Patrick Chevalier

Patrick Chevalier possède plus de dix années d’expérience directement liées au domaine de la sécurité de l’information. Il est détenteur de plusieurs certifications spécialisées, telles que CISSP, CISA, CSSLP, GIAC, CEH, SEC+ et ITIL. Il se spécialise en audits de sécurité et tests d’intrusion tant au niveau des systèmes d’information, des infrastructures réseaux que des applications stratégiques. Il agit à titre de conseiller senior auprès d’organisations de moyennes et grandes envergures du secteur public et privé.

Présentation

Cette présentation abordera certains exemples concrets de failles de type "logique applicative" rencontrées lors de véritables tests d'intrusion effectués au cours des dernières années et ciblant des applications Web de différents types. 

Contrairement aux vulnérabilités applicatives traditionnelles, l’exploitation de failles de logique applicative ne passe pas par un vecteur d’attaque (ex: XSS, Injection SQL, CSRF, etc.), mais  plutôt par  une manipulation directe de la logique de l'application. Les failles de ce type ont souvent un impact de sécurité critique pour l'application vulnérable et les données hébergées au niveau de celle-ci. De plus, elles sont généralement hors de portée des logiciels de tests automatisés, des systèmes de prévention et de détection d'intrusion de même que des pare-feux applicatifs (WAF).

Cette présentation permettra aux personnes présentes d'acquérir une meilleure compréhension des impacts potentiels de ce type de faille. Seront également discutées les mesures de sécurité à appliquer aux diverses étapes du cycle de développement ainsi que des meilleures pratiques de sécurisation permettant d'identifier et de prévenir ce type de vulnérabilité.

*****

Patrick Boucher

M. Boucher a fondé Gardien Virtuel en 2003. Depuis la fondation, la compagnie n'a cessé de croître en revenus et en nombre d'employés qui se chiffre aujourd'hui à 35 employés permanents et contractuels. M. Boucher détient également plus de 15 années d'expérience en informatique, dont huit en sécurité de l'information. Parmi les accréditations qu'il possède, nous retrouvons les certifications CISSP, CISA, CGEIT et ITIL. Son expertise se situe dans les domaines d'architecture de sécurité, continuité des opérations et des affaires, des tests et audits de sécurité, de l'analyse de risques, du développement d'architectures réseaux et d'environnements sécuritaires ainsi que de l'évaluation des méthodes de travail en développement d'application .NET. Il a donc une excellente connaissance des standards de sécurité, des environnements Microsoft et Unix et est familier avec les normes qui servent de guide aux entreprises dans le cadre de la réalisation des mandats. M. Boucher détient un baccalauréat en informatique de l'Université du Québec à Montréal.

Présentation

Cette conférence/activité permettra aux gestionnaires présents de faire face à une défaillance/désastre inattendue, de maintenir l'accessibilité aux services essentiels ainsi qu'à prévenir un état de crise ou de panique. Un plan de continuité des affaires (PCA) est une composante essentielle d'un plan de sécurité de l'information.

Miser sur un bon PCA permet aussi de mieux cerner les enjeux financiers d'un incident en prédisant les pertes encourues et en documentant les stratégies de relève qui vous permettront de mieux gérer vos risques d'affaires. Les principales phases de développement sont:

• Définir la portée du PCA et son contexte de sécurité.
• Identifier les phases du développement du PCA.
• Obtenir une vue globale de la mise en place d'un PCA.
• Déterminer des stratégies de recouvrement.

Nous souhaitons tous ne jamais avoir à utiliser un plan de continuité des affaires. Mais comme le dit le vieil adage, mieux vaut prévenir que guérir!


*****

Michel Cusin

Michel Cusin œuvre dans le domaine de la sécurité depuis près d’une décennie. Il est actuellement à l’emploi de Bell Canada comme spécialiste en sécurité de l’information et comme responsable de la pratique de sécurité au niveau de la conception de solutions pour le Groupe Grandes entreprises. Dans le passé, Michel a travaillé comme consultant en sécurité au niveau des secteurs privé et public pour différentes firmes en sécurité. Michel détient plusieurs certifications en sécurité, dont notamment CISSP, GCIH, CEH, OPST, ainsi que plusieurs autres reliées à divers manufacturiers de solution en sécurité. Il participe également, en tant qu’auteur et chargé de cours, au certificat en cyberenquête à l’École polytechnique de l’Université de Montréal. Il collabore avec le SANS depuis maintenant plusieurs années et joue le rôle de mentor au niveau du programme de mentorat pour cours « Security 504- Hacker Techniques, Exploits and Incident Handling ». Il participe également à divers événements de sécurité à titre de conférencier. Michel est un passionné de sécurité et aime partager son expertise avec le reste de la communauté.

