SlideShare une entreprise Scribd logo
[SEC109] Outils et ressources gratuites pour la sécurité Pascal Sauliere Architecte, Microsoft France http://blogs.technet.com/pascals
Présentation Gestion des mises à jour Évaluation des risques Contre les virus et logiciels malveillants Guides et conseils Ressources SDL
Point de départ :http://www.microsoft.com/france/securite
Gestion des mises à jour
déploiement d’une mise à jour=seul moyen efficace d’éliminer une vulnérabilité
TechCenter Gestion des mises à jourhttp://technet.microsoft.com/fr-fr/updatemanagement
Guide Microsoft des mises àjour de sécurité …aider les professionnels de l’informatique à comprendre, utiliser et maximiser tous les conseils, communications, programmes et services que Microsoft diffuse, afin de gérer le risque et de développer un mécanisme de déploiement reproductible et efficace pour les mises à jour de sécurité.
Guide Microsoft des mises àjour de sécurité Proposition de processusconcret Utilisation de WSUS ou SCCM
Bulletins de sécurité Publiés le deuxième mardi du mois Points centraux de référence Liens vers les mises à jour Liens vers les Articles de la Base de connaissances Indiquent Synthèse - criticité Logiciels affectés Facteurs atténuants Solutions de contournement Forum aux questions Informations de mise à jour
Bulletins de sécurité Avant publication Préavis 3 jours ouvrés avant Nombre de bulletins, niveau de criticité, aperçu des produits affectés Publication 2ème mardi du mois ~19h Correctifs publiés sur le centre de téléchargement et sur les sites Microsoft de mise à jour Notifications envoyées par courriel http://www.microsoft.com/france/securite/newsletters.mspx
Calendrier des bulletins de sécurité
Phase d’évaluation et de planificationClassification de chaque correctif Définir le niveau de priorité du correctif Critique, important, modéré ou faible Élever ou abaisser le niveau de priorité en fonction du risque, des actifs à protéger et des facteurs d’atténuation
Indice d'exploitabilité
Bulletins de sécurité Après la publication Webcast d’information sur les bulletins publiés http://www.microsoft.com/france/technet/security/bulletin/webcasts.mspx Suivi des éventuels problèmes client par le support Évolution du contenu
Microsoft Baseline Security Analysis (MBSA) Console MBSA. Spécification des machines à analyser 2.	Fichiers WSUSSCN2.cab et agent des mises à jour Windows téléchargés depuis Microsoft Update (signature vérifiée) Microsoft Update 3.	Examen des systèmes cibles par l’intermédiaire du service Mises à jour automatiques local MBSA 4.	Génération du rapport daté indiquant les correctifs manquants
MBSA MBSA 2.1.1 : support de Windows 7 et 2008 R2 Connecteur Visio 2007 pour MBSA 2.1
Windows Server Update Services 3.0 Avantages à utiliser WSUS 3.0 L’agent est déjà installé sous Windows Configuration du client grâce aux stratégies de groupe Nécessite peu de ressources pour être administré Fiable, documenté, scriptable Gratuit ! WSUS peut être associé aux outils d’inventaire existants (ex. MBSA) Version actuelle : WSUS 3.0 SP2 Guides de déploiement et d’administration :http://technet.microsoft.com/en-us/wsus/default.aspx Contenu (mises à jour) de WSUS : http://support.microsoft.com/kb/894199
Architecture WSUS Microsoft Update Serveur WSUS Administrateur Test Serveurs Stations de travail Pilote
Aussi sur notre site Web Moteur de recherchehttp://www.microsoft.com/technet/security/bulletin Images ISOhttp://support.microsoft.com/kb/913086
Évaluation des risques
Microsoft Security Assessment Tool (MSAT) Outil en français 200 questions sur l’infrastructure, les applications la production les équipes Basésur des standards (ISO 27002, NIST 800-x) Identifier les faiblesses sécurité de l’organisation Prioriser pour réduire le risque Rapports, comparaison avec la moyenne du secteur d’activité Permet de suivre l’évolution
Processus MSAT Profil de risque Évaluation Rapport
Contre les virus et logiciels malveillants
Malicious Software Removal Tool (MSRT) L’outil de nettoyage le plus répandu Téléchargé et exécuté par l’agent des mises à jour automatiques (analyse rapide)
Malicious Software Removal Tool (MSRT) Une mise à jour par mois Supprime les familles les plus actives (ex. Conficker) http://support.microsoft.com/kb/890830 http://microsoft.com/france/securite/malwareremove
Microsoft Security Essentials Antimalware de qualité gratuit, à télécharger uniquement chez Microsoft
Microsoft Security Essentials http://www.microsoft.com/security_essentials Pour les versions authentiques de : Windows XP SP2, SP3 – 32 bits Windows Vista Gold, SP1, SP2 – 32 et 64 bits Windows 7 – 32 et 64 bits
Microsoft Security Essentials Protection complète Logicielsespions Virus Vers Chevaux de Troie Simple à installer, simple à utiliser Discret
Microsoft Security Essentials
Microsoft Security Essentials
