Introduction Cybersécurité PDF

Introduction Cybersécurité Tags DevPlateforme Notes 11,75 Prof Frédéric PAILLART État À refaire Notes: 💡 Fondamental cyber...

Introduction Cybersécurité Tags DevPlateforme Notes 11,75 Prof Frédéric PAILLART État À refaire Notes: 💡 Fondamental cyber 💡🥾 Cours cyber Cours 1 Cours 2 2015 2016 2017 COURS 3 2018 2019 2020 2021 2022 4 besoins en cyber: CIAP | DICP (french) CIA : confidentiality , integrity , availabity Quelques informations sur les ISO CVE (Common Vulnerabilities and Exposures) Introduction Cybersécurité 1  COURS 4 Ici, lorsqu’on exécute le main en tant que student, le fichier est exécuté en tant que root grâce à sa permission spéciale “s”. Type de vulnérabilité: Manque de validation des entrées. Troisième exo: faire “strings suroot” et lire le password dans le script. ps -edf --forest dpkg -l COURS 5 COURS 6 Exploit Risk assessment - ISO 27005 (voir plus bas pour la def) Mitre ATT&CK - Entreprise Framework L’attaquant attaque toujours le maillon le plus faible Advanced Persistant Threat (APT) Computer Hygiene Authentification Risk Login Best practices Use a Password Manager Multi-factor Authentification 2 factor authentification Local storage Faire des backups online et offline VPN (Virtual Private Network) Check your mobile application permissions Social Engineering COURS 7 Malware Botnet Malware persistance mechanisms Anti-Malware Keep in touch Cours 1 Ethical Hacking Course Episode 1: The Phantom Menace Introduction Cybersécurité 2  Le grand public pense que l'IT comme on le connait a été pensé depuis le début, c'est faux. x86 -> Processeur qui est resté pour le PC car c'était le moins cher. Top 1 pendant 25 ans. Avenement du web (milieu 90s) -> x86 détrone tous les autres processeurs. x86 -> architecture pas cher. Le PC était pratiqumeent aussi performant que les processeurs pour les serveurs (un peu plus puissant mais + cher) donc on preferait acheter des PC plutot que ces processeurs là. A l'époque, les créateurs n'ont pas pensé à une utilisation future et donc cela va créer des problèmes de cyber car ce n'était pas pensé pour. Deuxième révolution: L'arrivée du smartphone basé sur l'architecture ARM a commencé à créer une concurrence. ARM avait un ration batterie/consomation était très bon ! (moins performant que x86) -> car les premiers téléphones (Nokia) tenait une semaine d'autonomie. Mettre un téléphone à 3h d'autonomie avec x86 a changé vers ARM. Désormais, les telephones sont aussi performants que les PC, donc c'est un vrai combat. On est donc a un changement très prochain -> changement d'architecture des serveurs vers ARM (de base, les serveurs sont pensés pour etre fait en x86). Architecture d'une IA actuellement -> Carte graphique. ########################## Information System (IS) -> organized system for the collection, organziantion, storage and communication of information (Systeme d'information SI en fr) Information Technology (IT) -> application of computers to store, study, retrieve, transmit, and manipulate data, or information, oftne in the context of a business or other enterprise. Information Security -> All the technical, organizational, legal and human means necessary and set up to conserve, Introduction Cybersécurité 3  restore and guarantee the security of the information system. Ensuring the security of the information system is an activity of management of the information system. A retenir : All the technical, organizational, legal and human !!! The I.T must facilitate the mission of the organization. (The say "no"). Le S.I doit aider les usagers dans leur besoin en encadrant les nouveautés en limitant les risques. On doit servir les usagers. Une entreprise a des "business assets" (Des malades rentrent dans l'hoptial, ils resortent en bonne santé). Les "supports assets" sont les salariés, les locaux, l'organisation, les serveurs, etc... On doit pouvoir caractériser les supports assets pour mieux IDENTIFIER (1 des cinqs piliers de la roue) les problèmes (attaques) en cas de problème. Key ceremony -> reunion de plusieurs personnes permettant de créer les clés d'authenfication. ########################## The stake of the IT Security > Reduce the risks -> Limit the