Expert CyberSecurité & DevSecOps : Développer, PenTester et Déployer des applications sécurisées

Une famille de métiers, quatre postures Dans les activités précédentes, vous avez suivi le déroulé d'un incident de bout en bout. Vous avez aussi vu que la différence entre tester et attaquer tient à une autorisation écrite et à un périmètre défini. ...

Deux notions qui encadrent toute mission Dans les activités précédentes, vous avez vu que la différence entre un hacker éthique et un attaquant tient à l'autorisation. Une autorisation ne vaut pourtant rien si elle reste vague. Un client qui écrit « ...

Ce que la loi française interdit Dans l'activité précédente, vous avez vu que la différence entre un hacker éthique et un attaquant tient à l'autorisation. Ce chapitre précise ce que la loi dit exactement. En France, les atteintes aux systèmes inform...

Même technique, statut opposé Dans les activités précédentes, vous avez suivi le déroulé d'un incident de bout en bout : reconnaissance, intrusion, installation, action sur la cible. Un hacker éthique, appelé aussi pentesteur, enchaîne exactement les...

Un incident raconté sous trois angles Vous savez désormais distinguer une menace, une vulnérabilité et un risque. Vous savez identifier un attaquant et ses motivations. Vous savez classer une attaque par famille et par ce qu'elle compromet : confiden...

Pourquoi classer les attaques en familles Vous savez maintenant distinguer une menace, une vulnérabilité et un risque. Vous savez aussi qui attaque et pourquoi. Vous savez enfin ce que la sécurité protège : la confidentialité, l'intégrité et la dispo...

Pourquoi trois critères Dans les activités précédentes, vous avez distingué la menace, la vulnérabilité et le risque, puis identifié les profils d'attaquants et leurs motivations. Une question reste ouverte : que cherche-t-on exactement à protéger ? ...

Rappel théorique : les concepts fondamentaux Cet atelier pratique vous permet d'appliquer le vocabulaire clé appris précédemment, un outil essentiel pour tout professionnel de la sécurité. Les termes 'menace', 'vulnérabilité' et 'risque' sont trop so...

Pourquoi étudier les attaquants Dans l'activité précédente, vous avez distingué trois notions : la menace, la vulnérabilité et le risque. Une menace n'est pas une abstraction. Derrière elle se trouve presque toujours un acteur humain, avec des moyens...

Pourquoi ces trois mots comptent Dans l'activité précédente, vous avez vu à quoi sert la cybersécurité : protéger des systèmes, des données et des personnes. Pour en parler avec précision, les professionnels utilisent trois mots que le grand public m...

Bienvenue dans le cursus Hacker Éthique et Cyberdéfense. Ce premier cours répond à deux questions : à quoi sert concrètement la cybersécurité, et de quel ordinateur avez-vous besoin pour suivre la formation. Vous y découvrirez aussi les règles du jeu...

Après avoir appris à modéliser les menaces avec des outils comme OWASP Threat Dragon, à construire des diagrammes de flux de données et à transformer des menaces STRIDE en scénarios de test, il devient essentiel de savoir documenter et versionner cor...

RAPPEL THÉORIQUE La modélisation des menaces consiste à identifier, de manière structurée, ce qui peut mal tourner dans une application avant qu’un attaquant ne le fasse. Le mental model à retenir : on décrit d’abord le système (composants, flux de d...

La modélisation des menaces consiste à représenter graphiquement une application, ses composants et ses flux de données afin d'identifier de manière systématique où et comment un attaquant pourrait la compromettre. Jusqu'ici, vous avez appris les con...

RAPPEL THÉORIQUE Une checklist de tests de sécurité est un outil dérivé de votre modélisation des menaces (STRIDE) et de votre priorisation par OWASP Risk Rating. Elle liste, pour chaque menace identifiée, les tests concrets à exécuter afin de valide...

Ce cours te montre, pas à pas, comment transformer une menace identifiée grâce à la méthode STRIDE en un scénario de test automatisé exécutable. C'est la suite logique des activités précédentes : après avoir modélisé les menaces, scoré les risques et...

RAPPEL THÉORIQUE Une checklist de tests de sécurité est le pont opérationnel entre la modélisation des menaces (ce qui peut mal tourner) et l'action concrète du testeur (comment le vérifier). Le mental model à retenir est simple : chaque menace ident...

Jusqu'à présent, vous avez appris à identifier ce qui compose une application (la surface d'attaque), à décomposer les menaces (avec la méthode STRIDE), à estimer leur gravité (avec la méthodologie OWASP Risk Rating) et à prioriser les corrections. C...

Ce chapitre propose une synthèse visuelle et structurée de toutes les notions abordées dans la section « Principes de sécurité applicative et modélisation des menaces ». L'objectif est de relier les concepts entre eux sous forme d'une carte mentale, ...

RAPPEL THÉORIQUE Le scoring d'une menace consiste à lui attribuer une note de risque afin de prioriser les corrections et les tests. Dans les activités précédentes, vous avez utilisé la méthodologie OWASP Risk Rating, qui décompose le risque en deux ...

Après avoir cartographié la surface d'attaque du Blog, identifié les menaces avec la méthode STRIDE et scoré les risques avec la méthodologie OWASP Risk Rating, une question pratique se pose : par où commencer ? Vous ne pouvez pas tout tester ni tout...

RAPPEL THÉORIQUE La méthodologie OWASP Risk Rating permet d'estimer la gravité d'un risque en croisant deux dimensions : la probabilité (Likelihood) et l'impact (Impact). Le mental model est simple : Risque = Probabilité × Impact. La probabilité se d...

La méthodologie OWASP Risk Rating (traduisible par « évaluation des risques selon l'OWASP », l'Open Web Application Security Project) est une approche standardisée permettant de mesurer et de hiérarchiser les risques associés aux vulnérabilités d'une...

RAPPEL THÉORIQUE La surface d’attaque désigne l’ensemble des points par lesquels un attaquant peut interagir avec une application pour tenter d’y injecter, extraire ou manipuler des données. On distingue généralement trois grandes familles : la surfa...

La surface d’attaque d’une application désigne l’ensemble des points par lesquels un attaquant peut tenter d’entrer, d’extraire des données ou d’altérer le comportement d’un système. Autrement dit, c’est la somme de tous les endroits exposés où une m...