Ne Pas Utiliser de Credentiels dans une CI/CD Pipeline

Actualités, Méthodes et organisation des process IT

Les pipelines CI/CD sont des outils puissants, mais il est important de ne pas utiliser de credentiels sensibles pour éviter les risques de sécurité.

Comment Donner un Accès Sécurisé à des Services Tiers Sans Utiliser de Clés Secrètes

OpenID Connect (OIDC) is a protocol that allows users to authenticate themselves with an external identity provider, such as Auth0 or Okta. It works by exchanging an access token between the identity provider and the application. This token is cryptographically signed and contains a set of claims about the user, such as their name, email, and other attributes. The application can then use this token to authenticate the user and grant them access to resources.

En tant qu’utilisateur qui construit et maintient des infrastructures cloud, j’ai toujours été méfiant du point de vue de la sécurité lorsque je donne un accès à des services tiers, tels que les plateformes CI/CD. Tous les fournisseurs de services prétendent prendre des précautions strictes et mettre en œuvre des processus infaillibles, mais les vulnérabilités sont toujours exploitées et les erreurs arrivent. Par conséquent, ma préférence est d’utiliser des outils qui peuvent être hébergés en interne. Cependant, je ne peux pas toujours avoir le choix si l’organisation est déjà engagée auprès d’un partenaire externe, tel que Bitbucket Pipelines ou GitHub Actions. Dans ce cas, pour appliquer un IaC Terraform ou déployer un groupe d’échelle automatique, il n’y a pas d’autre choix que de fournir à l’outil externe une clé secrète API, n’est-ce pas ? Faux ! Avec la prolifération de OpenID Connect, il est possible de donner aux plates-formes tierces un accès basé sur des jetons qui n’exige pas de clés secrètes.

Le problème avec une clé secrète est qu’il y a toujours une chance qu’elle soit divulguée. Le risque augmente plus elle est partagée, ce qui se produit lorsque des employés quittent et que de nouveaux arrivent. L’un d’entre eux peut le divulguer intentionnellement ou ils peuvent être victimes d’une hameçonnage ou d’une violation. Lorsqu’une clé secrète est stockée dans un système externe, cela introduit un tout nouvel ensemble de vecteurs de fuite potentiels. Atténuer le risque implique de changer périodiquement les informations d’identification, ce qui est une tâche qui n’ajoute pas de valeur perceptible.

OpenID Connect (OIDC) est un protocole qui permet aux utilisateurs de s’authentifier auprès d’un fournisseur d’identité externe, tel qu’Auth0 ou Okta. Il fonctionne en échangeant un jeton d’accès entre le fournisseur d’identité et l’application. Ce jeton est signé de manière cryptographique et contient un ensemble de revendications sur l’utilisateur, telles que son nom, son adresse électronique et d’autres attributs. L’application peut ensuite utiliser ce jeton pour authentifier l’utilisateur et lui donner accès aux ressources.

Les jetons OIDC sont une alternative intéressante aux clés secrètes pour donner aux plates-formes tierces un accès limité aux ressources cloud. Les jetons sont générés par le fournisseur d’identité et peuvent être limités à une durée de vie spécifique et à un ensemble de revendications spécifiques. De plus, ils peuvent être révoqués à tout moment par le fournisseur d’identité si nécessaire. Les jetons OIDC sont donc une solution plus sûre et plus flexible pour donner aux plates-formes tierces un accè

Source de l’article sur DZONE

31 mai 2023/par Service comm.

Protéger les données utilisateur dans Microsoft 365 : Guide pas-à-pas.

Actualités, Méthodes et organisation des process IT

Protéger les données des utilisateurs est essentiel pour Microsoft 365. Découvrez comment le faire étape par étape grâce à ce guide pas-à-pas !

## Comprendre le paysage des menaces

Malware: Malware is malicious software designed to damage or gain unauthorized access to a system. It can be spread through email, websites, and other sources.

Phishing: Phishing is a type of social engineering attack in which attackers attempt to gain access to sensitive information by sending emails or other messages that appear to be from a legitimate source.

Data Leakage: Data leakage occurs when confidential information is unintentionally shared with unauthorized parties. This can happen through email, file sharing, or other means.

Data Theft: Data theft is the intentional theft of data by an individual or group. This can be done through malicious software, physical theft of devices, or other means.