impacts Peut avoir un impact sur: -> Financial -> Legal -> Image -> Organizational ########################## Threat Agent Attacker > Script Kiddies: pas de qualification, opportuniste. -> Motivated Attacker: Attaquant de l'entreprise abusant de ses droits pour voler de l'information. -> Accidental Discovery: usagers trouvant une faille dans le systeme -> Curious Attacker: Interrogation sur le systeme pour Introduction Cybersécurité 4  mieux comprendre le système. -> Hacktivits: Attaquant visant à montrer une message/image. -> Spy Agency: Ils font leur job pour voler les informations. -> Criminal Organisation: Mafias, Crimes organisés. Thereat agent motivations > Financial gains -> Extorsion Bruce Schneier: chercheur américain très connu dans le monde digital. "The whole IT securtiy industry is an accident - an artifact of how the computer industry developed" Tweakers (80s) to Professional (2020) Cyber-criminality economy -> Financial Intermediaries -> Sale os stolen data -> Hosters -> Malware Exploitation and Marketing -> Malware Development 2$ à 10$ CBstak 5$/h bots 2399$ Commercialization of "Citadel" malware. ############################ 1956 - année importante pour la cyber Création du TAT-1 (cable transatlantique pour le téléphone). Joe Engressia est né avec une oreille absolue et aveugle. 2600hz Arrivée du téléphone - fin 19s 1969 - Joe arrive à passer un coup de fil gratuitement grâce à son expertise (il reproduit le 2600hz) John Draper (Cap'n crunch) reproduit la meme chose que Joe avec un sifflet. Il va automatiser ce système avec un device Introduction Cybersécurité 5  electrique. Joe devient ennemi public n°1 après la découverte de ce qu'il fait. Phreaking = première technique de hacking. Apple est née sur une idée de hacking. Morris worm, premier ver se propagant dans l'internet. ############################# 2001 - 11/09 Patriot Act -> loi dans des pouvoirs aux agences gouvernementales pour proteger les entités. ############################# 2013 - Edward Snowden rejoint les russes avec de millions de documents classés de la NSA. -> Il a peur que les USA deviennent une ditacture et va montrer des documents classés au monde entier. On découvre que les USA dominent complètement le monde avec leurs réalités opérationnels. -> Espionnage de masse Octobre 2013, operation socialist - la NSA fournit au Royaume Uni (à l'époque européenne) le QuantumTheory (montré par Snowden deux mois plus tot). Le RU utilise cet outil sur Belgacom (fournisseur internte belge) pour espionner toute l'activité en Belgique (Bruxelles, parlement européen, etc...). Ils ont espionné ensuite toute l'europe. Les anglais sont des enculés. opération PRISM - la NSA peut contacter les entreprises américaines (microsoft, apple ,google, shype, FB, YT, msn, etc...) pour leur demander d'installer des backdoors dans leur système (ils peuvent espionner toutes ces entreprises). Ils ont accès à TOUT (appels, sms, videos, files, etc...). La NSA a imposé cet espionnage sans passer tout le temps pas le PDG (bien sur tout cela avant l'histoire de Snowden). Introduction Cybersécurité 6  opération Mentor/Advanced Orion The largest (spy) stallite in the world (14 satellites espions). ############################# 2014 Target USA - 40 millions credits cards numbers / 70 millions customers. Compromit par une entreprise en charge de changer la climatisation. South Korea bank - 20 millions credit card numbers and private data (40% of the Korea population). Employé de banque qui conservait personnelement les numéros de cartes. MNO South Korea - 12 million credit card numbers and personnal data Orange France Ebay South Korea Showroom privé France Année de l'extorsion - Emergence du Bitcoin - Menaces: publicité négative, vandalisme, harcèlement. Espionnage USA - 19 Fausses antennes relais Home Depot USA iCloud USA Sony Picture USA Sony PlayStation & Microsoft xBox Live USA ############################# Cours 2 2015 TV5 Monde France (Chaine française) + double fail lors d’une interview après le premier hackage (mdp YT indiqué en arrière plan de la vidéo) Shell Shock Introduction Cybersécurité 7  Heatbleed BadUSB Barbanak cybergang stole $1bn on a bank (les distributeurs de billets