Aussi sur notre site Web Windows Defenderhttp://microsoft.com/france/protect/spyware  Online scannerhttp://onecare.live.com/site/fr-fr  Malware Protection portal (en anglais)http://microsoft.com/security/portal
SDL
Former vos équipes à SDL Cours d'initiation à SDL :Kit de démarrage Microsoft Security Development Lifecycle (SDL) http://msdn.microsoft.com/en-us/security/ee361993.aspx  A destination des chefs de projets, architectes, et développeurs Principes de conception sécurisée, principes d'implémentation sécurisée, principes de modélisation des menaces, compréhension des vulnérabilités, analyse de code, revue de code de sécurité, outillage, etc. Ateliers virtuels en ligne http://msdn.microsoft.com/en-us/aa740391.aspx Ex. Défendre votre code avec des conseils de sécurité que chaque développeur se doit de connaître, écrire du code managée sécurisée avec Visual Studio Team System, etc.
Ressources SDL Modèle d'optimisation SDL http://msdn.microsoft.com/en-us/security/sdl-model-optimization.aspx Framework d'intégration graduelle de la dimension Sécurité au sein de vos projets : élémentaire, standard, avancé, dynamique http://www.microsoft.com/downloads/details.aspx?FamilyID=90a402a0-ca84-42a2-b2ab-1ce8de999582&displaylang=en Guide du processus SDL 4.1a http://msdn.microsoft.com/en-us/security/sdl-process-guidance.aspx Intègre le support des méthodes agiles : SDL/A Livre blanc : http://go.microsoft.com/?linkid=9695287  Modèle de processus Microsoft SDL pour VSTS http://msdn.microsoft.com/en-us/security/sdl-vsts-template.aspx Livre blanc : http://go.microsoft.com/?linkid=9683340 Guide de modélisation des menaces pour les services d'infrastructure http://go.microsoft.com/fwlink/?LinkId=154010
Outillage gratuit SDL Centre des outils SDL : Outillez votre processus de développement structuré ET sécurisé ! http://go.microsoft.com/?linkid=9681360 SDL Threat Modeling Tool 3.1 SDL Process Template for VSTS Microsoft BinScope Binary Analyzer FxCop Code Analysis Tool .NET (CAT.NET) 2.0 CTP Microsoft MiniFuzz File Fuzzer Web Protection Library (WPL) v1 CTP Web Application Configuration Analyzer (WACA) v1 CTP Etc.
Pour aller plus loin… Quelques livres blancs et articles… Streamline Security Practices For Agile Development  http://msdn.microsoft.com/en-us/magazine/dd153756.aspx How to Manually Integrate the SDL Process Template into an existing Visual Studio project http://go.microsoft.com/?linkid=9683340 Microsoft Silverlight 1.0: An SDL Implementation Story  http://go.microsoft.com/?linkid=9695422 Security Considerations for Client and Cloud Applications http://go.microsoft.com/?linkid=9694872  Microsoft Application Architecture Guide, 2nd Edition http://www.microsoft.com/downloads/details.aspx?familyid=CE40E4E1-9838-4C89-A197-A373B2A60DF2&displaylang=en
Pour aller plus… Quelques ouvrages… Security Development Lifecycle Michael Howard, Steve Lipner, Microsoft PressISBN 0-7356-2214-0 Writing Secure Code, Second Edition Michael Howard, David LeBlanc, Microsoft PressISBN 0-7356-1722-8 Writing Secure Code for Windows Vista Michael Howard, David LeBlanc, Microsoft PressISBN 0-7356-2393-7
Pour aller plus loin… Site Web SDL http://www.microsoft.com/sdl Sites Web SDL sur MSDN Sécurité  http://msdn.microsoft.com/fr-fr/security/msdn.mecapoulets.aspx http://msdn.microsoft.com/fr-fr/security/dd285369.aspx Site US : http://msdn.microsoft.com/en-us/security/cc448177.aspx Weblog SDL Team http://blogs.msdn.com/sdl/ Weblog Code Analysis and Code Metrics http://blogs.msdn.com/fxcop/ Weblog Michael Howard http://blogs.msdn.com/michael_howard/
Guides et conseils
technet.microsoft.com/fr-fr/security Guides TechNet Sécurité du poste de travail Sécurité des serveurs Sécurité des réseaux Gestion de la sécurité (méthodes) Gestion des identités et des accès Espaces de conseils thématiques Sensibilisation à la sécurité GPO accelerator Déploiement des recommandations sécurité du Guide sécurité Windows Server 2008, 2007 Office 2007, Windows Vista et Windows XP. Stratégies de groupe / modèles de sécurité Active Directory 2 profiles : Enterprise Client (EC) et Specialized Security – Limited Functionality (SSLF)
0 825 827 829 code 055#  assistance (0,15€/min)(les appels au support en ce qui concerne la sécurité sont pris en charge par Microsoft)
Ressources Portail Microsoft sécurité - http://www.microsoft.com/france/securite Bulletins et avis de sécurité Centres de conseils (grand public, professionnels, développeurs) Outils et téléchargements Inscription aux notifications et lettres d’information sécurité Webcasts Agenda des événements Assistance 0 825 827 829 code 055# (les appels au support en ce qui concerne la sécurité sont pris en charge gratuitement par Microsoft)
© 2008 Microsoft Corporation. Tous droits réservés. Ce document est fourni uniquement à titre d’information. MICROSOFT EXCLUT TOUTE GARANTIE, EXPRESSE OU IMPLICITE.

