Différences

Ci-dessous, les différences entre deux révisions de la page.

--- tech:notes_securite [2025/03/24 15:06] – créée - modification externe 127.0.0.1
+++ tech:notes_securite [2026/06/10 10:02] (Version actuelle) – Jean-Baptiste
@@ Ligne 1: / Ligne 1: @@
+<!DOCTYPE markdown>
+{{tag>Brouillon}}
+# Notes sécurité
+Voir :
+* Open Web Application Security Project (OWASP)
+* https://secnumacademie.gouv.fr/
+* https://doc.ubuntu-fr.org/serveur
+* https://www.ssi.gouv.fr/guide/recommandations-de-securite-relatives-a-un-systeme-gnulinux/
+* https://www.funix.org/fr/linux/intrusions.htm
+* https://blog.adminrezo.fr/2017/10/securite-commencer-par-quel-commencement/
+* https://blog.adminrezo.fr/2017/10/quelques-sites-pour-votre-veille-ssi/
+* https://security-tracker.debian.org/tracker
+* https://www.it-connect.fr/cybersecurite-defense-en-profondeur/
+* [Kill chain](https://fr.wikipedia.org/wiki/Kill_chain_(s%C3%A9curit%C3%A9_informatique))
+* [Deming : gestion de votre système de management de la sécurité de l'information Open Source - SMSI - ISO 27002](https://linuxfr.org/news/deming-gestion-de-votre-systeme-de-management-de-la-securite-de-l-information-open-source)
+Logiciel Libre et sécurité
+* https://cyber.gouv.fr/enjeux-technologiques/open-source/
+Vidéo <https://www.youtube.com/watch?v=U9nEKocxAbM> Les cyberattaques se multiplient en France |Ce que vous devez savoir
+Normes / Certifications
+* PCI DSS
+* ISO 27002
+* Méthodologie EBIOS
+Métrique, notes, mesure, évaluation, criticité
+* [CVSS](https://fr.wikipedia.org/wiki/Common_Vulnerability_Scoring_System)
+Prévention :
+* https://www.interieur.gouv.fr/sites/minint/files/medias/documents/2022-07/guide-prevention-arnaques-juillet-2022.pdf
+## Matériel / Hardware
+Voir :
+* air-gapped
+* https://sstic.org/2021/presentation/defeating_a_secure_element_with_multiple_laser_fault_injections/
+## Protocole
+Texto / SMS : \\
+Signaling System #7
+## Failles CVE
+Voir :
+* Software Bill Of Materials (SBOM)
+* Supply chain
+* https://blog.stephane-robert.info/docs/securiser/supply-chain/syft/
+* gitbom
+Failles
+* https://www.cve.org/ (ancienement https://cve.mitre.org)
+## Logiciel / Application
+Logiciels / Applications "sécurisées"
+https://fr.m.wikipedia.org/wiki/ANOM_Operation_Trojan_Shield
+Antivirus et autres cochonneries :
+* EDR https://fr.wikipedia.org/wiki/Endpoint_detection_and_response
+Autres
+JumpServer / Wallix access Manager / CyberArk et autres
+* https://en.wikipedia.org/wiki/Privileged_access_management
+## Hardening
+https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/security_guide/chap-overview_of_security_topics
+## Web HTTP / HTTPS
+https://www.chromium.org/hsts
+## Crypto
+### Générateur de nombres pseudo aléatoire
+https://shop.fsf.org/storage-devices/neug-usb-true-random-number-generator
+## Attaque de la chaîne d'approvisionnement - Power supplies to attack
+https://linuxfr.org/news/xz-et-liblzma-faille-de-securite-volontairement-introduite-depuis-au-moins-deux-mois
+De plus en plus nous constatons des commits non pas pour corrigés mais pour inclure volontairement des failles de sécurité.
+Cela avait conduit Linus Torvald à refuser dans le noyau toutes les contributions de l'université du Minnesota https://linux.developpez.com/actu/314666/La-Fondation-Linux-veut-des-details-sur-toutes-les-contributions-au-noyau-Linux-faites-par-l-universite-du-Minnesota-avant-qu-elle-ne-soit-autorisee-a-contribuer-a-nouveau-au-noyau/
+Il y avait aussi eu l'affaire node-ipc https://www.lemondeinformatique.fr/actualites/lire-avec-le-sabotage-de-node-ipc-la-protestation-dans-l-open-source-inquiete-86188.html
+Il y a encore peu de temps nous considérions systématiquement un système à jour comme plus fiable qu'un système pas à jour. Cela n’est pas forcément vrai à présent.
