Quand les bleus se prennent pour des chercheurs de vulnérabilités — Sylvain Peyrefitte
Date : 03 June 2020 à 12:00 — 15 min.
La défense informatique tente de plus en plus de formaliser l'évaluation de son efficacité, au travers de framework tel que MITTRE ATT&CK etc. Nous n'allons pas évaluer la qualité des différents frameworks, mais plutôt évaluer la pertinence de notre mesure. Si notre système est déstabilisé par la découverte d'une vulnérabilité critique, telle que bluekeep, quelle mesure avant nous pour en conclure sur l'état présent ou passé, de notre parc . Dans cet article nous allons vous présenter des outils et méthodes, ressemblant étrangement aux techniques des chercheurs de vulnérabilités, que nous avons développées afin de mettre en évidence de nouvelles mesures permettant de conclure rapidement sur l'état d'un système Windows, face à une menace précise. Pour cela nous allons nous lancer dans l'exploration et la recherche d'événements ETW, en utilisant Wireshark, IDA et WinDBG.