e-Construction : Mon cyber-journal perso

Read it in english with google

Ceci est vraiment un billet personnel .... pourquoi le mettre ici alors ?

En fait, je croix fortement au partage des connaissances et de l'expérience, mais aussi au partage et à la diffusion de l'optimisme ou ce que certains appellent "énergie positive".

Plusieurs changements de cap, remises en cause et améliorations dans ma vie ont été amorcés suite à une discussion, à la lecture d'un article ou d'un livre ou après avoir regardé une émission (TV ou CD/DVD).

Je veux à mon tour partager .... peut-être que ça aidera au moins un !

Il s'agit de la mise en place d'objectifs, de mettre en place un système de contrôle ou d'audit et enfin de faire périodiquement son bilan personnel pour engager les améliorations et les ajustements nécessaires.
Pour les professionnel de la sécurité, çà ne vous rappel rien ? :)
C'est la méthode d'amélioration continue ou "Roue de Deming" : PDCA (Plan-Do-Check-Act)....et c'est la même démarche pour la construction d'un SMSI (Système de Management de La Sécurité de l'Information).

J'ai toujours cru que le "bon sens" est partout identique, même universel .... exception faite des "déformations" passagères !

J'arrête de philosopher :) ... en fait ce billet sera la transcription "presque" complète de ce que je fait chaque année pour me relancer à la poursuite de mes objectifs. Je dis "presque", parce que il y a des trucs perso que j'aimerais garder leurs détails pour moi et ma petite famille restreinte :)

La Vision ou Mission

Tout d'abord, mes objectifs sont inspirés, ou suivent, une vision de ce que je veux accomplir dans ma vie. C'est le niveau le plus haut d'abstraction. C'est une sorte de définition de notre "Mission" sur terre. Pour moi, ne pas savoir ce qu'on fait dans ce bas monde est une forme d' "errance" ! On est plutôt plus en mode "survie" ... j'en doute qu'on savoure pleinement notre existence sans savoir où on va, et surtout pourquoi. J'ai toujours aimé cette définition du leadership : "c'est savoir exactement pourquoi on monte les marches...pas comment"

Quels sont mes Objectifs ?

Pour mes objectifs, j'en avais tout au début (il y a presque 5 ans) 15, entre court et long terme. Maintenant, avec l'expérience de la vie, une connaissance plus précise de mes capacités et de mes faiblesses, ajouté à tous ça un peu de "réalisme"...j'en suis maintenant à 9

Avant de citer ces objectifs, je voudrais attirer l'attention sur l'importance du choix de ses objectifs. S'ils sont mal choisis, ça va mener directement à l'échec et par delà à perdre confiance en soi-même. On parlent alors de 6 caractéristiques d'un objectif "efficace" (effective en Anglais). En gros, les objectifs doivent être surtout précis et écrits de préférence, réalisables mais ambitieux et aussi mesurables.

La "carte heuristique" ou "MindMap" suivante (produite sous freemind et convertie en image) résume avec un peu de détail mes objectifs. Ceux en Vert, sont à long terme (5 ans et +). Les objectifs à moyen terme (3-5 ans) sont en bleu (clicker sur l'image pour agrandir)

Pour chaque objectif, je développe un plan pour sa réalisation : les moyens, nécessaires, le calendrier...etc, ce qui donnera des petits objectifs d'étape pour chaque année ... c'est le court terme.

Si je prend comme exemple l'objectif " Perfectionnement continue en Sécurité des SI" , je développe sa "branche" comme dans l'image qui suit : (clicker sur l'image pour agrandir)

Après, l'étape en court terme va être piloter par un ensemble d'outils de planification (quotidienne, hebdomadaire ou mensuelle en fonction de chaque cas) et de contrôle. C'est plus du gestion de temps maintenant. Dans ce domaine, une seule devise, c'est la discipline et le rigueur ... je sais, plus facile à dire qu'à faire, c'est un combat continue contre soi-même.

Autre remarque, un petit pas chaque jour est bien meilleur qu'un grand saut chaque mois.

