alphorm.com formation security+ 2/2 partie 1
TRANSCRIPT
FormationCompTIA Security+
(SY0-401)
Une formation
Hamza KONDAH
Une formation
Introduction
Validation indépendante des constructeurs et éditeurs
Validation des connaissances
Identifier les risques, proposer des solutions et maintenir un niveau de sécurité adéquat
ISO 17024
Une formation
Plan de la formation
Introduction
1. Menaces et Vulnérabilités
2. Contrôle d'accès, Authentification et Autorisation
3. Hôte, données et sécurité applicative
4. Cryptographie
5. Administration Sécurisé
6. Disaster Recovery and Incident Response
7. Sécurité Opérationnelle
Conclusion
Une formation
Public concerné
Administrateur (Réseau ou Système)
Technicien
Ingénieur informatique
Consultant IT
Responsable SI
Une formation
Prérequis
Avoir une connaissance de base de la pile TCP/IP
Savoir configurer les paramètres IP d'une machine
Avoir une première expérience dans le domaine IT
Formation Comptia Security+ (1/2)
Une formation
Prérequis
Formation Comptia Security+ (1/2)
Introduction aux Vulnérabilités Applicatives
Une formation
Hamza KONDAH
Une formation
Introduction
Chapitre très important
Applications Web et Desktop
Concepts
Surface d’attaque
Meilleures défenses
Merci
Architecture des applications Web
Une formation
Hamza KONDAH
Une formation
Architecture
DVWA
WebGoat
Lab : Mise en situation
Plan
Une formation
Architecture
Une formation
DVWA
Damn Vulnerable Web ApplicationApplication web vulnérableTrès pédagogiqueVulnérabilités de baseExcellente pour commencer
Une formation
WebGoat
Application vulnérable, aussi ☺Ecrite en J2EESensibilisation du public aux problèmes de sécuritéProjet de l’OWASPPlus avancée que DVWA
Une formation
Lab : Mise en situation
Merci
Cross Site Scripting
Une formation
Hamza KONDAH
Une formation
Définition
Reflected XSS
Stored XSS
DOM Based XSS
Lab : XSS
Plan
Une formation
Définition
Injection de code
Problématique des INPUT
JS, VBScript, HTML, FLASH
Session Hijacking
Vol d’informations
Contrôle total ☺
Une formation
Reflected XSS
(1) Envoi d’un lien piégé
Pirate
(4) Exécution du code
Victime
Site Web Ciblé
(5) Envoi de données
(3) Page demandée contenant le code injecté dans l’URL par le hacker
(2) Clique sur le lien
Une formation
Stored XSS
(2) Visite de la page piégée
(3) Page demandée contenant le code injecté par le hacker
(1) Injection du code nocif dans un site vulnérable
Pirate
Victime
(5) Envoi de données
Site web ciblé
(4) Exécution du code
Une formation
DOM Based XSS
Script
Client Side
Accès aux paramètres URL
Remote Code Execution
Bypass la SandBox
Une formation
Lab : XSS
Merci
Cross Site Request Forgery
Une formation
Hamza KONDAH
Une formation
Définition
Lab : CSRF
Plan
Une formation
Définition
Faille CSRF
1.L’administrateur rédige un article
http://www.blog.fr/create.php?id=1
Serveur : blog.fr
2.Le pirate envoie un lien exploitablehttp://www.blog.fr/del.php?id=1
3.L’administrateur clique sur le lien du pirate et supprime son propre article
Une formation
Lab : CSRF
Merci
SQL Injection
Une formation
Hamza KONDAH
Une formation
Introduction
Ce qu’on pourra faire
Scénario
Lab : SQLi
Plan
Une formation
Introduction
Vecteur d’attaque le plus critique
Modifier une requête SQL
Input mal filtré
Exécution (Injection) de requête malveillante
Une formation
Ce qu’on pourra faire
Bypasser l’authentification
Exposition d’informations
Compromission de l’intégrité
Compromission de la disponibilité
