début cm1

flesueur · Sep 17, 2020 · b1f022a · b1f022a
1 parent 566bb53
commit b1f022a
Show file tree

Hide file tree

Showing 7 changed files with 29 additions and 15 deletions.
diff --git a/cm2-vulnerabilites.md b/cm2-vulnerabilites.md
@@ -5,35 +5,44 @@ _François Lesueur ([[email protected]](mailto:francois.lesueur@insa
 ATTENTION, NON FINALISÉ !
 =========================
 
-Classes d'attaques
-=============
+Les pans de la sécurité
+==================
 
-Sécurité = Confidentialité, Intégrité, Disponibilité
+Sécurité = Confidentialité, Intégrité, Disponibilité : <audio controls src="media/cia.mp3"></audio>
 
-* Réseau
-	* Passif (écoute)
-	* Actif : MitM, être sur le chemin (physique, ethernet ARP spoof, IP rogue DHCP) (NSA, FAI, INSA, attaque équipement sur la route, attaque sur l'hôte)
-* Logiciel : RCE, élévation de privilèges, WEB, natif, fautes logiques : vivre dans l'insécurité
-* Social engineering (pas la faute de l'utilisateur !) : voler des accès, phishing de qualité, passwords, carte de crédit. De grossier à ciblé, utilisation de facebook pour connaître les amis, ceux qui sont en vacance, où, etc. De beaux site en https avec une petite typo. Mail spoofing. Attraper 1 parmi 1000. Trop facile de taper sur l'utilisateur, les systèmes ne sont pas adaptés, les informaticiens sont nul en compta. Accompagner, prévoir, surveiller. [Schneier : "Stop trying to fix the user"](https://www.schneier.com/blog/archives/2016/10/security_design.html)
+Les spécificités de la sécurité : <audio controls src="media/specsecu.mp3"></audio>
+
+Sécu défensive et sécu offensive (dans le respect de la loi, bien évidemment) : <audio controls src="media/defoff.mp3"></audio>
 
-Pourquoi ces problèmes de sécurité ?
+
+Notion de vulnérabilité
 ================
 
+Qu'est-ce qu'une vulnérabilité ?
+
 * Vulnérabilités : partout, toujours, dans plusieurs états (connues et patchées, connues et non patchées, non connues du grand public et non patchées, non connues et non patchées)
-* No disclosure, Full disclosure, Responsible disclosure ([Politique Google P0](https://googleprojectzero.blogspot.com/2020/01/policy-and-disclosure-2020-edition.html), [resp fail](https://gadgets.ndtv.com/laptops/news/google-project-zero-microsoft-windows-10-zero-day-exploit-vulnerability-symcrypt-2053185))
-* Cycle de vie d'une vulnérabilité (non publique mais utilisée nation-sponsored/elite, perspective avec les outils qui disent les détecter mais ne les ont pas vues depuis x années)
+* No disclosure, Full disclosure, Responsible disclosure ([Politique Google P0](https://googleprojectzero.blogspot.com/2020/01/policy-and-disclosure-2020-edition.html), [resp fail](https://gadgets.ndtv.com/laptops/news/google-project-zero-microsoft-windows-10-zero-day-exploit-vulnerability-symcrypt-2053185)) <audio controls src="media/disclosure.mp3"></audio>
+* Cycle de vie d'une vulnérabilité : <video src="media/cycledevie.mkv"></video>
 
 ![Cycle de vie (Graphisme de Gabriel Augendre [[email protected]] CC-BY 4.0](cycle-de-vie.png)
 _(Graphisme de Gabriel Augendre [[email protected]], 5TC 2018, CC-BY 4.0)_
 
-* La sécurité est un process et non un état
-* Barrière sécurité/développement (dévs non sécu, sécu non dévs, communication pas simple)
-* Infrastructure : endroit de mitigation possible. Rustiner ! Défense en profondeur.
+Quand on sait que certaines vulnérabilités sont non publiques mais utilisée par des états/des groupes avancés, que penser des outils qui disent détecter les menaces inconnues (grâce à l'IA, évidemment) mais ne les ont pas détecté depuis les années qu'elles sont utilisées ?
+
+Classes d'attaques
+=============
+
+* Réseau
+	* Passif (écoute)
+	* Actif : MitM, être sur le chemin (physique, ethernet ARP spoof, IP rogue DHCP) (NSA, FAI, INSA, attaque équipement sur la route, attaque sur l'hôte)
+* Logiciel : RCE, élévation de privilèges, WEB, natif, fautes logiques : vivre dans l'insécurité
+* Social engineering (pas la faute de l'utilisateur !) : voler des accès, phishing de qualité, passwords, carte de crédit. De grossier à ciblé, utilisation de facebook pour connaître les amis, ceux qui sont en vacance, où, etc. De beaux site en https avec une petite typo. Mail spoofing. Attraper 1 parmi 1000. Trop facile de taper sur l'utilisateur, les systèmes ne sont pas adaptés, les informaticiens sont nul en compta. Accompagner, prévoir, surveiller. [Schneier : "Stop trying to fix the user"](https://www.schneier.com/blog/archives/2016/10/security_design.html)
+
 
 Que faire ?
 ========
 
-Systèmes fondamentalement non sûrs donc côté infra :
+Systèmes fondamentalement non sûrs. L'infrastructure est un endroit de mitigation possible :
 
 * défense en profondeur
 * cloisonnement

diff --git a/media/cia.mp3 b/media/cia.mp3
diff --git a/media/cycledevie.mkv b/media/cycledevie.mkv
diff --git a/media/defoff.mp3 b/media/defoff.mp3
diff --git a/media/disclosure.mp3 b/media/disclosure.mp3
diff --git a/media/specsecu.mp3 b/media/specsecu.mp3
diff --git a/tp1-intrusion.md b/tp1-intrusion.md
@@ -86,6 +86,11 @@ Bonus
 Il existe un chemin d'attaque, qui sera plus difficile à contrôler côté firewall, qui rebondit par la machine `dev`...
 
 
+Ouverture
+=========
+
+[_Ransomwares : quel mode opératoire en 2020 ?_, Amossys](https://blog.amossys.fr/ransomware-2020.html)
+
 Disclaimer
 ==========