Enfin, évitez les fausses méthodes (multi-tâches)

Quelques petits trucs que j'utilise personnellement me permettent de garder le cap, de me rectifier chaque jour (j'essaye du moins de le faire) et surtout pour entretenir ma volonté et ma motivation :

- revoir et "vivre" ses objectifs chaque matin,
- fermer les yeux et se "projeter" dans le temps et se voir dans un état où les objectifs ont été atteints,
- se "projeter" une autre fois, mais pour se voir avec zéro ou peu de réalisations...quelle déception !!!

- maintenir une liste quotidienne "j'ai appris ce jour" pour se corriger et apprendre continuellement,
- mettre une liste de mauvaises habitudes à combattre. Une pour chaque mois, avec du contrôle et un système de sanctions (positives ou négatives).

Je finirais par dire qu'une seule chose peut vous arrêter et entraver votre progression vers la réussite....c'est vous même !!

Bonne chance et meilleurs vœux à tout le monde :)

.

Read it in english with google

Je viens de lire dans mon flux RSS un très bon article sur le passage, en termes d'approche de sécurisation et d'outils, de l'implémentation de solutions assurant la "visibilité" (Audits, Détection d'intrusion, Gestion des logs ...) à l'implémentation et l'utilisation des solutions techniques de "contrôle" (réponse et correction des problèmes identifiés précédemment)

Ce qui m'intéresse dans ce sujet, c'est le fait que sans "visibilité" rien ne peut se faire. Déployer des Firewalls, Renforcer les configurations, implémenter des solutions de contrôle d'accès...tous ça ne pourra jamais vous protéger contre ce que vous ne connaissez pas. La "visibilité" permet de savoir ce qui se passe "réellement" dans votre réseau et vos systèmes.

Comme souligné par de nombreux experts : "Monitor first" !!
Alors la poste.dz, avez-vous de la visibilité ?

.
.

Read it in english with google

Franchement, Google n'a pas bien choisi son partenaire en Algérie...si choix il y a !!
Depuis hier (15/12/2008),et jusqu'au moment où j'écris ces lignes, www.google.dz est inaccessible !!
Le problème est que www.google.com est redirigé automatiquement vers le google.dz, du coup google est off-line...on doit passer à d'autres localisations (ou sans localisation)...le fr par exemple.

Alors, c'est déjà arrivé avant et j'en ai parlé comme beaucoup d'autres. Est-ce le même problème ?
Voyons ça de plus près :

Comme toujours, trouvons qui gère le domaine DZ :

$ dig @A.ROOT-SERVERS.NETe
..........................................

;; AUTHORITY SECTION:
dz. 172800 IN NS CASBAH.ELDJAZAIR.NET.dz.
dz. 172800 IN NS NS-DZ.RIPE.NET.
dz. 172800 IN NS DECST.CERIST.dz.
dz. 172800 IN NS NS3.NIC.FR.

Interrogeons les un à un sur "google.dz":

dig @CASBAH.ELDJAZAIR.NET.dz google.dz

===> rien, c'est le serveur qui est inaccessible apparemment ! Dèjà là c'est pas bon

$ dig @DECST.CERIST.dz google.dz
.........................
google.dz. 86400 IN NS gdns.google.dz

Là c'est OK

$ dig @NS-DZ.RIPE.NET google.dz
.........................
google.dz. 86400 IN NS gdns.google.dz

Là aussi c'est OK

$ dig @NS3.NIC.FR google.dz
.........................
google.dz. 86400 IN NS gdns.google.dz

Et c'est encore OK

Passons au serveur DNS qui gère le domaine "google.dz", le "gdns.google.dz" (@IP 193.194.64.84 ... c'est bien au Cerist)

$ dig @193.194.64.84 www.google.dz
...............................
;; connection timed out; no servers could be reached

Il est apparemment off-line (le ping ne donne rien, ni le traceroute ni le tcptraceroute)

Quoi dire ? ..... ha oui j'ai oublié, c'est encore les vacances !!!


.

