Les ressources : bulletins, outils et publications

Présentation au sujet: "Les ressources : bulletins, outils et publications"— Transcription de la présentation:

1 Les ressources : bulletins, outils et publications
Michel BERNEUIL Responsable Technique de Compte Microsoft France

2 Agenda Vulnérabilités, bulletins et alertes (MSRC)
La gestion des correctifs (WSUS, MBSA) La suppression des intrus (Antispyware, MSRT) La gestion des risques (MSAT)

3 Vie et mort d’une vulnérabilité…
Les attaques se produisent majoritairement ici La plupart des exploits sont conçues après la mise à disposition du correctif Vulnérabilité théorique Vulnérabilité à une attaque générale Mesure traditionnelle de la vulnérabilité Signalement volontaire Test, intégration et déploiement Ignorance Module Gap Produit installé Vulnérabilité découverte Vulnérabilité publique Composant corrigé Correctif publié Correctif déployé chez les clients .

4 Vie et mort d’une vulnérabilité…suite
151 180 331 Blaster Welchia/ Nachi Nimda 25 SQL Slammer Nombre de jours entre le correctif et l’exploitation Le temps avant exploitation Est devenu si court que le “patching” n’est plus une défense suffisante Le temps est de plus en plus réduit pour appliquer du “reverse engineering” au patch et découvrir la faille… 18 Sasser

5 Microsoft Security Response Center
Suivi des listes Sécurité Point central de coordination et communication Analyse et traitement des rapports de vulnérabilités Responsable du plan et de sa coordination au sein de Microsoft Travaille à la réduction des risques en modifiant les processus internes de développement par rapport à la sécurité Plan de réponse Sécurité de Microsoft Travaille avec les autorités légales et les décideurs Création d’une communauté d’échange avec les découvreurs des vulnérabilités Communauté et Communications

6 Le MSRC : un centre névralgique
Microsoft Security Response Center Éditeurs Sécurité Clients Microsoft Recherche Sécurité Partenaires Microsoft Décideurs Industrie Agences gouvernementales MSRC Presse Juridique Groupes Produits Equipes Support

7 Genèse d’un correctif de sécurité
Publication bulletin de sécurité : 2ème Mardi de chaque mois Coordination de toute la communication en ligne Envoi d’informations et de conseils aux clients Suivi des problèmes clients et de l’activité Presse Publication Création de contenu Écriture du bulletin de sécurité : Logiciels/composants affectés Description technique Contournements et atténuation FAQs Remerciements Validation du groupe de produit Relation avec l’auteur Communication Réponse rapide Analyse de la motivation et des besoins Échanges réguliers Communauté Encourager les rapports volontaires Priorité Analyse du rapport et des impacts possibles sur les clients Évaluation de la sévérité de la vulnérabilité et des risques d’exploitation Niveau de priorité décidé Le MSRC reçoit les rapports de vulnérabilité par: Site TechNet Sécurité – rapports anonymes MSRC s’engage à répondre à tous les rapports en 24 h Rapport de vulnérabilité MAJ des outils et règles MAJ « best practices » MAJ des outils de test MAJ du processus de développement et de design Test Plusieurs niveaux de test : Vérification de l’Installation et du packaging Profondeur Intégration Réseau Microsoft Réalisation du correctif Équipe Produit : Identifie l’impact de la vulnérabilité Recherche de variantes Analyse en profondeur du code et des spécifications Ecriture du correctif pour test

8 Sévérité des bulletins
L'exploitation de cette vulnérabilité peut permettre la propagation d'un ver Internet, tel que Code Red, Nimda ou Blaster, sans intervention de l'utilisateur Critique L'exploitation de cette vulnérabilité peut impacter l'intégrité, la confidentialité ou la disponibilité des données de l'utilisateur, l'intégrité ou la disponibilité des ressources de traitement Important L'exploitation de cette vulnérabilité a des conséquences sérieuses, mais atténuées par des facteurs tels que la configuration par défaut, l'audit, la nécessité d'une intervention de l'utilisateur ou la difficulté d'exploitation Modéré Faible L'exploitation de cette vulnérabilité est très difficile ou a un impact minime Plus d’information :