Remote Code Execution
Une formation
Scénario
Une formation
Scénario
Une formation
Lab : SQLiLab : SQli
Merci
Injection LDAP
Une formation
Hamza KONDAH
Une formation
Définition
Validation des inputs
Server Side
Accès complet à la BDD
Modification
Métacaractères
Merci
Injection XML
Une formation
Hamza KONDAH
Une formation
Introduction
Lab : XML Injection
Plan
Une formation
Introduction
Injection de Tags XML
Modification de la structure XML
Modification de données de paiement
Authentification non autorisé
Une formation
Lab : XML Injection
Merci
Command Injection et Directory Traversal
Une formation
Hamza KONDAH
Une formation
Command Injection
Directory Traversal
Lab : Exploitation
Plan
Une formation
L’injection de commandes
Injection similaire à la SQLi
Injection de commandes systèmes
Contrôle total
Shell Système
Une formation
Directory Traversal
Problème de validation
Remonter la ponte � ../
Gain d’accès
Fichiers sensibles
Une formation
Lab : Exploitation
Merci
La segmentation mémoire
Une formation
Hamza KONDAH
Une formation
Plan
Introduction
Segments mémoire
Amélioration continue
Une formation
Introduction
Exécution d’une application
Mémoire
Chargement d’un ensemble d’éléments
Instruction
Une formation
Introduction
Un programme gère :
Ses variables
Ses instructions
Variables des différentes fonctions
Une formation
Segments mémoire
Pile
Tas
(données non initialisées)
Bss
Données
Code
Une formation
Amélioration continue
Une formation
Amélioration continue
Merci
Buffer Overflow
Une formation
Hamza KONDAH
Une formation
Définition
Exploitation courantes
Lab : Buffer Overflow
Plan
Une formation
Définition
Buffer : Zone de mémoire
Overflow : Dépassement
Mémoire allouée initialement lors de l’exécution d’un programme
Crash
Une formation
Exploitation courantes
Stack Overflow
Shellcode
Dépassement de capacité
DoS
Une formation
Lab : Buffer Overflow
Merci
Integer Overflow
Une formation
Hamza KONDAH
Une formation
Définition
Merci
0 Day
Une formation
Hamza KONDAH
Une formation
Définition
Vulnérabilité comme les autres
Pas de correctif connu
Daknet
Un cauchemar ☺
Une formation
Définition
Merci
Les Cookies
Une formation
Hamza KONDAH
Une formation
Cookies
Fichier texte
Web experience
Historique
Customisation
Risque
Merci
Local Shared Object
Une formation
Hamza KONDAH
Une formation
Introduction
Local Shared ObjectFlash CookieAdobe FlashStockage de donnéesJeux FlashMenaces
Merci
Add-Ons Malicieux
Une formation
Hamza KONDAH
Une formation
Introduction
Add-ons
Risque toujours existant
Intentionnel ou accidentel
Java Applet : La catastrophe ☺
Java-enabled
Secure Coding
Merci
Introduction au Scanning et à la reconnaissance
Une formation
Hamza KONDAH
Une formation
Introduction
Phases de Reconnaissance
Open Source intelligence
Ce qu’il faut chercher
Méthodologie
Lab : Reconnaissance
Plan
Une formation
Introduction
La tâche la plus importante
La tremplin ☺
Récolte de vulnérabilités
Surface d’attaque
Phase d’attaque
Une formation
Phases de Reconnaissance
Passive reconnaissance
Normal interaction
Active reconnaissance
Une formation
Open Source intelligence
Première phase d’un pentesteur
Sources publiques
Utilisé par la plupart des services secrets et militaires
Organisation des ressources
Une formation
Ce qu’il faut chercher
Localisation géographique
Employés
Historique
Erreur de manipulation
IP et sous réseaux
Social engineering
Une formation
Méthodologie