Contenu connexe

Tendances

Owasp top 10 2010 Resist toulouse
Owasp top 10   2010  Resist toulouseOwasp top 10   2010  Resist toulouse
Owasp top 10 2010 Resist toulouseSébastien GIORIA
 
Sécurité dans les contrats d'externalisation de services de développement et ...
Sécurité dans les contrats d'externalisation de services de développement et ...Sécurité dans les contrats d'externalisation de services de développement et ...
Sécurité dans les contrats d'externalisation de services de développement et ...
Antonio Fontes
 
Starc by Exaprobe
Starc by ExaprobeStarc by Exaprobe
Starc by Exaprobe
Exaprobe
 
Présentation Top10 CEGID Lyon
Présentation Top10 CEGID LyonPrésentation Top10 CEGID Lyon
Présentation Top10 CEGID LyonSébastien GIORIA
 
Définir un guide de sécurité des systèmes informatiques virtuels
Définir un guide de sécurité des systèmes informatiques virtuelsDéfinir un guide de sécurité des systèmes informatiques virtuels
Définir un guide de sécurité des systèmes informatiques virtuelsRoland Kouakou
 
OWASP Quebec: "Security Stories" par Guillaume Croteau
OWASP Quebec: "Security Stories" par Guillaume CroteauOWASP Quebec: "Security Stories" par Guillaume Croteau
OWASP Quebec: "Security Stories" par Guillaume Croteau
Patrick Leclerc
 
Mon CV Detaillé
Mon CV Detaillé Mon CV Detaillé
Mon CV Detaillé
Hicham HADDAD
 
2010 02 09 Ms Tech Days Owasp Asvs Sgi V01
2010 02 09 Ms Tech Days Owasp Asvs Sgi V012010 02 09 Ms Tech Days Owasp Asvs Sgi V01
2010 02 09 Ms Tech Days Owasp Asvs Sgi V01Sébastien GIORIA
 
Les principales failles de sécurité des applications Web actuelles
Les principales failles de sécurité des applications Web actuellesLes principales failles de sécurité des applications Web actuelles
Les principales failles de sécurité des applications Web actuelles
Xavier Kress
 
Sécurité des applications Web
Sécurité des applications WebSécurité des applications Web
Sécurité des applications Web
Klee Group
 
Rapport version finale kouakou aboua pokou alexis
Rapport version finale kouakou aboua pokou alexis Rapport version finale kouakou aboua pokou alexis
Rapport version finale kouakou aboua pokou alexis
abouaalexis
 
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pas
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pasSécurité informatique : le Retour sur Investissement que vous n'attendiez pas
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pas
Maxime ALAY-EDDINE
 

Tendances (12)

Owasp top 10 2010 Resist toulouse
Owasp top 10   2010  Resist toulouseOwasp top 10   2010  Resist toulouse
Owasp top 10 2010 Resist toulouse
 
Sécurité dans les contrats d'externalisation de services de développement et ...
Sécurité dans les contrats d'externalisation de services de développement et ...Sécurité dans les contrats d'externalisation de services de développement et ...
Sécurité dans les contrats d'externalisation de services de développement et ...
 
Starc by Exaprobe
Starc by ExaprobeStarc by Exaprobe
Starc by Exaprobe
 
Présentation Top10 CEGID Lyon
Présentation Top10 CEGID LyonPrésentation Top10 CEGID Lyon
Présentation Top10 CEGID Lyon
 
Définir un guide de sécurité des systèmes informatiques virtuels
Définir un guide de sécurité des systèmes informatiques virtuelsDéfinir un guide de sécurité des systèmes informatiques virtuels
Définir un guide de sécurité des systèmes informatiques virtuels
 
OWASP Quebec: "Security Stories" par Guillaume Croteau
OWASP Quebec: "Security Stories" par Guillaume CroteauOWASP Quebec: "Security Stories" par Guillaume Croteau
OWASP Quebec: "Security Stories" par Guillaume Croteau
 
Mon CV Detaillé
Mon CV Detaillé Mon CV Detaillé
Mon CV Detaillé
 
2010 02 09 Ms Tech Days Owasp Asvs Sgi V01
2010 02 09 Ms Tech Days Owasp Asvs Sgi V012010 02 09 Ms Tech Days Owasp Asvs Sgi V01
2010 02 09 Ms Tech Days Owasp Asvs Sgi V01
 
Les principales failles de sécurité des applications Web actuelles
Les principales failles de sécurité des applications Web actuellesLes principales failles de sécurité des applications Web actuelles
Les principales failles de sécurité des applications Web actuelles
 
Sécurité des applications Web
Sécurité des applications WebSécurité des applications Web
Sécurité des applications Web
 
Rapport version finale kouakou aboua pokou alexis
Rapport version finale kouakou aboua pokou alexis Rapport version finale kouakou aboua pokou alexis
Rapport version finale kouakou aboua pokou alexis
 
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pas
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pasSécurité informatique : le Retour sur Investissement que vous n'attendiez pas
Sécurité informatique : le Retour sur Investissement que vous n'attendiez pas
 

En vedette

5 Conclusions À Retenir Concernant Les Menaces Ciblées
5 Conclusions À Retenir Concernant Les Menaces Ciblées5 Conclusions À Retenir Concernant Les Menaces Ciblées
5 Conclusions À Retenir Concernant Les Menaces Ciblées
Symantec
 
memoire utilisation de Puppet et Nagios
memoire utilisation de Puppet et Nagiosmemoire utilisation de Puppet et Nagios
memoire utilisation de Puppet et Nagios
abouaalexis
 
Audit Informatique
Audit InformatiqueAudit Informatique
Audit Informatiqueetienne
 
Projet de fin d'etude sur le parc informatique
Projet  de fin d'etude sur le parc informatiqueProjet  de fin d'etude sur le parc informatique
Projet de fin d'etude sur le parc informatique
Hicham Ben
 
Rapport PFE : Développement D'une application de gestion des cartes de fidéli...
Rapport PFE : Développement D'une application de gestion des cartes de fidéli...Rapport PFE : Développement D'une application de gestion des cartes de fidéli...
Rapport PFE : Développement D'une application de gestion des cartes de fidéli...
Riadh K.
 
