Welcome

ISME v0.10 is out.

Cedric Baillet — 2013-04-13T21:01:30Z

V0.10- 13/04/2013
• Exploit: Aastra IP Phone hardcode telnet login/password. - ISME

ISME V0.9.1 is out

Cedric Baillet — 2013-03-17T14:07:20Z

An incorrect name in a file block the launch of the main script on some systems.

Corrected.

ISME v0.9 is out.

Cedric Baillet — 2013-02-22T09:37:30Z

V0.9- 22/02/2013
• Exploit: Polycom HDX telnet authorization bypass (OSVDB 90125)
• Tool: Cisco phone: Having fun with SSH
Warning: new perl libraries in use. Launch install script.

ISME v0.8 is out.

Cedric Baillet — 2013-01-16T15:20:44Z

V0.8 – 15/01/2013
• GUI update.
• Exploit: Alcatel OXO FTP Denial of service.
• Exploit: Mitel ip phone information disclosure.
• Exploit: Mitel IP phone XSS vulnerability detection.
• Tool: Add Cisco phone SSH server detection.
Warning: new perl library in use -> Net::SSH - ISME / ISME, ip phone scanning made easy, voip security, security tool, scanning, mitel xss, mitel information disclosure, Cisco phone SSH server detection, OXO FTP Denial of service, ip phone scanner

l'ingénierie sociale sort du bois et gagne ses galons

Cedric Baillet — 2012-12-05T09:01:05Z

L'état du Colorado (Etats-Unis) a effectué un test de pénétration grandeur nature, sans avertissement pour ses équipes, et cela sur une durée de six mois. La plupart des méthodes usuelles de pentesting/hack ont été utilisées, en n'oubliant pas l'aspect ingénierie sociale qui a également été exploré avec succès.

Il est intéressant de constater que les campagnes de phishing mises en œuvre par l'équipe de pentesters leurs ont permis de récupérer une quantité significative d'informations comme les login/password des utilisateurs, voire même des comptes administrateur.

Un deuxième exemple plus en vogue pour tous ceux qui ne sont pas convaincus: Facebook organise en Octobre une joyeuse fête appelée Hacktober. Le thème: les équipes d'ingénieurs ont le droit de passer du coté obscur et de libérer auprès des employés de la firme leurs dernières fabrications personnelles en termes de spams, vers ou phising. Les salariés tombant dans le panneau gagnent le droit de retourner en formation.

http://blogs.orange-business.com/securite/2012/12/lingenierie-sociale-sort-du-bois-et-gagne-ses-galons.html

10 bonnes raisons de se méfier des smartphones

Cedric Baillet — 2012-12-05T08:59:30Z

Raison 1 : Un smartphone c'est comme un ordinateur. Oui, mais sans aucune mesure de sécurité. Et à l'heure ou les malwares commencent à pulluler sur android, ce n'est vraiment pas rassurant.

Raison 2 : votre voisin a une tête de geek ? Un vrai ? A l'ancienne ? Qui bidouille sérieusement la ligne de commande ou de code ? Et il est rivé à l'écran de son smartphone tout seul dans le noir ? hummmm c'est pas bon. Changez le mot de passe de votre réseau WIFI et éteignez votre ordinateur, on ne sait jamais.

http://blogs.orange-business.com/securite/2012/11/10-bonnes-raisons-de-se-mefier-des-smartphones-nfc-donnees-byod-malwares.html

survivrez-vous à la perte de votre doudou ?

Cedric Baillet — 2012-12-05T08:58:19Z

Tous les jeunes parents le savent, LE doudou est un élément essentiel pour l'équilibre familial. Sa perte peut mener à des comportements étranges du type : . je fais demi tour (et 80 km) pour essayer de retrouver un doudou oublié
. je me jette sur ebay pour payer le jumeau à un prix monstrueux (le marché parallèle du doudou se porte bien merci)
. je retourne toute la maison sans aucun souci de rangement pour retrouver la précieuse peluche
… (complétez cette liste via les commentaires en bas)

La légende veut qu'en grandissant le doudou disparaisse petit à petit du paysage des enfants, mais est-ce vrai ? Réfléchissez bien. Ne trainez vous vraiment rien avec vous partout ? Aucun objet dont la perte ne vous mettrait pas dans tous vos états ? Mais si, ne mentez pas ! Le doudou d'un adulte, c'est son smartphone.

http://blogs.orange-business.com/securite/2012/10/survivrez-vous-a-la-perte-de-votre-doudou.html

et une best-practice de plus pour sécuriser la téléphonie d'entreprise, une !

Cedric Baillet — 2012-12-05T08:56:17Z

Voila bien des années que les professionnels de la sécurité serinent la rengaine usuelle de la mise en œuvre des best practices, y compris dans la téléphonie. Le fait que cette dernière soit désormais incluse dans le lot est d'ailleurs le signe qu'elle gagne indubitablement en maturité me semble-t-il.

Quoiqu'il en soit, ce n'est pas parce que cette petite chanson raisonne tant et plus dans les oreilles des experts, qu'elle est pour autant appliquée. Je dirais même qu'il ne se passe probablement pas un audit (enfin presque, il ne faut pas désespérer quand même) sans que l'on puisse constater que des fonctions simples à mettre en œuvre et pourtant efficaces n'aient pas été implémentées.

http://blogs.orange-business.com/securite/2012/10/best-practices-securite-telephonie-entreprise-ip-phonea.html

la sécurité, nouveau coach sportif ?

Cedric Baillet — 2012-12-05T08:54:54Z

Faire de la sécurité n'est pas une sinécure. Nous le savons tous. Mis à part les caractères fort qui réussissent à être systématiquement détachés, il faut reconnaître que l'acteur sécurité passe par beaucoup de phases différentes et que les euphoriques sont rarement les plus courantes.

Oui, l'expert sécurité, du fond de sa caverne avec son langage étrange, reste un homme comme les autres. Constater que son sacerdoce quotidien avance à la vitesse d'un escargot, voire fait marche arrière, est parfois dur pour les nerfs. Pour les émotifs qui relâchent parfois la pression au travers d'un mail ou d'un échange un peu vif, je demande donc un peu de tolérance. Cela ne vient pas d'un mauvais fond mais d'un souhait de trop bien faire, avec éventuellement la nécessité de se rappeler que des rapports humains gérés en douceur sont plus efficaces qu'une approche un peu trop brusque.

http://blogs.orange-business.com/securite/2012/10/billet-dhumeur-pour-finir-la-semaine.html

la documentation, mon meilleur ennemi

Cedric Baillet — 2012-12-05T08:53:25Z

Dans le monde de l'IT, la documentation est souvent perçue au mieux comme une source d'information ponctuelle, mais austère, et au pire comme un élément occupant de la place disque ou une armoire de façon inutile. Il me parait assez terrible de constater que la réflexion ci-dessus touche la plupart des métiers, aussi différents soient-ils :
. l'expert technique qui finit une configuration de référence sur un périphérique et qui doit ensuite rédiger le document explicatif
. l'architecte qui termine un design et doit désormais rendre ses choix lumineux pour le commun des mortels
. le marketing qui doit rédiger les documents explicitant l'ensemble des décisions prises pour une ligne de produit pour que chacun puisse en prendre connaissance (avec le powerpoint associé tant qu'à faire)

http://blogs.orange-business.com/securite/2012/09/la-documentation-mon-meilleur-ennemi.html