★ À maîtriser
📌 Les deux dangers majeurs pour les systèmes informatiques sont la perte de données et la fuite de données ou les intrusions.
La sauvegarde et la mise en place d’un système de back-up constituent la solution présentée pour prévenir la perte de données.
Les domaines de sécurité à mettre en œuvre sont :
Compléments
La vulnérabilité des infrastructures informatiques et de télécommunication implique celle des systèmes d’information qui en dépendent.
Les causes courantes de perte de données sont : les accidents imprévus comme les incendies, les inondations, les tremblements de terre, les guerres, les erreurs matérielles ou logicielles, les erreurs humaines
Les causes courantes de fuite de données et d’intrusion sont : l’indiscrétion des utilisateurs, le furetage, l’appât du gain par modification ou vente d’informations ou chantage informatique, l’espionnage industriel ou militaire
La sécurité physique concerne les systèmes matériels et leur environnement, notamment les locaux, l’alimentation électrique et la climatisation, et peut recourir aux normes, aux protections, à la traçabilité des entrées, à la gestion des accès, à la redondance physique et au marquage du matériel.
La sécurité logique comprend les mécanismes logiciels de sécurité, le contrôle d’accès logique par identification, authentification et autorisation, ainsi que la protection des données par cryptage, antivirus et sauvegarde.
La sécurité applicative vise à éviter les bogues grâce à une méthodologie de développement, des plans de contrôle et de test, et des plans de migration des applications.
La sécurité de l’exploitation vise le bon fonctionnement des systèmes au moyen de procédures de maintenance, de test, de diagnostic et de mise à jour, ainsi que d’un plan de sauvegarde et d’un plan de secours.
La sécurité des télécommunications nécessite une infrastructure réseau sécurisée au niveau :
★ À maîtriser
📐 Formule - Le risque est défini par .
📌 Une attaque est une tentative volontaire de violer une ou plusieurs propriétés de sécurité, tandis qu’une intrusion est une violation effective de la politique de sécurité.
Compléments
L’authenticité est définie comme l’association de l’authentification et de l’intégrité.
Les menaces accidentelles comprennent : les catastrophes naturelles, les actes humains involontaires, les performances imprévues des systèmes dues à des erreurs de conception ou de fonctionnement
Les menaces délibérées comprennent :
Les contre-mesures comprennent : le chiffrement des données, les contrôles logiciels et du système d’exploitation, le contrôle du développement logiciel, les contrôles matériels et d’accès au matériel, les contrôles physiques comme les serrures, les caméras et les gardiens
Une vulnérabilité exploitable par une menace augmente le risque ; les contre-mesures le réduisent.
Le virus s’attache, le ver se propage seul, le cheval de Troie dissimule une porte dérobée.
★ À maîtriser
📌 L’identification et l’authentification d’un sujet ne signifient pas automatiquement que l’accès lui est autorisé.
Compléments
Les moyens de mise en œuvre d’une politique de sécurité sont :
L’administration des contrôles d’accès comprend la gestion des comptes utilisateurs et le suivi des activités.
Les éléments pouvant servir à l’identification d’un utilisateur sont :
Les systèmes de suivi, notamment les journaux et fichiers journaux, conservent les traces des usagers associées à leurs identités, ce qui permet au système de distinguer ses utilisateurs.
Les exemples de facteurs d’authentification de type 3 sont : les empreintes digitales, la géométrie de la main, la reconnaissance du visage, la reconnaissance de l’iris, la reconnaissance de la rétine, la reconnaissance vocale, la dynamique de la signature
Un système peut évaluer une matrice de contrôle d’accès qui compare le sujet, l’objet et l’activité demandée pour décider si l’action est permise.
Administration → identification → authentification → autorisation.
★ À maîtriser
Les contrôles d’accès préventifs sont déployés pour empêcher qu’une activité non autorisée se produise.
Les contrôles d’accès détectifs sont déployés pour découvrir une activité non autorisée.
Les contrôles d’accès correctifs sont déployés pour restaurer les systèmes à un état normal après une activité non autorisée ou non désirée.
Compléments
Les contrôles d’accès administratifs sont des politiques et procédures servant à mettre en œuvre et appliquer le contrôle d’accès global.