distribuaient de l’argent dans les rues (disversion) + virements vers l’international pour un total de 1 Milliard en quelques heures). → Ocean’s Eleven attack State department Intrusion USA Office Of Personnel Management (OPM) USA (Revelation des identités des ressources humaines → déstabilisation des services infiltrés parce que leur réelle identité est relévée (adresse, formation, nom, etc…) Hacking team Italy se fait hacker (fuite d’emails → Hacking Team ne vend que aux pays en guerre, dictature, etc…) On ne sait pas qui les a hacker AshleyMadison USA (site de recontre infidèle). Conséquences: la bdd a fuité, 2 morts (suicides), l’inscription était gratuite mais désinscription était payante. Premiers hackages de voitures connectés VTech → telephone pour enfants hackés par SQL injection Sanrio (Hello Kitty) → DB exposed sur internet car pas de login (lol) Juniper (septembre)→ Mdp commun pour le SSH ecrit en dur dans le code assembleur (pas très très malin les filous) 2016 CISCO et Fortinet (Janvier) ont eu aussi leur mdp SSH en dur dans le code assembleur (ptn les cons) UK Smartmeter → distribution de l’equivalent du Linky (40 millions) ont le même mdp (on peut donc couper l’electricité de tous ces foyers → si on consomme plus, les centrales qui Introduction Cybersécurité 8  produisent doivetn alors envoyer leurs energies où ? (ça peut cramer tout le réseau). Microsoft one Drive vulnerability (brute force les Url → les malfaiteurs se rendent compte qu’ils peuvent avoir accès au desktop parce ça a un tête spéciale reconnaissable → ducoup ils peuvent injecter des.exe dans les bureaux des gens → injection de malware. 93.4 million Mexicans exposed on Amazon → BDD exposed easily on Internet 55 millions voters philipenes fingerprints Linkedin data leak (167 millions accounts) echo -n coucou | shasum Police Nationale - fuite de données France (112 000 adresses personnelles volées) → revanche d’un gars de la Mutuelle Générale de la police Mirai World → DDoS (Minecraft) → Un gars fait une attaque DDoS sur son concurrent (1 To bits/seconde) et réussit à flinguer internet sur toute la cote ouest américaine Computer Virus Cripples UK Hospital System (Octobre 2016) Yahoo Data Leak 2017 CIA Hacking Tools Revealed → largest ever publication of confidential documents on the agency (Skype, Wifi network, router) NSA → Dévoilé: 0days leaked, exploitation kit, Classified secret defense documents (ils avaient des 0days sur Windows 7) + outils d’attaques. WannaCrypt World → ransomware: phishing + MS17-010 exploit (200 000 pc compromis par un ver en 7 heures) → @MalwareTechBlog finds the kill switch domain name and register it. Introduction Cybersécurité 9  Hacked in Translation From Subtitles to Complete Takeover → remote code execution on the host player (l’exe s’excutait lorsque le soustitre était lu) NotPetya → ransomware Ukraine, US European companies. Phishing + MS17-010 exploit (la meme que WannaCrypt, cette fois ci pas de kill switch (achat du nom de domaine)). Saint-Gobain se fait attaquer par NotPetya (250M€) tout ça parce qu’ils n’ont mis à jour leur PC. MAERSK (concurrent CMA CGM) se fait pirater le même jour (300M$) Pacemakers: il fallait patcher les pacemakers parce qu’on pouvait arrêter le système à distance (Bluetooth) Breach at Equifax Impacts: 146M d’américains ont leurs données de consommation qui fuitent. Afin d’aider les victimes, ils mettent en place un site web avec un url. Le compte twitter partage alors l’url mais se trompe d’url en mettant un url très proche et il comptenait un malware. Hunting for Bluetooth adult toys. Kasperky: Israel hacked Kaspersky and caught Russian spies using AV tool to harvest NSA exploits. Uber - 57 Millions de victims MAC OS Suite à cela, les entreprises ont voulu recruter des gars en cyber pour éviter des problèmes de ce type → ouverture de la cyber à l’école en 2018. Il faut taper au pognon pour faire changer les mentalités des gens. 2005 - 2010: Multi-State Lottery Association → Le gars a implémenté le système de RNG du loto et fesait gagner de l’argent à son village pendant 5 ans. Introduction Cybersécurité 10  COURS 3 2018 Meltdown and Spectre : découverte que tous les processeurs x86 sont