Cybersécurité All Day

Seconde partie de mon échange avec Rachid EL ALAOUI, Dirigeant et Co-fondateur de Amn Brains. Et membre du Club EBIOS.

Rapide note 👉 Les prochains podcasts en préparation seront à propos des CTF - Capture The Flag & le suivant à propos de la sécurisation du Blockchain. Posez vos questions pour mes 2 prochains invités sur cet email > [email protected]

✅ CONTENU✅

(01:04) - Le conseil numéro 1 à faire passer

(03:44) - Socle de sécurité - qu’est-ce qu'un socle de sécurité pertinent ?

(07:08) - Socle de sécurité - quelle approche faut-il suivre ?

(10:12) - Scénarios opérationnels - quels sont les résultats visés d’un scénario opérationnel pertinent ?

(12:08) - Scénarios opérationnels - quelques critères d’un scénario operationnel actionnable

(13:31) - Scénarios opérationnels - quel niveau de détails à adopter ?

(16:57) - Scénarios opérationnels - exemples dans la pratique

(21:29) - La problématique des parties prenantes. Entité organisationnelle ou composant technique ?

(23:25) - Dans ce contexte, quelle est la différence entre une partie prenante et un bien support ?

(25:41) - Le niveau de connaissance de son SI requis

(28:42) - Peut-on étudier les risques accidentels dans une étude EBIOS Risk Manager ?

(32:26) - Exemple pratique d’un risque accidentel étudié avec l’EBIOS RM

(34:15) - L’idée à retenir

✴️ Retrouver Rachid EL ALAOUI :

LinkedIn : https://bit.ly/3HylmxT

Le blog d'Amn Brains : https://bit.ly/3Gvh35f

✴️ Me retrouver

LinkedIn : https://bit.ly/Michael-Virgone

Site web : https://www.cybersecuriteallday.fr/

Email: [email protected]

⏩ Si vous avez aimé le contenu de cet épisode :

👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥

👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4

Michael

Première partie de mon échange avec Rachid EL ALAOUI, Dirigeant et Co-fondateur de Amn Brains. Et membre du Club EBIOS.

✅ CONTENU✅

(05:13) - Les blogs de Rachid à propos de l’EBIOS RM

(06:24) - EBIOS 2010 et EBIOS RM

(08:34) - L’utilité de la méthode dans un programme cyber + l’approche par conformité et l’approche par les risques

LES 5 ATELIERS DE L’EBIOS RM

(12:46) - L’atelier 1 / Cadrage / Socle de sécurité

(22:47) - L’atelier 2 / Sources de risques

(25:24) - L’atelier 3 / Scénarios stratégiques et 4 / Scénarios opérationnels

(28:29) - L’atelier 4 (plus dans le détail)

(31:03) - L’atelier 5 / Traitement du risque

(34:55) - L’idée reçue que l’EBIOS RM est une méthode lourde et contraignante

(39:16) - L’autre point fort de la méthode est de pouvoir s'adresser aux personnes de l'opérationnel ainsi qu’aux donneurs d'ordre

(40:48) - Le message à retenir

✴️ Retrouver Rachid EL ALAOUI :

LinkedIn : https://bit.ly/3HylmxT

Le blog d'Amn Brains : https://bit.ly/3Gvh35f

✴️ Me retrouver

LinkedIn : https://bit.ly/Michael-Virgone

Site web : https://www.cybersecuriteallday.fr/

Email: [email protected]

⏩ Si vous avez aimé le contenu de cet épisode :

👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥

👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4

Michael

Seconde partie de mon échange avec Rémi LAVEDRINE, Head of Application Security chez Chanel et co-fondateur de Wild & Secure.

✅ CONTENU✅

(01:15) - La vision DevSecOps de Rémi & pourquoi les outils sont importants dans celle-ci.

(07:36) - Philisophie : la sécurité est un sous-ensemble de la qualité.

(11:25) - Le SAST - Static Application Security Testing, DAST - Dynamic Application Security Testing et IAST - Interactive Application Security Testing.

(17:22) - Le SCA - Software Composition Analysis + exemples de son importance avec des cas réels + le risque des nouvelles versions opensource volontairement malveillantes.

(23:09) - Le RASP - Runtime Application Self-Protection + exemple d’un cas réel + la métaphore du donjon.

(26:37) - La métaphore du donjon. La complémentarité du WAF et RASP + le RASP la dernière ligne de défense.

(28:48) - Quelles priorités en termes d’outils ? En rapport à la maturité des équipes et leur appétance à travailler sur des sujets de sécurité.

