Expert CyberSecurité & DevSecOps : Développer, PenTester et Déployer des applications sécurisées

Le Diagramme de Flux de Données, en anglais Data Flow Diagram, souvent abrégé DFD, est un outil visuel fondamental dans la modélisation des menaces. Il sert à représenter graphiquement la façon dont les données circulent à travers une application ou ...

RAPPEL THÉORIQUE STRIDE est une méthode de modélisation des menaces qui classe les risques en six catégories : Spoofing (usurpation d'identité), Tampering (altération de données), Repudiation (répudiation, impossibilité de prouver une action), Inform...

RAPPEL THÉORIQUE STRIDE est un modèle de classification des menaces développé par Microsoft. Chaque lettre correspond à une catégorie de menace et à la propriété de sécurité qu'elle viole : Spoofing (usurpation d'identité, viole l'authentification), ...

La méthode STRIDE est l'une des approches les plus utilisées pour modéliser les menaces qui pèsent sur une application. Elle a été créée par Microsoft à la fin des années 1990 pour aider les équipes de développement à identifier de manière systématiq...

RAPPEL THÉORIQUE Avant de modéliser des menaces sur une application, il faut d'abord comprendre sa structure. La décomposition consiste à découper une application en composants élémentaires : interfaces utilisateur, services applicatifs, bases de don...

La modélisation des menaces (en anglais 'Threat Modeling') est une démarche structurée qui consiste à analyser une application, un système ou un service afin d'identifier de manière anticipée les menaces qui pèsent sur lui, les vulnérabilités potenti...

RAPPEL THÉORIQUE Un scénario de risque décrit comment une menace exploite une vulnérabilité sur un actif, en produisant un impact sur la Confidentialité, l'Intégrité ou la Disponibilité (CIA). Vous avez déjà manipulé ce vocabulaire : actif, menace, v...

Après avoir découvert le vocabulaire de base de la sécurité (actif, menace, vulnérabilité, risque), les principes de Confidentialité, Intégrité et Disponibilité, ainsi que la distinction entre acteur et attaquant, nous allons franchir une nouvelle ét...

RAPPEL THÉORIQUE Le triptyque CIA (Confidentiality, Integrity, Availability) constitue le socle de l'analyse de sécurité applicative. La Confidentialité garantit que seules les personnes autorisées accèdent à une information. L'Intégrité garantit que...

Dans le chapitre précédent, vous avez appris le vocabulaire fondamental de la sécurité applicative : actif, menace, vulnérabilité et risque, ainsi que le triangle Confidentialité, Intégrité, Disponibilité. Nous allons maintenant clarifier une distinc...

La sécurité d'une application repose sur un modèle fondateur appelé la triade CIA, acronyme anglais pour Confidentiality, Integrity, Availability, que l'on traduit en français par Confidentialité, Intégrité et Disponibilité. Ce modèle constitue le so...

RAPPEL THÉORIQUE Avant de tester ou de sécuriser une application, il faut savoir ce qu'on protège. C'est le rôle de l'identification des actifs (assets). Un actif est tout élément ayant de la valeur pour l'organisation ou l'utilisateur : données (mot...

Bienvenue dans ce chapitre consacré au vocabulaire fondamental de la sécurité applicative. Avant de pouvoir tester, corriger ou sécuriser une application, il est indispensable de maîtriser quatre notions centrales : l'actif, la menace, la vulnérabili...

Bienvenue dans ce premier chapitre consacré aux Principes de sécurité applicative et à la modélisation des menaces. Ce chapitre constitue la fondation de tout le parcours "Expert CyberSécurité & DevSecOps". Avant d'apprendre à attaquer une applicatio...

Ce chapitre clôt la section consacrée à Linux avancé pour la sécurité. Il fait la synthèse des compétences acquises, propose des ressources fiables pour approfondir, et trace un chemin clair vers les prochaines étapes du cursus Expert CyberSécurité e...

## Contexte Vous venez d'étudier les principes de hardening (CIS Benchmarks, minimisation), la gestion avancée des utilisateurs et de sudoers, la journalisation/audit (syslog, journald, logrotate) et les bonnes pratiques de scripting. Ce mini-projet ...

Le durcissement, appelé en anglais 'hardening', désigne l'ensemble des actions techniques et organisationnelles visant à réduire la surface d'attaque d'un système d'exploitation et à renforcer sa résistance face aux compromissions. Sur un système Lin...

RAPPEL THÉORIQUE Le fichier /var/log/auth.log (sur les distributions Debian/Ubuntu ; son équivalent est /var/log/secure sur RHEL/CentOS) enregistre tous les événements liés à l'authentification et aux privilèges : connexions SSH réussies ou échouées,...

La journalisation (en anglais logging) est l'un des piliers de la sécurité d'un système Linux. Elle consiste à enregistrer les événements qui se produisent sur la machine : connexions d'utilisateurs, démarrage et arrêt de services, erreurs d'applicat...

RAPPEL THÉORIQUE Sous Linux, chaque utilisateur possède un UID, un groupe principal (GID), un shell de connexion et un répertoire personnel définis dans /etc/passwd. Les mots de passe hachés vivent dans /etc/shadow, et l'appartenance aux groupes seco...

La gestion des utilisateurs sous Linux est un pilier fondamental de la sécurité d'un système. Après avoir appris à installer des paquets, documenter l'état réseau et écrire des scripts, il est essentiel de comprendre comment contrôler qui peut accéde...

RAPPEL THÉORIQUE Sous Linux, un script Bash n'est qu'un fichier texte tant qu'on ne lui donne pas le droit d'exécution. La commande 'chmod +x script.sh' active ce droit, et le shebang en première ligne ('#!/usr/bin/env bash' ou '#!/bin/bash') indique...

Le scripting Bash est un outil central pour l'administrateur système et le spécialiste en cybersécurité. Après avoir appris à écrire des scripts avec variables, boucles et conditions, puis à créer un script de sauvegarde de /etc, il est essentiel de ...

RAPPEL THÉORIQUE Le répertoire /etc contient l'ensemble des fichiers de configuration système sous Linux : comptes utilisateurs (/etc/passwd, /etc/shadow), configuration réseau, services (SSH, firewall), dépôts de paquets et bien plus. En sécurité, s...

Le scripting Bash est une compétence essentielle pour tout Spécialiste CyberSécurité et DevSecOps. Après avoir manipulé les processus, les services, les outils réseau et la gestion des paquets, il est temps d'automatiser ces tâches. Un script Bash es...