hla travail le réseau va essayer de
36:36découvrir la topologie du réseau et des
36:38équipements qui s'y trouvent va essayer
36:40d'utiliser un outil comme maps par
36:41exemple pour prendre une empreinte de la
36:43pile tcp/ip et c'est d'identifier ce qui
36:46se cache derrière chaque adresse ip qui
36:48lie à joindre puis après il va essayer
36:50de détecter les ports accessible sur ces
36:52machines quels sont les protocoles qui
36:54sont dessus quels sont les services qui
36:56tourne et lorsqu'il s'agit de porc bien
36:59connu avec des services classiques
37:02associés derrière évidemment essayer les
37:04mots de passe par défaut ou les mots de
37:05passe usuelles et donc lé distribution
37:08spécifique linux par exemple pour faire
37:11du pain testing est la plus connue étant
37:13probablement kelly linux
37:18au delà des tests d'intrusion du pain
37:21testing on organise parfois en
37:23entreprise des exercices raid versus
37:25blue team donc les exercices red team
37:29pour abréger c'est un terme d'origine
37:32militaire l'équipe bleue représente
37:34l'équpe l'équipe sécurité qui doit pas
37:36répondre aux incidents et analyser les
37:38traces etc ce sont les défenseurs et
37:40tandis que l'équipe rouge et l'attaquant
37:43donc ces exercices peuvent s'organiser
37:45initialement autour d'une table avec les
37:47deux équipes face à face mais en fait
37:50sinon après quand l'entreprise est un
37:53peu plus rodés à l'exercice donc on peut
37:57avoir une une équipe red team en fait
38:00qui qui attaque de l'extérieur pendant
38:02des semaines sans forcément de l'équipe
38:04bleue soit au courant
38:06donc ce genre d'exercice permet
38:08d'évaluer globalement le niveau de
38:10sécurité de l'entreprise
38:11y compris à travers des pentest de
38:14l'ingénierie sociale envoyé par exemple
38:16faire ce qu'on appelle le l'open source
38:18intelligence donc récupérer des infos
38:21sur linkedin facebook envoyer des mails
38:23de hameçonnage ciblée aux employés pour
38:26essayer de leur soutirer des
38:27informations etc et également on peut
38:30également faire des intrusions physique
38:32par exemple
38:34venir à l'entrée de l'entreprise à la
38:36caille en fauteuil roulant déguisé en
38:39employés inédit sous un inspecteur
38:41incendie pour voir si par hasard ça
38:43permettraient pas de franchir la
38:44sécurité et d'accéder aux zones
38:46restreintes
38:50voici une comparaison qui permettra de
38:52mieux comprendre la différence entre
38:54simple pentest est un exercice aux
38:56victimes
38:57lorsque ont fait un test en général
39:00c'est l'équipe applicative qui demande à
39:02ce que son son application la nouvelle
39:05version de l'application soit peine
39:07testé et pour ça elle va typiquement
39:08créer des accès pour les penta steurs
39:11pour qu'ils puissent lancer leurs outils
39:13donc forcément le pentest havas
39:16typiquement être annoncés et les équipes
39:19applicative seront pleinement au courant
39:21que pendant une ou deux semaines les
39:24pentester seront à l'oeuvre sur
39:25l'application au contraire un exercice
39:28red team bien sûr doit être
39:30explicitement autorisée dans
39:32l'entreprise mais par contre il n'est
39:33pas nécessairement annoncé donc les
39:36équipes les équipes de l'entreprise
39:38ne sont pas forcément au courant dans
39:41certains cas elles peuvent l'être elles
39:43peuvent l'être vaguement sans forcément
39:45avoir de détails où elles ne peuvent
39:47carrément ne pas être au courant qu'il
39:49ya un exercice red team qui a lieu mais
39:51d'autant plus que ces exercices comme on
39:53va le voir peuvent durer des semaines ou
39:55des mois
39:55la durée d'un pain test est relativement
39:58courte en général il s'agit d'une ou
40:00deux semaines passées par des paint
40:02testeurs pour évaluer la sécurité une
40:04application alors que pour un exercice
40:06red team un tel exercice peut s'étaler
40:09sur plusieurs se voire même prendre
40:10plusieurs mois parfois parce que c'est
40:13le temps nécessaire pour mener par
40:15exemple des campagnes de hameçonnage
40:17ciblée sur les employés il faut d'abord
40:19récupérer les informations sur les
40:22employés via les techniques d'open
40:24source intelligence dong linkedin
40:26facebook arrive à trouver leur adresse
40:28mail et ciblés avec des mails
40:31personnalisés essayez de leur soutirer
40:33leurs identifiants gagner un accès à
40:35l'entreprise etc ça peut être également