Présentation

Plusieurs outils et techniques existent pour aider les administrateurs de systèmes à répondre aux besoins de sécurité de leur organisation et à collaborer efficacement avec les équipes de sécurité et de vérification, tout en étant capable de continuer leur travail au quotidien. Lors de cette présentation, les sujets suivants seront abordés :

Pourquoi certains problèmes arrivent-ils aux bons administrateurs de systèmes et pourquoi perdent-ils la bataille ?

La méthodologie de sécurité, l’architecture et les processus de réflexion dans la gestion quotidienne des systèmes.

L’importance de la segmentation réseau.

La surveillance de la sécurité : ne pas savoir ce qui se passe dans notre environnement fait le bonheur des pirates.

Comment les pirates s’y prennent pour contourner les mécanismes de défenses ?

La partie difficile : savoir ce qui est normal pour les systèmes Windows et Unix.

La partie plus difficile : savoir ce qui est anormal pour les systèmes Windows et Unix.

Le durcissement des systèmes d’exploitation Windows et Unix (plus facile que vous le pensiez).

Comprendre le trafic réseau.

Les logiciels malveillants (Malware) : pourquoi sont-ils si efficaces dans l’environnement des administrateurs ?

*****

Benoit Desbiens

Benoit Desbiens œuvre dans le domaine des technologies de l’information depuis plus de 22 ans. Il est présentement responsable du développement et de l’évolution technologique de l’application analytique FellowDSS de SQLiaison spécialisée pour le domaine des assurances. Il est également l’auteur de la méthodologie SMART eBI et l’architecte principal de plusieurs projets d’envergure en intelligence d’affaire.

Présentation
« Gestion de la sécurité de l’information dans un contexte d’intelligence d’affaires »

Le but de cette présentation est d’informer les participants de la complexité des projets en intelligence d’affaires et de démontrer les enjeux de sécurité reliés soit à l’intégration des données dans l’environnement décisionnel ou reliés à l’utilisation de l’information dans un contexte d’analyse.

Christophe Reverd

Pionnier de l’Internet en France, aujourd’hui Président d’Auditia, une compagnie spécialisée en consultation et formation en sécurité de l'information pour les organismes gouvernementaux et paragouvernementaux, les petites, moyennes et grandes entreprises ainsi qu'en Gouvernance des réseaux pour les acteurs de l'Internet dans le monde. Il détient les certifications professionnelles CISA, CISSP, ISSMP, ainsi qu’un diplôme d’études supérieures spécialisées (DESS) de second cycle en « Gouvernance, audit et sécurité des technologies de l'information » de l’Université de Sherbrooke où il enseigne le cours de Gouvernance des Technologies de l’Information (DAT823). Aujourd'hui, son intérêt pour la Gouvernance de l'Internet le conduit à s'impliquer dans des organisations internationales telles que l'Internet Society (ISOC) ou encore l'Internet Corporation for Assigned Names and Numbers (ICANN) dont  il est un des conseillers du Security Stability Advisory Committee (SSAC).

Présentation
« Cycle de développement d'un code sécuritaire : Point(s) de contrôle à la source »

Auriez-vous oublié que l'efficacité de votre sécurité est celle de votre maillon le plus faible ?

La question se pose tant il est étonnant de constater à quel point de nombreuses entreprises considèrent encore la sécurité du seul point de vue de l’infrastructure. C’est sans compter sur la nature majoritairement réactive de ces contrôles technologiques et ledésintérêt pour l’identification et la prévention des vulnérabilités applicatives.

Pourtant, il ne se passe pas une semaine sans que de nouveaux exploits tirent profit d’un dépassement de mémoire tampon, de l’absence de validation des entrées effectuées soit par les utilisateurs soit au travers de composantes logicielles externes pour ne citer que ceux-ci.

Il est certain qu’en ces temps de compressions budgétaires, les gestionnaires TI doivent composer avec des ressources réduites. L’agilité devient leur Credo.

Faut-il en conclure que cette méthodologie de développement et la simplification qu’elle apporte ne font pas bon ménage avec les principes de sécurité et leur implantation au sein du cycle de développement ?

Horaire :
8 h - Accueil des participants
8 h 30 - Début de la conférence
10 h - Pause
10 h 30 - Conférence
12 h - Fin de l'activité


*****