vulnérables. On peut lire la mémoire d’une application sans être root. Cette faille n’est pas patchable car c’est du hardware. La nouvelle n’a pas fait la une des journaux car les américains ne voulaient pas que ca se sache ⇒ car on pouvait corrompre tous les clood providers. STARVA ⇒ Fuite de localisation de bases militaires car l’application publaient toutes les données des utilisateurs. Altanta, Georgia → Ransomware, 10Millions de $ de dégâts. Hackers exploit Jenkins servers make 3Millions de $ Découverte que les attanquants peuvent attaquer les packages opensource utilisés par une entreprise. Ils peuvent alors mettre leur ransomware dans ces packages qui seront téléchargées ensuite par les entreprises (lors d’une mise à jour). Facebook (50Millions de comptes) Marriott (500Millions de customers) Phishing sur le miniestère des affaire étrangères de Chypre. 2019 Fuite de données personnlles au Clusif Altran déconnecte son SI après une cyberattaque après un ransomware Norsk Hydro of Norway ⇒ “Severe” ransomware Introduction Cybersécurité 11  Operation ShadowHammer ⇒ supply-chain attack (les pc vendus étaient infectés) 1 Million de victime Docker Cisco Baltimore 2020 FBI: Cybercrime Gang Mailing ‘BadUSB’ Devices To Targets Military And Intelligence Personnel Can Be Tracked With The Untappd Beer App The Octopus Scanner Malware Marseille touché par un ransomware le 13 au 14 mars (annonce du confinement) ⇒les backup ont fonctionné et le système est reparti à la normale. CMA CGM ransomware Une journaliste arrive à rentrer dans une réunion de ministre après la fuite de l’url de connection sur Twitter via une ministre des Pays-Bas SolarWinds se fait hacker. (Date de l’attaque originel: 4/11/2019) Unknown attackers access SolarWinds. Le 12/11/2019, the hackers inject test code and begins trial run. Le 20/02/20, the SunBurst backdoor is compiled and deployed. La solution est envoyée aux customers. Le 4/06/20, les attaquant retirent le code malveillant pour ne pas laisser de trace. Le 8/12/20, Fireye reports that state- sponsored hackers broke into its network. Hackers have stolen Fireye hacking tools. Le 11/12/20, conductiong breach investigations, Fireye discovers Solarwinds attack. Solarwinds supply cahin has been fully compromised. Solarwinds Orion has been use like a weapon. Le 12/12/20, la Maison Blanche est prévenue (”askip ça vient des chinois”). le 15/12/20, tous les départements américains sont Introduction Cybersécurité 12  backdoored. Results: 18000 entreprises ont été compromisent sur leurs 300k entreprises. 2021 EMOTET est arrêté (Groupe de hackeurs) Hacker Tried to Poison Florida City’s Water. US petrol supplies tighten after Colonial Pipeline hack. JBS forcé d’arrêter la production par une cybersécurité. Hackers Release Security Footage From Iran’s Evin Prison. Log4J exécutait des logs ayant un pattern bien précisé (erreur de conception) Nom de l’attaque: Log4Shell. 2022 OpenSea Microsoft confirms Lapsus$ hackers stole source code via “limited” access Attaques des hopitaux français Un gars arrive à trouver les logins d’un admin de Uber. Il aurait pu tout supprimer depuis le cloud. 24/02/22 → Attaque cyber sur le réseau KA-SAT ouvrant la guerre en Ukraine. (10000 satellites compromis) Hackivism russe sur les réseaux français durant un discours de poutine. 2023 “La sécurité est un échec” Nicolas Ruff Introduction Cybersécurité 13  NIST Cybersecurity Framework 4 besoins en cyber: CIAP | DICP (french) → Availability: Property of being accessible and usable upon demand by authorized entity (ISO 27000 definition) ⇒ Propriété d’accessibilité au moment venu des biens par les personnes autorisés (i.e. le bien doit être disponible durant les plages d’utilisation prévues). → Integrity: Proprety of accurancy and competences (ISO 27000 definition) ⇒ Propriété d’exactitude et de complétude des biens et informations (i.e. une modification illégitime d’un bien doit pouvoir être détectée et corrigée). → Confidentiality: Property that information is not made available or disclosed to unauthorized individuals, entities, or processes (ISO 27000 definition) ⇒ Propriété des biens de n’être accessibles qu’aux personnes autorisées. → Proof: Propriété d’un