-
Sogeti
- Auditeur SSI
Issy-les-Moulineaux
2013 - maintenant
Envoyé dans plusieurs entreprises différentes j'ai pu audité un grand nombre d'équipement et de systèmes. J'ai pu, entre autre, effectuer les actions suivantes :
Extraction des configurations des éléments suivants :
- Systèmes : Linux (Red Hat, CentOS), Windows (XP, 7), Windows Serveur (2003, 2008)
- Hyperviseur : VMWARE (ESXi)
- Bases de données : Oracle, MySQL, SQLServer, PostgreSQL
- Serveur applicatif : Glassfish, JBoss
- Pare-feu : Arkoon, Netasq
- Switch : Cisco
Extraction d’un échantillon des flux entrant et sortant du serveur
Extraction des paramètres configurant le VPN
Test d’intrusion d’une application Web
Extraction des paramètres configurant le chiffrement des flux via SSL
Analyse des relevés des configurations et calcule du taux de conformité
Pondération des risques induits pour chaque critère non conforme selon leur facilité d’exploitation et leur impact sur le système audité
Proposition d’actions visant corriger les vulnérabilités détectées
Estimation de la priorisation des recommandation et de leur difficulté de mise en œuvre
Les critères d'audits sont baser sur des référentiels internes aux entreprises auditées (PSSI) ainsi que sur des documents publiés par divers instituts (SANS, CIS, OWASP...)
-
Sogeti
- Consultant SSI, en mission chez MBDA
Issy-les-Moulineaux
2013 - 2013
Inséré au sein du département Sécurité Industrielle et Défense, j’ai mené les premières étapes de la refonte du référentiel documentaire du SID (conduite d’entretiens, inventaire, proposition d’une nouvelle structure) afin d’en facilité l’utilisation par les employés de MBDA ainsi que sa mise à jour par les responsables du département.
Durant ce projet, j’ai pu conduire plusieurs entretiens avec les différents responsables du département SID afin de faire un premier état des lieux des procédures utilisées par les différents services, de noter les usages habituels du référentiel actuel ainsi que de prendre en compte les avis concernant d’éventuels améliorations.
Par la suite, la structure actuelle du référentiel et un inventaire complet des procédures existantes furent dressés permettant une meilleure visibilité des modifications à effectuer.
Finalement, une nouvelle architecture ainsi que des méthodes permettant son maintient furent pensées et présentées au client.
Cette mission a mobilisé une bonne partie mes capacités à communiquer non seulement avec les responsables du service SID mais également avec mes collègues peut présent sur le site lors de la mission. Elle requiert de même un esprit d’analyse et de synthèse.
-
Sogeti
- Consultant SSI, en mission chez Thales
Issy-les-Moulineaux
2013 - 2013
Dans l'équipe Tests&Validation, j'ai mené une série comparatif entre deux solutions de chiffrement discretionnaire. Les tests ont permis de valider le bon fonctionnement les produits Prim’X ZoneCentral et Arkoon Security Box, ainsi que leur intégration dans l’infrastructure Thales (PKI, CRL, Annuaire LDAP, ePO, AD, cartes à puce). Ces tests comparatifs ont permis de constituer un dossier de décision mettant en avant les qualités et les défauts des produits, ainsi que leur interaction avec le SI Thales.
Le projet Goya est un projet visant à migrer les postes de travail des employés de Thales Global Service sous Windows 7. Pour cette migration, il a été décider qu'une solution de chiffrement utilisateur (ou "discretionnaire") serait intégrée sur chacun des postes.
La mission consiste à intégré une équipe Tests&Validation afin d'évaluer l'intégration de deux applications répondant aux exigences fonctionnelles et techniques de l'entreprise dans les maquettes de production.
Cette mission requiert une bonne compréhension du fonctionnement des éléments de sécurité existant dans l’infrastructure Thales et de leurs interactions, ainsi qu’une importante part d’autonomie et d’initiative pour conduire les tests.
-
Sogeti
- Consultant Junior en Sécurité des SI
Issy-les-Moulineaux
2012 - 2012
Mon rôle fut la rédaction de la PSSI et des procédures de sécurité relatifs au nouveau SI DR de la BU CSS de Sogeti. Ces documents, analysés par l'ANSSI, ont servit de base à la communication de la nouvelles politique de sécurité et de l'application des procédures.
