Cybersécurité All Day

Seconde partie de mon échange avec Matthieu BILLAUX, Cyber trainer chez Seela, et vainqueur du CTF français du SANS en 2021.✅ CONTENU✅(01:23) - Différents enjeux pour tous/toutes(04:37) - Différents niveaux d’intensité.(08:17) - Un exemple de fun/teasing entre compétiteurs(12:00) - Les CTF aident à se forger un mental(14:13) - “It’s like hacker olympics” (entendu dans la série Mr Robot, à propos des CTF)(17:53) - Idée reçue N1 : “Les CTF ne représentent que des techniques offensives”(20:15) - Idée reçue N2 : “C’est impossible de commencer sans préparation” + l’importance de s’entourer.(22:31) - Idée reçue N3 : “Quelqu’un qui est bon en CTF, est donc bon en pentest (par ex). Et inversement”.(25:26) - Cas réel dans lequel l'expérience CTF de Matthieu lui a servi dans son travail : hacker une webcam connectée(32:57) - Où pratiquer les CTF ?(36:49) - L’idée forte à retenir✴️ Retrouver Matthieu BILLAUX, :Tous les liens pour le retrouver : https://into.bio/euz✴️ Me retrouverLinkedIn : https://bit.ly/Michael-VirgoneSite web : https://www.cybersecuriteallday.fr/Email: michael@cybersecuriteallday.fr⏩ Si vous avez aimé le contenu de cet épisode :👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4Michael

Première partie de mon échange avec Matthieu BILLAUX, Cyber trainer chez Seela, et vainqueur du CTF français du SANS en 2021.✅ CONTENU✅(03:21) - Les Capture The Flag (CTF) c’est quoi ?(05:21) - Pourquoi proposer des CTF à ses équipes ?(11:09) - Les CTF sont un bon moyen d'intéresser ses équipes à la sécurité (ex: les développeurs, etc).(15:36) - Les CTF permettent de monter en compétences dans un environnement contrôlé (parallèle avec les sports de combat, sparring à l'entraînement vs combats dans la rue).(18:35) - “It is better to be a warrior in a garden, than a gardener in a war”.(21:20) - Candidats : utiliser son expérience CTF pour mettre son profil en avant et se démarquer + Recruteurs : déceler une passion à travers leur expérience CTF.(26:33) - L'intérêt de faire des CTF (ne serait-ce de temps en temps) pour les personnes qui font de la sécurité organisationnelle (pour mieux comprendre les risques, etc).(28:39) - Recruteurs : les CTF peuvent servir à aborder la méthode de résolution des problèmes des candidats, voire même de la tester en direct.(34:02) - Exemple de Sogeti qui a lancé son équipe semi-professionnelle de CTF “Sogeti Aces of Spades”, en octobre 2019.(37:42) - Autre exemple réel. D’une entreprise qui a utilisé les CTF pour faire monter les compétences sécurité de leurs développeurs.✴️ Retrouver Matthieu BILLAUX, :Tous les liens pour le retrouver : https://into.bio/euz✴️ Me retrouverLinkedIn : https://bit.ly/Michael-VirgoneSite web : https://www.cybersecuriteallday.fr/Email: michael@cybersecuriteallday.fr⏩ Si vous avez aimé le contenu de cet épisode :👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4Michael

Seconde partie de mon échange avec Valéry Rieß-Marchive, Rédacteur en chef chez le LeMagIT.Rapide note 👉cette fois-ci l'audio est de bien meilleure qualité en comparaison à la première partie (épisode de la semaine dernière).Enjoy.✴️ Retrouver Valéry RIEB-MARCHIVE, :LinkedIn : https://bit.ly/3sNTdxSLeMagIT : https://bit.ly/3MskKg7✴️ Me retrouverLinkedIn : https://bit.ly/Michael-VirgoneSite web : https://www.cybersecuriteallday.fr/Email: michael@cybersecuriteallday.fr⏩ Si vous avez aimé le contenu de cet épisode :👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4Michael

