Résumé

  • Un participant d’APNIC 62 dit que plusieurs filiales ne peuvent pas financer des solutions de sécurité commerciales et apprécie les outils libres abordés en atelier.
  • APNIC propose aussi des formations, une assistance technique gratuite aux Membres et des vues de surveillance DASH pour ses Membres.

Un outil de sécurité peut perdre son premier duel avant même de voir passer un paquet : celui de la réunion budgétaire. Dans le compte rendu d’APNIC sur l’atelier Network Security d’APNIC 62, un participant explique que plusieurs filiales de son organisation n’ont pas les moyens d’acheter des solutions de sécurité commerciales. Les outils libres présentés pendant l’atelier lui paraissent donc utiles pour bâtir des capacités dans ces limites.

L’argument est concret. La question quitte le terrain du catalogue — « quel produit acheter ? » — pour rejoindre celui des compétences : « que pouvons-nous déployer et faire fonctionner ? » Une facture de licence peut arrêter la discussion avant le premier test. Un atelier donne à l’ingénieur quelque chose de plus pratique qu’une brochure : examiner du trafic, essayer une mesure de protection et comprendre ce qu’une alerte exige ensuite.

Le compte rendu d’octobre décrit un programme large : cryptographie, sécurité de l’infrastructure, atténuation des attaques DDoS, analyse de paquets, détection d’intrusion, sécurité opérationnelle de BGP, DNS, RPKI et IPsec. Sheryl Hermoso et Sourav Satpathy, formateur certifié local, ont dirigé l’atelier. L’annonce préalable d’APNIC citait Suricata pour la détection d’intrusion. Le bilan, lui, parle d’outils libres sans en donner la liste. Une ligne de plus aurait rendu le récit beaucoup plus utile à l’ingénieur qui veut refaire l’exercice lundi matin.

Le logiciel libre modifie une ligne du budget, pas tout le grand livre. Un outil sans coût de licence réclame toujours des personnes capables de le déployer, de l’ajuster, d’interpréter ses résultats, de le maintenir et de traiter les alertes. Le logiciel n’est qu’une partie de la dépense. L’attention qualifiée est le coût récurrent qui compte — et c’est précisément ce qu’une bonne formation peut aider à développer.

La carte de sécurité publique d’APNIC va au-delà de la salle de cours. APNIC Academy propose des formations, des ateliers, des cours en ligne et des laboratoires virtuels. APNIC offre aussi aux Membres une assistance technique individuelle et gratuite, notamment sur la sécurité de l’infrastructure, la sécurité du routage, RPKI et DNSSEC. DASH donne aux Membres des vues sur l’état du routage, le trafic suspect, des vulnérabilités potentielles, les bogons et leur préparation à MANRS.

Ce sont trois leviers différents : apprendre une méthode, demander l’avis d’un spécialiste, surveiller un réseau. Ils n’ont pas la même règle d’accès. APNIC réserve explicitement l’assistance technique et DASH à ses Membres. Une équipe qui bâtit son plan de sécurité doit vérifier si son organisation peut utiliser chacun de ces services ; travailler dans la région Asie-Pacifique ne vaut pas adhésion à APNIC.

APNIC indique que les deux ateliers de l’Academy ont attiré 55 participants au total. Le billet cite l’un d’eux sur le coût des outils et un autre qui compte encourager des opérateurs publics et organiser des formations nationales. Ces paroles montrent pourquoi les participants trouvent l’exercice utile et où ils souhaitent l’emmener. Les 55 personnes ne représentent pas le seul atelier de sécurité. Le compte rendu ne publie ni inventaire des outils ni nombre de déploiements.

Pour un opérateur, le bon réflexe consiste à considérer la formation comme une porte d’entrée vers un dispositif exploitable, pas comme le dispositif lui-même. Il faut identifier les outils réellement utilisés, désigner les personnes qui les feront tourner et vérifier l’accès de l’organisation à l’assistance technique ou à DASH. Le logiciel libre abaisse la barrière de licence. Il faut encore que quelqu’un franchisse la porte.

APNIC pourrait rendre ce parcours plus facile à évaluer en publiant les outils, les supports de laboratoire et le bon contact pour poursuivre le travail. Un programme régional de sécurité devient concret lorsqu’un ingénieur sait quoi installer, où demander de l’aide et quel service peut ensuite surveiller le réseau. Les achats peuvent toujours dire non ; au moins, la réponse saura où aller.

Sources : le compte rendu d’APNIC 62, la page officielle de formation de l’Academy, le programme annoncé en juillet, la sécurité chez APNIC, la présentation d’APNIC Academy et la page open source de Suricata de l’Open Information Security Foundation.