bien permettant de retrouver, avec une confiance suffisante, les circonstances dans lesquelles ce bien évolue. La traçabilité des actions menées L’authentification des utilisateurs L’imputabilité du responsable de l’action effectuée CIA : confidentiality , integrity , availabity Introduction Cybersécurité 14  Quelques informations sur les ISO Une ISO est une certification payante permettant de justifier le bon respect des règles de son entreprise. Les ISO sont revues régulièrement afin de s’adapter aux tendances du moment. Cela implique une prise en considération des entreprises vis-à-vis de ces changements car les entreprises doivent s’y adapter elles-mêmes lorsqu’elles en ont une. Introduction Cybersécurité 15  Vulnerability: Support asset weakness ⇒ Weakness of an asset or control that can be exploited by one or more threats. Il existe des sites qui répertorisent les vulnerabilités existantes (Bugtraq mailing list, Metasploit, http://cve.mitre.org/, http://www.exploit-db.com/) CVE (Common Vulnerabilities and Exposures) CVE-AAAA-NNNNN ⇒ Identifiant unique C’est la MITRE qui gère les CVE dictionary. MITRE ATT&CK® is a globally-accessible knowledge base of adversary tactics and techniques based on real-world observations. The ATT&CK knowledge base is used as a foundation for the development of specific threat models and methodologies in the private sector, in government, and in the cybersecurity product and service community. NVD détaille les vulnerabilités et mesure l’impact de la vul. Le NVD fournit un outil qui permet de mesurer, c’est le CVSS (Common Vul Scoring System Calculator) The NVD (National Vulnerability Database) is the U.S. government repository of standards based vulnerability management data represented using the Security Content Automation Protocol (SCAP). This data enables automation of vulnerability management, security measurement, and compliance. The NVD includes databases of security checklist references, security-related software flaws, product names, and impact metrics. Introduction Cybersécurité 16  NIST develops cybersecurity standards, guidelines, best practices, and other resources to meet the needs of U.S. industry, federal agencies and the broader public. Our activities range from producing specific information that organizations can put into practice immediately to longer-term research that anticipates advances in technologies and future challenges. Threat: Potential source of a cyber security incident ⇒ Potential cause of an unwanted incident, which may result in harm Type: → unauthorized access, malware, DDOS, phishing Attack: Malicious action/accomplishement of a threat Attempt to destroy, exposen alter, disable, steal, or gain, unauthorized access to or make unauthorized use of an asset. A attack is a exploitation of one or more vulnerability Introduction Cybersécurité 17  “Tous les systèmes sont vulnérables” exploit, phishing, hijacking, reconnaissance/DOS, Man-in-the- middle, spoofing, sniffing ^ || Introduction Cybersécurité 18  Couche OSI inversées: 7,6,5,4,3,2,1 Exemple of conception mistake: GSM. , la menace des operateurs detait de craindre que les gens ne se fasse facturer part d’autre personne COURS 4 https://training.mylittlelab.org/yip/ Pour main, on a comme droit -rwsr-xr-x le “s” permet d’éxécuter le main en tant que root alors qu’on est dans un autre utilisateur Il faut aller vérifier les droits des utilisateurs, dans /bin (les permissions) Ici, lorsqu’on exécute le main en tant que student, le fichier est exécuté en tant que root grâce à sa permission spéciale “s”. On peut donc exécuter le main. Que faire maintenant ? On va faire passer la commande “ls” comme la commande “cat” car la commande “ls” est présente dans le code source main.c Maintenant on peut donc copier la commande cat dans une commande nommé ls, on place ce nouveau répertoire dans le PATH suivant /home/student. Mtn, si on fait ls, il réagit comme un cat Introduction Cybersécurité 19  On peut donc exécuter le main et le ls de la commande s’éxécutera comme un cat. On a le flag pour se connecter en root. Attention, la commande export c’est: export PATH=/tmp:$PATH Pour le deuxième exercice, on a ça dans le main.c Introduction