Expert CyberSecurité & DevSecOps : Développer, PenTester et Déployer des applications sécurisées

Rappel théorique : les concepts fondamentaux Cet atelier pratique vous permet d'appliquer le vocabulaire clé appris précédemment, un outil essentiel pour tout professionnel de la sécurité. Les termes 'menace', 'vulnérabilité' et 'risque' sont trop so...

Pourquoi étudier les attaquants Dans l'activité précédente, vous avez distingué trois notions : la menace, la vulnérabilité et le risque. Une menace n'est pas une abstraction. Derrière elle se trouve presque toujours un acteur humain, avec des moyens...

Pourquoi ces trois mots comptent Dans l'activité précédente, vous avez vu à quoi sert la cybersécurité : protéger des systèmes, des données et des personnes. Pour en parler avec précision, les professionnels utilisent trois mots que le grand public m...

Bienvenue dans le cursus Hacker Éthique et Cyberdéfense. Ce premier cours répond à deux questions : à quoi sert concrètement la cybersécurité, et de quel ordinateur avez-vous besoin pour suivre la formation. Vous y découvrirez aussi les règles du jeu...

Après avoir appris à modéliser les menaces avec des outils comme OWASP Threat Dragon, à construire des diagrammes de flux de données et à transformer des menaces STRIDE en scénarios de test, il devient essentiel de savoir documenter et versionner cor...

RAPPEL THÉORIQUE La modélisation des menaces consiste à identifier, de manière structurée, ce qui peut mal tourner dans une application avant qu’un attaquant ne le fasse. Le mental model à retenir : on décrit d’abord le système (composants, flux de d...

La modélisation des menaces consiste à représenter graphiquement une application, ses composants et ses flux de données afin d'identifier de manière systématique où et comment un attaquant pourrait la compromettre. Jusqu'ici, vous avez appris les con...

RAPPEL THÉORIQUE Une checklist de tests de sécurité est un outil dérivé de votre modélisation des menaces (STRIDE) et de votre priorisation par OWASP Risk Rating. Elle liste, pour chaque menace identifiée, les tests concrets à exécuter afin de valide...

Ce cours te montre, pas à pas, comment transformer une menace identifiée grâce à la méthode STRIDE en un scénario de test automatisé exécutable. C'est la suite logique des activités précédentes : après avoir modélisé les menaces, scoré les risques et...

RAPPEL THÉORIQUE Une checklist de tests de sécurité est le pont opérationnel entre la modélisation des menaces (ce qui peut mal tourner) et l'action concrète du testeur (comment le vérifier). Le mental model à retenir est simple : chaque menace ident...

Jusqu'à présent, vous avez appris à identifier ce qui compose une application (la surface d'attaque), à décomposer les menaces (avec la méthode STRIDE), à estimer leur gravité (avec la méthodologie OWASP Risk Rating) et à prioriser les corrections. C...

Ce chapitre propose une synthèse visuelle et structurée de toutes les notions abordées dans la section « Principes de sécurité applicative et modélisation des menaces ». L'objectif est de relier les concepts entre eux sous forme d'une carte mentale, ...

RAPPEL THÉORIQUE Le scoring d'une menace consiste à lui attribuer une note de risque afin de prioriser les corrections et les tests. Dans les activités précédentes, vous avez utilisé la méthodologie OWASP Risk Rating, qui décompose le risque en deux ...

Après avoir cartographié la surface d'attaque du Blog, identifié les menaces avec la méthode STRIDE et scoré les risques avec la méthodologie OWASP Risk Rating, une question pratique se pose : par où commencer ? Vous ne pouvez pas tout tester ni tout...

RAPPEL THÉORIQUE La méthodologie OWASP Risk Rating permet d'estimer la gravité d'un risque en croisant deux dimensions : la probabilité (Likelihood) et l'impact (Impact). Le mental model est simple : Risque = Probabilité × Impact. La probabilité se d...

La méthodologie OWASP Risk Rating (traduisible par « évaluation des risques selon l'OWASP », l'Open Web Application Security Project) est une approche standardisée permettant de mesurer et de hiérarchiser les risques associés aux vulnérabilités d'une...

RAPPEL THÉORIQUE La surface d’attaque désigne l’ensemble des points par lesquels un attaquant peut interagir avec une application pour tenter d’y injecter, extraire ou manipuler des données. On distingue généralement trois grandes familles : la surfa...

La surface d’attaque d’une application désigne l’ensemble des points par lesquels un attaquant peut tenter d’entrer, d’extraire des données ou d’altérer le comportement d’un système. Autrement dit, c’est la somme de tous les endroits exposés où une m...

RAPPEL THÉORIQUE Un microservice d’upload de fichiers est l’un des points d’entrée les plus dangereux d’une application. Il combine plusieurs surfaces d’attaque : traversée de répertoire (path traversal), exécution de code via des fichiers malveillan...

Le principe du moindre privilège, en anglais Least Privilege, est l’un des piliers de la sécurité applicative. Il stipule qu’un utilisateur, un processus, un service ou un composant logiciel ne doit disposer que des droits strictement nécessaires à l...

RAPPEL THÉORIQUE Les principes de conception sécurisée (Secure Design Principles) sont des règles fondamentales qui guident la construction d'applications robustes avant même l'écriture du code. Contrairement à la modélisation des menaces (STRIDE, DF...

Après avoir appris à modéliser les menaces avec la méthode STRIDE, les diagrammes de flux de données et la construction d'une matrice de menaces, il est temps de passer à l'étape suivante : concevoir des applications qui résistent réellement à ces me...

## Présentation du projet Ce mini-projet fil rouge consolide l'ensemble des compétences acquises dans ce chapitre : composants et actifs, triade CIA (Confidentialité, Intégrité, Disponibilité), méthode STRIDE, Data Flow Diagrams (DFD) et rapprochemen...

RAPPEL THÉORIQUE La modélisation des menaces consiste à analyser une application avant qu'elle ne soit attaquée, afin d'anticiper les faiblesses. Le Data Flow Diagram (DFD) représente visuellement comment les données circulent dans le système : entit...

RAPPEL THÉORIQUE Un Data Flow Diagram (DFD) est une représentation graphique de la façon dont les données circulent à travers une application. Il ne décrit pas le code, mais les mouvements de données entre les composants. Le DFD repose sur quatre sym...