Introduction
ECOLE
ECOLE IT
IT –– 5SOA
5SOA -- Année
Année Académique
Académique 2023-2024
2023-2024 –– ©
© Tous
Tous droits
droits réservés
réservés
Résumé
• Playground
• Contexte
• Concept
ECOLE
ECOLE IT
IT –– 5SOA
5SOA -- Année
Année Académique
Académique 2023-2024
2023-2024 –– ©
© Tous
Tous droits
droits réservés
réservés
Introduction
Playground
ECOLE IT – 5SOA- Année Académique 2023-2024 – © Tous droits réservés
Notre terrain de jeu
-KALI Linux
-DVWA
-JuiceShop
-Metasploitable 3
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
Introduction
Contexte
ECOLE IT – 5SOA- Année Académique 2023-2024 – © Tous droits réservés
Contexte
-Contexte politico-stratégique tendu ;
-Evolution et sophistication croissante des attaques informatiques ;
-Technologies en évolution permanente (5G, IoT, Voitures autonomes, Usines 2.0) ;
-Nécessité de développer des méthodes proactives pour protéger les systèmes ;
-Comprendre et contrer les menaces potentielles qui pèsent sur l’IT des entreprises ;
-Être en adéquation avec les normes et réglementations.
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
Contexte
Risques Élections USA
Ukraine/Russie Hamas/Israël J.O. 2024
géopolitiques 2024
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
Introduction
Concept
ECOLE IT – 5SOA- Année Académique 2023-2024 – © Tous droits réservés
Concept de la sécurité offensive
Quelles sont les vulnérabilités pouvant permettre à un hacker de pénétrer un
réseau informatique, un système informatique ou de voler des données
confidentielles ?
Se rapprocher des pratiques de hacking malveillant en :
-Utilisant les outils et techniques semblables aux attaquants ;
-Calquant son mindset sur celui d’un hacker malveillant ;
Mettre en place des solutions/réponses qui pourront limiter (supprimer?) l’impact
d’une attaque cyber.
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
Comment devient on hacker éthique ?
Le hacking n'est pas ce qu’on peut voir au cinéma ou à la TV sur Netflix.
On ne devient pas hacker en regardant des séries de hacking ou en téléchargeant
des applications de hacking.
Le hacking nécessite des années d'études et de pratiques en lisant du code, en
essayant de nouvelles commandes, en essayant de comprendre un protocole.
C’est des années de persévérance, chaque jour, tous les jours ... En essayant de
devenir un petit peu plus compétent.
Et c'est ça le prix à payer pour devenir hacker.
Un chemin long et difficile.
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
Sécurité Offensive
Approche professionnelle de la sécurité informatique à travers le
« Hacking éthique »:
-Les évaluations des vulnérabilités ;
-Les audits de sécurité ;
-Les audits Red Team/Blue Team ;
-Les Bug Bounties.
Corriger les failles de sécurité avant qu’elles ne soient exploitées par des acteurs
malveillants ;
Afin de :
-Prévenir les attaques ;
-Être en conformité avec la réglementation ;
-Améliorer/maintenir en continue la sécurité du logiciel ;
-Former et sensibiliser tous les acteurs (chacun est acteur de la sécurité !!!) ;
-Répondre aux incidents dans les meilleurs délais.
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
Red Team/Blue Team
Un audit Red Team va se focaliser sur les défenseurs en testant les capacités de
détection d’une attaque ainsi que les capacités à « riposter » ;
A cette fin, une équipe Red Team va :
-Tester l’équipe Blue Team (i.e. évaluer les défenseurs) ;
-Reproduire des techniques, tactiques et procédures d’attaque du monde réel ;
-Se concentrer sur des vulnérabilités lui permettant d’atteindre ses objectifs ;
-Rester le plus furtif possible pendant l’attaque et s’inscrire dans la durée.
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
Audits de sécurité
Un audit implique des tests de sécurité établis selon un standard, une
méthode (par exemple : OWASP) ;
Très souvent réalisés à partir d’une check-list détaillée des tests à accomplir ;
Bien que des check-lists soient créées pour les tests de pénétration et les
évaluations de la sécurité, elles n'ont généralement pas la profondeur et la
rigueur d'un audit.
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
Evaluation d’une vulnérabilité
Identifier, quantifier et classer les vulnérabilités (pas d'exploitation)
Évaluation de la Test d’intrusion Red Team
vulnérabilité
FOCUS Toutes les vulnérabilités Toutes les vulnérabilités Seulement les
exploitables vulnérabilités utiles pour
le but à atteindre
PROFONDEUR Vulnérabilités de Multi couches (pivoting) Multi couches (pivoting)
« surface »
RISQUE Estimer le risque Risque démontrable Risque démontrable
FURTIVITE Aucune Variable (généralement Haute
minime)
Le test de pénétration nécessite l'exploitation et le pivotement.
Si une évaluation n'inclut pas l'exploitation, il ne s'agit pas d'un test de pénétration !
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
A vous de jouer
Mise en pratique : contexte et concept
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
Avenue Alan Turing - 59410 Anzin – France
+33 3 74 01 09 84 - contact@[Link]
[Link]
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
