Pentesting et périmétrique : querelle d'experts - Actualités CSO Documentation

Pentesting et périmétrique : querelle d'experts

le 24/04/2008, par Marc Olanié, Documentation, 504 mots

Avec un « léger temps de latence » - presque 3 ans tout de même - David Maynor réagit à un article de Markus Ranum (le patron technique de Tenable). Un article commenté dans les colonnes de CSO en septembre 2005, et qui conserve un solide fond de vérités « éternelles et toujours vraies ». Et parmi ces vérités, quelques remarques acides contre l'image d'absolue nécessité des tests de pénétration. Le pentest est-il utile ? Ne sert-il pas à justifier des investissements inconsidérés pour constituer une chaine de défense périmétrique encore plus étanche ? Et les arguments les plus solides de s'accumuler. Le pentest est un peu comme la langue d'Esope, la meilleure et la pire des choses, même les plus chevronnés pratiquants de ce sport le clament bien haut. C'est là une méthode qui n'a de valeur qu'en fonction de l'expérience du testeur et de l'interprétation qu'il donnera des résultats. Voir à ce sujet les écrits d'un expert Français bien connu vivant sur les rivages de Floride ou l'impressionnant travail de vulgarisation et d'information de Jérome Athias à propos de Metasploit. Le pentest est pourtant une étape de validation nécessaire dès lors que la complexité des infrastructure fait en sorte que deviennent douteuses même la plus aboutie des normes, le plus strict audit de bonnes pratiques, le plus fidèle respect des politiques de sécurité. C'est le « test routier » du garagiste qui vient d'intervenir sur le système de freinage, c'est la religion du « test destructif » pratiqué par la quasi-totalité des industries depuis l'invention du biface Levallois (-300 000 avant J.C.). L'article de David Maynor est d'un très grand intérêt. Non pas parce qu'il réchauffe une querelle aussi vieille que l'idée du hacking éthique opposé à une vision systémique et méthodologique de la défense, mais précisément parce qu'il replace dans le contexte contemporain la dualité de ces conceptions apparemment opposées. Or, rien n'oppose, en fait, une approche empirique et concrète de la sécurité -je tape dessus pour savoir si « çà » résiste- et son pendant analytique -je pense à me fabriquer une armure en prévoyant la taille du gourdin qui risque de me faire du mal-. Une chose, cependant, échappe à la fois à Maynor et à Ranum. L'humain. Un humain, y compris l'homo informaticus primaire, qui apprend à préserver sa vie. Il côtoie tous les jours des milliers de menaces, et son comportement n'est plus celui d'un primo-informatisé venant d'acheter un IBM PC à base de 8088 à 4 MHz et 64 Ko de mémoire centrale. Il s'adapte, accepte de porter certaines protections -certes, moins rapidement que ne le souhaiteraient les RSSI-, mais il exige, au prix d'un risque parfois plus élevé, de vivre sa vie sans trop de contraintes. Ce qui s'oppose à une « bonne politique de sécurité », c'est généralement la souplesse d'utilisation, la liberté d'action. Qu'il s'agisse de la vision élitiste de Markus Ranum ou de l'approche technologique de Maynor, toutes deux reposent sur une défense périmétrique conséquente... et donc souvent capable d'entraver à la fois le système et l'élément humain. Man muss gefährlich leben. Car sans danger, point d'expérience, sans expérience, point d'évolution.

Un livre indispensable pour tout comprendre sur la virtualisation des...

La recomposition du secteur des télécoms et des réseaux n'est pas un vain mot, chacun connaît l'aspect opérateur avec la vente très médiatisée de SFR, mais côté réseaux tous les acteurs changent également....

le 05/05/2014, par Didier Barathon, 433 mots

Les plus de 50 ans tiennent les rênes des sociétés IT et télécoms en...

La question des successions est souvent agitée dans les télécoms en particulier chez les installateurs et intégrateurs. En fait, le monde de l'IT dans son ensemble est touché comme le prouve l'étude du cabinet...

le 18/09/2013, par Fabrice Alessi, 373 mots

Le marché de la sécurité ne connait pas la crise

Les ventes de solutions de sécurité informatiques devraient croître de plus de 7% par an entre 2012 et 2017 pour atteindre à cette date les 30 Md$, prévoit le cabinet d'étude Canalys. La sécurité fait figure...

le 14/08/2013, par Fabrice Alessi, 345 mots

Dernier dossier

Les white-box sont-elles l'avenir de la commutation réseau ?

Et si vous pouviez gérer vos commutateurs de centres de données et vos routeurs de la même façon que vos serveurs et ainsi réduire les coûts des dépenses en capital ? C'est la promesse des white-box qui amènent des systèmes d'exploitation réseau open source fonctionnant sur du matériel courant.Pour en avoir le coeur net, nous avons testé Cumulus...

Dernier entretien

Joël Mollo

VP Europe du sud de SkyHigh

« Nous créons un nouveau marché autour de la sécurité du cloud »