OSINT , passive reconnaissance
Interaction host detection ,
port scans
Operating system,
services …
Vulnerabilityscanning
Une formation
Lab : Reconnaissance
Merci
NMAP : Introduction
Une formation
Hamza KONDAH
Une formation
Introduction
Lab : Nmap
Plan
Une formation
Introduction
Scanner de ports open source
Ports ouverts, services hébergés et informations sur l’OS
La référence
Version graphique : Zenmap
Une formation
Lab : Nmap
Merci
NMAP : Techniques de Scanning
Une formation
Hamza KONDAH
Une formation
TCP SYN Scan
Stealth Scan
TCP XMAS Scan
TCP ACK Scan
Lab : Scanning avancé
Plan
Une formation
TCP SYN ScanTCP SYN scan : port ouvert
SYN
SYN/ACK
TCP SYN scan : port fermé
SYN
RST/ACK
Une formation
TCP Connect ScanTCP SYN scan : port ouvert
SYN
SYN/ACK
TCP SYN scan : port fermé
SYN
RST/ACK
ACK
Une formation
Stealth ScanStealth scan : port ouvert
FIN
Stealth scan : port fermé
FIN
RST/ACK
Pas de réponse
Une formation
TCP XMAS ScanTCP XMAS scan : port ouvert
Pas de Réponse
TCP XMAS scan : port fermé
URG/PUSH/FIN
RST/ACK
URG/PUSH/FIN
Une formation
TCP ACK ScanTCP ACK scan : port non filtré
TCP ACK scan : port filtré
RST
ACK
Pas de Réponse
ACK
Une formation
Lab : Scanning avancé
Merci
Nessus
Une formation
Hamza KONDAH
Une formation
Introduction
Lab : Nessus
Plan
Une formation
Introduction
Scanner de vulnérabilités
Services, Passwords, Serveur, Config…
Incluant le DoS
Très complet
Version communautaire
Une formation
Lab : Nessus
Merci
OpenVAS
Une formation
Hamza KONDAH
Une formation
Introduction
Lab : OpenVas
Plan
Une formation
Introduction
Un Fork de Nessus
Développement libre
Vulnerability Scanning
Vulnerability Management
Une formation
Lab : OpenVas
Merci
Vulnerability Assessment
Une formation
Hamza KONDAH
Une formation
Définition
Processus d’évaluation
Sécurité interne et externe
Identification des vulnérabilités
Contremesures
Tout sauf un test d’intrusion
Merci
Déterminer une surface d'attaque
Une formation
Hamza KONDAH
Une formation
Définition
Types
Importance
Analyse
Plan
Une formation
Définition
Systèmes d’informations
Points de terminaison
Communication Externe
Tout ce qui est en interaction
Exposition
Une formation
Types
Surface d’attaque physique
Surface d’attaque physique
Surface d’attaque
réseau
Surface d’attaque
réseau
Surface d’attaque logiciel
Surface d’attaque logiciel
Surface d’attaque humaine
Surface d’attaque humaine
Une formation
Importance
L’étendu de la surface d’attaque reflète son degré d’expositionPlus une surface d’attaque est étendue � Sécurisation en profondeur
Une formation
Analyse
IP 192.168.7.114Service Apache2.2.24
Application 1 Drupal
Application 2 Webmin
Formulaire de contact
Upload de fichier
Saisie d’article
Formulaire de saisie
Envoie de commande Linux
Port 80
Merci
Exploitation de vulnérabilités
Une formation
Hamza KONDAH
Une formation
Méthodologie
Rappel : Metasploit
Plan
Une formation
Méthodologie
Reconnaissance Scanning Analyse de
vulnérabilités Exploitation
Méthodologie Post
Exploitation
Une formation
Metasploit
Framework Sécurité Informatique
Modulaire
Modules auxiliaires
Coding d’exploits
Automatisation
Merci
Le Durcissement Système et Réseau
Une formation
Hamza KONDAH
Une formation
Définition
Implication du Hardenning
Méthodologie
Plan
Une formation
Définition
Hardenning ou Durcissement
Rendre un système plus résistant
Mauvaise exploitation
Système Réseau ApplicationAccès
physique
Réduire la surface d’attaque !
