Présentation de Oracle Audit Vault

Introduction

Si vous êtes un DBA, je suis prêt à parier que vous avez
activé les audits sur vos bases de données pour des raisons de sécurité ! Vrai
? Ok. Mais je suis aussi près à parier que vous ne les regardez jamais et
qu’ils ne vous servent presque à rien ! Ne vous en faites pas, vous êtes très
loin d’être le seul.
Ou alors peut-être que vous les faites converger via un
programme que vous avez codé vous-même ? Combien de temps avez-vous mis à le
coder ? La convergence est-elle instantanée pour éviter aux DBAs d’intercepter
l’audit ? Est-ce que votre programme est vraiment flexible et ne vous fait pas
perdre un temps monstrueux ? Que se passera-t-il lorsque vous allez déployer
une autre base de données qu’Oracle dans votre parc ?
Pour pallier et répondre de façon adéquat à ces contraintes, Oracle a décidé de créer un
logiciel permettant de récolter les audits de vos bases de données et de les
consolider en un seul endroit où vous pouvez aisément les consulter et les
exploiter.

Comment ça marche ?

Oracle Audit Vault est un produit complet à installer sur un
serveur vierge. Il faut le télécharger sur le site d’Oracle (http://www.oracle.com/technetwork/database/audit-vault/downloads/index.html
) et l’installer via le traditionnel Oracle Universal Installer. Oracle Audit
Vault installe une base de données Oracle avec les composants Oracle Label Security et Oracle Database Vault et ensuite le
logiciel Oracle Audit Vault Server. Pour l’instant, il n’est disponible que sur certaines plateformes : Linux, Solaris SPARC, HP-UX Itanium et AIX5L . D’après une personne de chez Oracle, à l’heure où j’écris cet article, aucune version Windows n’est prévue.
En complément, il faut installer des agents sur chacune de
vos bases de données pour qu’il récolte les audits et les envois à votre
serveur Audit Vault. Les agents sont quant à eux disponibles sur une bonne partie des plate-formes.
Dès qu’un audit sera généré sur une de vos bases, les agents
le récupèreront instantanément et l’enverront vers votre référentiel Audit
Vault Server pour le sauvegarder définitivement et l’exploiter.
Il faut savoir qu’Oracle Audit Vault ne fonctionne pas
seulement pour les bases de données Oracle, mais aussi pour Sybase, SQL Server
et DB2.

Ce qui conviendra parfaitement aux entreprises disposant de
plusieurs bases de données différentes dans leur parc.

Comment se présente le logiciel ?

Oracle Audit Vault vient avec la classique interface web Enterprise Manager qui permet
d’administrer votre référentiel mais aussi de consulter vos audits et d’en
générer des rapports en quelques clics.

Le reporting et alertes

Oracle Audit Vault Server ne vous permet pas seulement de
faire converger vos audits pour leur sécurité mais permet aussi de faire du
reporting pour votre équipe sécurité ou votre direction. La console
d’administration web dispose de plusieurs fonctions de statistiques basiques
sur vos audits.
De plus, Oracle Audit Vault permet notamment de générer à
intervalle de temps régulier des rapports en PDF des audits et de l’envoyer par
email.
Audit Vault peut aussi vous alerter dès qu’une action que
vous lui avez spécifiée a été auditée. Par exemple, vous pouvez décider
d’alerter l’équipe sécurité lorsqu’un DBA fait un SELECT des salaires des employés
et aller le voir à son bureau pour lui demander l’utilité de sa requête.

Quelques petites questions qui vous trottent dans la tête

Les audits me servent à quoi ?

Les audits sont des informations générées à chaque accès à
une zone que vous spécifiée. Par exemple, vous pouvez choisir de générer une
trace lorsqu’un DBA supprime une table.
Ils vont donc vous servir pour garder une trace des accès à
vos données sensibles ou garder un œil sur les actions de vos DBAs. De plus,
cela peut vous servir comme preuve pour diverses procédures judiciaires que vous pourriez
lancer ou être lancées contre vous…
Voici des exemples de ce qui peut être communément audité
dans les entreprises :

• Tentatives de connexions échouées
• Actions des DBAs
• Accès aux données sensibles
• Altération de données sensibles
• Changement d’objets dans les schémas
• Etc…

De plus, certaines lois à l’heure actuelles, comme SOX ou HIPAA, obligent à auditeur certaines informations dans votre base de données.