Cybersécurité 20  On a la meme chose qu’avant mais avec des arguements (-lA) On ne peut pas faire comme avant. On peut alors créer un script “ls” qui va faire en sorte qu’on affiche (cat) et qu’on ne prenne pas en compte les arguements ($2). On a donc dans /home/student Le script “ls” vaut: On rend ensuite le script exécutable avec “chmod 777 ls”. On export dans le PATH le document où se trouve le script. export PATH=/home/student:$PATH On peut donc exécuter le main pour obtenir le flag pour devenir root Introduction Cybersécurité 21  MLL{Uunk271YJZVhVW4AjNcVqifRdCXRiir9mjRsoFQZe} Type de vulnérabilité: Manque de validation des entrées. Troisième exo: faire “strings suroot” et lire le password dans le script. echo supersecretpassword | base64 (ça finit toujours par un = ou ==) echo “codeenbase64” | base64 -d (pour décoder la base 64) Introduction Cybersécurité 22  Pour hasher echo supersecretpassword | md5sum Méthode pour bien faire: Faire un script qui demande un mdp. Le mdp voulu n’est pas dans le script mais dans un autre fichier. On peut toujours demander un mdp à partir du script, ce mdp est un mdp hashé, il faut donc trouver le mdp clair et le hasher pour trouver la bonne réponse. Exo 4: Injection BASH Introduction Cybersécurité 23  Première erreur de code: Le code tourne à l’infini, on en a pas besoin. En laissant l’utilisateur mettre ce qu’il veut dans $1 (en argument) sans vérifier/protéger ce que l’on peut mettre, le concepteur laisse une porte ouverte pour faire une injection. On va essayer d’injecter du code dans le eval car $CMD est en “”. Introduction Cybersécurité 24  En injectant un paramètre non compris par la commande netstat (-edsde), le processus s’arrete et le reste de la commande s’exécute (ici on va chercher le flag.txt mais j’aurai pu me mettre en root comme mtn: Il aurait valut vérifier que $1 puisse être uniquement un int et éviter l’utilisation de eval qui permet d’exécuter du code. Exo 5: Introduction Cybersécurité 25  Ce code n’est pas vulnérable mais exploitable. Cependant, la version du shell utilisée comprend un vulnérabilité. On utilise ici un shellShock, une vulnerabilité datant de 2014. env x='() { :;}; echo vulnerable' bash -c "echo this is a test" Ici on met ça: env x='() { :;}; /bin/bash'./bin/mysudo ps -edf --forest dpkg -l COURS 5 Nouvelle famille de vul: Attaque par prompt pour l’IA. Exo 6: Attaque pass traversale Introduction Cybersécurité 26  On remarque que mysudo a les droits d’éxécution root. tool1 et tool2 sont inaccesible. → On exploite le $1 de main.sh Première solution Introduction Cybersécurité 27  On aurait pu créer un fichier.sh qui aurait pu afficher le flag.txt en utilisant le mysudo. Exo 7: Exploitation des processus avec la commande: ps -edf On a accès au password de bob Bob a les droits sudo, on a donc le flag.txt Attention au watchdog.sh qui est très méchant type -a cat ls -al “chemin” Introduction Cybersécurité 28  Exo 8: Arbitrary read Avec la commande sudo -l, on peut savoir ce que l’utilisateur classique peut faire en tant que root. Ici, student peut faire /bin/cat et /var/log../../../../etc/shadow On contourne l’accès en changeant le chemin tout en conservant le chemin ayant accès. D’après le prof, c’est hashé en SHA-512 (1800 voir le man) On utilise hashcat sur Linux pour cracker le mdp. Introduction Cybersécurité 29  Je l’ai fais sur mon pc et pas le site du prof car le pc est beaucoup plus puissant ! mdp: cheese. Exo 9: Introduction Cybersécurité 30  Premier QCM de 40 questions sur Evalcom.box Voici les thèmes de questions: Shell Shock -> Quelle type de vulnérabilités avons nous ? Joe Engressia -> Premier hackeur du monde 2600hz -> A quelle fréquence sonnait le téléphone John Draper -> Cap'n crunch Phreaking -> Comment se nomme la première technique de hacking ? Morris worm -> Comment se nomme le premier ver se propagant dans l'internet NSA -> Dans quelle compagnie travaillait Edward Snowden avant de digulver tous les documents en 2013 Belgacom -> Quel est le nom de la compagnie de télécommunication hackée en octobre 2013 ? PRISM -> Nom de l'opération visant à espionner avec l'accord des entreprises toutes l'activité américaine. Orion -> MS17-010 & XXX -> Nom de la