HEC - Grand Prix L\'Oréal - Rosé Prestige
HEC - Grand Prix L\'Oréal - Rosé PrestigeHEC - Grand Prix L\'Oréal - Rosé Prestige
HEC - Grand Prix L\'Oréal - Rosé Prestige
Federico Bertulessi
 
2015 06 vf j1 outils web2
2015 06 vf j1 outils web22015 06 vf j1 outils web2
2015 06 vf j1 outils web2
Jean Vanderspelden
 
Bilan RSP.FM, la Radio des étudiants de Sciences Po, 2009/2010
Bilan RSP.FM, la Radio des étudiants de Sciences Po, 2009/2010Bilan RSP.FM, la Radio des étudiants de Sciences Po, 2009/2010
Bilan RSP.FM, la Radio des étudiants de Sciences Po, 2009/2010
Kenneth Schlenker
 
Réalisation Amari F
Réalisation Amari FRéalisation Amari F
Réalisation Amari F
Francesco1976
 
Wizee / Connecting brands et celebrities
Wizee / Connecting brands et celebritiesWizee / Connecting brands et celebrities
Wizee / Connecting brands et celebrities
Wizee
 
05 6 porla_paz-conaudio-
05 6 porla_paz-conaudio-05 6 porla_paz-conaudio-
05 6 porla_paz-conaudio-
lapititemag
 
El chocolate y la salud1
El chocolate y la salud1El chocolate y la salud1
El chocolate y la salud1
TeresaArias
 
Les gares belges: une strategie. Vincent Bourlard.
Les gares belges: une strategie. Vincent Bourlard.Les gares belges: une strategie. Vincent Bourlard.
Les gares belges: une strategie. Vincent Bourlard.
Eurovilles EV
 
Plan De Negocios Num2
Plan De Negocios Num2Plan De Negocios Num2
Web numérique et littérature jeunesse #outils
Web numérique et littérature jeunesse #outilsWeb numérique et littérature jeunesse #outils
Web numérique et littérature jeunesse #outilsAnne Clerc
 
C:\fakepath\conversation
C:\fakepath\conversationC:\fakepath\conversation
C:\fakepath\conversation
guest886a25f3
 
Rendez-Vous des Technologies propres - Domax
Rendez-Vous des Technologies propres - DomaxRendez-Vous des Technologies propres - Domax
Rendez-Vous des Technologies propres - Domax
Sherbrooke Innopole
 

En vedette (18)

5 Conclusions À Retenir Concernant Les Menaces Ciblées
5 Conclusions À Retenir Concernant Les Menaces Ciblées5 Conclusions À Retenir Concernant Les Menaces Ciblées
5 Conclusions À Retenir Concernant Les Menaces Ciblées
 
memoire utilisation de Puppet et Nagios
memoire utilisation de Puppet et Nagiosmemoire utilisation de Puppet et Nagios
memoire utilisation de Puppet et Nagios
 
Audit Informatique
Audit InformatiqueAudit Informatique
Audit Informatique
 
Projet de fin d'etude sur le parc informatique
Projet  de fin d'etude sur le parc informatiqueProjet  de fin d'etude sur le parc informatique
Projet de fin d'etude sur le parc informatique
 
Rapport PFE : Développement D'une application de gestion des cartes de fidéli...
Rapport PFE : Développement D'une application de gestion des cartes de fidéli...Rapport PFE : Développement D'une application de gestion des cartes de fidéli...
Rapport PFE : Développement D'une application de gestion des cartes de fidéli...
 
Station de dosage
Station de dosageStation de dosage
Station de dosage
 
HEC - Grand Prix L\'Oréal - Rosé Prestige
HEC - Grand Prix L\'Oréal - Rosé PrestigeHEC - Grand Prix L\'Oréal - Rosé Prestige
HEC - Grand Prix L\'Oréal - Rosé Prestige
 
2015 06 vf j1 outils web2
2015 06 vf j1 outils web22015 06 vf j1 outils web2
2015 06 vf j1 outils web2
 
Bilan RSP.FM, la Radio des étudiants de Sciences Po, 2009/2010
Bilan RSP.FM, la Radio des étudiants de Sciences Po, 2009/2010Bilan RSP.FM, la Radio des étudiants de Sciences Po, 2009/2010
Bilan RSP.FM, la Radio des étudiants de Sciences Po, 2009/2010
 
Réalisation Amari F
Réalisation Amari FRéalisation Amari F
Réalisation Amari F
 
Wizee / Connecting brands et celebrities
Wizee / Connecting brands et celebritiesWizee / Connecting brands et celebrities
Wizee / Connecting brands et celebrities
 
05 6 porla_paz-conaudio-
05 6 porla_paz-conaudio-05 6 porla_paz-conaudio-
05 6 porla_paz-conaudio-
 
El chocolate y la salud1
El chocolate y la salud1El chocolate y la salud1
El chocolate y la salud1
 
Les gares belges: une strategie. Vincent Bourlard.
Les gares belges: une strategie. Vincent Bourlard.Les gares belges: une strategie. Vincent Bourlard.
Les gares belges: une strategie. Vincent Bourlard.
 