Read it in english with google

Read it in english with google

Un projet de loi sur la Cybercriminalité vient d'être adoptée il y a quelques jours. Certains le demandaient depuis longtemps, d'autres le redoutaient ... pour diverses raisons d'ailleurs.
Ce billet fait suite à une discussion sur forumdz sur une des éventuelles applications de cette loi, à savoir l'installation de caméras de surveillance dans les cybercafé.

Au delà de la probabilité d'une telle mesure (caméras de surveillance dans les cybers), qui ne me choque pas particulièrement...je me suis accommodé à ça dans les cybers de Paris et beaucoup d'autres sûrement sous des cieux plus "éclairés" que le notre.....je disais au delà de ça c'est le principe même d'avoir une telle loi qui est contesté ou, à la limite, vu d'un mauvais œil.

Alors, une loi sur la cybercriminalité est une bonne ou mauvaise chose ?
Je sais, poser la question de cette manière est un peu léger :)
Soyons plus "méthodique" comme aime à le répéter un certain tewfik de forumdz :)

Quel est le contexte ?

1- Sur le plan local / national, nul ne pourra nier qu'on vit une période assez particulière :

- un terrorisme, certes en "déclin", mais toujours présent
- une criminalité grandissante et horriblement non maîtrisée
- une entrée "forcée" et sans réelle préparation de nos administrations et nos entreprises dans le monde des NTIC
- des interactions de plus en plus fortes avec le monde extérieur qui a ses méthodes de travail et qu'on doit les apprendre
- une nette augmentation du nombre de personnes utilisant les PC, Internet et la Téléphonie mobile couplée à un "néophétisme" certain et surtout une inconscience totale en termes de sécurité informatique

2- sur le plan internationale, je croix que tout le monde est conscient que la cybercriminalité est de plus en plus au premier plan des préoccupations des nations, les plus développées en tête, et des organisations internationales.

3- Dans le camp des "méchants" ou les cybercriminels (ou criminels tout court), cette activité est devenue extrêmement plus organisée est plus "professionnelle"... c'est un vrai business derrière.


Quelle sont les menaces pour notre Nation ?

J'ai toujours pensé que notre "sous-développement" est à la fois un problème (tout le monde est content là :)) et une CHANCE ! Oui, j'ai bien dit "chance".

Quand on voit le degré de dépendance des sociétés développées aux NTIC et la fragilité déconcertante des infrastructures vitales qui les entourent (voir ici ou là pour avoir une idée... "Die Hard 4" n'est pas uniquement de la science fiction!!) ... quand on voit ça on réalise qu'on a vraiment de la chance !! d'être sous-dev ? Non voyons :), mais de pouvoir "construire notre dépendance au NTIC" sur de bonnes et saines bases. L'idée est en fait ce que j'ai mis comme "slogan" de mon blog : "L'intelligence c'est d'apprendre de ses erreurs, la sagesse c'est d'apprendre de celles des autres".

Parce que essayer de réparer quelque chose qui est déjà là et surtout doit rester comme il est pour des raisons diverses n'est pas chose facile ni même vraiment souhaitable.
Un exemple ? allez prenez deux :)

- un "macroscopique", est la crise financière actuelle
- l'autre "microscopique", la correction de Microsoft d'une vulnérabilité vieille d'au moins 7 ans pour ces raisons

Revenons à notre sujet : quelles menace guettent notre Nation ? Et je dit "Nation" et non les termes réducteurs genre "système" , "pouvoir" ou même "société".

Notre dépendance au NTIC étant toute réduite, les menaces ne sont naturellement pas vraiment pesantes. Ça n'empêche quelles sont là. Si on adopte la classification des crimes informatiques, selon laquelle l'outil informatique (typiquement un PC) est le moyen ou la cible de l'acte malveillant, on trouve qu'on est dedans : attaques de sites Web, attaques de réseaux, téléchargement illégal, communications et échanges d'informations entre criminels, falsification de documents, contrefaçon d'"oeuvres protégés" ... etc, on est bien parti pour dire que le "potentiel" est réellement présent.