9 Le MSRC et les bulletins de sécurité
Avant la publication Pré-annonce des bulletins (J-3 = Jeudi) : MSRC Bulletin Notification nombre de bulletins niveau de sévérité anticipé aperçu des produits affectés Correctifs publiés sur le Download Center, WU et/ou Office Update, MU Notifications envoyées par aux clients Bulletins publiés les sites Microsoft Informations proactives pour la Presse Publication sur les newsgroups Sécurité / flux RSS Publication 2nd Mardi Après la publication Webcast d’informations sur les bulletins (Mercredi, 19h00) Suivi des bulletins et des problèmes client via le Support. Maintenance des bulletins

10 Les avis de sécurité (“Security Advisories”)
Fournit des informations et conseils à propos de modifications de logiciels et de mises à jour liées à la sécurité Quelques exemples de thèmes qui pourraient être traités : Améliorations de sécurité pour la “défense en profondeur" ou d’autres changements non liés à des vulnérabilités Conseils de protection qui pourraient s’appliquer à propos de vulnérabilités divulguées publiquement Complémente les bulletins de sécurité Microsoft Résumé des raisons de la publication de l’avis de sécurité Forum aux questions Actions suggérées Peut être mis à jour à n’importe quel moment où nous avons davantage d’informations Contenu Fait référence à un numéro d’article de la base de connaissance (Knowledge Base) pour davantage d’informations Inscription : Plus d’informations

11 Réponse à un incident de sécurité Aperçu
Processus d’entreprise pour faire face aux menaces de sécurité critiques Mobilisation de ressources Microsoft dans le monde entier Objectifs : Obtenir rapidement une bonne compréhension du problème Vous fournir à temps des informations pertinentes et cohérentes Fournir des outils des mises à jour de sécurité et d’autre éléments d’aide à la restauration du service normal

12 Réponse à un incident de sécurité
Watch Observation (détection d’un problème potentiel) Relations avec : Partenaires Chercheurs en sécurité et découvreurs de vulnérabilités Écoute des demandes clients au support, de celles de la presse Alert and Mobilize Évaluation du niveau de gravité Mobilisation des équipes de réponse et des groupes de support en 2 groupes : Emergency Engineering Team Emergency Communications Team Observation des demandes clients et niveau d’intérêt à propos de cet incident Assess and Stabilize Évaluation de la situation et des infos techniques disponibles Début du travail sur la solution Communication des conseils initiaux et des contournements Notification et information des employés de Microsoft Resolve Fourniture d’informations et d’outils pour rétablir la situation normale La solution appropriée est fournie : mise à jour de sécurité, outil ou correctif Revue des processus internes et dégagement des enseignements

13 Étude de cas : Sasser Watch Alert & Mobilize Assess & Stabilize
Publication des bulletins de sécurité d’avril 2004, incluant celui référencé MS qui traite d’une vulnérabilité corrigée dans LSASS Début de l’observation des lignes de support, des newsgroups et des activités des communautés et des demandes de la presse Watch (13-28 avril 2004) Premier rapports de l’arrivée prochaine de Sasser Alerte des équipes de réponse à un incident de sécurité et réunion dans les 2 salles des équipes d’urgence techniques et communications Alert & Mobilize (29 avril 2004) Début d’analyse technique et travail sur la solution (outil de nettoyage) Conseils initiaux communiqués Page Sasser sur Alertes par envoyées par les services de notification pour la sécurité Envoi des alertes aux partenaires et employés Publication de l’outil de suppression de Sasser (Sasser Worm Removal Tool) v1.0 sur le Centre de téléchargement Assess & Stabilize (30 avril - 3 mai 2004) v2.0 de l’outil de suppression de Sasser sur Windows Update Communication massive auprès des clients et partenaires pour aider à nettoyer les systèmes : Webcast technique Sasser (en anglais) Chats en ligne avec les support Mise à jour des sites Microsoft Outil de suppression mis à jour en permanence pour nettoyer de nouvelles variantes Resolve (4-10 mai 2004)