(33:25) - Comment retrouver Rémi + son channel YouTube (note: le lien est disponible ci-dessous).

✴️ Retrouver Rémi LAVEDRINE :

LinkedIn : https://bit.ly/31JLbf1

Son channel YouTube : https://bit.ly/330ndgg

✴️ Me retrouver

LinkedIn : https://bit.ly/Michael-Virgone

Site web : https://www.cybersecuriteallday.fr/

⏩ Si vous avez aimé le contenu de cet épisode :

👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥

👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4

Michael

Première partie de mon échange avec Rémi LAVEDRINE, Head of Application Security chez Chanel et co-fondateur de Wild & Secure.

✅ CONTENU✅

(02:22) - À propos du channel YouTube de Rémi

(04:40) - Partage de document : cacher les infos non nécessaires, ne partager que le strict minimum + exemples des agents immobiliers, des watermarks et “barres noires” sur les documents

(12:19) - Utilisation de cartes bancaires jetables / temporaires (pour éviter les fraudes à la CB, etc)

(17:47) - Utilisation de numéros de téléphones temporaires (pour limiter les risques de sim swapping, éviter de se faire spammer, réduire les risques de harcèlement, etc)

(23:37) - Faire preuve de bon sens = ne pas donner des infos temporaires à sa banque, aux impôts… Infos temporaires, pour un usage temporaire. Le bon outil, au bon moment.

(26:05) - Contacts avec des recruteurs + emails temporaires et/ou "adresses email poubelles”

(30:43) - Quelques rappels de base

(35:23) - L'idée forte à retenir

✴️ Retrouver Rémi LAVEDRINE :

LinkedIn : https://bit.ly/31JLbf1

Son channel YouTube : https://bit.ly/330ndgg

✴️ Me retrouver

LinkedIn : https://bit.ly/Michael-Virgone

Site web : https://www.cybersecuriteallday.fr/

⏩ Si vous avez aimé le contenu de cet épisode :

👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥

👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4

Michael

Seconde partie de mon échange avec Sarka Pekarova, Security consultant chez Dreamlabs Technologies.

⚠️ Dernier podcast de 2021, reprise officielle le mardi 11 janvier 2022 ⚠️

✅ CONTENU✅

(01:46) - La communication non verbale dans le cadre du social engineering.

(07:24) - Ce ne sont que des indications au mieux, et non pas une vérité universelle.

(09:28) - Analyser le langage corporel de ses interlocuteurs pour en tirer avantage.

(12:00) - Certains des aspects les plus importants de l'ingénierie sociale. Les micro expressions, la psychologie etc.

(15:38) - L'exemple parfait avec le film "Catch me if you can" ("Arrête-moi si tu peux" en français).

(17:44) - Les parties du corps les plus honnêtes et les plus compliquées à "fake".

(23:04) - Tirer avantage de l'espace personnel des gens.

(26:20) - Cas réel de la communication non verbale dans le cadre d'une mission d'ingénierie sociale.

(31:18) - Qui former dans son entreprise aux risques d'attaques de type d''ingénierie sociale ?

(32:55) - L'idée à retenir.

✴️ Retrouver Sarka PEKAROVA:

LinkedIn : https://bit.ly/327QJzN

✴️ Me retrouver

LinkedIn : https://bit.ly/Michael-Virgone

Site web : https://www.cybersecuriteallday.fr/

⏩ Si vous avez aimé le contenu de cet épisode :

👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥

👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4

Michael

Première partie de mon échange avec Sarka Pekarova, Security consultant chez Dreamlabs Technologies.

Edit : il est possible qu'il y ait un décalage de +/- 10 secondes sur le timing de certains temps de passages (à la réécoute sur différents supports le timing est différent 🤷‍♂️)

✅ CONTENU✅

(02:56) - Premier jour en tant que social engineer

(04:30) - Préparation : comment rentrer et comment sortir sans se faire attraper

(05:51) - Fin de mission debrief

(07:36) - Sarka tout premier jour en tant que social engineer dans le cadre de son travail

(13:06) - Les outils que Sarka utilise (fake ID, etc)

(17:14) - Beaucoup de concepts de marketing et de vente sont parfaits pour faire de l'ingénierie sociale

(20:12) - Les différents types de social engineers

(22:01)- Bien faire comprendre que c'est beaucoup et avant tout, de la préparation

(27:47) - Exemple : comment tirer avantage de certains biais cognitifs pour rentrer quelque part

(31:04) - L'importance de se dissocier de sa propre identité et de se créer un alter ego

(39:22) - L'idée forte à retenir

✴️ Retrouver Sarka PEKAROVA:

LinkedIn : https://bit.ly/327QJzN

✴️ Me retrouver

LinkedIn : https://bit.ly/Michael-Virgone

Site web : https://www.cybersecuriteallday.fr/

⏩ Si vous avez aimé le contenu de cet épisode :

👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥

👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4

Michael

Troisième épisode avec Florence FENIOU - Consultant en Intelligence Économique & DPO chez Bee's Eye.