Il m'a été également confié l'accompagnement des collaborateur dans l'application de la nouvelle configuration de leur poste (répondant aux exigences DR). L'occasion m'a été également donné de travailler sur la méthode EBIOS de par ma participation à l'analyse de risques.
La BU Centre Compétence Sécurité (CCS) de Sogeti a lancé un projet de restructuration de son SI DR, en vue de son homologation par l'ANSSI à traiter les informations de niveau Diffusion Restreinte.
Les pré-requis pour cette mission ont d'abord été l'analyse de risque ainsi que la description de l'architecture du SI DR actuel. Une fois l'état des lieux réalisé et sa comparsaison avec les exigences de l'ANSSI finie, il fut d'actualité d'entreprendre la rédaction d'une PSSI du SI DR mais également de nouvelles procédures de sécurité afin de rendre conforme le système d'information de la BU CSS aux exigences de l'ANSSI.
La suite de la mission comprenait également une application des procédures de sécurité, ainsi qu'un accompagnement des consultants dans leur découverte de la nouvelle PSSI ainsi que dans la mise en place de la nouvelle configuration de leur poste de travail (chiffrement de surface, chiffrement de fichiers...).
Cette mission requiert un esprit d'analyse et de synthèse. De part son délai (2 mois), elle demande une compréhension rapide du fonctionnement du SI actuel, ainsi qu'une bonne appréhension des objectifs à atteindre et de leur réalisation. Elle met à l'épreuve l'optimisation de la charge de travail de l'équipe.
-
Viadeo
- Expert sécurité
Paris
2012 - 2012
Envoyé dans les locaux de San Francisco, j'ai réalisé une gestion du planning et répartition des charges de travail avant de commencer à travailler sur les problèmatiques et de la veille technologique des différents types de solutions (NIDS et WAF) et de leur intégration dans l'environnement de production de Viadeo (configuration du firewall en "port mirroring" afin de ne pas occasionner de coupure au niveau des serveurs frontaux).
J'ai également mis en place les plateformes de test pour le Proof of Concept (PoC) ainsi que la mise production et stabilisation de la solution. Chaque étape étant détaillée via un rapport et de la documentation technique et envoyée au RSSI.
Sous sa supervisation, l'objectif de la mission était la conduite d'un projet visant au déploiement d'une solution de surveillance et de sécurisation de la plateforme de production de Viadeo.
Cette mission comprend une phase d'identification des problématiques sécurité et de veille technologique de laquelle découlera une phase de tests. Plusieurs types de tests furent lancés : des tests d'intégrations (comment installer, scripter et déployer l'application), des tests fonctionnels (le taux de détection et de faux positifs des applications pour le même flux de données) et des tests de performance.
Cette mission, réalisée en totale autonomie, requiert de bonnes connaissances techniques tant au niveau des solutions de filtrage réseau, qu'à un niveau général permettant une confortable collaboration avec les équipes chargées de l'espace de production.
L'environnement technique dans lequel j'ai pu travailler était très orienté "solutions libres". Les postes de travail et les serveurs était sous Ubuntu. Les technologies liées au NIDS (Snort, Suricata et leurs outils) était packagés dans une distribution basé sur Ubuntu réunissant une multitude d'outils servant à la surveillance des réseaux Security Onion. Le Web Application Firewall était Modsecurity.
-
Capgemini
- Apprenti Ingénieur
SURESNES
2010 - 2010
Mon rôle fut la génération de cahiers de SFD et de tableaux de synthèse du projet (avancée, structure, dépendances des modules, etc...). Une synthèse et des comptes rendu de l'avancé du projet étant rédigé en parallèles.
SIRHEN est le projet de refonte du SI RH du Ministère de L'Education nationale.
Les cahiers de Spécifications Fonctionnelles Détaillées (SFD) produits par Capgemini étaient à l'origine générées avec SoDA. Peu pratique autant au niveau ergonomie que des performances, il a été décidé de migrer vers une autre technologie : BIRT.
L'objectif de la mission était donc la création, via BIRT, de template pouvant générer en priorité les cahiers de SFD mais également d'autres types de documents.
