DNS sécurisé associatif – DNS zero

Hello à tous, je continue de tenter de tenir le rythme avec des « petits articles » rapide, faute d’avoir plus de temps à consacrer au blog. Aujourd’hui je voulais vous partager un petit projet de DNS sécurisé associatif nommé « ZERO ». DNS Zero, plus exactement, est une association française fondée par Romain Cointepas et Olivier Poitrey.

L’intérêt d’un DNS sécurisé associatif ? Pas de filtrage DNS par votre FAI (revoilà vos sites de torrents préférés accessibles), et la possibilité de bloquer les publicités directement sur le DNS, bon complément à Adblock ou uBlock, utilse avec les smartphone qui neutralise les bloqueur de pub. Mais surtout des vrais fonctions de sécurité qu’on utilise en entreprise, du genre le blocage :

  • des domaines enregistrés il y a moins de 30 jours ou qui on été inactif pendant longtemps;
  • des noms générés par des algorithmes de génération de domaine;
  • des homographes et autres typosquatting;

Et j’en passe, bref c’est plutôt cool. Ils ont même un DNS pour les marmot : KIDS, si vos mômes commencent à utiliser un PC/smartphone, qui filtre les domaines avec du contenu « adulte ». Bref c’est plutôt chouette et en plus c’est gratuit, du … Lire la suite

Post Repeated payload size in PowerShell

Hello le monde ! et si on reprenait un peu le rythme avec un bout de PowerShell, non ? Cette semaine je vous partage quelques lignes de code qui m’ont permis de valider une règle de détection au taf. En effet quand un malware, virus, botnet ou un autre membre de cette grande famille s’installe sur un PC, une des première action qu’il va faire est de contacter son serveur de contrôle commande (C&C) ou à minima poster sur un site les infos qu’il a collecté. Et il arrive fréquemment qu’il fasse cette action de manière répétée, en envoyant toujours les même données.

Au niveau de la supervision, ça se détecte super bien dans les logs réseau (Proxy, Firewall ou IDS/IPS par exemple). Vous avez un flux répété à intervalles régulier qui fait toujours la même taille à l’octet prêt. Il faudra quant même « allow-listé » les quelques logiciel connus dans votre SI qui peuvent avoir ce comportement légitimement. Après ce qui reste ça vaut le coup de creuser un peu, vous avez une chance non-négligeable de chopper des vieux virus oublié sur votre parc qui n’arrivent plus à contacter leur C2 par exemple.

Bref, le script est en … Lire la suite

Matrix Resurrections – Edito

Hello à tous, bon alors d’abord : oui je sais ça fait presque 3 mois que j’ai rien publié sur le blog. Promis il y a des bonnes surprises en préparation. Juste le rythme actuel me laisse moins de temps qu’avant pour vous balancer toutes mes idées à la c… sur le blog (en revancge le backlog des idées noté dans un coin se porte bien). En conséquence, je me concentre un peu plus sur les contenu qualitatifs, qui demande plus de temps ! Mais promis je vais bien, hein…^^. En parlant de contenu « quali », on a pas parlé de Matrix resurrections sur le blog, non ?

Dans le temps que je n’ai pas utilisé à vous écrire un article, j’ai quand même pris les 2h28 requise pour regarder Matrix resurrections et les 2h08 de plus pour regarder l’analyse de plus de Bruce (e-penser 2.0) sur le film. Et c’est probablement une des meilleurs vidéo YouTube que j’ai vu ces dernières année en fait.

Et comme j’ai pris une première claque avec le film, puis une seconde avec la vidéo de Bruce qui m’a montrer que j’avais probablement raté la moitié du sujet :’-). Je me … Lire la suite

Modification et stockage des logs avec syslog-ng

Bonjour à tous, la semaine dernière je vous ai partagé une configuration rsyslog pour recevoir, écrire dans des fichiers tampon et re-forwarder des logs vers d’autres sources. Cette semaine, on refait la même chose avec la modification et stockage des logs avec syslog-ng.

Et vous allez voir, c’est quasiment la même chose.

Syslog-NG ?

Syslog-ng est une alternative « semi-opensource » à rsyslog pour gérer vos syslog. Il remplace rsyslog si vous l’installer sur votre Debian par exemple. Le produit est disponible sous licence LGPL en version Community et vous pouvez y ajouter des licences premium (payantes) pour avoir des consoles de gestion ou des Appliances spécifiques incluant de la recherche dans vos log (micro SIEM).

La solution est plus récente que rsyslog et est donc un poil plus facile à aborder (notamment au niveau des fichiers de confs) et la présence d’une version payante permet de s’appuyer sur le support éditeur en production (toujours souhaitable). En revanche c’est un poil moins connus dans la communauté et il peut parfois être plus dur de trouver de la ressources documentaires (la où rsyslog en a trop de son côté et pour 40 version différentes…^^)

Installation et configuration.

Bref, on veut ici … Lire la suite