Première partie de mon échange avec Valéry Rieß-Marchive, Rédacteur en chef chez le LeMagIT.Rapide note 👉 malheureusement j'ai eu des soucis avec l'une des pistes audio, j'ai fais de mon mieux pour atténuer les craquements mais je vous conseil de baisser un peu le volume si cela vous dérange trop.✅ CONTENU✅(01:28) - Possibles raisons de vouloir être transparent : pouvoir travailler de manière plus sereine car moins de sollicitations + cela permet de recevoir de l’aide.(05:20) - Possibles raisons de ne pas vouloir être pleinement transparent dès le départ.(08:33) - Le degré de transparence relatif des collectivités territoriales.(15:52) - Plus qu’important, il est essentiel pour les fournisseurs de services IT en général d’être transparent.(19:42) - Attention aux éléments de communication qui risquent d’être reniés par la suite.(23:33) - Le message "L'investigation est en cours".(26:38) - Le message "Nous avons un incident technique”.(28:56) - Exemple d’un décalage entre les informations divulguées publiquement et celles divulguées en interne.(32:02) - L’idée forte à retenir.✴️ Retrouver Valéry RIEB-MARCHIVE, :LinkedIn : https://bit.ly/3sNTdxSLeMagIT : https://bit.ly/3MskKg7✴️ Me retrouverLinkedIn : https://bit.ly/Michael-VirgoneSite web : https://www.cybersecuriteallday.fr/Email: michael@cybersecuriteallday.fr⏩ Si vous avez aimé le contenu de cet épisode :👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4Michael

Dans cette discussion captivante, Rachid EL ALAOUI, Dirigeant et co-fondateur d'Amn Brains, explore les meilleures pratiques autour de la méthode EBIOS Risk Manager. Il aborde la création d'un socle de sécurité adapté aux spécificités des systèmes d'information et l'importance de scénarios opérationnels détaillés. Rachid souligne aussi la complexité d'identifier les parties prenantes et la nécessité de comprendre son système d'information. De plus, il fait une distinction essentielle entre risques accidentels et délibérés dans le cadre de la cyber-sécurité.

Première partie de mon échange avec Rachid EL ALAOUI, Dirigeant et Co-fondateur de Amn Brains. Et membre du Club EBIOS.✅ CONTENU✅(05:13) - Les blogs de Rachid à propos de l’EBIOS RM(06:24) - EBIOS 2010 et EBIOS RM(08:34) - L’utilité de la méthode dans un programme cyber + l’approche par conformité et l’approche par les risquesLES 5 ATELIERS DE L’EBIOS RM(12:46) - L’atelier 1 / Cadrage / Socle de sécurité(22:47) - L’atelier 2 / Sources de risques(25:24) - L’atelier 3 / Scénarios stratégiques et 4 / Scénarios opérationnels(28:29) - L’atelier 4 (plus dans le détail)(31:03) - L’atelier 5 / Traitement du risque(34:55) - L’idée reçue que l’EBIOS RM est une méthode lourde et contraignante(39:16) - L’autre point fort de la méthode est de pouvoir s'adresser aux personnes de l'opérationnel ainsi qu’aux donneurs d'ordre(40:48) - Le message à retenir✴️ Retrouver Rachid EL ALAOUI :LinkedIn : https://bit.ly/3HylmxTLe blog d'Amn Brains : https://bit.ly/3Gvh35f✴️ Me retrouverLinkedIn : https://bit.ly/Michael-VirgoneSite web : https://www.cybersecuriteallday.fr/Email: michael@cybersecuriteallday.fr⏩ Si vous avez aimé le contenu de cet épisode :👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4Michael

Seconde partie de mon échange avec Rémi LAVEDRINE, Head of Application Security chez Chanel et co-fondateur de Wild & Secure.✅ CONTENU✅(01:15) - La vision DevSecOps de Rémi & pourquoi les outils sont importants dans celle-ci.(07:36) - Philisophie : la sécurité est un sous-ensemble de la qualité.(11:25) - Le SAST - Static Application Security Testing, DAST - Dynamic Application Security Testing et IAST - Interactive Application Security Testing.(17:22) - Le SCA - Software Composition Analysis + exemples de son importance avec des cas réels + le risque des nouvelles versions opensource volontairement malveillantes.(23:09) - Le RASP - Runtime Application Self-Protection + exemple d’un cas réel + la métaphore du donjon.(26:37) - La métaphore du donjon. La complémentarité du WAF et RASP + le RASP la dernière ligne de défense.(28:48) - Quelles priorités en termes d’outils ? En rapport à la maturité des équipes et leur appétance à travailler sur des sujets de sécurité.(33:25) - Comment retrouver Rémi + son channel YouTube (note: le lien est disponible ci-dessous).✴️ Retrouver Rémi LAVEDRINE :LinkedIn : https://bit.ly/31JLbf1Son channel YouTube : https://bit.ly/330ndgg✴️ Me retrouverLinkedIn : https://bit.ly/Michael-VirgoneSite web : https://www.cybersecuriteallday.fr/⏩ Si vous avez aimé le contenu de cet épisode :👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4Michael