Introduction

En tant que scientifique informatique enthousiaste, je sais que la sécurité des données est une préoccupation majeure pour les organisations qui utilisent Microsoft 365. Avec la sophistication croissante des menaces cybernétiques, il est essentiel d’être conscient des risques potentiels pour vos comptes utilisateurs et vos données. Dans cet article, nous fournirons un guide étape par étape pour vous aider à protéger votre environnement Microsoft 365 contre la perte de données. Nous couvrirons le paysage des menaces, les fonctionnalités de sécurité Microsoft 365, les meilleures pratiques pour sécuriser les comptes utilisateurs et les solutions de sauvegarde de données pour Microsoft 365. Avec les informations et les recommandations fournies dans ce guide, vous serez bien équipé pour protéger les précieuses données de votre organisation et assurer la continuité des activités.

Comprendre le paysage des menaces

Les menaces cybernétiques sont en constante augmentation et il est important de comprendre le paysage des menaces afin de mieux protéger votre environnement Microsoft 365. Les types de perte de données les plus courants auxquels les organisations sont confrontées dans un environnement Microsoft 365 sont les suivants :

Malware : le malware est un logiciel malveillant conçu pour endommager ou obtenir un accès non autorisé à un système. Il peut être diffusé par e-mail, sites web et autres sources.

Phishing : le phishing est une forme d’attaque d’ingénierie sociale dans laquelle des attaquants tentent d’accéder à des informations sensibles en envoyant des e-mails ou d’autres messages qui semblent provenir d’une source légitime.

Fuite de données : la fuite de données se produit lorsque des informations confidentielles sont partagées involontairement avec des parties non autorisées. Cela peut se produire par e-mail, partage de fichiers ou d’autres moyens.

Vol de données : le vol de données est le vol intentionnel de données par un individu ou un groupe. Cela peut être fait par un logiciel malveillant, un vol physique de dispositifs ou d’autres moyens.

Fonctionnalités de sécurité Microsoft 365 et meilleures pratiques

Microsoft 365 propose une gamme de fonctionnalités de sécurité pour protéger vos comptes utilisateurs et vos données. Ces fonctionnalités comprennent l’authentification multifacteur, la protection contre le hameçonnage, la surveillance des activités suspectes, la protection contre les logiciels malveillants et le chiffrement des données. En outre, il existe certaines meilleures pratiques que vous pouvez adopter pour renforcer la sécurité de votre environnement Microsoft 365. Ces pratiques comprennent l’utilisation d’un mot de passe fort et unique pour chaque compte

Source de l’article sur DZONE

20 février 2023/par Service comm.

Thinking Like a Hacker: AWS Keys in Private Repos

Actualités, Méthodes et organisation des process IT

About This Series

Last time, we covered a scenario in which a threat actor found leaked RSA private keys used by a TLS wildcard certificate for “Poor Corp.” By chaining the leaked private key with DNS misconfigurations, the attacker was able to impersonate a Poor Corp subdomain and use it to create highly effective phishing emails.

In this series, we will dissect not just what an attacker can do to get access to credentials, but also what they would do after getting that initial access. We will walk through a different threat scenario in each part of the series and tell stories of malicious hackers that are either true, based on a true incident, or reasonably theoretical.

Source de l’article sur DZONE

1 novembre 2022/par Service comm.

API Security Weekly: Issue 162

Actualités, Méthodes et organisation des process IT

This week, we have details of compromised Google Cloud accounts being used to mine cryptocurrency (mainly with weak or no passwords on API connections), there’s an article on how GraphQL can be used as an API gateway (including security controls), a very comprehensive guide to all things relating to API security, and a new API security training course from AppSecEngineer.

Vulnerability: Compromised Google Cloud Accounts Used to Mine Cryptocurrency

The main story this week comes from HackerNews and describes how attackers are able to exploit improperly secured Google Cloud Platform (GCP) tenants. The impact on affected users included compromising their cloud resources, like uploading cryptocurrency mining software, and ransomware and phishing attacks.

Source de l’article sur DZONE

15 avril 2022/par Service comm.

