Open source et NBS System : une histoire qui dure
L’open source a pris de l’ampleur à la fin des années 1990, notamment grâce à la popularité croissante de Linux et à la publication du code source du navigateur de Netscape. C’est d’ailleurs en 1998 que ce terme apparaît pour la première fois, afin de se différencier du mouvement du Logiciel Libre.
C’est dans ce contexte qu’est créée NBS System, en 1999. Il est alors évident pour nos deux fondateurs de s’intégrer dans cette communauté open source, dont ils partagent les valeurs, comme l’éducation, la collaboration, et cette recherche du « toujours mieux… ensemble ! ». C’est d’ailleurs le choix de tester la sécurité des systèmes Linux uniquement qui donne son nom à la société : NBS System… pour No Blue Screen System !
Depuis, nous n’avons pas dévié de cette ligne directrice : nous effectuons toujours des tests de sécurité sur des environnements Linux, et hébergeons et infogérons des plateformes Linux, notamment grâce à des outils de sécurité informatique open source.
L’open source, un état d’esprit en interne et avec nos clients
Cette philosophie de l’open source, très ancrée dans la culture d’entreprise de NBS System, est l’un des éléments de motivation de nos équipes et une ligne directrice pour notre développement et notre amélioration continue. Nos projets de Recherche & Développement, notamment, sont marqués par ce principe : ainsi, chaque collaborateur peut apporter sa contribution, à plus ou moins grande échelle. C’est par l’échange, et le travail collaboratif sur ces outils informatiques, que nos experts montent en compétence, prennent du plaisir dans leur travail… et que nous produisons les services les plus efficaces pour nos clients !
Par ailleurs, ces derniers bénéficient également de cet état d’esprit de partage. En effet, l’open source peut se manifester simplement sous la forme de feedback, sans nécessairement à devoir mettre soi-même les mains sur le clavier : proposer une nouvelle fonctionnalité, remonter un bug ou une faille, partager son appréciation d’un service…
Nous comptons donc sur nos clients pour nous auditer, remonter les problèmes comme les réussites rencontrés sur les projets que nous partageons avec eux. Notre métier, c’est de répondre à vos besoins, et c’est seulement ensemble que nous arriverons à créer les meilleures solutions.
« Ensemble, rendons le monde numérique plus sûr »
C’est notre vocation chez NBS System et au sein d’OT Group !
Outils open source : utilisation, collaboration… création !
Nous l’avons évoqué plus haut, l’open source était présent dès les débuts de NBS System, lorsque notre activité était limitée à des tests d’intrusion. Depuis, la société a bien évolué, mais les logiciels open source font toujours partie de notre quotidien.
Lorsque nos clients nous ont demandé d’héberger leurs serveurs, développant notre activité d’hébergeur à partir de 2008, nous nous sommes orientés vers des technologies open source : Apache, NGINX, OTRS, Salt… Aujourd’hui, nous utilisons toujours ces mêmes logiciels, ou équivalents, et participons à leur développement.
NBS System sponsorise notamment le projet open source Grsecurity, qui produit un patch de durcissement du noyau Linux que nous utilisons pour renforcer les serveurs de nos clients et de nos équipements internes.
Mais pour vraiment apporter quelque chose à l’écosystème open source, il faut mettre les mains dans le cambouis. C’est pourquoi les experts en sécurité de NBS System ont du temps dédié à la R&D d’outils de sécurité open source. 7 projets, de plus ou moins grande échelle, sont déjà sortis de notre « think tank », dont un pare-feu applicatif pour Nginx, NAXSI, largement reconnu pour son efficacité et déjà utilisé par de nombreuses sociétés pour la protection de leurs données personnelles.
Technologie open source : un investissement personnel de nos collaborateurs
Cet investissement est également porté par nos collaborateurs, qui participent à titre individuel au développement d’outils open source.
Contributions de l’équipe sécurité informatique
Nos experts sécurité sont très actifs dans la communauté open source. Voici quelques-uns des projets auxquels ils contribuent.
- Metasploit – un framework reconnu de tests d’intrusion
- Wappalyzer – un scanner d’applications qui permet de repérer les technologies utilisées sur un site web (CMS, serveurs, outils d’analyse…)
- Radare2 – un ensemble d’outils de lignes de commande et de frameworks de reverse engineering, ou ingénierie inverse. Dérivé du projet Radare, il peut servir aux enquêtes forensiques ou au virtual patching.
- La base de données de Vulndb – une base de données de vulnérabilités
- WAF Research – un projet de recherche autour des pare-feux applicatifs
- Mobile Security Framework – un framework automatisé de test d’intrusion sur des applications web, permettant de réaliser des analyses statiques, dynamiques, de la détection de malware et des tests d’API.
- Vulscan – un scanner de vulnérabilités avancé
- Onionshare – un outil de partage de fichier sécurisé et anonyme
- Sparta – un outil de tests d’intrusion sur des infrastructures réseau
- Arachni – un scanner d’applications permettant de repérer des vulnérabilités
Contributions de l’équipe Infrastructure & Réseaux
L’open source n’est pas réservé à la sécurité informatique ! Nos experts infrastructure et réseaux sont également actifs au sein de l’écosystème.
- Bugzilla – un gestionnaire de rapports de bogues
- NetBSD – un système d’exploitation Libre, rapide, sécurisé et très portable. Notre expert y contribue par l’intermédiaire du gestionnaire de paquets logiciels pkgsrc. Parmi les paquets logiciels les plus notables :
- Logrotate (avec rapport de patches upstream) – un démon pour faire tourner, compresser, supprimer et transmettre les fichiers de journaux systèmes (logs)
- Fail2ban (avec rapport de patches upstream) – un outil permettant de scanner les fichiers de journaux et de bannir les adresses IP qui font trop d’erreurs de mots de passe
- Dehydrated – un client Letsencrypt/acme implémenté sous forme de script shell
Votre projet est axé open source et vous cherchez un partenaire qui comprendra vos enjeux ?