Les contrôles d’accès logiques et techniques sont des logiciels et matériels capables de gérer et protéger l’accès aux ressources demandées.
Les contrôles d’accès physiques sont des barrières destinées à éviter le contact direct avec les systèmes.
Prévenir avant l’acte, détecter pendant ou après, corriger pour revenir à l’état normal.
Un IDS peut surveiller les activités suspectes, mettre en évidence les vulnérabilités et l’origine d’une intrusion, puis reconfigurer les routeurs et pare-feux pour empêcher la répétition d’attaques détectées.
Un IDS peut : journaliser l’événement, avertir un système ou un humain par un message, amorcer des actions sur un réseau ou un hôte
Les limites des IDS sont :
NIDS observe le réseau ; HIDS surveille l’hôte.
★ À maîtriser
Un pare-feu statique sans état décide selon :
Un pare-feu dynamique avec état conserve les états de connexion NEW, ESTABLISHED, RELATED et INVALID.
Compléments
Sans état : critères du paquet ; avec état : mémoire de la connexion ; proxy : analyse applicative.
★ À maîtriser
DES est un algorithme de chiffrement symétrique par blocs qui chiffre des mots de 64 bits avec une clé de 56 bits plus 8 bits de parité.
AES est un algorithme de chiffrement par blocs à plusieurs tours utilisant des blocs de 128 bits et des clés de 128, 192 ou 256 bits.
Compléments
Le déchiffrement DES est identique au chiffrement si les sous-clés sont prises dans l’ordre inverse.
AES effectue 10 itérations avec une clé de 128 bits, 12 avec une clé de 192 bits et 14 avec une clé de 256 bits.
🔄 Le traitement AES suit ces étapes : copie verticale du bloc de 128 bits, soit 16 octets, dans un tableau d’état 4 × 4, XOR avec la sous-clé numéro 0, répétition des transformations de tour, lecture du résultat final dans le tableau d’état
Les transformations de tour AES comprennent : la confusion par substitution indépendante fondée sur les inverses dans le corps fini 2⁸, le décalage des trois dernières lignes selon des pas différents, la diffusion par multiplication polynomiale des colonnes, un XOR avec la sous-clé numéro i
Les systèmes à clés publiques évitent d’avoir systématiquement recours à un canal sécurisé pour échanger les clés, mais la publication à grande échelle de la clé publique doit garantir qu’elle appartient à son propriétaire, que celui-ci est digne de confiance et que la clé reste valide.
Une infrastructure de gestion de clés a pour rôles : enregistrer les demandes après vérification d’identité, générer des paires de clés, protéger la confidentialité des clés privées, certifier l’association entre chaque utilisateur et sa clé publique, révoquer les clés perdues, expirées ou compromises
Une PKI comprend : une autorité d’enregistrement (AE/RA) chargée des formalités administratives et de la vérification d’identité, une autorité de certification (AC/CA) chargée des tâches techniques et de la signature des certificats et des listes, une autorité de dépôt chargée de conserver les certificats en sécurité
★ À maîtriser
L’analyse des risques répertorie les risques, estime leur probabilité et étudie leur impact, notamment en évaluant le coût des dommages qu’une menace pourrait causer.
🔄 L’approche ISO 27001 comprend : définir une politique de sécurité selon les besoins exprimés, mettre en œuvre des mesures adaptées aux risques pesant sur l’activité, surveiller l’efficacité du système, améliorer continuellement le système sur la base de vérifications objectives
Compléments
L’analyse d’un scénario de risque prend en compte une méthode d’attaque, un élément menaçant et les vulnérabilités des entités susceptibles d’être exploitées.
Dans l’exemple de risque décomposé, la méthode est le piégeage du logiciel par introduction d’un ver, l’élément menaçant un pirate expérimenté engagé par un concurrent, l’entité un réseau WiFi, la vulnérabilité la possibilité d’administrer ce réseau à distance, l’opportunité est jugée moyenne, l’atteinte porte sur la confidentialité par vol d’informations et l’impact est une perte d’avantages concurrentiels.
📌 Une attaque passive consiste en une écoute, tandis qu’une attaque active est illustrée par un ver informatique.
