Ceci est une ancienne révision du document !
Table des matières
Le réseau ARAMIS (http://aramis.resinfo.org) organise sa 7ème journée annuelle le 2 avril 2015 à l'ENS de Lyon sur la Sécurité des serveurs et des applications.
La multiplication des solutions de type “logiciels en tant que service” (SaaS) comme gmail, google doc, dropbox… “gratuitement” utilisables entraîne une pression accrue des utilisateurs de nos entités pour disposer d'applications aussi largement accessibles, et donc souvent basées sur les technologies et applications Web. De ce fait, nos serveurs et nos applications sont davantage exposés et attaqués. Cette journée sera orientée sur les moyens, les outils et les techniques que les administrateurs systèmes et réseaux et les développeurs peuvent employer pour tester et améliorer la robustesse de leurs configurations et de leurs applications.
Mots clés : piratage, intrusion, réseau, serveur, injection, xss, CSRF, logs, audit, tests
Cette journée sera vidéo-diffusée par la cellule Webcast du CC-IN2P3.
Plan - Accès
<note warning> Il semble qu'il y ait peu de possibilités de parking gratuit sur place, privilégiez les transports en commun </note>
ENS de LYON Site MONOD Salle de Conférence (anciennement salle UNESCO) Place de l'Ecole LYON 7è - Gerland
- Depuis l'aéroport de Lyon-Saint-Exupéry : prendre le tram RhôneExpress à l'aéroport jusqu'à la gare de la Part-Dieu.
- Depuis la gare de la Part-Dieu, prendre le métro (ligne B) direction Gare d'Oullins, jusqu'à la station Debourg.
- Depuis la gare de Perrache, prendre le tram T1 direction Debourg, jusqu'à la station ENS Lyon.
- En métro : prendre la ligne B direction Gare d'Oullins, jusqu'à la station Debourg.
- En tramway : prendre le tram T1 direction Debourg, jusqu'à la station ENS Lyon.
- En bus depuis Perrache, bus C 22, 96, arrêt Halle Tony Garnier.
Programme
<note tip> Nouveauté : Lightning talks (courtes présentations sur la sécurité de 5 min, 1-2 transparents, inscription dès à présent en écrivant aux organisateurs à l'adresse comite.aramis[at]listes.resinfo.org ou le matin même dans la salle). </note>
Webcast (en direct) de la journée.
| Matin | 9h00-9h30 | Accueil | |
|---|---|---|---|
| 9h30-9h45 | Introduction – Présentation ARAMIS - Présentation du Centre Blaise Pascal | ||
| 9h45-10h25 | Exposé : Différentes attaques de sites web : XSS, usurpation de contenu, injections (SQL, caractère nul, commandes, code), CSRF, détournement de session Slides | M. Contensin / K. Poutrain - IBDM / LIF - Université Aix-Marseille | |
| 10h25-11h05 | Démo : Présentation des outils de scan, de collecte, puis démo en live de comment on pirate un site WEB Slides1 Slides2 | M. Contensin / K. Poutrain - IBDM / LIF - Université Aix-Marseille | |
| 11h05-11h30 | Pause | ||
| 11h30-12h15 | Exposé : Sécurisation des serveurs (fichiers de configuration Apache/PHP sans mod_security) Slides | M. Contensin / K. Poutrain - IBDM / LIF - Université Aix-Marseille | |
| 12h15-12h45 | Attaques d’applications web, comment se protéger, exemple avec mod security ? Slides | C. Louvard - ENTPE | |
| 12h45-13h15 | Lightning Talks | ||
| Midi | 13h15-14h30 | Pause repas | |
| Après-midi | 14h30-15h00 | Intercepter et exploiter les informations qui transitent sur le réseau avec Znets Slides | T. Descombes / J. Fulachier - CNRS / IN2P3 / LPSC |
| 15h00-15h20 | Retour d'expérience sur quelques outils d'audit de code en C pour du code accessible par le Web en CGI aramis2015annec2.pdf | A. Cheylus - CNRS / ISC | |
| 15h20-15h50 | Pause | ||
| 15h50-16h45 | Actualités des vulnérabilités web : détections, démonstrations et contre-mesures | Romain DOROTHE (Club Ethical Hacking, Clusir Lyon) : Ingénieur sécurité / Consultant / Pentester | |
| 16h45-17h15 | Discussions sur le réseau ARAMIS | ||
Inscriptions closes
<note important> Les inscriptions sont closes, la journée sera vidéocastée, rendez vous le jour même par vidéo. </note>
