CYBERSECURITE ET POWERSHELL : DE L'ATTAQUE A LA DEFENSE DU SYSTEME D'INFORMATION
Ce livre traite de la sécurité des systèmes d’information à travers le prisme du langage PowerShell. Il s’adresse aux administrateurs système et réseau, experts ou consultants en cybersécurité, chefs de projet ou responsables cyber qui souhaitent comprendre le rôle et les capacités du langage de scripting de [...]
[lire le résumé du livre]
Editeur : Eni
Collection : EPSILON
Date parution : 02/2022CB Google/Apple Pay, Chèque, Virement
Quel est le sujet du livre "CYBERSECURITE ET POWERSHELL : DE L'ATTAQUE A LA DEFENSE DU SYSTEME D'INFORMATION "
Ce livre traite de la sécurité des systèmes d’information à travers le prisme du langage PowerShell. Il s’adresse aux administrateurs système et réseau, experts ou consultants en cybersécurité, chefs de projet ou responsables cyber qui souhaitent comprendre le rôle et les capacités du langage de scripting de Microsoft dans le domaine de la cybersécurité.
L’auteur propose une approche pragmatique et pédagogique de la sécurité qui présente aussi bien les capacités offensives que défensives de PowerShell, le tout illustré par des exemples pratiques à mettre en œuvre au sein d’un laboratoire virtuel.
Dans une première partie dédiée aux aspects offensifs, des premiers chapitres détaillent des exemples d’attaque en PowerShell et vous invitent à développer votre propre ransomware. Vous découvrez également PowerShell Empire, un framework d’attaque open source entièrement basé sur PowerShell.
La seconde partie illustre les possibilités défensives de PowerShell (et la façon de les contourner), comme la signature de code, la mise en place d’une chaîne de certification, les mécanismes comme AMSI (Anti-Malware Scan Interface) ou le mode de langage contraint. La sécurisation des accès à distance avec PowerShell est également étudiée avec WinRM, WMI ou Just Enough Administration. Diverses techniques d’administration nécessaires à la sécurité sont ensuite évoquées, telles que la protection des protocoles SMB et RDP, les comptes de service managés et les abonnements WMI.
Pour finir, une dernière partie appréhende la supervision des environnements Windows et PowerShell avec les mécanismes de journalisation et de centralisation des logs jusqu’à la mise en œuvre d’une infrastructure de supervision SIEM.
Quizinclus dans
la version en ligne !
Diplômé en 2011 de l’École d’ingénieur nationale supérieure d’électronique, informatique, télécommunications, mathématique et mécanique de Bordeaux (ENSEIRB), Étienne LADENT est ingénieur en sécurité informatique et a travaillé dans de grands groupes français dans le secteur de l’énergie. Lors de ses différentes missions, il apporte son expertise en particulier sur les SIEM, les antivirus et PowerShell et plus généralement sur la sécurité informatique défensive. Fondateur du site geekeries.org, il a également écrit de nombreux articles dans la revue MISC, spécialisée en sécurité informatique.
En suivant ce lien, retrouvez tous les livres dans la spécialité Sécurité réseaux.
Sommaire et contenu du livre "CYBERSECURITE ET POWERSHELL : DE L'ATTAQUE A LA DEFENSE DU SYSTEME D'INFORMATION "
Avant-propos
- Introduction
Fondamentaux et mise en place du Lab
- Les fondamentaux de la cybersécurité
- 1. Le risque et les compromis de sécurité dansle temps
- 2. Les quatre piliers de la sécurité
- Les différents acteurs de la cybersécurité
- 1. Les équipes de production
- 2. Les équipes cyber
- 3. La gouvernance
- 4. Les utilisateurs
- 5. Les « attaquants »
- Les éléments clés de PowerShell pour la sécurité
- 1. Pour les administrateurs
- 2. Pour les attaquants
- a. Live off the land
- b. Fileless attack
- 1. L’infrastructure du Lab
- 2. Infrastructure réseau
- a. VirtualBox
- b. pfSense
- a. Windows Server 19
- b. Finaliser la configuration pfSense
- c. Création du domaine Active Directory
- a. Client Windows 10
- b. Client Windows 7 (optionnel)
- c. Machine de l’attaquant : Kali-Linux
Les attaquants et PowerShell
- Quelques exemples d’attaques
- 1. Balayage réseau en PowerShell
- a. Définition d’un scan réseau
- b. Développement
- c. Cas pratique
- 1. Balayage réseau en PowerShell
- 2. Attaques sur KeePass
- a. Présentation de KeePass
- b. Recherche de KeePass sur un système
- c. Analyse du fichier de configuration
- d. Bruteforce
- e. Quelques bonnes pratiques relatives à KeePass
- 3. Kerberoasting
- a. Présentation
- b. Mise en place
- c. Attaque
- d. Bilan
- 4. Chiffrement
- a. "On dit chiffrer"
- b. Les attaquants
- c. Chiffrement et déchiffrement asymétriquesen PowerShell
- d. Chiffrement et déchiffrement symétriquesen PowerShell
- e. Bilan
Malware maison
- Introduction
- Comment est architecturé un malware ?