Première partie de mon échange avec Rémi LAVEDRINE, Head of Application Security chez Chanel et co-fondateur de Wild & Secure.✅ CONTENU✅(02:22) - À propos du channel YouTube de Rémi(04:40) - Partage de document : cacher les infos non nécessaires, ne partager que le strict minimum + exemples des agents immobiliers, des watermarks et “barres noires” sur les documents(12:19) - Utilisation de cartes bancaires jetables / temporaires (pour éviter les fraudes à la CB, etc)(17:47) - Utilisation de numéros de téléphones temporaires (pour limiter les risques de sim swapping, éviter de se faire spammer, réduire les risques de harcèlement, etc)(23:37) - Faire preuve de bon sens = ne pas donner des infos temporaires à sa banque, aux impôts… Infos temporaires, pour un usage temporaire. Le bon outil, au bon moment.(26:05) - Contacts avec des recruteurs + emails temporaires et/ou "adresses email poubelles”(30:43) - Quelques rappels de base(35:23) - L'idée forte à retenir✴️ Retrouver Rémi LAVEDRINE :LinkedIn : https://bit.ly/31JLbf1Son channel YouTube : https://bit.ly/330ndgg✴️ Me retrouverLinkedIn : https://bit.ly/Michael-VirgoneSite web : https://www.cybersecuriteallday.fr/⏩ Si vous avez aimé le contenu de cet épisode :👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4Michael

Seconde partie de mon échange avec Sarka Pekarova, Security consultant chez Dreamlabs Technologies.⚠️ Dernier podcast de 2021, reprise officielle le mardi 11 janvier 2022 ⚠️✅ CONTENU✅(01:46) - La communication non verbale dans le cadre du social engineering.(07:24) - Ce ne sont que des indications au mieux, et non pas une vérité universelle.(09:28) - Analyser le langage corporel de ses interlocuteurs pour en tirer avantage.(12:00) - Certains des aspects les plus importants de l'ingénierie sociale. Les micro expressions, la psychologie etc.(15:38) - L'exemple parfait avec le film "Catch me if you can" ("Arrête-moi si tu peux" en français).(17:44) - Les parties du corps les plus honnêtes et les plus compliquées à "fake".(23:04) - Tirer avantage de l'espace personnel des gens.(26:20) - Cas réel de la communication non verbale dans le cadre d'une mission d'ingénierie sociale.(31:18) - Qui former dans son entreprise aux risques d'attaques de type d''ingénierie sociale ?(32:55) - L'idée à retenir.✴️ Retrouver Sarka PEKAROVA:LinkedIn : https://bit.ly/327QJzN✴️ Me retrouverLinkedIn : https://bit.ly/Michael-VirgoneSite web : https://www.cybersecuriteallday.fr/⏩ Si vous avez aimé le contenu de cet épisode :👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4Michael

Première partie de mon échange avec Sarka Pekarova, Security consultant chez Dreamlabs Technologies.Edit : il est possible qu'il y ait un décalage de +/- 10 secondes sur le timing de certains temps de passages (à la réécoute sur différents supports le timing est différent 🤷‍♂️)✅ CONTENU✅(02:56) - Premier jour en tant que social engineer(04:30) - Préparation : comment rentrer et comment sortir sans se faire attraper(05:51) - Fin de mission debrief(07:36) - Sarka tout premier jour en tant que social engineer dans le cadre de son travail(13:06) - Les outils que Sarka utilise (fake ID, etc)(17:14) - Beaucoup de concepts de marketing et de vente sont parfaits pour faire de l'ingénierie sociale(20:12) - Les différents types de social engineers(22:01)- Bien faire comprendre que c'est beaucoup et avant tout, de la préparation(27:47) - Exemple : comment tirer avantage de certains biais cognitifs pour rentrer quelque part(31:04) - L'importance de se dissocier de sa propre identité et de se créer un alter ego(39:22) - L'idée forte à retenir✴️ Retrouver Sarka PEKAROVA:LinkedIn : https://bit.ly/327QJzN✴️ Me retrouverLinkedIn : https://bit.ly/Michael-VirgoneSite web : https://www.cybersecuriteallday.fr/⏩ Si vous avez aimé le contenu de cet épisode :👉ma newsletter (gratuite) : https://bit.ly/3EDGBg3 🔥👉laissez votre avis via mon site 💎 : https://bit.ly/3k4cKp4Michael