Au vu des analyses que l’on peut lire dans la presse, cette faille dépasserait en ampleur la précédente star des medias (Heartbleed dans OpenSSL), et menacerait internet de congestion en cas de ver qui comme Slammer avait ralenti internet en 2003 !

Ce premier article fait partie d’une paire consacrée au sujet shellshock, et passe en revue l’essentiel à savoir sur le sujet.

Un second article développera le fait que la faille concerne aussi les systèmes industriels et embarqués, et qu’elle sera beaucoup plus difficile à corriger dans ces environnements que sur les serveurs web. Lire la suite »

Havex, Energetic Bear, Crouching Yeti, LightsOut

DragonFly : l'APT russe du secteur de l'Énergie (malwares Havex, Karagany, LightsOut)

Il y’a une petite semaine, le Nasjonal SikkerhetsMyndighet (NSM, l’agence nationale pour la sécurité de l’Etat norvégien) avertissait trois cent de ses entreprises du secteur de l’énergie et du pétrole de la dangerosité d’une menace bien réelle et concrète : une assez vaste campagne d’attaque d’une APT (Advanced Permanent Threat) qui tapinait depuis quelques temps le secteur de l’énergie, DragonFly. Lire la suite »

VLAN, diode, air-gap, anti-virus, patch : ces solutions sont-elles utiles, indispensables, ou au contraire peu adaptées pour sécuriser un SI industriel ?

Ce sont des questions qui se posent naturellement aussi bien pour un site existant ainsi que pour un nouveau projet, et pour lesquelles les réponses varient selon les experts. Lire la suite »

Le vers est dans la base de données...La réponse est évidente, me direz-vous : il ne faut pas stocker en base de données le mot de passe, mais un hash de ce mot de passe, qui ne puisse pas être décrypté.

Pourtant, je vais vous proposer de stocker le mot de passe en base de données, et vous expliquer pourquoi… Lire la suite »

Publié le 8/05/2014 dans Sécurité Internet par Werner KLINGER | 2 Commentaires »

Les protocoles de communication industriels font beaucoup parler d’eux ces temps-ci. La séquence médiatique est toujours la même : des chercheurs en sécurité s’intéressent à un protocole, semblent découvrir qu’il n’est pas sécurisé, montent des expériences édifiantes, publient des articles dévoilant les vulnérabilités ou font des interventions dans des séminaires avec démos à l’appui, et la presse spécialisée en fait ses choux gras.

On a ainsi eu droit aux révélations sur les vulnérabilités DNP3, HART et tout récemment CAN. Cet article passe rapidement en revue ces différents cas et si vous lisez jusqu’au bout vous comprendrez le choix de l’illustration ci-contre !

Lire la suite »

Ca y est, on dispose en France d’une règlementation de cybersécurité industrielle !

Suite à la publication en 2012 d’un premier guide de la sécurité des sites industriels (voir l’article sur ce blog),  l’ANSSI publie deux documents normatifs, après un an de travail réalisé avec des représentants d’industries, de sociétés de sécurité des SIs et d’équipementiers.

Et on ne plaisante plus, car après la « LPM » (Loi de programmation militaire) en décembre, des décrets d’application (avec ajustements sectoriels) vont décliner ces normes en exigences fin 2014. Les exigences sont claires et assez ambitieuses et cela va nous placer à la pointe des pays « cybersécurisés » – si elles sont vraiment mises en œuvre – c’est donc une bonne idée de les comprendre et les anticiper.

Lire la suite »

Mois de la sécurité, Assises de la sécurité, révélations Snowden sur les pratiques de la NSA, failles Internet Explorer, projet de loi ANSSI : petit tour des actus de l’automne…

Lire la suite »

Les conférences Black Hat et DEF CON à Las Vegas sont les événements cybersécurité de l’été aux USA, avec chaque année des douzaines d’interventions, y compris sur les systèmes industriels. Cet article analyse celles concernant la cybersécurité industrielle.

Lire la suite »

Ce article reprend les points clés de ma présentation sur la sensibilisation, effectuée dans le cadre du forum ISA consacré à la sécurité des systèmes d’automatismes et de contrôle de procédé.

Il concerne la sensibilisation du personnel au sujet de la cybersécurité en environnement industriel, qui est incontournable car :

  • c’est facile
  • c’est efficace
  • c’est pas cher

Dans cet article, je développe ces trois points et donne aussi quelques clés pour réussir les sensibilisations.

Lire la suite »

Les composants des systèmes d’information industriels étant mal armés pour résister à des cyber-attaques, que faut-il faire :

  1. les rendre plus résistants en réduisant leur vulnérabilité ? (les « patcher »)
  2. ou les mettre hors de portée des attaquants via des barrières logiques et physiques ?

Les deux solutions sont difficiles à mettre en œuvre. L’option 2) est l’approche souvent appelée « défense en profondeur ». L’option 1)  consiste essentiellement à « patcher » les systèmes industriels pour en supprimer les failles logicielles. Comme l’actualité (blogs, normes…) traite du sujet, c’est l’occasion de faire le point.

Lire la suite »