✅ CONTENU✅

(02:25) - La relation entre l'Intelligence Économique (IE), l'ISO 27001 et le RGPD

(05:25) - Idée reçue n*1 : "Souvent les gens confondent bonnes pratiques et conditions/règles absolues à suivre à la lettre"

(09:13) - L'idée reçue n*2 qui est associée à l'aspect marketing de l'ISO 27001

(14:09) - Idée reçue n*3 : "On va l’implementer en quelques mois"

(18:03) - Devenir certifié ISO 27001 pour "cocher des cases" ?

(21:31) - Idée reçue n*4 : "L'on va laisser l'IT prendre seule la charge de ce projet"

(28:17) - Idée reçue n*5 : "Cette norme c'est simplement de la documentation"

(33:46) - La notion d'engagement/responsabilité de ce que veut dire être certifié IS0 27001

(35:01) - L'avis de Florence à propos de l'EBIOS Risk Manager (note: qui sera le sujet d'un prochain podcast avec Rachid El Alaoui)

(38:44) - L'idée à retenir de cet échange

✴️ Retrouver Florence FENIOU:

LinkedIn : lien ici

Son site Bee's Eye - lien ici

✴️ Me retrouver

LinkedIn : https://bit.ly/Michael-Virgone

Site web : https://www.cybersecuriteallday.fr/

⏩ Si vous avez aimé le contenu de cet épisode :

👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥

👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4

Michael

Seconde partie de mon échange avec Stéphane Bortzmeyer - Spécialiste DNS à l’AFNIC.

✴️ Retrouver Stéphane BORTZMEYER

Son Twitter : lien ici

✴️ Me retrouver

LinkedIn : https://bit.ly/Michael-Virgone

Site web : https://www.cybersecuriteallday.fr/

⏩ Si vous avez aimé le contenu de cet épisode :

👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥

👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4

Michael

Première partie de mon échange avec Stéphane Bortzmeyer - Spécialiste DNS à l’AFNIC.

✅ CONTENU✅

(01:59) - L'aspect opérationnel des noms de domaines

(06:59) - "Si le DNS tombe, tout tombe"

(11:16) - Le DNS est un sujet trop négligé, même dans les boites du CAC40

(15:01) - Culture opérationnelle des services juridiques et com, des noms de domaines

(16:56) - Exemples qui illustrent bien un manque de prise en compte des enjeux liés aux noms de domaines

(23:32) - Les solutions de supervision

(30:51) - DoS, DDoS et détournements de noms

✴️ Retrouver Stéphane BORTZMEYER

Son Twitter : lien ici

✴️ Me retrouver

LinkedIn : https://bit.ly/Michael-Virgone

Site web : https://www.cybersecuriteallday.fr/

⏩ Si vous avez aimé le contenu de cet épisode :

👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥

👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4

Michael

Mon invité du jour est Florent CURTET - Directeur de Neo Cyber, société spécialisée en Cyber renseignement, Red team et pentest.

✅ CONTENU✅

(04:57) - Les différents groupes d'attaquants

(12:03) - Les ransom cartels

(15:13) - 3 aspects du business model des attaquants

(20:11)- Ransomware as a Service (RaaS), Deep web, Dark web

(24:15) - Un écosystème complet

(26:03) - PrintNightmare - CVE-2021-1675

(32:09) - Les casiers ransomware + les groupes APT

(36:58) - Le réseau tentaculaire des ransomgangs

(40:41) - La tendance actuelle des ransomware

(44:28) - L'idée forte à retenir

✴️ Retrouver Florent CURTET

Son profil LinkedIn : lien ici

Neo Cyber - sa société : lien ici

✴️ Me retrouver

LinkedIn : https://bit.ly/Michael-Virgone

Site web : https://www.cybersecuriteallday.fr/

⏩ Si vous avez aimé le contenu de cet épisode :

👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥

👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4

Michael