Une PSSI fixe des règles, procédures et bonnes pratiques adaptées aux besoins de l’organisation et doit être élaborée comme un projet associant des représentants des utilisateurs, porté au plus haut niveau hiérarchique et communiqué au personnel.
L’audit de sécurité identifie les besoins de sécurité, les risques informatiques de l’entreprise et leurs conséquences éventuelles.
L’inventaire du système d’information porte notamment sur :
Les niveaux de probabilité proposés sont :
🔄 La démarche de sécurité comprend : élaborer des règles et procédures réalistes pour les risques identifiés, surveiller les vulnérabilités et les failles des applications et matériels, définir les actions et les personnes à contacter lors de la détection d’une menace
La PSSI doit être élaborée au niveau de la direction, concerner tous les utilisateurs et faire partie de la stratégie de l’organisation, notamment pour protéger les applications métier sensibles, diminuer les vulnérabilités, sécuriser le SI et assurer la continuité en cas de sinistre.
Contexte → besoins → menaces → objectifs → exigences ; puis planifier, faire, contrôler, agir.
★ À maîtriser
Un organisme de certification, tierce partie accréditée, certifie la mise en œuvre d’un système de management de la sécurité conforme à ISO 27001 V2022.
Les audits de surveillance sont organisés en deux vagues annuelles, au premier et au troisième trimestre, tandis que l’onboarding des nouveaux sites est organisé au deuxième et au quatrième trimestre.
Compléments
Les Operational Security Officers (OSO) accompagnent les opérations d’une Division dans l’application des dispositions de sécurité de l’information.
Les Site Security Advisor (SSA) coordonnent transversalement aux Divisions les actions liées à la sécurité physique du site.
Le certificat ISO 27001 disponible dans SharePoint précise les activités et les sites certifiés et est valable trois ans.
La certification ISO 27001 vise à donner confiance aux clients et répond à une exigence des grands donneurs d’ordre.
EY est cité comme exemple d’organisme certificateur.
★ À maîtriser
📌 Les exigences des articles 4 à 10 de la norme ISO 27001 sont obligatoires et une organisation revendiquant sa conformité ne peut s’affranchir d’aucune d’entre elles.
Compléments
★ À maîtriser
Les tests de sécurité doivent être envisagés pendant la période de transition à la réception des applications et avant la livraison d’une nouvelle version.
La politique de sécurité doit être connue et appliquée par tous les collaborateurs et sous-traitants.
Un inventaire de tous les actifs du projet doit être établi, mis à jour à chaque ajout, suppression ou modification et transmis en copie à l’équipe sécurité.
Tous les projets Atos doivent appliquer les règles de Secure Software Development définies par Atos afin de produire et livrer du code sécurisé sans vulnérabilité.
Les comptes des ressources projet doivent être inventoriés et créés avec les droits strictement nécessaires à la mission, puis supprimés lors d’un changement d’affectation.
Pour les données personnelles ou sensibles, le projet doit établir un CADP et le faire valider par le Data Protection Officer de la GBU France.
Le projet doit analyser les risques pesant sur la continuité de ses activités en cas d’incident ou de catastrophe, définir et déployer des mesures de mitigation selon la disponibilité exigée par le contrat ou le projet, dans un BCP projet.
Compléments
Des outils tels qu’IBM AppScan et CAST peuvent servir à l’analyse du code source, aux tests statiques et aux tests d’intrusion ou tests dynamiques.
Les coûts des tests, en particulier ceux des tests de transition et des tests dynamiques, doivent être identifiés en AVV.
Le chef de projet ou l’officier de sécurité coordonne le client et Atos pour établir un PAS réalisable et applicable, met à disposition les moyens nécessaires et révise le PAS au moins une fois par an.
Lorsque le client n’a pas spécifié d’exigences de sécurité, le PAS standard est applicable.
Les droits d’accès des comptes projet doivent être revus au minimum une fois par trimestre et les preuves de chaque revue doivent être conservées.
Les projets Atos doivent appliquer la politique de classification Atos ou client selon la valeur, les exigences légales, la sensibilité et la criticité des informations.
Le PM, DP ou SDM responsable d’une DMZ doit tenir à jour la liste des flux ouverts et faire vérifier ces flux sur le pare-feu à chaque revue trimestrielle.