Est-ce que les audits ont un impact sur mes performances ?

Les audits ont généralement un impact négligeable sur les
performances de la base de données. Cependant, il existe plusieurs types
d’audits dont certain qui consomment beaucoup plus que d’autres.
Voici un tableau donné lors d’une présentation d’Oracle
Audit Vault à l’Oracle Open World. On peut voir que pour la majorité des
audits, cela a un impact négligeable sur la base de données.

Que faut-il installer pour que ça fonctionne ?

Pour que tout fonctionne, il vous faut installer un
référentiel sur un serveur vierge : Oracle Audit Vault Server.
Ensuite, il vous faut installer des Audit Vault Collection
Agent sur chaque base de données dont vous voulez récupérer les audits.
Vous trouverez tous les produits en libre téléchargement sur
Oracle.com : http://www.oracle.com/technetwork/database/audit-vault/downloads/index.html

Combien de temps ça met à converger ? Un DBA peut-il l’intercepter et
supprimer l’audit ?

C’est complètement instantané. Lorsqu’un audit est généré
sur votre base de données, il converge dans les 1-2 secondes sur votre serveur
Audit Vault.
En principe, le DBA ne peut donc pas détourner l’audit.

Quid du flashback ? Est-ce que ça supprime les anciens audits ?

Lorsqu’un de vos DBAs supprime une table, vous avez émis un
audit pour cela, et lui fait une petite requête flashback pour récupérer cette
table, vous garderez quand même un audit dans votre serveur Audit Vault. Même
après le Flashback, l’information ne sera pas perdue.

Qui s’en occupe de ce produit ?

Pour l’installation, il est souhaité que ce soit un DBA
Sénior de confiance qui s’en occupe. Ensuite, ce dernier peut créer des comptes
limités à des personnes de l’équipe sécurité par exemple pour générer des
rapports ou vérifier qu’il n’y a pas eu d’activités suspectes.
Il est important que les credentials des utilisateurs disposant des rôles AV_AUDITOR et AV_ADMIN ne tombent pas dans les mains de vos DBAs sinon votre stratégie d’audit perd un peu de son sens.
En principe, une fois installé, Oracle Audit Vault Server ne
nécessite pas de tâches d’administration.

Source

VPN Gratuit

Comparatif VPN gratuit

Vous êtes nombreux à vouloir découvrir ou utiliser un VPN mais de façon gratuite.

La liste proposée ci-dessous vous présentent des VPN gratuits avec ou sans aucune limitation de données, avec ou sans restrictions d’ usage (vitesse, VOIP, P2P, port de connexion pour le FTP, ….).

Les meilleurs VPN gratuits sont ceux qui ont un forfait Premium (sans limitation d’ usage) comme SecurityKiss. La version gratuite à des limitations et la payante est pleinement opérationnel. Le gratuit (+ payant) est une porte d’ entrée, une manière d’ attirer les futurs utilisateurs du forfait payant, une publicité. Les purs gratuits nous laissent perplexes: quel est le modèle économique ?

Les VPN gratuits ont l’ immense avantage d’ être Gratuit … Si vous voulez vraiment du VPN de qualité, préférez les VPN payants comme HideMyAss qui offre des options les plus indispensables càd: un Connexion guard (aka vpn guard) qui protège vos applications – plus de 40 pays au choix – Speed test.