14 Étude de cas : MSN Messenger
Microsoft publie les bulletins de sécurité pour février 2005, dont MS qui traite d’une vulnérabilité corrigée dans la manipulation des fichiers PNG touchant MSN Messenger 6.1 & 6.2 Début de l’observation des lignes de support, des newsgroups et des activités des communautés et des demandes de la presse Watch (8-9 février 2005) Premiers rapports d’une exploitation publique pour MSN Messenger Alerte des équipes de réponse à un incident de sécurité et réunion dans les 2 salles des équipes d’urgence techniques et communications Alert & Mobilize (9 février 2005) Début de l’analyse technique Conseils initiaux, recommandant la mise à jour vers la dernière verion de MSN Messenger incluant la correction Page dédiée Alertes par envoyées par les services de notification pour la sécurité Envoi des alertes aux partenaires et employés Assess & Stabilize (9 février 2005) Décision de l’obligation de mise à jour de MSN Messenger pour pouvoir utiliser le service Notification de la décision d’obligation de mise à jour : Mise à jour des sites Web de l’entreprise Envoi des alertes aux partenaires et employés Le passage obligatoire par la mise à jour a réduit l’impact et la diffusion du ver Resolve (10-11 février 2005)

15 Étude de cas : WMF Watch Alert & Mobilize Assess & Stabilize Resolve
Première information dans les Newsgroup Escalade immédiate Watch (27 décembre 2005) Alerte des équipes de réponse à un incident de sécurité et mise en place d’une équipe Observation des impacts Alert & Mobilize (27 décembre 2005) Analyse de l’attaque, développement et test d’une mise à jour Publication d’avis de sécurité incluant des solutions de contournement. Diffusion du correctif en dehors du cycle normal Assess & Stabilize (27 décembre 2005 au 5 janvier 2006) Observation des lignes de support, des newsgroup et des communautés Analyse en interne des processus Resolve (5 janvier et suivant)

16 Agenda Vulnérabilité, bulletins et alertes (MSRC)
La gestion des correctifs (WSUS, MBSA) La suppression des intrus (Antispyware, MSRT) La gestion des risques (MSRSAT)

17 Solutions Techniques Mode « Pull » Mode « Push » Windows Update SUS 1
. WSUS (SUS 2.0) SMS Windows 98 , NT 4 , XP , Windows 98 , NT 4 , XP , Windows XP , 2000 , 2003 Windows XP , 2000 , 2003 2000 , 2003 2000 , 2003 Patches, Màj, SP , Patchs , Màj , SP Patches, SP Màj Office , SQL , Exchg . Patches, Màj, SP Communication directe Toutes applications Rapports avec l’Internet Fonctionnement au Rapports personnalisés travers d’un proxy Communication sécurisée ( https ) Création de groupes d’ordinateurs cibles API Scriptables ( côtés client et serveur ) MBSA Solution Microsoft complémentaire pour analyser le niveau Inventaire et gestion de la de protection des ordinateurs cibles base d’installations intégrées à SMS Pas de support pour Windows NT4 et W98

18 Image ISO des correctifs Windows

19 MBSA Automatise l'identification des correctifs de sécurité manquants et des problèmes de configuration de la sécurité Permet à un administrateur d'analyser d'un point central un grand nombre de systèmes Scriptable (Consolidation) 2 modes Graphique (GUI) Ligne de commande Disponible en version 2.0

20 MBSA 2.0 Déploiement de l’agent
Microsoft Update Exécution de MBSA sur un système d’administration, en spécifiant une ou des cibles Tentative d’analyse (API) WSUSSCAN.CAB WindowsUpdateAgent20-x86.exe WindowsUpdateAgent20-x64.exe Si l’interface d’analyse (API) n’est pas disponible, téléchargement des composants de l’agent Pousse l’agent, accord explicite, puis essaie de nouveau l’API Si le site MU ne peut pas être utilisé, alors téléchargement de WSUSSCAN.CAB Comparaison de la version de l’agent dans le .CAB à la version de l’agent WUA Si version inférieure, alors on reprend en 3., puis on essaie de nouveau avec WSUSSCAN.CAB Console MBSA Machine cible

21 Site MU (Microsoft Update)
Analyse avec MBSA 2.0 Microsoft Update Exécution de MBSA depuis un système d’administration, en spécifiant la ou les cibles .CAB hors ligne Site MU (Microsoft Update) Par défaut, tentative avec le serveur WSUS (s’il est assigné) Tentative avec le site MU (par défaut) Si échec avec MU, alors on utilise le fichier .CAB WSUS Si le .CAB actuel n’est pas à jour, télécharger le nouveau Analyse avec le .CAB (API) Si WSUS et MU produisent tous les deux des résultats, les fusionner Console MBSA Utilisation du score par défaut pour les mises à jour non approuvés par WSUS Machine cible