Plan De Negocios Num2
Plan De Negocios Num2Plan De Negocios Num2
Plan De Negocios Num2
 
Web numérique et littérature jeunesse #outils
Web numérique et littérature jeunesse #outilsWeb numérique et littérature jeunesse #outils
Web numérique et littérature jeunesse #outils
 
C:\fakepath\conversation
C:\fakepath\conversationC:\fakepath\conversation
C:\fakepath\conversation
 
Rendez-Vous des Technologies propres - Domax
Rendez-Vous des Technologies propres - DomaxRendez-Vous des Technologies propres - Domax
Rendez-Vous des Technologies propres - Domax
 

Similaire à Sec109 Outils Et Ressources Securite

Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Microsoft Technet France
 
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Microsoft Décideurs IT
 
MS Copilot Security Entra Purview-SAM.pdf
MS Copilot Security Entra Purview-SAM.pdfMS Copilot Security Entra Purview-SAM.pdf
MS Copilot Security Entra Purview-SAM.pdf
Erol GIRAUDY
 
Les nouveautés de System Center Configuration Manager vNext
Les nouveautés de System Center Configuration Manager vNextLes nouveautés de System Center Configuration Manager vNext
Les nouveautés de System Center Configuration Manager vNext
Microsoft Technet France
 
Les nouveautés de System Center Configuration Manager vNext
Les nouveautés de System Center Configuration Manager vNextLes nouveautés de System Center Configuration Manager vNext
Les nouveautés de System Center Configuration Manager vNext
Microsoft Décideurs IT
 
Techdays 2012 : Mise en place d'une démarche ALM avec Visual Studio pour Wind...
Techdays 2012 : Mise en place d'une démarche ALM avec Visual Studio pour Wind...Techdays 2012 : Mise en place d'une démarche ALM avec Visual Studio pour Wind...
Techdays 2012 : Mise en place d'une démarche ALM avec Visual Studio pour Wind...vlabatut
 
La gouvernance, ou comment rapprocher les équipes de développement et d'infra...
La gouvernance, ou comment rapprocher les équipes de développement et d'infra...La gouvernance, ou comment rapprocher les équipes de développement et d'infra...
La gouvernance, ou comment rapprocher les équipes de développement et d'infra...PimpMySharePoint
 
Mise en œuvre d’une démarche DevOps dans Windows Azure
Mise en œuvre d’une démarche DevOps dans Windows AzureMise en œuvre d’une démarche DevOps dans Windows Azure
Mise en œuvre d’une démarche DevOps dans Windows Azure
Microsoft Technet France
 
Tour de France Azure PaaS 4/7 Sécuriser la solution
Tour de France Azure PaaS 4/7 Sécuriser la solutionTour de France Azure PaaS 4/7 Sécuriser la solution
Tour de France Azure PaaS 4/7 Sécuriser la solution
Alex Danvy
 
Symfony2 et Microsoft Azure, l’efficacité de PHP dans le cloud
Symfony2 et Microsoft Azure, l’efficacité de PHP dans le cloud Symfony2 et Microsoft Azure, l’efficacité de PHP dans le cloud
Symfony2 et Microsoft Azure, l’efficacité de PHP dans le cloud
Microsoft
 
Silverlight 3.MSDays EPITA 11/06/2009
Silverlight 3.MSDays EPITA 11/06/2009Silverlight 3.MSDays EPITA 11/06/2009
Silverlight 3.MSDays EPITA 11/06/2009
Frédéric Queudret
 
Découvrez le guide d'utilisation de My Easy Center 2.0
Découvrez le guide d'utilisation de My Easy Center 2.0Découvrez le guide d'utilisation de My Easy Center 2.0
Découvrez le guide d'utilisation de My Easy Center 2.0
Easy Center Corp Consulting
 
Rex Software Factories 20140117 - Ensim
Rex Software Factories 20140117 - EnsimRex Software Factories 20140117 - Ensim
Rex Software Factories 20140117 - Ensim
Laurent Broudoux
 
Comment securiser votre annuaire Active Directory contre les attaques de malw...
Comment securiser votre annuaire Active Directory contre les attaques de malw...Comment securiser votre annuaire Active Directory contre les attaques de malw...
Comment securiser votre annuaire Active Directory contre les attaques de malw...
Sylvain Cortes
 
Catalogue formation Tunnel-IT 2019
Catalogue formation Tunnel-IT  2019Catalogue formation Tunnel-IT  2019
Catalogue formation Tunnel-IT 2019
Tunnel-IT
 
Silverlight 4
Silverlight 4Silverlight 4
Silverlight 4
Frédéric Queudret
 
Cloud Security Assessment Matrix: une offre Microsoft Consulting pour l’analy...
Cloud Security Assessment Matrix: une offre Microsoft Consulting pour l’analy...Cloud Security Assessment Matrix: une offre Microsoft Consulting pour l’analy...
Cloud Security Assessment Matrix: une offre Microsoft Consulting pour l’analy...
Microsoft Technet France
 
Développement sécurisé
Développement sécuriséDéveloppement sécurisé
Développement sécurisé
facemeshfacemesh
 
M22416 formation-mettre-en-oeuvre-des-environnements-de-travail-applicatifs
M22416 formation-mettre-en-oeuvre-des-environnements-de-travail-applicatifsM22416 formation-mettre-en-oeuvre-des-environnements-de-travail-applicatifs
M22416 formation-mettre-en-oeuvre-des-environnements-de-travail-applicatifsCERTyou Formation
 
M365 virtualmarathon gestion des pc windows 10 - l gebeau - jy trarbach
M365 virtualmarathon   gestion des pc windows 10 - l gebeau - jy trarbachM365 virtualmarathon   gestion des pc windows 10 - l gebeau - jy trarbach
M365 virtualmarathon gestion des pc windows 10 - l gebeau - jy trarbach
jean-yves Trarbach
 

Similaire à Sec109 Outils Et Ressources Securite (20)

Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
 
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
Azure IaaS : concevoir en architecture sécurisée en tirant bénéfice des nouve...
 