CVSS de Meltdown WannayCry 6> Meltdow et Spectre -> Log4J -> Altran -> Définition de CVE MITRE -> Gestion des CVE dictionary De 0 à 10 -> Système de notation de CVSS Définition de Threat Définition de Attack Définition de Exploit A quoi correspond l'id unique de la CVE. Introduction Cybersécurité 31  COURS 6 Exo 10: the easiest $ su $mdp: root Exploit The means by which the attacker takes advantages of the execution of the system, application or service. An attacker uses an exploit to attack a system in a way not intended by the developer Ne pas confondre Security =/= Safety Security: Protect against attack Safety: Protect against involuntary accident Risk assessment - ISO 27005 (voir plus bas pour la def) Risk = Impact * Likelihood (probabilité d’occurence) Impact pour l’entreprise (argent, santé, …) Likelihood → Pdt de la vul (si on a une borne USB à l’entrée de l’hopital connecté au réseau, ça augmente la Likelihood tandis que si on a désactivé les entrées USB, etc … ça diminue) Introduction Cybersécurité 32  Dans un hopital → c’est l’intégrité est la chose la plus importante à protéger en premier (si le groupe sanguin de tous les patients change, ça peut tuer tout le monde) Disponibilité des services (deuxième chose la plus importante) Confidentialité des patients. Ici, impact = je veux ne pas que mes patients décèdent (intégrité puis disponibilité et confidentialité) ”Security is a process, not a product” - Bruce Schneier Cercle DevSecOps: P.C.R.T.P.D.O.S Planifier Concevoir Réaliser Tester Packager Délivrer Opérer (Appliquer les patchs/mise à jour) Superviser (Observabilité) Gestion du risque: Standard → ISO 27005 (Framework for all SSI risk management practices: sets out guidelines Method → EBIOS RM (Elle définit la méthodologie en partant du plus haut niveau puis vers les bas niveaux. Elle vise à obtenir une synthèse entre “conformité” et “scénarios”, en positionnant ces deux approches complémentaires là où elles apportent la plus forte valeur ajoutée. * Pyramide de Maslow. Pyramide de management du risque numérique. Introduction Cybersécurité 33  Cette méthode EBIOS RM adopte une démarche itérative qui s’articule autour de cinq ateliers: Chaque chemin d’attaque d’un scénario stratégique donne lieu à un scénario d’attaque. Introduction Cybersécurité 34 Introduction Cybersécurité 35  Mitre ATT&CK - Entreprise Framework ⇒ Normalisation et avoir un vocabulaire commun d’après MITRE ⇒ Catégorisation des attaques Introduction Cybersécurité 36  L’attaquant attaque toujours le maillon le plus faible Advanced Persistant Threat (APT) Groupe d’attaquant (mafieux, étatique) qui ont une organisation spécifique financé/structuré par des pays/états. But, faire de l’espionnage (il reste discret) pas de ransomeware. Cible une organisation spécifique Prend pied dans l’environnement Phishing ciblé Social Engineering Ils sont catégorisé par des ID (ex: APT-14: jsp qui sait xd) ⇒ The Cyber Kill Chain Introduction Cybersécurité 37  Computer Hygiene ⇒ CNIL (Commission Nationale de l’Informatique et des Libertés) Authentification Risk Introduction Cybersécurité 38  Login Identification vs Authentification I am XXX (Claim) vs I prove YYY (Confirm) 6.5 million login/passwd DB study Dans cette bdd, on retrouve que: 1.6% → top 10 passwd 4.4% → top 100 passwd 9.7% → top 500 passwd 13.2% → top 1000 passwd 30% →top 10000 passwd ⇒ 2009: 10k Hotmails accounts leaked ⇒ 2011: 77 millions Sony accounts leaked ⇒ 2013: 153 million Adobe accounts leaked Les mdp n’évoluent pas depuis 2009 jusqu’à 2021. On a toujours le “111111”, “aaaaa”, “iloveyou”, etc…. Best practices Long Should be 50 caracters to be good Random Don’t use “dictionary” words Unique Don’t follow patterns Different password for every single account Private A passwrod must never be shared Introduction Cybersécurité 39  Use a Password Manager Check email address via: Have I been pwned ? Multi-factor Authentification →What I know: Password, secret questions →What I have: OTP Token, Mobile phone →What I am: Fingerprint, Iris, Face Attention, multi factor, c’est bien 1 de chaque, pas deux du même + 1 autre. 