Aller au contenu

Quand « Hacker Va » au SSTIC, le cru 2024

  • Avis d'experts

Publié le 03/09/2024

C’est avec une joie non dissimulée que notre équipe krAKen s’est rendue du 5 au 7 juin 2024 dans la très cyber capitale de Bretagne, Rennes. Durant 3 jours, s’est déroulé le SSTIC 2024, 21ème édition de ce Symposium sur la Sécurité des Technologies de l’Information et des Communications. Avec 21 ans d’existence, le SSTIC est la plus ancienne conférence francophone de cybersécurité se tenant chaque année dans la capitale bretonne. Il est à noter que le SSTIC n’est pas sponsorisé, entièrement financé par les inscriptions et géré par une association à but non lucratif. Le SSTIC est orienté principalement sur des conférences techniques, avec une seule track de conférences permettant de tout voir pour qui serait suffisamment assidu. Le symposium est intégralement diffusé (mis à part quelques rumps) en direct, gratuitement, sur Internet via une solution open source. Les vidéos sont déjà intégralement en ligne avec les slides, un éventuel « acte » en PDF (article de la présentation) et des liens comme les blogs posts et GtiHub associés. Tout peut être retrouvé à cette adresse : https://www.sstic.org/2024/programme/ pour le cru 2024 (tout comme les conférences des années précédentes). Pour certains membres de l’équipe, il s’agissait de leur 1ère venue, quand d’autres sont des habitués.  Toutefois, aucun membre n’a été déçu de sa venue pour cette édition 2024 du SSTIC, que ce soit pour la qualité des présentations (talks et rumps), mais aussi l’organisation, l’accueil sympathique et le social event. Ce sont donc plus de 800 inscrits qui se sont réunis pour assister à un marathon de 31 conférences (15 à 45 minutes) et 25 rumps. Les rumps durent 3 minutes et leur orateur peut continuer, ou pas, passé ce délai, à « l’applaudimètre inverse » (l’auditoire doit applaudir pour arrêter la rump). Traditionnellement, le SSTIC est ouvert et clôturé par deux présentations d’une heure, toutes deux réalisées par Airbus cette année. La session d’ouverture, passionnante, a été réalisée par le RSSI du groupe Airbus, Pascal Andrei, qui a pu bien différencier les concepts de « Safety » et « Security ». Un panorama des contraintes et menaces auxquelles doit faire face un tel géant de l’aviation, que ce soient les menaces cyber, mais aussi physiques, de sabotage et enjeux géopolitiques (GPS jamming/spoofing) a été présenté.  Une plongée éminemment intéressante dans le monde de l’aéronautique où la sécurité est la priorité numéro une de toute personne y travaillant. La session de clôture a été menée brillamment par Philippe Biondi à propos de la « complexité », concept à la fois indispensable mais tout aussi problématique en cybersécurité. Une réflexion étayée de nombreux exemples pertinents. Il est à noter aussi l’importance du « réseautage » et de la socialisation lors de ce symposium. Lors des repas de la pause méridienne, les tables sont volontairement composées de personnes venant de divers horizons pour pouvoir discuter, échanger et créer des liens entre professionnels de la cybersécurité. Le jeudi soir un social event est également organisé dans le Couvent des Jacobins, où l’on peut à la fois profiter du superbe cadre des lieux, ainsi que d’une nourriture de qualité et surtout faire de belles rencontres entre passionnés. Notre équipe a également participé le mercredi soir à une soirée avec des talks dans un restaurant rennais, organisé par deux Discord de cybersécurité, en particulier celui des meetups Hack-The-Box France. Passons maintenant au résumé des conférences qui ont tout particulièrement plu à notre équipe.

Conférences et rumps sélectionnées au SSTIC 2024

Utilisation de DHCP pour contourner routeurs et pare-feux par Olivier Bal-Pétré

 Lien : https://www.sstic.org/2024/presentation/utilisation_de_dhcp_pour_contourner_routeurs_et_pare-feux/ NB : l’ensemble des illustrations proviennent des slides de l’auteur, Olivier Bal-Pétré. Ceci est un résumé des points importants du travail de l’auteur.  Le DHCP (Dynamic Host Configuration Protocol) est un protocole réseau de type client-serveur qui permet d’allouer dynamiquement des IPs et des configurations aux clients. Les pare-feux ne peuvent pas toujours être configurés avec des IPs statiques notamment quand ils sont connectés à des réseaux tiers (WANs…) et ont donc recours au DHCP. Tout comme les machines dans des architectures virtualisées, les postes de travail, les opérateurs télécom, les réseaux résidentiels et publics. Il est, au final, massivement employé. Bref rappel du fonctionnement du DHCP :

  1. Le client broadcaste un paquet DHCPDISCOVER pour demander une adresse IP et une configuration réseau.
  2. Un serveur DHCP répond et fournit une adresse IP via un paquet DHCPOFFER
  3. Le client répond au premier serveur DHCP dont il a reçu une réponse et envoie un paquet DHCPREQUEST identifiant le serveur.
  4. Le serveur retenu stocke l’adresse IP du client et répond par un message DHCPACK (ou DHCPNAK s’il ne peut attribuer l’IP).