Une formation
Implication du Hardenning
Renforcement de la sécurité
Méthodologie différente
Pas de Copy / Past
Connaissances requises
Étude de l’existant !
Une formation
Méthodologie
Security Hardening
Remove
Default
Accounts
ClosedUnusedNetwork
Port
Enforce
Password
Compexity
Remove Unneeded
Services
Patch Known
Vulnerability
Configure And
Manage User
Privileges
Merci
Sécurisation des réseaux
Une formation
Hamza KONDAH
Une formation
Plan
Introduction
PDCA
Postures Défensives
Durcissement
Une formation
Introduction
Sécurité offensive � Points faibles
Analyse des surfaces d’attaque
Amélioration continue � PDCA
Mise en pratique
Une formation
PDCA
Une formation
Postures Défensives
DMZFirewallProxy
IDS/IPS
DurcissementSécurité
sans fils
Contrôle d’accès
Une formation
Durcissement
Meilleurs pratiques
hôteSSH Serveur Web
Serveur FTP Serveur DNS Serveur DHCP
Merci
Shodan
Une formation
Hamza KONDAH
Une formation
Plan
Définition
Lab : Shodan
Une formation
Définition
Moteur de recherche
Répertorie tout les systèmes
Connectés
Scan de services et ports
API de développement
Une formation
Lab : Shodan
Merci
SIEM
Une formation
Hamza KONDAH
Une formation
Plan
Définition
Rôles
Lab : SIEM
Une formation
Définition
Security Event Information Management
Gérer et corréler les logs
Moteurs de corrélation
Relier plusieurs évènements à une même cause
Une formation
Rôles
la collecte l'agrégationla
normalisation
la corrélation le reporting l'archivage
le rejeu des évènements
Une formation
Lab : SIEM
Merci
Méthodologies d’audit
Une formation
Hamza KONDAH
Une formation
Plan
Introduction
EBIOS
MEHARI
ISO 27000
Une formation
Introduction
Méthodologie de test
Normes
Customisation nécessaire
Etude du besoin
Contrôle continue
Une formation
EBIOS
Evaluation du risque
DCSSI
ANSSI (2009)
Risques de sécurité des SI
Vulnérabilités, attaques, menaces…
Une formation
MEHARI
Méthode harmonisée d’analyse des risques (MEHARI)Gestion de risque de sécurité
CLUSIF
Révision 2016
Une formation
ISO 2700x
Famille de normes
Sécurité de l’information
Recommandation
SMSI
Merci
Patch Management
Une formation
Hamza KONDAH
Une formation
Définition
Processus
Lab : Patch Management
Plan
Une formation
Définition
Processus
Gestion des correctifs de sécurité
Déploiement
Vulnérabilités � Correctifs ou Patchs
Méthodologie
Une formation
Processus Inventaire
Veille
Plannifier
Déploiement
Post déploiement
Gestion du risque
Amélioration Continue
Une formation
Lab : Patch Management
Merci
Le Reporting
Une formation
Hamza KONDAH
Une formation
Introduction
Le point le plus primordial
Reflète vos trouvailles
Plusieurs méthodologies
Le plus granulaire possible
Screenshot
Annexe
Merci
Introduction aux contrôles d'accès
Une formation
Hamza KONDAH
Une formation
Définition
Identification et Authentification
Système d’authentification
Méthodologie de contrôle d’accès
Plan
Une formation
Définition
Permettre l’accès à un utilisateur autorisé
Filtrage
Outils et Technologies
Ensemble de procédures
Une formation
Identification et Authentification
Trouver l’identité d’une entité
Mécanisme de vérification de l’identification
L’identification est la revendicationd’une identité ☺
Une formation
Système d’authentification
Something you knowSomething you haveSomething you areSomething you doSomething you are
Une formation
SFA
Single Factor Authentication
La plus basique d’entre toutes
Un seul type d’authentification
Username/Password
Mutual Authentication
Une formation
Illustration
Login : Administrator
Password :
Logon or Security Server
Une formation
Multifactor Authentication
Deux méthodes ou plus
Password + SMS
Une formation
NAC
Network Access Control
Contrôle d’accès
Opérations journalières
Méthodologie
Analyse des besoins et des exigences
Une formation
NAC
Opérations journalières
Topologie et connexions
Partie tierce
Vulnérabilité
Hardware + Software
Une formation
Token
Similaire aux certificats
Identification et authentification
Token : Data (Informations sur le user)
Générer à chaque moment
Une formation
Fédération
