With the advent of organized cybercrime, malware authors are constantly looking for new strategies to defeat AV solutions. The increase in adoption of polymorphism, code obfuscation and packing, as well as the rise in sophistication of drive-by-downloads and C&C server communications, has made traditional AV industry’s technologies less effective.

In this talk, we propose a new system based on machine learning for real-time detection of new malware downloads, including files and URLs from which these files originated from. Our system uses a combination of system- and network-level information collected at endpoint to build a tripartite graph and to implement a graph-based machine-learning classifier. The content-agnostic approach and statistical-based classifier overcomes the limitation of existing solutions like static and dynamic code analysis, and allows fast and real-time identification on new threats.

Nous présenterons l’état de la menace que représentent les malware Android et nous ferons le point sur les techniques classiques d’analyse de malware. Nous nous intéresserons plus particulièrement à l’utilisation du suivi de flux d’information dans l’analyse dynamique de ces malware. Enfin, nous nous attarderons sur les mécanismes de défense de ces malware contre les différentes techniques d’analyse.

La Loi de Programmation Militaire s’appliquant désormais sur les Opérateurs d’Importance Vitale, le Grand Port Maritime de Rouen partage son expérience sur le démarrage du processus de mise en conformité. Quelles sont les contraintes rencontrées, et quels sont les axes principaux de mise en place de la LPM au Port de Rouen.

Au-delà de l’aspect technique, la détection est réalisée au sein d’une organisation, et s’inscrit dans des processus. Les performances et l’efficacité peuvent varier selon les conditions de réalisation, notamment les deux niveaux de gestion : technique et chaine de commandement. Le scénario proposé prévoit un incident majeur à traiter. L’immersion dans un environnement réaliste (événements, configurations, outils, scénario, etc.) doit amener les participants à prendre en compte l’organisation, la planification, la conduite des opérations en parallèle avec les investigations techniques et de renseignement. La présentation décrira les moyens déployés pour la réalisation de ce type d’exercice.

En s’inspirant de l’approche militaire et en l’adaptant à la cyberdefense, DCI a conçu avec des experts, les protocoles, les supports, les processus , les données techniques et d’environnement : déclencheurs, base de temps, flux réseau, données de compromission, malware, etc.

Ce type d’exercice est utile pour comprendre les interactions au sein d’une organisation soumise à des conditions de crise. Il permet également de mieux appréhender les phases de conception d’un SOC (définition, interfaces, déploiement), incluant le volet humain (postes, profils, formations, expériences, évaluation).

La notion d’architecture de sécurité existe depuis de nombreuses années maintenant. Les principes qui en découlent sont largement connus et constituent le socle de la lutte informatique défensive. Leur mise en œuvre permet (théoriquement) de garantir une protection sans faille des actifs de l’organisation. Pourtant, les cas de compromission se multiplient et les volumes de données exfiltrées se comptent au minimum en giga-octets. Est-ce alors le signe de son échec ?

À partir d’un cas concret (l’hébergement d’un site Internet), nous verrons comment appliquer le concept de « défense en profondeur » pour offrir un niveau de sécurité maximal. La complexité de sa mise en œuvre, ainsi que les contraintes qui en découlent seront mises en évidence à cette occasion. Il sera alors possible d’appréhender les limites du modèle et de mieux comprendre pourquoi ce qui paraît simple et redoutablement efficace sur le papier, se révèle l’être beaucoup moins confronté à la réalité du terrain.

Alors que les menaces se font de plus en plus précises et que les solutions purement défensives montrent jour après jour leurs limites, la détection et la réponse aux incidents de sécurité se doivent désormais de faire partie de l’arsenal des défenseurs. Durant cette présentation, en nous basant sur les référentiels PRIS et PDIS de l’ANSSI ainsi que sur des travaux de recherche de ces dernières années, nous montrerons que ces deux activités rentrent actuellement dans leur phase de maturité et nous tenterons d’en identifier les prochaines évolutions.

Alors que les menaces se font de plus en plus précises et que les solutions purement défensives montrent jour après jour leurs limites, la détection et la réponse aux incidents de sécurité se doivent désormais de faire partie de l’arsenal des défenseurs. Durant cette présentation, en nous basant sur les référentiels PRIS et PDIS de l’ANSSI ainsi que sur des travaux de recherche de ces dernières années, nous montrerons que ces deux activités rentrent actuellement dans leur phase de maturité et nous tenterons d’en identifier les prochaines évolutions.

Malgré une mobilisation globale inégalée et des initiatives tous azimuts depuis quelques années, la mise en mouvement des organisations et entreprises au niveau Cyber Défense et Sécurité Opérationnelle reste très insuffisante, les résultats constatés étant bien maigres et les frustrations souvent perceptibles au sein de la profession dans de nombreux pays. L’objectif de l’intervention est ainsi de présenter de nouvelles pistes pour remédier à cette situation, et en particulier une démarche quantitative novatrice organisée autour d’un jeu complet d’indicateurs afin d’évaluer l’efficacité des mesures de sécurité prises.

Ces indicateurs, notamment standardisés dans le cadre de l’initiative ETSI ISI issue des travaux du Club R2GS, doivent être idéalement situés au carrefour de la gouvernance et de l’expertise sécurité. En combinant autour de ceux-ci des approches “top-down” et “bottom-up”, il est possible de stimuler de nombreux usages, tant globaux et managériaux au niveau de l’entreprise que techniques au niveau des SOCs et de l’administration locale, et de faciliter la mobilisation de l’entreprise pour sa cyber défense