Comment lutter contre ces "crimes utilisant ou ciblant les NTIC" ?
Par des moyens techniques, mais avant tout avec des lois.

Quelles sont les dérives éventuelles ?

Comme on est dans un monde non-utopique, des dérives ont existé, existent et existeront toujours. L'utilisation d'une telle loi pour un dessein obscur et machiavélique est probable.

Alors ont fait quoi ? pas de lois ?
Même le code de la route peut-être utilisé comme moyen de répression, sans parler du raisonnement selon lequel, pour éviter la répression du peuple il faut désarmer les forces de sécurité !

La solution à mon humble avis est de maintenir l'équilibre et faire le contrepoids à toute tentative de dérives par :

- la sensibilisation des citoyens, non sur les éventuelles dérives du système parce que tout le monde est sur-sensibilisé :) , mais sur les moyens de protéger leur vies privées et leur libertés individuelles. C'est le rôle des intellectuelles et des spécialistes.
- la pression sur les différents "acteurs" qui mettront en oeuvre cette loi pour mettre les gardes fous nécessaires. C'est le rôle des politiciens et de la société civile.



.

Read it in english with google

La monotonie est un truc difficile à vivre...même quand-il s'agit de fond d'écran :)
Alors depuis quelques mois j'utilise un script en python (que vous trouverez par ici) qui change l'arrière plan du bureau en allant chercher les images sur le site ftp de gnome.org . On peut programmer les changements par crontab bien entendu...malgré que moi je préfère "décider" quand je veux le faire :)

Le chemin exact (actuellement) est "ftp.gnome.org/pub/GNOME/teams/art.gnome.org/backgrounds/"....s'il change il vous suffit de modifier le chemin dans le script ou trouver un miroir (sur ftp.linux.org.uk par exemple)

Je sais, il y a sûrement des applications qui font ça ... mais je préfère voir ce qui tourne sur ma machine :)

UPDATE 21/12/2008 :

Apparemment, il y en a beaucoup qui préfèrent des applis plus riches...guidées à la souris :).....si vous vous reconnaissez allez voir par ici :)


.

Read it in english with google

Depuis l'attaque du site de la poste.dz, largement commenté ici et là, le service ccp (ccp.poste.dz ou eccp.poste.dz) est "aléatoirement" accessible, au grand dam des gens voulant voir ce qu'il y a dans leurs comptes. Bien que l'attaque menée contre le site a eu comme effet le defacement de la page d'accueil, ce genre de "prouesse" est communément le propre des apprentis pirates (alias Script Kiddies). Le vrai "hacking" est une sorte d' "exploration intellectuelle", or ce qu'a été fait (defacement) ne nécessite que quelques cellules du cerveau pour réussir ! Mais les conséquences sont bien plus graves que l'acte initial...ça s'applique l'effet papillon ici ?

Revenons à nos affaires...de part ce billet j'essayerais humblement d'apporter une contribution pour une approche professionnelle de sécurisation d'infrastructures telles que celle de la poste (portail web et les services associés). Cette même approche, étant basée sur le bon sens et les best practicies peut être appliquée (après adaptation) même à de petits réseau.

Alors, avant d'entamer la discussion des actions de sécurisation, quelques remarques ou mises au point pour cadrer la suite :

1- Tout d'abord je n'invente rien ! Tout professionnel de la sécurité des SI devrait, sinon adhérer, au moins connaître ce type d'approche. C'est largement traité et discuter dans la documentation ou sur les sites spécialisés.

2- Ne connaissant pas en détail les systèmes, applications et outils composant l'infrastructure de la poste.dz, ces recommandations resterons générales et sûrement incomplètes... la solution "universelle" n'existe pas.

3- Toute solution de sécurité a pour finalité d'assurer les trois exigences de sécurité suivantes :

- Confidentialité
- Intégrité
- Disponibilité

4- La sécurité à 100%, autant que le risque 0....ça n'existe pas. Tout ce qu'on fait, c'est de minimiser ce risque, c'est élever la barre le plus haut possible pour rendre une attaque réussie "coûteuse" pour l'attaquant en termes de ressources (compétences, outils) et de temps.