22 Détection de mises à jour MBSA 2.0
Mises à jour de sécurité (aujourd’hui) Windows 2000 SP3 et + IIS 5.0 et + SQL Server 2000 / MSDE et + IE 5.01 SP3 et + Exchange 2000, 2003 et + Windows Media Player 6.4 et + Office XP, 2003 et + MSXML 2.5, 2.6, 3.0, 4.0 MDAC 2.5, 2.6, 2.7, 2.8 Microsoft Virtual Machine (JVM) Mises à jour de sécurité (nouveautés) DirectX .NET Framework Windows Messenger FrontPage Server Extensions Windows Media Player 10 Windows Script 5.1, 5.5, 5.6 Windows Server 2003, 64-Bit Edition Windows XP 64-Bit Edition Windows XP Embedded Edition Nouvelles plateformes Seulement à distance, uniquement pour les mises à jour XP Embedded IA64 Mises à jour seulement X64 Pas disponible tout de suite Service Packs de SQL et Exchange Mises à jour d’Office 2000 Commerce Server Content Mgt Server BizTalk Host Integration Server

23 MBSA – Rapports (GUI)

24 MBSA 2.0 démo

25 Options en ligne de commande
MBSA 1.2.x /hf /h ou /hf /i /c ou /i /hf /x /hf /sus /hf /fip /hf /fh /v MBSA 2.0 /target /catalog /xmlout or /n * /wa /listfile /ld * = OS+IIS+SQL+Motdepasse

26 MBSA 2.0 Analyse sans installation Performance
mbsacli.exe, wsusscan.dll et wsusscan.cab requis pour une analyse hors ligne Performance Possibilité de lancer plusieurs instances simultanément Supportera les CVE-IDs du Mitre quand le contenu sera ajouté à Microsoft Update Connecteur Visio

27 MBSA - Compléments Connecteur Visio Add-in COM pour Visio 2003
Visualisation des résultats MBSA 2 modes : Import des résultats dans le schéma du réseau Lancement du scan directement à partir du schéma

28 MBSA 1.2.1 Fin de support au 31 mars 2006
MSSecure.xml (version MBSA 1.2.1) Ne concerne pas • Microsoft SMS 2.0 avec Software Update Services (SUS) Feature Pack • Microsoft SMS 2003

29 Agenda Vulnérabilité, bulletins et alertes (MSRC)
La gestion des correctifs (WSUS, MBSA) La suppression des intrus (Antispyware, MSRT) La gestion des risques (MSAT)

30 Spectre des logiciels malveillants
COMPORTEMENT DESCRIPTION EXEMPLES Aucun Inoffensif Pas de nuisance potentielle Bloc-notes Publicité Logiciel payé / publicité Pop-ups non autorisés Affichage de publicité Collecte données Barre de recherche Canal caché Collecte de données perso Potentiel de nuisance Changt paramètres Utilitaire de paramétrage Détournement navigateur Changement paramétrage Surveillance Contrôle parental Key loggers Enregistrement clavier Numérotation Logiciel FAI Numéroteur site porno Numérotation automatique Utilisation distante Appli de partage de cycles Porte dérobée Utilisation ressources Malfaisant Extrême Clairement malfaisant Sasser

31 Spectre des logiciels malveillants
COMPORTEMENT DESCRIPTION EXEMPLES Aucun Inoffensif Spyware (logiciel espion) ou autre logiciel indésirable programme qui effectue un certain nombre d’opérations sans le consentement approprié de l’utilisateur Publicité Collecte données Potentiel de nuisance Changt paramètres Surveillance Numérotation Utilisation distante Virus, vers, chevaux de Troie Programmes ayant des activités malfaisantes Malfaisant Extrême