MS Copilot Security Entra Purview-SAM.pdf
MS Copilot Security Entra Purview-SAM.pdfMS Copilot Security Entra Purview-SAM.pdf
MS Copilot Security Entra Purview-SAM.pdf
 
Les nouveautés de System Center Configuration Manager vNext
Les nouveautés de System Center Configuration Manager vNextLes nouveautés de System Center Configuration Manager vNext
Les nouveautés de System Center Configuration Manager vNext
 
Les nouveautés de System Center Configuration Manager vNext
Les nouveautés de System Center Configuration Manager vNextLes nouveautés de System Center Configuration Manager vNext
Les nouveautés de System Center Configuration Manager vNext
 
Techdays 2012 : Mise en place d'une démarche ALM avec Visual Studio pour Wind...
Techdays 2012 : Mise en place d'une démarche ALM avec Visual Studio pour Wind...Techdays 2012 : Mise en place d'une démarche ALM avec Visual Studio pour Wind...
Techdays 2012 : Mise en place d'une démarche ALM avec Visual Studio pour Wind...
 
La gouvernance, ou comment rapprocher les équipes de développement et d'infra...
La gouvernance, ou comment rapprocher les équipes de développement et d'infra...La gouvernance, ou comment rapprocher les équipes de développement et d'infra...
La gouvernance, ou comment rapprocher les équipes de développement et d'infra...
 
Mise en œuvre d’une démarche DevOps dans Windows Azure
Mise en œuvre d’une démarche DevOps dans Windows AzureMise en œuvre d’une démarche DevOps dans Windows Azure
Mise en œuvre d’une démarche DevOps dans Windows Azure
 
Tour de France Azure PaaS 4/7 Sécuriser la solution
Tour de France Azure PaaS 4/7 Sécuriser la solutionTour de France Azure PaaS 4/7 Sécuriser la solution
Tour de France Azure PaaS 4/7 Sécuriser la solution
 
Symfony2 et Microsoft Azure, l’efficacité de PHP dans le cloud
Symfony2 et Microsoft Azure, l’efficacité de PHP dans le cloud Symfony2 et Microsoft Azure, l’efficacité de PHP dans le cloud
Symfony2 et Microsoft Azure, l’efficacité de PHP dans le cloud
 
Silverlight 3.MSDays EPITA 11/06/2009
Silverlight 3.MSDays EPITA 11/06/2009Silverlight 3.MSDays EPITA 11/06/2009
Silverlight 3.MSDays EPITA 11/06/2009
 
Découvrez le guide d'utilisation de My Easy Center 2.0
Découvrez le guide d'utilisation de My Easy Center 2.0Découvrez le guide d'utilisation de My Easy Center 2.0
Découvrez le guide d'utilisation de My Easy Center 2.0
 
Rex Software Factories 20140117 - Ensim
Rex Software Factories 20140117 - EnsimRex Software Factories 20140117 - Ensim
Rex Software Factories 20140117 - Ensim
 
Comment securiser votre annuaire Active Directory contre les attaques de malw...
Comment securiser votre annuaire Active Directory contre les attaques de malw...Comment securiser votre annuaire Active Directory contre les attaques de malw...
Comment securiser votre annuaire Active Directory contre les attaques de malw...
 
Catalogue formation Tunnel-IT 2019
Catalogue formation Tunnel-IT  2019Catalogue formation Tunnel-IT  2019
Catalogue formation Tunnel-IT 2019
 
Silverlight 4
Silverlight 4Silverlight 4
Silverlight 4
 
Cloud Security Assessment Matrix: une offre Microsoft Consulting pour l’analy...
Cloud Security Assessment Matrix: une offre Microsoft Consulting pour l’analy...Cloud Security Assessment Matrix: une offre Microsoft Consulting pour l’analy...
Cloud Security Assessment Matrix: une offre Microsoft Consulting pour l’analy...
 
Développement sécurisé
Développement sécuriséDéveloppement sécurisé
Développement sécurisé
 
M22416 formation-mettre-en-oeuvre-des-environnements-de-travail-applicatifs
M22416 formation-mettre-en-oeuvre-des-environnements-de-travail-applicatifsM22416 formation-mettre-en-oeuvre-des-environnements-de-travail-applicatifs
M22416 formation-mettre-en-oeuvre-des-environnements-de-travail-applicatifs
 
M365 virtualmarathon gestion des pc windows 10 - l gebeau - jy trarbach
M365 virtualmarathon   gestion des pc windows 10 - l gebeau - jy trarbachM365 virtualmarathon   gestion des pc windows 10 - l gebeau - jy trarbach
M365 virtualmarathon gestion des pc windows 10 - l gebeau - jy trarbach
 