Le responsable du projet doit s’assurer que toutes ses données sont régulièrement sauvegardées, que les journaux de sauvegarde sont analysés et que des tests de restauration sont effectués.
★ À maîtriser
📌 Un pare-feu personnel est un logiciel protégeant le poste sur lequel il est installé, tandis qu’un pare-feu réseau est un boîtier placé entre un accès externe et le réseau de l’entreprise.
📌 Dans le mécanisme décrit, la clé publique sert au chiffrement du message et la clé privée à son déchiffrement.
Compléments
Un ordinateur dispose de 65 536 ports par lesquels les données peuvent entrer ou sortir.
Un certificat électronique contient l’autorité de certification émettrice, des informations sur le certificat comme sa validité et la longueur des clés, ainsi que l’identité et l’entreprise du titulaire.
Une autorité de certification délivre le certificat pour une durée déterminée et garantit l’identité de la personne, l’usage des clés par leur propriétaire et l’exactitude des informations du certificat.
Un certificat électronique peut être stocké sur un support logiciel ou matériel, et le support matériel est présenté comme plus sûr parce que le certificat et la clé privée ne sont pas enregistrés sur le disque dur de l’ordinateur.
Lors d’une connexion VPN, l’ordinateur distant présente sa clé publique au serveur, le serveur reconnaît son certificat et renvoie sa propre clé publique, puis le tunnel est établi et les données échangées sont chiffrées et déchiffrées grâce aux certificats.
Le pare-feu joue le douanier des ports réseau.
★ À maîtriser
📌 Les exigences fonctionnelles décrivent ce que le logiciel doit faire, tandis que les exigences non fonctionnelles portent notamment sur la performance, la sécurité, la compatibilité et l’expérience utilisateur.
📌 Waterfall est séquentiel et peu flexible, Agile fonctionne par cycles courts et feedback continu, le modèle V associe des tests aux phases de développement, Spiral met l’accent sur les risques, et RAD repose sur le prototypage rapide.
Compléments
La planification étudie la faisabilité, les besoins métier, les ressources et les risques, choisit un modèle SDLC et produit notamment un rapport de faisabilité et un plan de projet.
L’analyse des exigences recueille et documente les besoins, les fait valider par les parties prenantes et produit les spécifications des exigences logicielles (SRS).
La conception définit l’architecture, les choix technologiques, la modélisation UML, l’interface utilisateur et la stratégie de sécurité, avec des diagrammes UML, des spécifications techniques et des prototypes parmi ses livrables.
La phase de développement traduit la conception en code, utilise des outils de versionnement comme Git, GitHub ou GitLab et comprend des tests unitaires et la documentation du code.
Les tests du SDLC comprennent :
📌 Le déploiement direct remplace immédiatement l’ancienne version, le déploiement progressif la remplace par étapes et le déploiement en parallèle fait temporairement coexister les deux versions.
Planifier → analyser → concevoir → développer → tester → déployer → maintenir.
★ À maîtriser
L’OWASP Top 10 est une liste régulièrement mise à jour des principales vulnérabilités des applications web.
Une attaque par injection insère du code malveillant dans une requête en exploitant une validation insuffisante des entrées, ce qui peut permettre d’exécuter des commandes sur une base de données ou un système d’exploitation.
Les mesures de protection des données sensibles comprennent :
Compléments
Les mesures de mitigation des injections comprennent :
Les problèmes de gestion des sessions comprennent :
Les bonnes pratiques comprennent :
Le contrôle d’accès fondé uniquement sur le statut d’administrateur est présenté comme insuffisant, tandis qu’une politique RBAC vérifie une permission précise comme MANAGE_USERS.
Pour limiter une SSRF, il faut valider strictement les entrées et autoriser uniquement les URL figurant sur une liste blanche.
L’exemple de RCE vulnérable exécute une commande construite à partir d’une entrée utilisateur avec os.system, tandis que la correction utilise subprocess.run avec une liste d’arguments.
La mise à jour des composants tiers vers une version sécurisée est proposée pour corriger l’utilisation d’une bibliothèque obsolète, avec spring-core passant de la version 3.0.0 à 5.3.9 dans l’exemple.