SAP et Trustpair joignent leurs forces dans la lutte contre les risques de fraude au virement

Actualités, ERP & Applications, SAP

Paris, le 7 mars 2022 – Afin de répondre aux préoccupations des dirigeants et collaborateurs face à l’augmentation de cyberattaques protéiformes et de plus en plus sophistiquées, SAP SE (NYSE : SAP), Trustpair et Accenture ont mené une étude portant sur la lutte contre les risques de fraude au virement. Cette enquête souligne une importante prise de maturité des entreprises face à la fraude, ainsi qu’une évolution positive de la perception des dispositifs visant lutter contre celle-ci.

Tandis que 95% des entreprises ont fait l’objet d’une tentative de fraude en 2021, dont les trois quarts de ces tentatives ont entraîné une perte financière, 2022 se place sous le signe d’une mise en marche des entreprises, avec une volonté forte de se professionnaliser dans la gestion de la lutte contre la fraude au virement. Les entreprises multiplient ainsi les projets d’envergure et mieux intégrés à leurs systèmes d’information.

Quelques chiffres clés permettent de dresser un diagnostic des risques de fraude auxquels font face les entreprises, mais également les enjeux de sécurisation inhérents :

Pour 85% des répondants, la vulnérabilité des entreprises face à la fraude s’explique par la forte augmentation des cyberattaques.
Parmi les entreprises victimes de fraude, la fraude au RIB arrive largement en tête (64%), suivie par la fraude au faux fournisseur (43%) et le phishing (40%).
Alors que 87% des répondants savent qu’il existe des solutions anti-fraude, 58% des entreprises n’auraient aucune solution technologique dédiée à la fraude au virement. Toutefois, il s’agit d’un enjeu prioritaire, car 67% d’entre elles ont entrepris un projet de lutte contre la fraude au virement en 2021.
On apprend également que près d’un quart des répondants souhaitent que les ERP occupent un rôle de conseiller sur la sécurisation de leurs virements. En effet, le rôle d’un ERP est fondamental, car des modules spécifiques dédiés à la lutte contre la fraude sont de plus en plus présents, ainsi que des solutions spécialisées directement intégrées dans l’environnement technique des entreprises.

« L’étude montre une chose : une sensibilité toujours plus grande au besoin de s’équiper d’une solution digitale contre la fraude au virement », déclare Baptiste Collot, Président et co-fondateur de Trustpair. « Ce constat va de pair avec l’évolution des tentatives de fraude, puisqu’il y a quelques années, les corporates avaient essentiellement pour réponses de continuer à mettre en place des processus manuels pour se protéger de ces risques-là. »

« Cette étude met en lumière l’enjeu croissant autour des ERP et de l’automatisation des processus dans la lutte contre les tentatives de fraude. Notre expertise combinée à celle de notre partenaire Trustpair dans la sécurisation des coordonnées bancaires est reconnue (avec une note de confiance à 8,6/10), et il semble, aujourd’hui plus que jamais, indispensable de répondre à la demande d’accompagnement de nos clients, en leur fournissant tous les conseils et ressources nécessaires pour mieux se défendre contre ce type de cyberattaques », selon François Bourgeois, Sales Director Finance & Risk – SAP France.

L’étude a été menée du 1^er décembre 2021 au 25 janvier 2022 auprès de 134 Directeurs Financiers et Directeurs Trésorerie d’ETI et de grands groupes français, via un questionnaire par internet et par téléphone.

Pour télécharger l’étude dans son intégralité : lien.

À propos de SAP

La stratégie de SAP vise à aider chaque organisation à fonctionner en “entreprise intelligente”. En tant que leader du marché des logiciels d’application d’entreprise, nous aidons les entreprises de toutes tailles et de tous secteurs à opérer au mieux : 77 % des transactions commerciales mondiales entrent en contact avec un système SAP®. Nos technologies de Machine Learning, d’Internet des objets (IoT) et d’analytique avancées aident nos clients à transformer leurs activités en “entreprises intelligentes”. SAP permet aux personnes et aux organisations d’avoir une vision approfondie de leur business et favorise la collaboration afin qu’elles puissent garder une longueur d’avance sur leurs concurrents. Nous simplifions la technologie afin que les entreprises puissent utiliser nos logiciels comme elles le souhaitent – sans interruption. Notre suite d’applications et de services de bout en bout permet aux clients privés et publics de 25 secteurs d’activité dans le monde de fonctionner de manière rentable, de s’adapter en permanence et de faire la différence. Avec son réseau mondial de clients, partenaires, employés et leaders d’opinion, SAP aide le monde à mieux fonctionner et à améliorer la vie de chacun. Pour plus d’informations, visitez le site www.sap.com.