40:37des techniques physiques comme on a vu
40:39précédemment donc venir par exemple
40:41déguiser un employé de la société qui
40:44fut la maintenance des ascenseurs pour
40:46demander l'accès à
40:47hao locaux de l'entreprise et c'est
40:51donc typiquement tout ceci peut prendre
40:53des semaines ou des mois potentiellement
40:56la portée d'un test est typiquement
40:58limité le plus souvent c'est restreint à
41:01une seule application du système
41:02d'information alors que pour un exercice
41:05red team la portée est large
41:07quelquefois même assez peu limité et
41:10l'objectif est vraiment de tester
41:12exhaustivement le à la fois les gens les
41:16process et la technologie et pas
41:19simplement se restreindre à une
41:21application informatique
41:22spécifique
41:24enfin l'objectif d'un pentest et que en
41:28une durée de temps limitée typiquement
41:30une ou deux semaines on va essayer de
41:32trouver le plus grand nombre possible de
41:34problèmes de vulnérabilité des erreurs
41:36de configuration dans le temps imparti
41:39alors qu'au contraire pour un exercice
41:41red team
41:43l'objectif est vraiment d'atteindre la
41:45cible qui a été pré définis
41:51voici quelques-uns des outils qui sont
41:53les plus populaires en sécurité
41:54offensive ces outils ont été développés
41:57pour les pertes hester et l'exercice red
42:00team sont également réutiliser utilisés
42:04par les groupes à péter hain ans
42:07persiste concrètes pour développer des
42:09logiciels malveillants donc les deux
42:13groupes au final utilisent le plus
42:15souvent les mêmes outils donc par ordre
42:17de popularité
42:18cobalt strike qui est un outil
42:20commercial qui permet de de commander à
42:23distance
42:24des sondes ce qu'ils appellent d'ebikon
42:27qu'on va pouvoir faire charger en
42:29mémoire des machines qui sont infiltrés
42:31et ainsi se déplacer latéralement à
42:33l'intérieur d'une entreprise
42:34metasploit qui est un outil
42:37qui existe depuis de nombreuses années
42:39qui est très populaire et dans la
42:42version open source notamment intégré à
42:43kelly linux est également le troisième
42:46outil qui est apparu relativement
42:47récemment et pirates parce qu'il a été
42:50publié en open source en 2018 sur github
42:54un catalogue exhaustif des outils de
42:58sécurité offensives et sur le site isis
43:01et ou matrix c'est tout comme
43:04command and control
43:06est également vous pouvez consulter les
43:09statistiques 2020 des outils de ce type
43:12qui ont été utilisés par logiciels
43:14malveillants sur le site de l'éditeur de
43:18sécurité auraient corruption
43:22voici par exemple une liste partielle
43:25des fonctionnalités de la sonde beacon
43:27de l'outil commercial coop comax trike
43:30donc c'est une sonde qui est injectée en
43:32mémoire un laisse pas de trace sur le
43:34disque et donc quand on regarde on voit
43:37qu'elle est capable de de pivoter
43:40interne entreprises grâce au navigateur
43:42web de démarrer les sessions avec un
43:46processus d'intégrité lv1 pour balle
43:48passée l'ua c'est sous ce windows 10
43:51elle peut faire des téléchargements il
43:55peut lancer des clients vpn
43:57interagir avec le bureau de la machine
44:01le bureau windows
44:02injecter une dll dans un process
44:04télécharger des fichiers liste énumérée
44:07les lecteurs
44:08disponible sur la machine essayez une
44:11élévation de privilèges exécuter un
44:13programme arbitraire
44:15essayer d'obtenir les permissions
44:17système au sein de la machine locale
44:20tente et les les valeurs de lâchage des
44:23mots de passe
44:24injecter une session dans un processus
44:28spécifique tuer des tâches lister les
44:32tâches en cours récupérez les ticket
44:34kerberos
44:35injecter un programme pour enregistrer
44:39les frappes clavier à l'intérieur d'un
44:41process d'un processus se connecter à
44:44une autre son de beacon à travers le
44:46protocole smb et également récupérer les
44:50skis et login mot de passe windows les
44:52valeurs de hachage en mémoire grâce à
44:55l'outil mimikatz
45:00voici enfin deux hurel complémentaires
45:03pour en savoir plus sur l'exercice red
45:05team par exemple les gars y seraient
45:07team organisé par l'otan qui s'appelle
45:10look shields est également majster à un
45:14outil qui s'appelle caldera qui permet
45:18d'automatiser l'exercice red team était
45:20disponible sur github
45:24les exercices red team ce quelque chose