Sec109 Outils Et Ressources Securite

  • 1.
  • 2. [SEC109] Outils et ressources gratuites pour la sécurité Pascal Sauliere Architecte, Microsoft France http://blogs.technet.com/pascals
  • 3. Présentation Gestion des mises à jour Évaluation des risques Contre les virus et logiciels malveillants Guides et conseils Ressources SDL
  • 4. Point de départ :http://www.microsoft.com/france/securite
  • 6. déploiement d’une mise à jour=seul moyen efficace d’éliminer une vulnérabilité
  • 7. TechCenter Gestion des mises à jourhttp://technet.microsoft.com/fr-fr/updatemanagement
  • 8. Guide Microsoft des mises àjour de sécurité …aider les professionnels de l’informatique à comprendre, utiliser et maximiser tous les conseils, communications, programmes et services que Microsoft diffuse, afin de gérer le risque et de développer un mécanisme de déploiement reproductible et efficace pour les mises à jour de sécurité.
  • 9. Guide Microsoft des mises àjour de sécurité Proposition de processusconcret Utilisation de WSUS ou SCCM
  • 10. Bulletins de sécurité Publiés le deuxième mardi du mois Points centraux de référence Liens vers les mises à jour Liens vers les Articles de la Base de connaissances Indiquent Synthèse - criticité Logiciels affectés Facteurs atténuants Solutions de contournement Forum aux questions Informations de mise à jour
  • 11. Bulletins de sécurité Avant publication Préavis 3 jours ouvrés avant Nombre de bulletins, niveau de criticité, aperçu des produits affectés Publication 2ème mardi du mois ~19h Correctifs publiés sur le centre de téléchargement et sur les sites Microsoft de mise à jour Notifications envoyées par courriel http://www.microsoft.com/france/securite/newsletters.mspx
  • 12. Calendrier des bulletins de sécurité
  • 13. Phase d’évaluation et de planificationClassification de chaque correctif Définir le niveau de priorité du correctif Critique, important, modéré ou faible Élever ou abaisser le niveau de priorité en fonction du risque, des actifs à protéger et des facteurs d’atténuation
  • 15. Bulletins de sécurité Après la publication Webcast d’information sur les bulletins publiés http://www.microsoft.com/france/technet/security/bulletin/webcasts.mspx Suivi des éventuels problèmes client par le support Évolution du contenu
  • 16. Microsoft Baseline Security Analysis (MBSA) Console MBSA. Spécification des machines à analyser 2. Fichiers WSUSSCN2.cab et agent des mises à jour Windows téléchargés depuis Microsoft Update (signature vérifiée) Microsoft Update 3. Examen des systèmes cibles par l’intermédiaire du service Mises à jour automatiques local MBSA 4. Génération du rapport daté indiquant les correctifs manquants
  • 17. MBSA MBSA 2.1.1 : support de Windows 7 et 2008 R2 Connecteur Visio 2007 pour MBSA 2.1
  • 18. Windows Server Update Services 3.0 Avantages à utiliser WSUS 3.0 L’agent est déjà installé sous Windows Configuration du client grâce aux stratégies de groupe Nécessite peu de ressources pour être administré Fiable, documenté, scriptable Gratuit ! WSUS peut être associé aux outils d’inventaire existants (ex. MBSA) Version actuelle : WSUS 3.0 SP2 Guides de déploiement et d’administration :http://technet.microsoft.com/en-us/wsus/default.aspx Contenu (mises à jour) de WSUS : http://support.microsoft.com/kb/894199
  • 19. Architecture WSUS Microsoft Update Serveur WSUS Administrateur Test Serveurs Stations de travail Pilote
  • 20. Aussi sur notre site Web Moteur de recherchehttp://www.microsoft.com/technet/security/bulletin Images ISOhttp://support.microsoft.com/kb/913086
  • 22. Microsoft Security Assessment Tool (MSAT) Outil en français 200 questions sur l’infrastructure, les applications la production les équipes Basésur des standards (ISO 27002, NIST 800-x) Identifier les faiblesses sécurité de l’organisation Prioriser pour réduire le risque Rapports, comparaison avec la moyenne du secteur d’activité Permet de suivre l’évolution
  • 23. Processus MSAT Profil de risque Évaluation Rapport
  • 24. Contre les virus et logiciels malveillants
  • 25. Malicious Software Removal Tool (MSRT) L’outil de nettoyage le plus répandu Téléchargé et exécuté par l’agent des mises à jour automatiques (analyse rapide)
  • 26. Malicious Software Removal Tool (MSRT) Une mise à jour par mois Supprime les familles les plus actives (ex. Conficker) http://support.microsoft.com/kb/890830 http://microsoft.com/france/securite/malwareremove
  • 27. Microsoft Security Essentials Antimalware de qualité gratuit, à télécharger uniquement chez Microsoft
  • 28. Microsoft Security Essentials http://www.microsoft.com/security_essentials Pour les versions authentiques de : Windows XP SP2, SP3 – 32 bits Windows Vista Gold, SP1, SP2 – 32 et 64 bits Windows 7 – 32 et 64 bits
  • 29. Microsoft Security Essentials Protection complète Logicielsespions Virus Vers Chevaux de Troie Simple à installer, simple à utiliser Discret
  • 32. Aussi sur notre site Web Windows Defenderhttp://microsoft.com/france/protect/spyware Online scannerhttp://onecare.live.com/site/fr-fr Malware Protection portal (en anglais)http://microsoft.com/security/portal