Ensemble de ressources
Même standard d’opération
Messagerie instantanée
Faciliter la communication
Notion d’identité fédérée
Une formation
Authentification via Token
Token
1 Challenge
2 Response
3 Token Device Challenge
4 Valid Certificate
5 Authentication AuthenticationServer
Client PC
4 Token Device Answers3
Une formation
Incidents potentiels
Deux méthodes ou plus
Password + SMS
Domain A Domain B Domain CDomain A Domain B Domain C
UserUserCan Be
granted access
Can’t Be
granted access
RessourceRessource
Figure 1 : Transitive trust and Nontransitive trusts
Transitive Trust Transitive TrustNontransitive Trust Nontransitive Trust
Merci
Accès à distance
Une formation
Hamza KONDAH
Une formation
Introduction
Protocole Point-to-Point
Protocoles de Tunneling
Radius
(X)TACACS/TACACS+
SAML
Lab: Accès à distance
Plan
Une formation
Introduction
L’habilité de se connecter
Processus plus facile et plus sécurisé
Protocoles utilisés pour faciliter l’accès à distance
Une formation
Protocole Point-to-Point
PPP – 1994
Supporte plusieurs protocoles
AppleTalk, IPX et DECnet
Pas de sécurité de la data
Authentification � CHAP
Une formation
Point-to-Point Protocol
Encapsulation de trafic
Network Control Protocol – NCP
Link Control Protocol – lCP
Connection au réseau
Comme si vous y étiez ☺
Une formation
Protocoles de Tunneling
Création de tunnel entre des réseaux
Sécurité
Confidentialité
Encapsulation
VPN
Attention à la configuration par default
Une formation
Protocoles de Tunneling
Point to point tunneling
protocol –pptp
Layer 2 Forwarding –
2LF
Layer 2 Tunneling
Protocol – L2TP
Secure Shell -SSH
Internet Protocol
Security - IPSEC
Une formation
Radius
Client Radius Client Radius Server
Server ValidatingRequest
Request
Authorization
Large NetworkISP
Une formation
(X)TACACS/TACACS+
Terminal Access Controller
Access Control System
Client/Server
Similaire à radius
Une formation
(X)TACACS/TACACS+
Extented TACAS – XTACACS
Authentification + Autorisation
Traçabilité
TACAS +
Plusieurs manières de gestion
Cisco � TACACS +
Alternative RADIUS
Une formation
SAML
Security Assertion Markup Language
Standard basé sur XML
Authentification + Autorisation
Identité
SAML v2.0
Une formation
Lab : Accès à distance
Merci
Les Services d'authentification
Une formation
Hamza KONDAH
Une formation
Introduction
LDAP
Kerberos
Single Sign On
Plan
Une formation
Introduction
Spécifique à une technologie
LDAP et Kerberos
Internet Authentication Service – IAS
Central Authentication Service – CAS
Single Sign-on
Une formation
LDAP
Lightweight Directory Access Protocol
Protocol d’accès
Annuaires
Bases d’informations
Port 389
LDAPS
Une formation
Kerberos
Une formation
Single Sign On
User
User ADSecurity
App Server
Email Server
DB Server
Merci
Les Contrôles d’accès
Une formation
Hamza KONDAH
Une formation
MAC
DAC
RBAC (role & rule)
Plan
Une formation
MAC
Une formation
DAC
Une formation
RBAC
Une formation
RBAC
Merci
Rappel sur le Durcissement
Une formation
Hamza KONDAH
Une formation
Définition
Durcissement ou « Hardening »
Sécurisation
Peut concerner plusieurs couches
Réduction de la surface d’attaque
Une nécessité
Merci
Durcissement applicatif
Une formation
Hamza KONDAH
Une formation
Introduction
Base de données
SAN
Plan
Une formation
Introduction
Vérification
Mise à jour
Protocoles nécessaires uniquement
Applications et services
Particulièrement vulnérable
Une formation
Base de données
One-TierModel
Two-Tier Model
Three-Tier Model
Une formation
Base de données
Une formation
SAN
Storage Area Network
Réseau Séparé
Front end tant que serveur
Sécurité similaire aux serveurs traditionnels
Fibre très rapide iSCSI
Firewall, IDS …
Merci
Le Fuzzing
Une formation
Hamza KONDAH
Une formation
Définition
Lab : Le Fuzzing
Plan
Une formation
Définition
Technique de test d’applications
Injection de data aléatoires
Inputs
Bug � Défauts à corriger
Web, logiciels etc…
Une formation
Lab : Le Fuzzing
Merci
Le développement sécurisé
Une formation
Hamza KONDAH
Une formation
Introduction
Que coûte une faille ?
