Formation Sécurité web : défendre les applications contre les menaces actuelles

Programme de la formation
Sécurité web : défendre les applications contre les menaces actuelles

• Introduction à la Sécurité des Applications Web

  - Définition et enjeux de la sécurité applicative
  - Modèles de maturité et cadres de sécurité (OWASP Top 10, CWE)
  - Cycle de vie du développement sécurisé (SDLC)
  - Menaces courantes et vecteurs d'attaque
  - Panorama des outils et méthodologies d'audit

• Attaques par Injection (SQLi, NoSQLi, Command Injection)

  - Principes et mécanismes des injections SQL/NoSQL
  - Démonstrations et exploitation de failles d'injection
  - Techniques de contournement d'authentification et d'exfiltration de données
  - Prévention : requêtes préparées, ORM, validation d'entrée
  - Outils de détection et de prévention

• Attaques Cross-Site Scripting (XSS)

  - Types de XSS : Reflected, Stored, DOM-based
  - Exemples d'exploitation : vol de sessions, défiguration
  - Contournement des filtres et protection des navigateurs
  - Prévention : encodage de sortie, Content Security Policy (CSP)
  - Détection et mitigation

• Authentification et Gestion des Sessions

  - Vulnérabilités courantes : faiblesse des identifiants, Brute Force
  - Attaques de session : fixation, hijacking, re-use
  - Bonnes pratiques : mots de passe forts, MFA, gestion des jetons
  - Implémentation sécurisée de l'authentification
  - Protection contre les attaques par rejeu

• Contrôle d'Accès et d'Autorisation

  - Modèles de contrôle d'accès : RBAC, ABAC, ACL
  - Vulnérabilités : Insecure Direct Object Reference (IDOR), Escalade de privilèges
  - Mauvaise configuration des contrôles d'accès
  - Implémentation sécurisée des autorisations
  - Tests d'autorisation et audit des droits

• Injection XML External Entities (XXE) et SSRF

  - Attaques XXE : accès aux fichiers locaux, exfiltration de données
  - Attaques Server-Side Request Forgery (SSRF)
  - Exploitation et impact des XXE/SSRF
  - Prévention : désactivation des fonctionnalités DTD, filtrage des requêtes
  - Mitigation et outils de protection

• Mauvaise Configuration de Sécurité et Fichiers Sensibles

  - Erreurs de configuration serveur, application, base de données
  - Exposition de fichiers et répertoires sensibles
  - Gestion des logs et erreurs pour éviter la divulgation d'infos
  - Durcissement des systèmes (hardening)
  - Audit de configuration et analyse de vulnérabilités

• Cross-Site Request Forgery (CSRF)

  - Principes du CSRF et scénarios d'attaque
  - Impact : opérations non autorisées, changement de mot de passe
  - Prévention : jetons anti-CSRF, SameSite cookies, vérification Referer
  - Implémentation de mécanismes de défense efficaces
  - Tests de vulnérabilité CSRF

• Utilisation de Composants Vulnérables

  - Risques liés aux dépendances et librairies tierces
  - Identification des composants vulnérables (SCA)
  - Mise à jour et gestion des patchs
  - Sécurisation de la chaîne d'approvisionnement logicielle
  - Outils d'analyse de composition logicielle (SCA)

• Journalisation et Surveillance (Logging & Monitoring)
• Sécurisation des API Web (REST/SOAP)

  - Vulnérabilités spécifiques aux API (OWASP API Security Top 10)
  - Authentification et autorisation pour les API
  - Gestion des erreurs et validation des données API
  - Limitation de débit, protection contre les attaques DoS
  - Tests de sécurité pour les API

• Méthodologies d'Audit et Pentesting Applicatif

  - Approches : Boîte Blanche, Boîte Noire, Boîte Grise
  - Étapes d'un pentest applicatif : reconnaissance, scan, exploitation
  - Rédaction de rapports et recommandations de sécurité
  - Outils de pentest (proxy, scanners de vulnérabilités)
  - Bonnes pratiques post-audit et surveillance continue