+La simplicité, le coût et la portée considérable d’une attaque de la chaîne d'approvisionnement laisse à penser que ce genre d’attaque va encore s’accroitre.
+## Code
+https://fr.wikipedia.org/wiki/Seccomp
+https://github.com/seccomp/libseccomp-golang
+Open Source Supply chain - OpenSSF Scorecard:
+* https://opensource.com/article/23/3/open-source-security-scorecard
+* https://deps.dev/
+## Pishing
+[Le PHISHING : sachez le reconnaître en un coup d'œil](https://www.fnac.com/Le-PHISHING-sachez-le-reconnaitre-en-un-coup-d-oeil/cp21332/w-4)
+## client-side scanning (CSS)
+## Cell-Site Simulators
+## Notes techniques
+~/.mysql_history
+## Howto
+* http://www.funix.org/fr/linux/intrusions.htm
+## Audit sécurité
+Vérif toutes les urls si setup.php etc....
+## Kernel LINUX
+### Kernel Linux MAC LSM
+`/sys/kernel/security/lsm`
+### Spectre / Meltdown / Retbleed
+Spectre / Meltdown / Retbleed \\
+Side Channel Attack\\
+Voir [Software Guard Extensions (SGX)](https://en.wikipedia.org/wiki/Software_Guard_Extensions)
+~~~bash
+dmesg | grep 'Kernel/User page tables isolation'
+~~~
+Voir :
+* http://linuxfr.org/news/deux-failles-critiques-meltdown-et-spectre
+* https://www.cyberciti.biz/faq/check-linux-server-for-spectre-meltdown-vulnerability/
+* https://access.redhat.com/articles/3311301
+script : https://raw.githubusercontent.com/speed47/spectre-meltdown-checker/master/spectre-meltdown-checker.sh
+Patch :
+https://docs.ovh.com/fr/dedicated/meltdown-spectre-kernel-update-per-operating-system/
+## Autres
+URLs à bloquer / WAF reverse proxy / firewall applicatif
+Passer à bloquer les URLs suivantes :
+~~~
+*/nohup.out
+~~~
+-----
+# Frameworks
+| Template	               | Description                                                                                                                                                        |
+| ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
+| CIS CSC v8.1	           | Center for Internet Security Controls v8.1 framework covering foundational, foundational, and organizational security controls.                                    |
+| CSA CCM v4	           | Cloud Security Alliance Cloud Controls Matrix v4 framework for cloud security assurance.                                                                           |
+| Cyber Essentials         | UK government-backed Cyber Essentials scheme covering five key technical controls.                                                                                 |
+| DORA	                   | Digital Operational Resilience Act framework for financial sector ICT risk management.                                                                             |
+| FedRAMP High             | Federal Risk and Authorization Management Program High baseline for US federal cloud services.                                                                     |
+| FedRAMP Low	           | Federal Risk and Authorization Management Program Low baseline for US federal cloud services.                                                                      |
+| FedRAMP Moderate         | Federal Risk and Authorization Management Program Moderate baseline for US federal cloud services.                                                                 |
+| IRAP Official	           | Australian Information Security Registered Assessors Program Official classification framework.                                                                    |
+| IRAP Protected	       | Australian Information Security Registered Assessors Program Protected classification framework.                                                                   |
+| IRAP Secret	           | Australian Information Security Registered Assessors Program Secret classification framework.                                                                      |
+| IRAP Top Secret	       | Australian Information Security Registered Assessors Program Top Secret classification framework.                                                                  |
+| ISMAP	                   | Japanese Information System Security Management and Assessment Program framework.                                                                                  |
+| ISO 27001:2022           | International standard for information security management systems.                                                                                                |
+| NIS 2	                   | EU Network and Information Security Directive 2 framework for critical infrastructure.                                                                             |
+| NIST 800-171 Rev. 3 CMMC | NIST SP 800-171 Revision 3 Cybersecurity Maturity Model Certification framework.                                                                                   |
+| NIST SP 800-218          | NIST Secure Software Development Framework (SSDF) v1.1.                                                                                                            |
+| NIST 800-53 Revision 5   | NIST SP 800-53 Rev. 5 security and privacy controls for information systems.                                                                                       |
+| SOC 2	                   | System and Organization Controls 2 framework with requirements mapped to COSO principles, covering vulnerability scanning, access controls, and change management. |
+| TISAX	                   | Trusted Information Security Assessment Exchange framework for automotive industry information security requirements                                               |
+Source : https://docs.gitlab.com/user/compliance/compliance_frameworks/