La signature des mises à jour logicielles est présentée comme une mesure de protection de l’intégrité, avec l’algorithme SHA256withRSA vérifié à l’aide d’une clé publique.
La journalisation d’une tentative de connexion détectée est illustrée avec un message de niveau info dans un logger Java.
★ À maîtriser
📌 La stratégie de test doit lister les exigences fonctionnelles et non fonctionnelles et indiquer celles qui sont impactées par les différents diagrammes.
Compléments
Les documents référencés pour élaborer la stratégie et les tests comprennent :
Les critères d’acceptation et les règles générales conditionnant la mise en production sont définis après l’attribution de la criticité et de la priorité aux exigences.
La matrice de couverture peut bloquer une mise en production selon la gravité des anomalies relevées pendant les tests et leur impact sur les exigences.
La stratégie de test définit le calendrier des actions au moyen d’un macroplanning et précise, pour chaque environnement, les types de tests, les éléments testés, le jeu de données utilisé et les informations permettant d’expliquer les tests.
Les documents à livrer pour chaque release sont :
★ À maîtriser
📌 Un pentest Black Box est réalisé sans information préalable sur le système, un pentest White Box avec accès total au code source et à l’architecture, et un pentest Grey Box avec un accès limité à certaines informations.
📌 Un pentest exige une autorisation préalable, le respect des lois en vigueur et un contrat précisant son périmètre et ses limites.
Compléments
Un pentest vise à identifier les vulnérabilités, évaluer les impacts potentiels de leur exploitation et proposer des recommandations de renforcement de la sécurité.
La reconnaissance d’un pentest comprend la collecte d’informations publiques avec des outils comme WHOIS, Shodan ou Maltego, le scan des ports avec Nmap, puis la définition des systèmes et applications à tester, des limites et de l’autorisation officielle.
📌 La reconnaissance passive s’effectue sans interagir avec la cible, tandis que la reconnaissance active comprend notamment le scan des ports et l’analyse des services.
Les outils cités pour analyser les vulnérabilités sont Nikto pour les serveurs web, OpenVAS pour l’analyse globale et Metasploit pour l’exploitation automatisée; les versions des services peuvent être comparées aux vulnérabilités connues comme les CVE.
Les exemples d’exploitation cités comprennent :
Les outils de test cités sont :
🔄 Le rapport de pentest présente :
L’exemple de rapport d’application web XYZ indique une date et une durée de 10/02/2025 et 4 h, le périmètre de l’application XYZ, la méthodologie OWASP Testing Guide et trois vulnérabilités : injection SQL critique, XSS de gravité moyenne et mauvaise configuration serveur de gravité faible.
Reconnaître → analyser et exploiter → post-exploiter → rapporter.
| Service | Garantie |
|---|---|
| Confidentialité | Protection du contenu contre l’écoute non autorisée |
| Intégrité | Non-altération des données, traitements et services |
| Disponibilité | Accès aux services et ressources |
| Authentification | Vérification de l’identité de l’utilisateur |
| Type | Informations disponibles | Caractéristique |
|---|---|---|
| Black Box | Aucune information préalable | Test sans connaissance préalable du système |
| White Box | Accès total | Code source et architecture accessibles |
| Grey Box | Accès limité | Certaines informations sont fournies |
Teste tes connaissances sur Sécurité informatique et des systèmes avec 55 questions à choix multiples et corrections détaillées.
1. Lors de la définition des besoins d’une application, une équipe doit distinguer une fonction demandée d’une contrainte de performance. Comment faut-il les classer ?
2. Pour une tâche de test, Lina réalise l’action, Marc valide le résultat, Nora apporte son avis et Sami reçoit l’information après achèvement. Quel rôle correspond à Marc dans la matrice RACI ?
Mémorisez les concepts clés de Sécurité informatique et des systèmes avec 96 flashcards interactives.
Quels moyens composent la sécurité informatique ?
Des moyens techniques, organisationnels, juridiques et humains.
Quels sont les deux dangers majeurs pour les systèmes informatiques ?
La perte de données et la fuite de données ou les intrusions.
Quelle solution prévient la perte de données ?
La sauvegarde et la mise en place d’un système de back-up.
Importe ton cours et l'IA génère fiches, QCM et flashcards en 30 secondes.
Générateur de fiches