45:27qui est courant mais même obligatoire
45:30dans le secteur financier ça fait partie
45:32des stress tests imposés aux banques
45:34partout les régulateurs
45:36de par la planète donc voici quelques
45:40exemples dans le secteur financier
45:42la banque centrale européenne pour les
45:46établissements qu'elle supervise savoir
45:47principalement les principaux
45:49établissements de crédit en europe un
45:51processus qui s'appelle le tiger eu qui
45:53est threat intelligence bi et ical raid
45:56timming
45:57chaque pays après parmi les états
46:01membres de l'union européenne peut
46:03adapter ce processus pourra faire une
46:05déclinaison locale par exemple il ya une
46:07déclinaison en belgique qui s'appelle le
46:08teil barbet a faite par la banque
46:10nationale de belgique
46:13il y a aux etats unis
46:15alors au niveau mondial dans la global
46:18financial markets association à un
46:20framework pour réaliser les tests de
46:23pénétration testing dans l'industrie
46:24financière
46:25la banque d'angleterre 1 frémoire qui
46:28s'appelle ses best intelligence l'aide
46:31testing
46:32l'association des banques de singapour a
46:34également son propre
46:37framework sur les tests red team ainsi
46:41que l'autorité monétaire de hong kong
46:43qui a
46:45onfray mois qui s'appelle haye caste
46:48enfin le g7 a également publié un
46:51document qui est disponible sur le site
46:53de la bundesbank qui explique comment
46:56effectuer les tests de pénétration
47:00pour vérifier la sécurité en fait des
47:04systèmes financiers
47:08enfin on peut signaler les programmes de
47:11récompenses lors des divulgations
47:12responsable l'objectif de ce programme
47:15est de permettre aux chercheurs en
47:17sécurité ce qu'on appelle les ti-cats
47:18lackers de signaler les failles de
47:21sécurité qu'ils ont découverte et ce de
47:23façon responsable c'est à dire en
47:25laissant un délai suffisant à l'éditeur
47:27de la solution pour les corriger avant
47:30de procéder à la révélation publique
47:32quelques semaines ou quelques mois plus
47:34tard et en contrepartie de quoi
47:36l'éditeur les récompenses pour avoir
47:39justement leur avoir révélé la faille
47:41avant qu'elle ne devienne publique par
47:44exemple on peut regarder les programmes
47:45de bugs banksy donc de prime à la
47:49divulgation responsable de microsoft de
47:51google août mozilla
47:57on peut classer les différentes
47:59techniques selon que qu'elles sont
48:01préventives ou réactive en termes
48:04d'actions préventives dans les phases de
48:05conception on alex précisant les besoins
48:07de sécurité la modélisation des menaces
48:10en phase de développement les bonnes
48:12pratiques du développement les revues de
48:14code l'analyse de code statique enfin
48:17pour les actions réactive en phase de
48:20test l'analyse de code dynamique le
48:23fuzzing les tests de pénétration
48:25l'exercice red king est en production
48:28les scan de vulnérabilités qu'on peut
48:30faire évidemment on accepte ans
48:31également tout ce qui était cm donc
48:34technical state compliance monitoring la
48:36surveillance la conformité des
48:38installations aux bonnes pratiques de
48:40sécurité prédéfinis la mise en place
48:43d'un programme de récompenses dog
48:44dancing et les web application firewall
48:47donc typiquement pour les applications
48:50http donc par exemple sont guéris par
48:52proxy
48:53avec mode security par exemple qui
48:56permet de filtrer les requêtes web

About this transcript

This page contains the full transcript of 03b - Mesures de securite by CNAM RSX112, generated from the public captions YouTube serves with the video. The transcript has 7,226 words across 1,243 segments, with the original timestamps preserved so you can click any line to jump to that moment in the embedded player.

What you can do with it

Use the transcript to take notes, quote the speaker, build a study guide, generate a summary with ChatGPT or Claude via the YouTube Summary tool, or export it as a timed subtitle file with YouTube to SRT. You can also re-open it in the transcriber to choose a caption track available on the video.

Free YouTube transcript tool

YouTube2Text is a free YouTube transcript generator — no signup, no daily limit. Paste any YouTube link and get the full transcript instantly, with timestamps, click-to-jump, caption language selection, AI prompts for ChatGPT, Claude, and Gemini, and exports to TXT, SRT, VTT, or Markdown.