Ma petite parcelle d'Internet...

elon une étude publiée par eiQnetworks, le SIEM serait mort. Pour ceux qui ne sont pas familiers des acronymes, un SIEM, c'est un Security Information and Event Management, ce qui aurait tout simplement pu s'appeler une plate-forme de monitoring s'il n'avait pas fallu lui trouver une appellation techno-marketing. Un peu plus que ça diront certains, et on pourra accepter l'objection, mais grosso modo c'est l'idée.

Le SIEM, donc, serait mort. Et il faudrait le remplacer par un truc encore mieux appelé l'Unified Situational Awareness platform. Dit comme ça, pas de doute, ça claque. Sauf qu'à en lire la description, j'ai du mal à saisir la différence entre ce nouveau jouet et un SIEM qui ferait correctement son boulot...

Lire la suite...

lors que la Californie renforce sa législation sur la notification des incidents de sécurité, en particulier quand ils touchent des données personnelles, on introduit le concept en France. L'ordonnance 2011-1012 du 24 août dernier rend en effet obligatoire la déclaration à la CNIL, voire aux personnes affectées, de toute "violation de données à caractère personnel".

On serait tenté de pousser un grand ouf de soulagement, se fendre d'un "c'est pas trop tôt" de rigueur, mais ce serait probablement un tantinet prématuré. D'abord parce que cette obligation semble dépendre d'une injonction de la CNIL. Ensuite, parce qu'il faudra voir comment cette obligation s'accommode de la législation en vigueur, laquelle est censée punir les négligences ayant conduit aux violations ainsi avouées...

Lire la suite...

ur Exploitability, Kevin se demande s'il faut parler de DigiNotar. S'il est vrai que depuis deux semaines, tout le monde en parle, et si certains vont même jusqu'à avancer que les conséquences de cet incident seront plus grave que celles de Stuxnet, ce qu'on n'a aucune peine à croire, je pense qu'on peut encore en parler...

Depuis qu'on a appris qu'un vrai-faux certificat pour *.google.com était activement utilisé du côté de l'Iran, c'est une véritable avalanche de révélations qui tombe sur la tête de l'autorité responsable de tout ce chahut : DigiNotar. Et sur le modèle de sécurité de SSL, évidemment...

Lire la suite...

a faisait quelques temps que j'avais envie d'écrire un billet sur ce que je pense des APTs, ou Advanced Persistent Threat, même si cela a pu transpirer de quelques billets au sujet connexe. Mais comme à chaque fois qu'on se laisse trop aller à la procrastination, quelqu'un finit par écrire ou dire ce que aviez en tête. Et souvent mieux que vous ne l'auriez fait vous-même...

Déjà, il y a quelques mois, Cesar Cerrudo avait admirablement bien résumé le fond de ma pensée en un tweet :

When an important company is hacked it's called APT
when other companies are hacked it's called lack of security

Pour le reste, c'est Nicolas Ruff qui s'est chargé de l'exposer à l'occasion d'une matinée sur les "Vulnérabilités aujourd'hui et demain" organisée par CNIS Mag dont les vidéos viennent d'être mises en ligne.

Lire la suite...

lors que la rentrée pointe son nez pour beaucoup d'entre nous, c'est aussi l'heure de dépiler des fils d'actualité les articles en souffrance. Beaucoup de choses intéressantes, d'autres moins, et quelques pépites qui prêtent, et c'est le moins qu'on puisse dire, à sourire. Parmi ces dernières, Zataz m'apprend qu'AES a du plomb dans l'aile et que ça "va faire mal à la securite en générale, et à l'encryption en particulier". Chez Développez.com m'explique que Qualys vient d'inventer le reverse de patches Microsoft pour faire des exploits...

Enfin, comme Marc, je me suis pas mal amusé à voir les éditeurs d'antivirus se taquiner gentiment sur le contenu technique de la fameuse opération Shaddy RAT publiée à l'occasion de Black Hat. On a beaucoup parlé de l'amusante pique lancée par Eugene Kaspersky parce qu'il n'a pas pris de gants, mais d'autres éditeurs y sont aussi allé de leur commentaire. Y compris certains dont on pourrait penser qu'ils ont d'autres chats à fouetter...

Lire la suite...

dobe n'en finit pas de récolter les hommages. Après celui, appuyé comme il se doit, de Tavis Ormandy sur Twitter sur le contenu de leur dernier bulletin de sécurité pour Flash Player, c'est au tour de Kaspersky de consacrer l'éditeur. En effet, d'après un rapport publié la semaine dernière, ses logiciels sont responsables de huit des dix failles les plus répandues sur les postes client étudiés. Six d'entre elles touchent le seul Flash Player...

C'est une espèce de consécration pour Adobe. Consécration qui vient souligner les efforts qui permettent aujourd'hui à l'éditeur de maintenir ses produits à une place de choix dans les classements du nombre de vulnérabilités et de leur criticité....

Lire la suite...

omme je vous le disais précédemment, la présentation qu'a donnée Tavis Ormandy sur les faiblesses de l'antivirus Sophos a retenu mon attention. D'abord parce qu'elle propose une critique claire et documentée de la capacité d'un logiciel de sécurité à fournir ce qu'on en attend. Ensuite, et surtout, parce qu'elle montre la voie vers une évaluation un peu plus pragmatique de ce genre de produits.

Si d'aucuns se prennent à prêter à l'auteur des appétits de vengeance, force est de reconnaître que les faits sont là et que ces travaux ne font que mettre les promesses d'un éditeur d'antivirus à l'épreuve de la réalité. Ce n'est pas le premier à se prêter à cet exercice, pas plus qu'il n'est le seul dont les dires se voient gratifiés d'une belle réponse ampoulée de la part de l'éditeur concerné...

Lire la suite...

ikko Hypponen de F-Secure s'est fendu d'une excellente présentation au dernier TED Global sur la chasse aux virus et aux cyber-criminels. Je vous encourage à prendre vingt minutes pour la regarder. Pour ma part, plus que le contenu lui-même, j'en retiens tout particulièrement cette conclusion sur les moyens de lutte contre la criminalité en ligne. Conclusion sur laquelle je vous laisse méditer :

Even more importantly, we have to find the people who are
about to come part of this online world of crime but haven't 
yet done it. We have to find the people with the skills but 
without the opportunities and give them the opportunities to 
use their skills for good.

Lire la suite...