Cycle de développement
OWASP
CERT
Plan
Une formation
Plan
PCI
CWE
Méthodologie
Zones à Risques
Une formation
Introduction
Attaques de plus en plus sophistiquées
Hardening non suffisant : Combler les trous n’est jamais une solution
Une faille cache une autre
Sécurité par le développement
Une formation
Que coûte une faille ?
Par enregistrement volé : 150$
Par brèche 3,79 M$
23% d’augmentation depuis 2013
60 à 70 % lié à de mauvaises pratiques en coding
Une formation
Cycle de développement
Création de modèle conceptuel
Mauvaises pratiques en développement
Déploiement non approprié
Maintenance et mise à jour
Une formation
Cycle de développement
Association à des informations
OS
Base de données
Applications partagées
Client Side
Une formation
OWASP
Open Web Application Security Project
Applications web
Recommandation sécurité
Outils
Guides
Une formation
CERT
Software Engineering Institute (SEI)
Cyber sécurité
Software
Participatif
Gouvernement
FBI
Une formation
PCI
Payement Card Industry
PCI SSC
PCI DSS
Recommandations
Une formation
CWE
Common Weakness Enumeration
Vulnérabilités
MITRE
NCSD
Département de sécurité intérieur US
Une formation
Méthodologie
SDLC
Planning
Defining
Designing
Building
Testing
Deployment
Une formation
Méthodologie
Une formation
Zones à Risques
Validation des entrées
Déclaration et initialisation
Expressions
Api
Librairies
Merci
Sécurité de l'hôte
Une formation
Hamza KONDAH
Une formation
Permissions
ACL
Anti-Malware
Lab : Host Security
Plan
Une formation
Permissions
Aspect le plus basique
Privilèges moindres
Granularité
Full Control
ModifyRead and Execute
Read
Write
Une formation
ACL
Access Control List
Qui peut accéder à quoi
Peut être interne à l’OS
ACL Physique
White et Black List
Une formation
Anti-Malware
Anti Virus Anti SpamAnti
Spyware
Pop up blocker
Host basedfirewalls
Host basedIDSs
Une formation
Lab : Host Security
Merci
Protection de données
Une formation
Hamza KONDAH
Une formation
Backups
RAID
Types de RAID
Clustering
Load Balancing
Plan
Une formation
Backups
Niveau basique
Tolérance de pannes � Backups
Archivage périodique
Plusieurs types de backups
Full Differential Incremental
Une formation
RAID
Rendundant Array of Independent Disks
Plus d’un HD
Fonctionnement sans interruption
Une formation
Types de RAID
RAID 0 RAID 1RAID 3 et
4
RAID 5 RAID 6RAID 1+0 (ou 10 )
RAID 0+1
Une formation
Clustering
Parallélisme
Performance
Disponibilité
Redondance
Une formation
Load Balancing
Merci