- Étape 1 : le dropper Memory Only
- Étape 2 : le serveur de contenu
- 1. Serveur HTTP en Python
- 2. Serveur HTTP en PowerShell
- Étape 3 : le C&C et le reverse shell
- 1. Le C&C : mettre le serveur en écoute
- 2. Le reverse shell : établir une communication
- 3. Action
- Étape 4 : le ransomware
- 1. Chiffrement
- 2. Déchiffrement
- L'attaque, pas à pas
- Conclusion
PowerShell Empire
- Historique et présentation
- Déploiement
- 1. Les sources et la documentation
- 2. Installation
- a. Empire
- b. Starkiller
- c. API REST d’Empire
- 1. Help !
- 2. Listeners
- a. Présentation
- b. Un premier listener
- c. Analyse du dropper associé
- d. Exécution du launcher
- a. Présentation
- b. Création d’un stager
- c. Empaqueter le launcher dans une macro
- d. Ouverture d’une pièce jointe piégée
- a. Présentation
- b. Interagir avec un agent
- c. Élévation de privilègessous Windows 7
- d. Zoom sur l’attaque ByPass UAC
- a. Élévation de privilègespour W10
- b. Collecte d’informations
- c. Persistance
- a. Bruteforce du mot de passe Administrateur
- b. Vol du jeton
- c. Pivot SMB et RDP
- d. Restricted Admin mode, RDP et pass-the-hash
- a. NTDS
- b. DSInternals
Sécuriser PowerShell
- Introduction
- Supprimer PowerShell
- 1. Désinstaller, désactiver ou bloquer ?
- 2. Bloquer PowerShell par GPO
- 3. Contrôler le blocage
- 4. Quelques considérations
- Execution policy
- 1. Présentation
- 2. Configuration
- a. Locale
- b. Domaine
- 3. Tester et contourner
- a. Tester
- b. Contourner
- 4. Bilan
- 1. Présentation
- 2. Mettre en œuvre une Autorité deCertification pour le code signing
- a. Autorité racine
- b. Serveur de liste de révocation
- c. Autorité intermédiaire
- d. Certificat de signature utilisateur
- e. Déployer le certificat d’AC
- f. Déployer le certificat utilisateur
- g. Usage de XCA pour une PKI d’entreprise
- a. Signer un script
- b. Timestamping
- 1. Présentation
- 2. AMSI : banc de test
- 3. Observateur d’événements
- 4. Bilan
Restreindre PowerShell
- Introduction
- Remote PowerShell
- 1. PSSessions, WS-Management et WinRM
- a. Sessions
- b. Sécurité des communications réseau
- c. Activer WinRM
- 1. PSSessions, WS-Management et WinRM
- 2. Sécurisation de WinRM
- a. Pare-feu
- b. Contrôle d’accès par groupe AD etGPO
- c. Contrôle d’accès SDDL
- d. HTTPS
- e. Authentification par certificats
- 3. WMI
- a. Firewall
- b. Contrôle d’accès
- c. Démarrer un processus à distance
- d. Bilan
- 1. Présentation
- 2. Stratégie de mise en œuvre
- 3. Capacité de rôle
- 4. Configuration de sessions
- 5. Activer et désactiver la configuration JEA
- 6. Tester JEA
- 7. Bilan
- 1. Language Mode
- 2. AppLocker
- a. Bloquer l’exécution de scripts avec AppLocker
- b. AppLocker et les journaux d’événements
- a. Configuration
- b. Contournement partiel
Défendre son SI avec PowerShell
- Introduction
- Durcissement
- 1. RDP : Remote Desktop Protocol
- a. Authentification, NLA et gestion des accès
- b. Pare-feu
- 1. RDP : Remote Desktop Protocol
- 2. Configurer TLS
- 3. SMB
- a. Server Message Block - Présentation
- b. Forcer SMB v3
- c. Bilan
- 1. Qu’est-ce qu’un pare-feu déjà ?
- 2. Appliquer une politique No-inbound
- 3. Tracer les connexions réseau
- 4. Bilan
- 1. Les comptes de service managés
- 2. AdminSDHolder
- 1. WinRM et le live-forensics
- 2. WMI : abonnements aux événementssystème
- a. Exemples de requêtes WQL
- b. Filtres, consommateur et binding
- a. Abonnement permanent : détectiondes nouveaux périphériques
- b. Abonnement temporaire : détectiond’un démarrage de processus dans PowerShell
Superviser PowerShell
- Introduction
- Collecter les logs Windows et Sysmon
- 1. Surveiller les logs Windows avec PowerShell
- 2. Mettre en place Sysmon
- 3. Transférer les logs Sysmon vers un serveurSyslog
- a. WinEventForwarding
- b. Retransmettre vers un serveur syslog
- 4. Bilan
- 1. Logs PowerShell
- 2. Transcript
- 3. Script Block Logging
- 4. Protected Event Logging
- 5. Bilan
- 1. Installer une instance Splunk
- 2. Indexer les premiers logs
- a. Injecter un fichier de log et créer le sourcetype
- b. Surveiller un dossier
- a. Observer les événements bruts
- b. Travailler et filtrer sur les champs
- c. Faire des statistiques
- d. Mettre en place une alerte
- e. Pour aller plus loin avec Splunk…
Conclusion
- Conclusion