VALABLE

• SecurityKISS: Ce serveur VPN offre un accès gratuit avec 4 adresses (FR – US – UK – DE) avec switch illimité, ports TCP/UDP et l’ Exclusive Tunneling qui permet de protéger votre IP F.A.I lors d’ une coupure éventuelle du VPN. La seule contrainte est la limite de données à un maximum de 300 MB/jour. N’ oubliez pas de lancer le client OpenVPN en tant qu’ administrateur. Il n’ y a pas de logins à renter, aucune inscription n’est nécessaire pour profite de SecurityKiss. Note: Les adresses indiquées ne correspondent pas à votre lieu de connexion. Par ex: Manchester devient l’ Ireland !!! D’ après la f.a.q du site cela vient en partie de l’ absence d’ official IP-country matching central service

• Freedom-IP: Un « vrai » vpn gratuit, français et avec une communauté très active et des membres qui proposent d’ excellents tutos comme celui-ci: Ouverture et fermeture automatique des applications avec OpenVPN. C’est sans doute le meilleur vpn gratuit mais pour y avoir accès il faut faire une demande en bonne et due forme. Une fois cette étape franchie vous aurez accès à 4 serveurs en Hollande. Aucune limitation de vitesse mais par contre les serveurs limitent à 500 utilisateurs simultanés ses connexions. Les administrateurs de Freedom-IP s’ appuient sur la générosité des dons de ses membres pour payer leurs charges: sites et serveurs VPN.

• ProXPN: Pour profiter de ProXPN gratuit il faut télécharger le client OpenVPN intégré (Le client OpenVPN propose un accès OpenVPN. Par contre j’ aime pas trop la case précochée pour un changement de DNS vers ceux de ProXPN). Après installation une page internet s’ ouvre, cliquez sur No thanks, I want a proXPN Basic account pour créer un compte gratuit. La vitesse est limitée à 300kbps avec une IP aux États-Unis (Miami). La connexion n’est pas hyper stable. Le tuto d’ installation est clair. La version ProXPN Premium offre un accès sans limitation de vitesse avec switch possibles entre des serveurs situés aux États-Unis, en Angleterre à Singapour et en Hollande, protocole pptp, pour la somme de $9.95/mois avec VPN Guard (protection de connexion)

• CyberGhost: VPN gratuit sans limitation de données, ni de bande passante mais qui se déconnecte toutes les 3 Heures. Connexion via un logiciel « maison » où vous pourrez choisir le français comme langage d’ installation. Après l’installation, il suffit de s’ inscrire sur le site et de valider un code d’ activation donné immédiatement (Pas de mail nécessaire). Choisissez l’option: « Connecter basique » pour le VPN gratuit. Déconnexion forcée après 3 heures consécutifs. La limite de Cyberghost est de constamment encouragé à passer à la version payante (Offre Premium donne un accès à l’ ensemble du client Cyberghost 5 sans attente et avec plus d’ IP).

• TunnelBear: VPN gratuit avec 500 MB de données/Mois (Extra de 1 GB gratuit) et deux adresses au choix: US ou UK. Service gratuit qui sert de porte d’ entrée au service payant (dès $4.99/Mo). L’ inscription (E-mail à confirmer) et l’ installation (client maison à installer) est simple. Pas de mauvaise surprise. Bon pour le visionnage de petites vidéos en Streaming ou pour du surf.

• PrivateTunnel: Les créateurs du fameux client OpenVPN ont lancé une offre VPN. On peut l’ essayer gratuitement. Elle est limitée à 100 MB. Pratique pour dépanner et protéger un surf avec une IP US ou CA ou UK ou SW. Le mode connexion est rapide via l’ icône OpenVPN

• VPNGate: Honnêtement je ne sais pas quoi penser de ce VPN développé par une Université Japonaise. Le principe est simple: Certains VPN Professionnels ou de simples particuliers offrent à VPNGate un serveurs relais. Ce dernier est alors utilisé par un membre. VPNGate est basé sur le protocole Softether (développé par cette même université). Les deux projets sont indépendants. Vous pouvez aussi offrir votre connexion comme relais en suivant ce tuto.
  Pour être simple utilisateur: Télécharger le software puis installez le. Puis vous choisissez le serveur (Classez par Pays avec forte dominance Asiatique, Ping, ….). Cela fonctionne, les serveurs testés m’ ont bien donné l’ IP désiré. Les vitesses étaient faibles. L’ interface, les points techniques, … me paraissent un peu compliqué pour celui qui cherche uniquement un VPN gratuit. par contre pour tous les bidouilleurs, VPNGate est à tester (avec les risques que cela suppose). C’est TOR transposé au VPN !