Maintenant, commençons l'analyse :

A- Le plus important : on veut protéger quoi ? quels sont les "actifs" (assets) ?

Seuls les gens de la poste peuvent répondre avec précision à cette question !
Si on se limite à un portail Web, on peut citer ce qui suit comme des éléments à protéger (entre autres) :

- le serveur Web
- le(s) serveur DNS
- les autres serveurs (base de données ? serveur d'application ? serveur de messagerie ?...)
- les équipements réseau
- les solutions de sécurité (Firewall, IDS,....)
- les stations d'administrations
- .........

B- D'accord, après cet "inventaire", le moment est venu pour définir notre approche de sécurisation. Elle se présente en trois volets :

1- Prévention et protection
2- Détection
3- Réponse et recouvrement

Dans le volet Prévention et protection on devra mettre en place toutes les solutions permettant de prévenir le plus possible d'attaques, en éliminant le plus de vulnérabilités possibles et en installant les éléments de protections nécessaires. Quelques exemples parmi les plus importants :

- Le design ou l'architecture. Une mauvaise architecture est la première vulnérabilité à traiter. Une isolation rigoureuse par la création de différentes zones (DMZ) est à implémenter.
- Les firewalls pour le filtrage strict des flux réseau entres les zones crées. Le contrôle d'accès doit obéir au principe du "default deny" : tout est interdit sauf ce qui est explicitement autorisé. Un autre principe à considérer est l'interdiction des flux d'une zone "moins sécurisée" vers une autre de niveau de sécurité plus élevé (zone Web vers les serveurs de bases de données internes par exemple)
- L'utilisation de firewalls "applicatifs" pour parer aux éventuelles vulnérabilités liées aux applications (le reverse proxy pour le serveur Web par exemple)
- La mise en place d'une procédure de mise à jour des systèmes d'exploitation et des différents services ou applications exploitées.
- La revue et le renforcement de l'ensemble des configurations (systèmes d'exploitation, services, applications, équipements....) et l'application du principe de "minimisation des privilèges" : une application donnée ne devra tourner qu'avec un utilisateur normal et non avec les privilèges du compte Root ou Administrateur

Est-ce que ces mesures vont nous assurer une protection totale ? Malheureusement non ! Une solution de Détection des "comportements suspects" doit être mise en place. Plusieurs options complémentaires s'offrent à nous :

- Les Sondes de Détection d'intrusion réseau ou NIDS
- Les IDS surveillant un host (serveur généralement) ou HIDS
- et surtout, mettre en place une solution de gestion centralisée des logs. Sans logs vous n'avez aucune chance de voir ce qui se passe sur votre réseau et dans vos systèmes.

D'accord on a mis en place tous ça....et après ? eh ben il faut se préparer au jour où il y aura une attaque réussie (une vraie svp...pas un defacement :))
La seule chose qui vous sauvera c'est un "plan de reprise après incident", bien sûr dimensionné selon votre cas. Une chose simple que je conseil à beaucoup de clients est de mettre en place des machines virtuelles avec des systèmes d'exploitation différents et des "versions" d'applications différentes. Ça permettra une reprise rapide en cas d'attaque sur un élément particulier (faille inconnue sur un système d'exploitation, vulnérabilité applicatifs...)

C- Une fois ce "minimum" mis en place, pourquoi ne pas aller vers une "normalisation" de la gestion de la sécurité ? ISO27000 ça vous intéresse ?


A la fin, je voudrais ajouter que plusieurs aspects ou points n'ont pas été traités...j'ai voulu être plus "concret" par rapport au cas poste.dz. De plus, j'ai évité de parler des "problèmes" de configuration actuelles pour rester constructif. Toute amélioration du niveau de sécurité du portail poste.dz est le souhait de tout le monde, et s'ils réussissent à le faire et à maintenir ce niveau tout en offrant les différents services aux citoyens ça sera tout à leur honneur.


.