  • 33. SDL
  • 34. Former vos équipes à SDL Cours d'initiation à SDL :Kit de démarrage Microsoft Security Development Lifecycle (SDL) http://msdn.microsoft.com/en-us/security/ee361993.aspx A destination des chefs de projets, architectes, et développeurs Principes de conception sécurisée, principes d'implémentation sécurisée, principes de modélisation des menaces, compréhension des vulnérabilités, analyse de code, revue de code de sécurité, outillage, etc. Ateliers virtuels en ligne http://msdn.microsoft.com/en-us/aa740391.aspx Ex. Défendre votre code avec des conseils de sécurité que chaque développeur se doit de connaître, écrire du code managée sécurisée avec Visual Studio Team System, etc.
  • 35. Ressources SDL Modèle d'optimisation SDL http://msdn.microsoft.com/en-us/security/sdl-model-optimization.aspx Framework d'intégration graduelle de la dimension Sécurité au sein de vos projets : élémentaire, standard, avancé, dynamique http://www.microsoft.com/downloads/details.aspx?FamilyID=90a402a0-ca84-42a2-b2ab-1ce8de999582&displaylang=en Guide du processus SDL 4.1a http://msdn.microsoft.com/en-us/security/sdl-process-guidance.aspx Intègre le support des méthodes agiles : SDL/A Livre blanc : http://go.microsoft.com/?linkid=9695287 Modèle de processus Microsoft SDL pour VSTS http://msdn.microsoft.com/en-us/security/sdl-vsts-template.aspx Livre blanc : http://go.microsoft.com/?linkid=9683340 Guide de modélisation des menaces pour les services d'infrastructure http://go.microsoft.com/fwlink/?LinkId=154010
  • 36. Outillage gratuit SDL Centre des outils SDL : Outillez votre processus de développement structuré ET sécurisé ! http://go.microsoft.com/?linkid=9681360 SDL Threat Modeling Tool 3.1 SDL Process Template for VSTS Microsoft BinScope Binary Analyzer FxCop Code Analysis Tool .NET (CAT.NET) 2.0 CTP Microsoft MiniFuzz File Fuzzer Web Protection Library (WPL) v1 CTP Web Application Configuration Analyzer (WACA) v1 CTP Etc.
  • 37. Pour aller plus loin… Quelques livres blancs et articles… Streamline Security Practices For Agile Development http://msdn.microsoft.com/en-us/magazine/dd153756.aspx How to Manually Integrate the SDL Process Template into an existing Visual Studio project http://go.microsoft.com/?linkid=9683340 Microsoft Silverlight 1.0: An SDL Implementation Story http://go.microsoft.com/?linkid=9695422 Security Considerations for Client and Cloud Applications http://go.microsoft.com/?linkid=9694872 Microsoft Application Architecture Guide, 2nd Edition http://www.microsoft.com/downloads/details.aspx?familyid=CE40E4E1-9838-4C89-A197-A373B2A60DF2&displaylang=en
  • 38. Pour aller plus… Quelques ouvrages… Security Development Lifecycle Michael Howard, Steve Lipner, Microsoft PressISBN 0-7356-2214-0 Writing Secure Code, Second Edition Michael Howard, David LeBlanc, Microsoft PressISBN 0-7356-1722-8 Writing Secure Code for Windows Vista Michael Howard, David LeBlanc, Microsoft PressISBN 0-7356-2393-7
  • 39. Pour aller plus loin… Site Web SDL http://www.microsoft.com/sdl Sites Web SDL sur MSDN Sécurité http://msdn.microsoft.com/fr-fr/security/msdn.mecapoulets.aspx http://msdn.microsoft.com/fr-fr/security/dd285369.aspx Site US : http://msdn.microsoft.com/en-us/security/cc448177.aspx Weblog SDL Team http://blogs.msdn.com/sdl/ Weblog Code Analysis and Code Metrics http://blogs.msdn.com/fxcop/ Weblog Michael Howard http://blogs.msdn.com/michael_howard/
  • 41. technet.microsoft.com/fr-fr/security Guides TechNet Sécurité du poste de travail Sécurité des serveurs Sécurité des réseaux Gestion de la sécurité (méthodes) Gestion des identités et des accès Espaces de conseils thématiques Sensibilisation à la sécurité GPO accelerator Déploiement des recommandations sécurité du Guide sécurité Windows Server 2008, 2007 Office 2007, Windows Vista et Windows XP. Stratégies de groupe / modèles de sécurité Active Directory 2 profiles : Enterprise Client (EC) et Specialized Security – Limited Functionality (SSLF)
  • 42. 0 825 827 829 code 055# assistance (0,15€/min)(les appels au support en ce qui concerne la sécurité sont pris en charge par Microsoft)
  • 43. Ressources Portail Microsoft sécurité - http://www.microsoft.com/france/securite Bulletins et avis de sécurité Centres de conseils (grand public, professionnels, développeurs) Outils et téléchargements Inscription aux notifications et lettres d’information sécurité Webcasts Agenda des événements Assistance 0 825 827 829 code 055# (les appels au support en ce qui concerne la sécurité sont pris en charge gratuitement par Microsoft)
  • 44. © 2008 Microsoft Corporation. Tous droits réservés. Ce document est fourni uniquement à titre d’information. MICROSOFT EXCLUT TOUTE GARANTIE, EXPRESSE OU IMPLICITE.

Notes de l'éditeur

  1. http://technet.microsoft.com/fr-fr/updatemanagement
  2. Guide Microsoft des mises à jour de sécuritéhttp://www.microsoft.com/downloads/details.aspx?FamilyID=c3d986d0-ecc3-4ce0-9c25-048ec5b52a4f&displaylang=fr