NON VALABLE

• SpotFlux: Ce VPN qui se veut être un non VPN: « Spotflux is not a VPN service provider » a profité de bons articles sur les Blogs à la mode Pour le reste nous on a été déçu. Vitesse catastrophique et unique IP aux USA. Comme le service est totalement gratuit et sans limite ce « non-VPN » est saturé. Le modèle économique et l’ intérêt restent mystérieux.

• VPNReactor: Coupe son VPN en protocole pptp toutes les 30 minutes !!! Le free vpn: vpn.vpnreactor.com est surtout un moyen de faire connaître le service VPN payant.

• Hotspot Shield (aka AnchorFree): Le deal est simple: Le logiciel de connexion VPN (basé sur OpenVPN) est gratuit et sans « spyware ». Hotspot Shield vous offre un VPN gratuit mais en contrepartie les pages web affichées contiennent toutes un bandeau de publicité. Dépassé (surtout le côté barre d’ outils ! en option !)

• PrivacyProtector: RiccoVPN n’est pas un VPN pur et dur pour nous. Le logiciel développé et l’ idée des créateurs est de s’ inspirer des VPN. Le principe est de donner une IP à l’ étranger et de sécuriser les données, et lors du transfert des données il y a plusieurs routes qui se superposent. Cela marche c’est évident mais les vitesses étaient faibles. Et le principe de ne pas choisir de serveurs ne nous plaît pas.

• Your freedom: Certains comparateurs de VPN le présentent comme un accès VPN gratuit. Pour nous cela n’en est pas UN. Enfin peu importe car les conditions sont tellement restrictives que cela en est rédhibitoire: 64 kbit/s en vitesse – 1 heure continue (limité à 3 heures par jour) – logiciel d’ installation peu claire. En fait ce service est destiné aux utilisateurs de Proxy qui veulent des configurations avancées via un logiciel.

Source

Microsoft : le framework .Net disponible en Open Source

L’information devrait intéresser les développeurs et plus particulièrement les pros du code typé Web : Microsoft vient de mettre en Open Source la partie serveur de son framework .Net. La communauté du libre peut se réjouir de cette information, qui s’accompagne de la livraison de l’IDE Visual Studio du portage prochain du runtime de .Net sous Linux et Mac OS.

Chez Microsoft, l’heure est à l’ouverture. La firme de Redmond, qui propose depuis peu des applications Office pour l’iPhone d’Apple et a annoncé une preview d’Office sur Android, se met maintenant au libre. Il vient de mettre à disposition des développeurs les composants serveurs de son framework .Net, et s’engage dans le portage de son runtime sur Linux et Mac OS. « Vous pourrez bâtir une application .Net et choisir ensuite de l’exploiter sur un serveur Linux ou Windows », explique S. Somasegar, Vice-Président de Microsoft.

L’entreprise n’en est pas à son coup d’essai côté open source : elle avait déjà livré certaines parties de la pile .Net comme son compilateur Roslyn. Pour aller plus loin dans la démarche, elle a créé en 2014 une fondation pour gérer l’ensemble des technologies .Net ouvertes. Mais avec cette nouvelle livraison, Microsoft frappe fort puisqu’elle propose à la fois le runtime (logiciel qui permet d’exploiter les applications développées dans un langage donné) et les bibliothèques de classe de base (qui fournissent l’accès aux fonctions du système).

Les développeurs peuvent commencer à consulter les projets .Net Open Source sur http://github.com/Microsoft/dotnet.

Source

Windows 10 : le Windows Store ne proposera pas que des applications Modern UI

Avec Windows 10, le Windows Store pourrait évoluer et ne pas limiter les téléchargements aux seules applications tactiles pour Modern UI. On pourrait aussi y trouver des contenus numériques.