2 factor authentification → Step 1: What I know → Step 2: What I have OTP: One Time Password Local storage Un PC peut se compromettre physiquement: En bootant sur une clé bootable ⇒ On a accès à la partition chiffrée. En démontant le PC et en ayant accès physiquement au disque dur Mettre un mdp sur le bios On peut se protéger de ça: En chiffrant le hard disk avec BitLocker, FileVault ou LUKS. VeraCrypt qui permet de chiffrer des fichiers, etc… + fort qu’un zip. Faire des backups online et offline https://myaccount.google.com/u/0/purchases Introduction Cybersécurité 40  VPN (Virtual Private Network) Inventé à la base pour accéder à tout moment aux serveurs de l’entreprise alors qu’on est à l’étranger. Utiliser sa 4G si on est avec des réseaux publics (Hotel, Airport, Macdo, etc…) PIA, Astril,, Mullvad, NordVPN, HideMyAss On peut créer son propre VPN: WireGuard (utilisé par le prof pour les exo en ligne) OpenVPN (très lourd, verbeux) IPSec (pas fou) Check your mobile application permissions https://timeline.google.com/maps/timeline Social Engineering “Psychological manupilation of people into perofming actions or dilvulging confidential information” Catch me if you can Phishing Vishing COURS 7 https://phishingquiz.withgoogle.com/ Introduction Cybersécurité 41  Drive by download Mail reste la manière la plus simple et pas cher pour faire du phishing. Comment se protéger contre les mails ? Avoir un anti-virus pour scanner les mails Pour les entreprises, les fournisseurs s’occupent de gérer les mails. (microsoft pour l’isen) Premier facteur de phishing chez les entreprises On peut mettre du JS dans un PDF. SPAM dans les mail: ~80-90% Malware A program whose primary purpose is to allow a threat actor to interactively issue commands to the system on which it is installed. Backdoor (doit etre le plus discret) - 41% Credential Stealer: A utility whose primary purpose is to access, copy or steal authetification credentials - 4% Downloader: A program whose sole purpose is to download and perhaps launch a file from a specified address, and which does not provide any additional functionality or support any other interactive commands. - 9% Dropper: A program whose primary purpose is to extract, install and potentially launch or execute one or more files. - 9% Dowloader et Dropper attaque ensemble. Launcher: A program whose primary purpose is to launch one or more files. Differs from a dropper or an installer in that Introduction Cybersécurité 42  it does not contain or configure the file, but merely executes or loads it. - 6% Ransomeware: Demande d’argent contre les fichiers (voir Coveware shémas) - 8% Other: Includes all other malware categories such as utilities, keyloggers, point of sale (POS), tunnelers and data miners. - 22% Apple reste très sécurisé au niveau des malwares. En 2020, 95% des malwares fonctionnaient sur Windows pour seulement 5% pour MAC MAC demande à mettre à jour les applications comme ça ils peuvent dégager un vieux machin qui pouvait etre non sécurisé à l’inverse de Windows/Linux. Botnet Contraction de Robot et Network Exploiter des chaines de machines comprises: machine zombies →DDoS (Distributive Denial Of Service): pas forcément du bourrinage, ça peut etre aussi être du slowing →SPAM →Vol d’info Utilisation des Canaux de control (IRC, DNS, HTTP) Example: Step 1: Compromission Phishing / Vulnerability exploitation Step 2: Botnet Control Step 3: Botnet Exploitation GAMEOVER ZEUS Introduction Cybersécurité 43  trojan 2011 P2P Botnet 1 million de machines infecté Phishing pour des entreprises Gain: 100 millions de $ Hacker Russe / Ukraine Stoppé en 2014 (Operation Tovar) Malware persistance mechanisms Anti-Malware Download only from trusted sites Il faut vérifier les HASH et les DMG lors d’un téléchargement. CDN Un Anti-Virus fonctionne en root mode sur un PC (c’est obligatoire) VirusTotal fonctionne super pour vérifer la nature d’un élément. Attention à ne pas utiliser avec n’importe quoi, c’est conservé par VirusTotal. Keep in touch Podcast: Darknet Diaries Introduction Cybersécurité 44  French Connection Daily Stromcast Web news: Information Security News Talos Threat post Conference: Barbhack LeHack FIC botconf GreHack lesAssises SSTIC WorldWide: BlackHat DefCon RSA CCC (defcon en Europe) Introduction Cybersécurité 45