SAP News Center. Suivez SAP sur Twitter : @SAPNews.

À propos de Trustpair

Trustpair est la plateforme de gestion de risque de tiers spécialisée dans la lutte contre la fraude au virement.

Créé en 2017, Trustpair accompagne les Directions financières des grandes entreprises et ETI dans la sécurisation de leurs paiements en vérifiant automatiquement les coordonnées bancaires de leurs tiers. Avec Trustpair, plus de de 150 Directions financières sont déjà dotées d’une solution digitale pour déjouer les fraudes via :

Le contrôle automatique des RIB fournisseurs
L’audit continu et en temps réel du référentiel tiers
La sécurisation de l’ensemble de leurs campagnes de paiements

Site web : www.trustpair.fr

Réseaux sociaux : LinkedIn | Twitter | YouTube

Contacts presse :

Chloé Jalaguier : chloe.jalaguier@publicisconsultants.com

Robin Legros : robin.legros@publicisconsultants.com

Léonore Brin : lbrin@trustpair.fr

+33 (0)6 88 47 33 95

Veuillez tenir compte de notre politique de confidentialité. Si vous avez reçu cette alerte de presse dans votre courriel et que vous souhaitez vous désabonner de notre liste d’envoi, veuillez communiquer avec presse-sap@publicisconsultants.com et écrire Désabonnement dans la ligne Objet.

The post SAP et Trustpair joignent leurs forces dans la lutte contre les risques de fraude au virement appeared first on SAP France News.

Source de l’article sur sap.com

7 mars 2022/par Service comm.

How to Validate a Domain Name in Java

Actualités, Méthodes et organisation des process IT

A domain name is used to represent online entities and provide users with access to websites that can help them accomplish goals like purchasing products, finding information, and connecting with others. As the internet a tool universally used in commerce throughout business practices, it is important to know what sites you are accessing, as well as any threats that may exist from those domains.

With phishing attempts and other cyber threats on the rise, online security should be a key part of business planning. Preparing for these risks will help prevent the theft of information and protect your organization and client-base. Having a plan in place will lend your business credibility and reliability in the eyes of your users and partners, who will know that they can trust you with their sensitive data.

Source de l’article sur DZONE

17 décembre 2020/par Service comm.

5 Biggest Challenges Web Design Agencies Face

Actualités, Actualités

With billions of internet users worldwide spending several hours online each day, the online presence of brands is now a necessary avenue for building, boosting, and maintaining positive value and attracting and interacting with customers.

This has created increasing pressure for web design agencies when creating and managing websites. This pressure is multiplied by all the projects that web design agencies have to handle at one time. This is because different clients demand different things for their websites, whether it’s a signature feature or specialized functionality.

Hence, it’s vital that the tools the agencies use to work are simple enough and suited to the tasks they have to accomplish in order to build and maintain these projects. Having the right tools can increase efficiency and effectiveness in managing websites.

Challenges in Modern Web Design

Building a website with all the essentials in mind is always easier said than done. Websites have to be both functional and easy on the eyes to invite traffic, disseminate information, or appeal a product or service to a target audience, and all while having an attractive and convenient interface.

The good news is that it’s perfectly possible to design a quality website and without spending a fortune to do so. Below are some of the challenges that web design agencies face when trying to deliver and reconcile efficient user experience and effective user interface in web design.

1. Appealing User Experience

Designing a good website means ensuring that the user experience is appealing to a general audience, but this is one of the most difficult parts of web design. Agencies must be careful not to turn off users with a confusing user experience. For instance, making important information difficult to find on web pages, using technical jargon that ordinary users wouldn’t understand, and focusing too much on the design rather than the overall experience are a few big mistakes that no designer should ever commit.

Instead, web design agencies should focus not only on making the design look good but also on making the experience smooth and fast for the regular site visitor. This includes improving design elements to make navigation easier as well as optimizing webpage load speeds.

2. Working With a Budget

It’s common for the client and the web design agency’s budgets to not line up at all times. Either the client will find the project quote too high, or the designer will find the client’s budget too low. The cost of a web design project can vary greatly, depending on what needs to be done.