Désormais disponible en Technical Preview, Windows 10 continuera à évoluer progressivement jusqu’à sa sortie prévue pour cet été. Parmi les futures nouveautés qui ne sont pas encore disponibles, il y aura certainement un nouveau Windows Store. Et celui-ci ne sera plus réservé aux seules applications tactiles dédiées à l’interface ModernUI, mais à l’ensemble des logiciels pour Windows. C’est en tout cas, ce qu’annonçait Microsoft dans un billet publié sur son blog officiel et remarqué par le site Neowin.

« Annonçait » puisque l’éditeur n’a sans doute pas entièrement assumé ses propos, car il a totalement fait disparaitre ce billet de la surface du Web. Toutefois, cette évolution serait tout à fait logique étant donné qu’avec Windows 10 les applications ModernUI peuvent s’afficher de façon fenêtrée en mode bureau. Par ailleurs, avant d’être effacé, le billet précisait que Microsoft souhaitait aller encore plus loin en proposant de la musique, ou des vidéos sur ce Windows Store. (EP)

Source: Cnet France

Windows 9 : les premières informations

La prochaine version de l'OS est attendue pour avril 2015. Quelques informations ont déjà fuité sur le sujet. Elle pourrait être baptisée Windows 9.

 

Les principales évolutions de Windows 9 ? Cette version devrait réintégrer un "vrai" menu/bouton démarrer dans l'interface desktop, sans doute proche de celui de Windows 7. Il pourrait d'ailleurs permettre de lancer également des apps tactiles, qui apparaitraient au sein de fenêtres sur le bureau. L'interface Modern U, dédiée aux tablettes, devrait quant à elle être en partie refondue. Elle pourrait par ailleurs entièrement disparaitre sur les terminaux non-tactiles, équipés de souris et clavier. Autre évolution majeure, Windows 9 pourrait être gratuit pour les utilisateurs de Windows 8.1 Update 1, mais aussi pour ceux de Windows 7 Service Pack 1. Microsoft pourrait envisager de dévoiler Windows 9 dès l'automne 2014 selon certaines sources fiables. On ne sait pas encore en revanche quand sera donné le coup d'envoi de la commercialisation.

Une architecture commune à Windows 9 et Windows Phone 9

Microsoft s'orienterait vers un socle commun partagé par ses OS pour tablette et smartphone, même si leurs interfaces graphiques resteraient différentes. Une intégration qui s'accompagnerait du rapprochement des Windows Store des deux systèmes.  Le changement est d'ailleurs déjà en marche : Windows et Windows Phone partagent déjà le même noyau (Windows NT), depuis la sortie de Windows Phone 8.  Avec  Windows Phone 8.1 et Windows 8.1 Update 1, sortie en avril, la convergence s'est poursuivie, avec désormais 95% des API communes et le lancement d'App universelle portables dans les deux univers (ainsi que sur XBox). Objectif : faciliter le travail des éditeurs qui pourront développer plus aisément pour tous les Windows (sans multiplier développements et soumissions). Mais aussi aligner la feuille de route de tous ces OS, et synchroniser la sortie de leurs mises à jour. Windows 9 devrait d'ailleurs faire l'objet d'une nouvelle version du noyau Windows (NT 6.4). L'amélioration du moteur de recherche interne à Windows (basé sur Bing) serait également au programme pour mieux répondre aux requêtes, notamment au travers du machine learning et sans doute l'intégration de l'assistant Cortana.

Vers un OS Cloud

Windows 9 devrait aussi intégrer un plus grand nombre de services Azure. C'est ce qu'attestent les dernières révélations sur le futur de Windows. L'OS pourrait évoluer vers un environnement virtuel complet (desktop, interface Moderne UI et applications) 100% accessible et streamé en mode cloud, sur Azure, du moins pour l'une de ses déclinaisons. N'est-ce pas d'ailleurs la vision, pour l'heure en partie cachée, de Satya Nadella (lire notre interview du CEO de Microsoft juste avant sa nomination). Cette déclinaison serait baptisée Windows Cloud.
Trois versions seraient en préparation : une version Modern (fruit de la convergence de Windows Phone et RT), une version pour PC (incluant un bureau traditionnel pour clavier/souris), et une version spécifiquement pour les entreprises - qui pourrait avoir un cycle de mise à jour différent.

Source