32 Quelques idées de l’ampleur
La cause d’au moins 1/3 de tous les crashes des applications Windows1 Problème majeur chez les OEMs : la cause numéro 1 des appels au support chez Dell2 Consommateurs 91 % des utilisateurs de l’Internet haut débit sont affectés3 En moyenne : 5+ « spyware » /  « adware » par machine4 Entreprise 5 92 % des managers des DI interrogés pensent que leurs sociétés ont des « spyware » 1Analyses MS Watson/OCA, Jan-Mar 2004 2FTC Workshop, Avril 2004 3,4NCSABroadband Consumer Survey, Earthlink Spy Audit, Avril 2004 5Websense Survey, Avril 2004

33 Microsoft Windows AntiSpyware
Lutte contre les logiciels espions Microsoft Windows AntiSpyware Aide à protéger les utilisateurs de Windows contre les logiciels espions et autres logiciels non désirés Détection et suppression des spywares / logiciels indésirables 9 agents en temps réel (dont Internet Explorer) Analyses planifiées Arrêt des dernières menaces Communauté SpyNet : identifier les nouveaux spywares Mise à jour automatique des signatures

34 Windows Defender démo

35 Windows Defender Plus de 25 millions de téléchargements
Retours positifs Signatures anti-spyware mises à jour toutes les semaines Site Microsoft Anti-spyware

36 Evolution de l’Anti-spyware
Windows Client Windows Defender Détection et suppression des spywares Protection continue Défenses à jour En entreprise Déploiement centralisé (client et signatures) Rapports étendus Options de configuration et contrôle Admin des signatures

37 Outil de suppression des logiciels malfaisants (MSRT)
Complémente les technologies traditionnelles des Antivirus en fournissant un outil qui supprime virus et vers les plus répandus Mise à jour tous les mois pour supprimer les nouveaux logiciels malfaisants Ciblé vers les consommateurs sans antivirus Déployable en entreprise comme partie intégrante d’une stratégie de défense en profondeur Disponible à travers Windows Update Auto Update Interface en ligne (ctrl ActiveX sur Download Center

38 Outil de suppression des logiciels malfaisants
Remplace toutes les versions précédentes des logiciels d’éradication de codes malfaisants produits par Microsoft Cible Blaster, Sasser, MyDoom, DoomJuice, Zindos, Berbew (aussi connu comme Download.Ject), Gaobot, Nachi, Sober, Zorob Disponible dans les 23 langues supportés par Windows XP

39 Agenda Vulnérabilité, bulletins et alertes (MSRC)
La gestion des correctifs (WSUS, MBSA) La suppression des intrus (Antispyware, MSRT) La gestion des risques (MSAT)

40 Pas simplement des technos…

41 Les 3 facettes de la sécurité
Technologies OS Annuaire Correctifs IPSEC Kerberos PKI Chiffrement de fichiers SSL/TLS Clusters Détection d’intrusion Gestion de systèmes Supervision Pare-feu Antivirus Archivage Politique d’accès Installation Réparation Gestion des événements Gestion des perfs Gestion du Changement / de la Configuration Processus Restauration Sauvegarde Réponse à Incident Évaluation de risques Architecture sécurisée Personnes Admin. de l’Entreprise Admin. Du Domaine Service/ Support Développeur Utilisateur

42 Microsoft Security Risk Self-Assessment Tool
Évaluer les faiblesses de votre environnement en matière de sécurité informatique Questionnaire détaillé Traite infrastructure, applications, opérations et personnel Multilangue, mise à jour en ligne Possibilité de comparaison anonyme

43 MSAT démo

44 Publications Microsoft
Guides de sécurité pour le poste de travail:

45 Publications Microsoft
Guides de sécurité pour les serveurs:

46 Abonnez-vous Flash Sécurité : Grand public : IT Pro : Alerte et Bulletins RSS Feed, Instant Messaging, Notification Service (+ Comprehensive)

47 Ressources Général (Abonnements bulletins, alertes, newsflash)
Security Guidance Center : Outils : Comme l’informatique Interne de Microsoft sécurise-t-elle Microsoft ? E-Learning Clinics : Événements et Webcasts : Hotline sécurité : code 55

48 Nous sommes tous des ingénieurs support
Pour notre famille Pour nos amis Pour nos voisins

49

50 La sécurité informatique à la maison

51 Windows Live Safety Center (beta)

52 Microsoft France 18, avenue du Québec Courtaboeuf Cedex