Expert CyberSecurité & DevSecOps : Développer, PenTester et Déployer des applications sécurisées

## Présentation du projet Ce mini-projet fil rouge consolide l'ensemble des compétences acquises dans ce chapitre : composants et actifs, triade CIA (Confidentialité, Intégrité, Disponibilité), méthode STRIDE, Data Flow Diagrams (DFD) et rapprochemen...

RAPPEL THÉORIQUE La modélisation des menaces consiste à analyser une application avant qu'elle ne soit attaquée, afin d'anticiper les faiblesses. Le Data Flow Diagram (DFD) représente visuellement comment les données circulent dans le système : entit...

RAPPEL THÉORIQUE Un Data Flow Diagram (DFD) est une représentation graphique de la façon dont les données circulent à travers une application. Il ne décrit pas le code, mais les mouvements de données entre les composants. Le DFD repose sur quatre sym...

Le Diagramme de Flux de Données, en anglais Data Flow Diagram, souvent abrégé DFD, est un outil visuel fondamental dans la modélisation des menaces. Il sert à représenter graphiquement la façon dont les données circulent à travers une application ou ...

RAPPEL THÉORIQUE STRIDE est une méthode de modélisation des menaces qui classe les risques en six catégories : Spoofing (usurpation d'identité), Tampering (altération de données), Repudiation (répudiation, impossibilité de prouver une action), Inform...

RAPPEL THÉORIQUE STRIDE est un modèle de classification des menaces développé par Microsoft. Chaque lettre correspond à une catégorie de menace et à la propriété de sécurité qu'elle viole : Spoofing (usurpation d'identité, viole l'authentification), ...

La méthode STRIDE est l'une des approches les plus utilisées pour modéliser les menaces qui pèsent sur une application. Elle a été créée par Microsoft à la fin des années 1990 pour aider les équipes de développement à identifier de manière systématiq...

RAPPEL THÉORIQUE Avant de modéliser des menaces sur une application, il faut d'abord comprendre sa structure. La décomposition consiste à découper une application en composants élémentaires : interfaces utilisateur, services applicatifs, bases de don...

La modélisation des menaces (en anglais 'Threat Modeling') est une démarche structurée qui consiste à analyser une application, un système ou un service afin d'identifier de manière anticipée les menaces qui pèsent sur lui, les vulnérabilités potenti...

RAPPEL THÉORIQUE Un scénario de risque décrit comment une menace exploite une vulnérabilité sur un actif, en produisant un impact sur la Confidentialité, l'Intégrité ou la Disponibilité (CIA). Vous avez déjà manipulé ce vocabulaire : actif, menace, v...

Après avoir découvert le vocabulaire de base de la sécurité (actif, menace, vulnérabilité, risque), les principes de Confidentialité, Intégrité et Disponibilité, ainsi que la distinction entre acteur et attaquant, nous allons franchir une nouvelle ét...

RAPPEL THÉORIQUE Le triptyque CIA (Confidentiality, Integrity, Availability) constitue le socle de l'analyse de sécurité applicative. La Confidentialité garantit que seules les personnes autorisées accèdent à une information. L'Intégrité garantit que...

Dans le chapitre précédent, vous avez appris le vocabulaire fondamental de la sécurité applicative : actif, menace, vulnérabilité et risque, ainsi que le triangle Confidentialité, Intégrité, Disponibilité. Nous allons maintenant clarifier une distinc...

La sécurité d'une application repose sur un modèle fondateur appelé la triade CIA, acronyme anglais pour Confidentiality, Integrity, Availability, que l'on traduit en français par Confidentialité, Intégrité et Disponibilité. Ce modèle constitue le so...

RAPPEL THÉORIQUE Avant de tester ou de sécuriser une application, il faut savoir ce qu'on protège. C'est le rôle de l'identification des actifs (assets). Un actif est tout élément ayant de la valeur pour l'organisation ou l'utilisateur : données (mot...

Bienvenue dans ce chapitre consacré au vocabulaire fondamental de la sécurité applicative. Avant de pouvoir tester, corriger ou sécuriser une application, il est indispensable de maîtriser quatre notions centrales : l'actif, la menace, la vulnérabili...

Bienvenue dans ce premier chapitre consacré aux Principes de sécurité applicative et à la modélisation des menaces. Ce chapitre constitue la fondation de tout le parcours "Expert CyberSécurité & DevSecOps". Avant d'apprendre à attaquer une applicatio...

Ce chapitre clôt la section consacrée à Linux avancé pour la sécurité. Il fait la synthèse des compétences acquises, propose des ressources fiables pour approfondir, et trace un chemin clair vers les prochaines étapes du cursus Expert CyberSécurité e...

## Contexte Vous venez d'étudier les principes de hardening (CIS Benchmarks, minimisation), la gestion avancée des utilisateurs et de sudoers, la journalisation/audit (syslog, journald, logrotate) et les bonnes pratiques de scripting. Ce mini-projet ...

Le durcissement, appelé en anglais 'hardening', désigne l'ensemble des actions techniques et organisationnelles visant à réduire la surface d'attaque d'un système d'exploitation et à renforcer sa résistance face aux compromissions. Sur un système Lin...

RAPPEL THÉORIQUE Le fichier /var/log/auth.log (sur les distributions Debian/Ubuntu ; son équivalent est /var/log/secure sur RHEL/CentOS) enregistre tous les événements liés à l'authentification et aux privilèges : connexions SSH réussies ou échouées,...

La journalisation (en anglais logging) est l'un des piliers de la sécurité d'un système Linux. Elle consiste à enregistrer les événements qui se produisent sur la machine : connexions d'utilisateurs, démarrage et arrêt de services, erreurs d'applicat...

RAPPEL THÉORIQUE Sous Linux, chaque utilisateur possède un UID, un groupe principal (GID), un shell de connexion et un répertoire personnel définis dans /etc/passwd. Les mots de passe hachés vivent dans /etc/shadow, et l'appartenance aux groupes seco...

La gestion des utilisateurs sous Linux est un pilier fondamental de la sécurité d'un système. Après avoir appris à installer des paquets, documenter l'état réseau et écrire des scripts, il est essentiel de comprendre comment contrôler qui peut accéde...

RAPPEL THÉORIQUE Sous Linux, un script Bash n'est qu'un fichier texte tant qu'on ne lui donne pas le droit d'exécution. La commande 'chmod +x script.sh' active ce droit, et le shebang en première ligne ('#!/usr/bin/env bash' ou '#!/bin/bash') indique...