Ces attaques sont potentiellement utilisables avec d’autres protocoles modifiant les tables de routage comme OSPF. Remédiation

  • Utiliser du policy-base-routing : permet d’avoir différentes tables de routage et de le prioriser.
  • Changer les règles de pare-feu : créer des chain forward et ne pas utiliser par défaut conntrack.
  • Reverse path filtering : n’empêche pas l’attaque mais la rend plus compliquée.

 Commentaire :Cette approche est extrêmement intéressante et ouvre des perspectives d’attaques potentiellement très efficaces et sûrement peu surveillées. Le potentiel vol d’une connexion vers l’interface d’administration d’un pare-feu depuis une interface normalement non autorisée peut-être tout particulièrement intéressante avec le nombre important de vulnérabilités présentes sur ces interfaces et l’utilisation potentielle d’identifiants par défaut. Les attaques seront à adapter aux différentes architectures rencontrées lors des tests d’intrusions. Des outils permettant une exploitation simplifiée pourraient peut-être être créés. Cette problématique est également à garder en tête lors d’audits de configuration et d’architecture. 

AD Miner – Analyse Active Directory par Emilien Vannier, Jean-Michel Besnard, Tanguy Boisset.

Lien : https://www.sstic.org/2024/presentation/AD_Miner_Active_Directory_Audit_Control/NB : l’ensemble des illustrations ci-dessous sont tirées des slides de la présentation. Active Directory  / BloodHound La sécurité Active Directory (AD) est un enjeu majeur de la cybersécurité actuelle, l’AD étant très majoritairement utilisé aussi bien en entreprise que chez les acteurs publics. De ce fait l’AD est la cible privilégiée des acteurs de la menace et notamment par les gangs de ransomware et les APT. De nombreux outils commerciaux ou gratuits sont disponibles à la fois pour les équipes offensives et défensives. Parmi ces outils, nous pouvons bien évidemment citer BloodHound de SpecterOps qui permet d’avoir grâce à la théorie des graphes, une approche par chemins d’attaques au sein d’un AD, outil très largement utilisé par la communauté offensive. Toutefois, dans des AD complexes, il est vite compliqué de s’y retrouver au sein de graphes complexes entre des milliers d’objets AD :

Autres présentations

J’ai retenu de nombreuses autres présentations qui m’ont tout particulièrement intéressé. S’il ne fallait en choisir que quelques-unes, ce qui est difficile devant un programme d’une telle qualité, les talks seraient :

  • Simulation d’un APT en Red Team : recherche et découverte de 0-day sur MobileIron par Mehdi Elyassa
  • dig .com AXFR +dnssec : Lister l’Internet grâce à DNSSEC par Aris Adamantiadis
  • Getting ahead of the schedule: manipulating the Kubernetes scheduler to perform lateral movement in a cluster par Paul Viossat
  • Action Man VS Octocat: GitHub action exploitation par Hugo Vincent
  • Les patates et Windows, une histoire d’amour et de privesc par Raphaël Huon & Théo B.
  • ntdissector, a swiss-army knife for your NTDS files par Julien Legras & Mehdi Elyassa
  • PowersheLLM : Un Large Language Model à l’épreuve de l’horreur par Frédéric Grelot, Pierre-Adrien Fons & Sylvio Hoarau.
  • Détection de Powershell malveillant par normalisation sémantique par Sylvain Peyrefitte.
  • Belenios: the Certification Campaign par Angèle Bossuat

Le coin des téléchargements pour votre boite à outils

Une liste, on l’espère la plus exhaustive possible des outils présentés durant le SSTIC :

Le SSTIC est un événement incontournable de la cybersécurité francophone. Le niveau technique est véritablement très impressionnant et ne peut que rendre humble mais aussi curieux l’auditoire. Le côté networking/social est une part très importante également du symposium et permet la création de liens entre professionnels présents ici, tous autour d’une même passion.

 

Un évènement annuel à ne pas manquer ! Mais en cas d’absence, la présence du live puis de l’ensemble des talks et documents associés, ainsi que la majorité des rumps, en ligne très rapidement est extrêmement appréciable.

 

Merci aux organisateurs, aux intervenants et à tout le personnel des social events !