Although having to build a good website on a budget may be difficult, it’s important for both parties to come up with a set amount before the project even starts. The client should always specify what they want to achieve and how much they’re willing to pay to get it, and the agency should let the client know beforehand if this is possible.

3. Integrating Third-Party Functionality

Sometimes, clients may make requests for third-party functions that may not be easily integrated into the site. To prevent this, web design agencies should always consider integration when building a site. Most businesses and companies now have at least one social media account, so it doesn’t make sense for their site to remain disconnected.

When a website visitor shares an excerpt on a social media site like Facebook, Pinterest, or Twitter, other people who can see their posts may become interested in visiting the original post on the website. Properly integrating third-party applications and functions into a website can get it more online presence and popularity.

4. Suitability to Different Devices

There are many devices that people can use to access the web. From smartphones to desktop computers, from cars to game consoles, and even wristwatches and digital cameras, all of these can be web-enabled as long as there’s an available internet connection.

Websites nowadays should always be compatible with any of the devices people might use to go to the website. They should look pleasing and load fast regardless of what device a visitor is using.

5. Security of Personal Information

Most websites require personal or financial information, whether for account verification, for website subscription, or something else. Websites should be designed with personal security in mind, which is even more important since hacking has been on the rise since the coronavirus hit.

One of the biggest threats that websites face today is phishing, or when an attacker will pretend to be a trusted contact and attempt to compel you to click a malicious link. Another is ransomware, or where cybercriminals hold customer data for ransom and attempt to extort online business owners. Yet one more is SQL injections, or where hackers will attempt to execute malicious SQL commands in your website’s database.

The best practices in regards to web design to mitigate these risks include third-party plugins and themes, keeping all of your software up to date, setting your web applications so they run the fewest privileges possible, and utilizing SSL certificates and HTTPS protocols.

Adopting Site-Building Platforms

Gone are the days where you had to be technologically gifted to design a website from scratch, usually through manual HTML codes. Back then, you had to know your way around the web if you wanted to set-up and manage a site of your own.

Now, there are a lot of good website builders that allow you to create websites in a faster period of time. Even web design agencies now make use of such builders in order to make the job easier and more convenient. Not to mention, it allows agencies to focus on the design alone.

Although these platforms offer predesigned templates based on the most common purposes of websites, they normally allow the user to white label the website into the branding specific to the business or agenda of the website owner. The text styles, colors, and sizes coordinated to the website’s theme, and colors can be designed specifically to match the business or organization’s image and identity.

Simply put, creating websites through a web builder platform can provide web design agencies with easy-to-understand tools that their teams and members can all uniformly use to more effectively and more efficiently handle all their projects.

With services that allow mobile optimization, site management, and even drag-and-drop editing, web design agencies can now better manage their projects and finish with their tasks more quickly.

Not only that, by using white labelling, services can conserve their time and energy into focusing on creating the best website for their client. With all the website builders currently available on the market today, just picking the right one can give web design agencies the best tools to use when creating, designing, and maintaining websites.

Featured image via Pexels.

Source

Source de l’article sur Webdesignerdepot

23 octobre 2020/par Service comm.

Cybersecurity During a Pandemic: An Interview With Critical Start

Actualités, Méthodes et organisation des process IT

In our current time of crisis, it’s a sad fact that there are many taking advantage of distracted governments, businesses, and individuals. With the majority of workforces in the Western world currently working from home, often on insecure networks, and far removed from their typical IT support structure, an increase in cybersecurity threats has reared its head during the COVID-19 crisis.

I recently spoke with Quentin Rhoads-Herrera of CRITICALSTART to discuss trends they have recently witnessed, how the company is helping during the crisis, and cutting through some cybersecurity jargon. You can hear the full interview below.

Source de l’article sur DZONE

23 avril 2020/par Service comm.

Understanding The Difference Between IT Security and Cybersecurity

Actualités, Méthodes et organisation des process IT

As businesses increasingly rely on data to fuel their daily operations, the need for protecting this data is at an all-time high. Systems, processes, and physical assets all need to be secured as part of a company’s overall data security plan.

There are many ways through which business information can be protected against threats. Some techniques involve securing data from cybercriminals, while others involve offline processes such as locking file cabinets, maintaining access control to specific rooms, and setting up employee guidelines during daily operations.

Source de l’article sur DZONE

11 septembre 2019/par Service comm.