Notre présentation sera composée de 5 parties,

Commençons par l’étude de projet,

Vermeg notre organisme d’accueil est un groupe international opère dans plusieurs gammes de services
de sécurité Finance et assurance …

Notre problématique est de bien ….

Donc la solution est

La méthode de réalisation est scrum, notre sujet a été composé sur trois sprints et bien sur un daily
meeting

Passant maintenant aux besoins fonctionnels qui consiste à …

Pour les besoins non fonctionnels on a la performance qui se réfère à la capacité de nos outils d’analyser
et de traiter les applications de manière efficace et rapide

La Disponibilité fait référence à la capacité de la chaîne de sécurité à être opérationnelle et accessible

lorsque nécessaire et c’est grâce à notre infrastructure robuste

Pour la Fiabilité Il est essentiel que les outils de sécurité utilisés fournissent des résultats fiables et
cohérents lors de l’identification des vulnérabilités et de l’évaluation de la sécurité des applications.

En termes de Compatibilité Il est important de s’assurer que les outils de sécurité sélectionnés
(Sonarque, Fortify, Sonatype IQ) sont compatibles avec les technologies utilisées dans les applications

On termine par l’intégrité où ont garantie que notre chaîne de sécurité est protégée contre les
modifications non autorisées ou les altérations.

Dans cette partie je vais vous présenter les outils de scans utilisés qui sont des outils sast on a
sonarqube, Fortify et sonatype nexusIQ

SonarQube est un logiciel qui aide à la détection, la classification et la résolution des défauts dans le
code source, Il est utilisé pour inspecter le code source en développement et détecter des bugs,
vulnérabilités de sécurités, instances de code dupliqué et autres anomalies pouvant nuire à la qualité du
code source, et ainsi au fonctionnement de l'application qui en résulte.

Le workflow de sonarqube commence par le push du code en scm par les developpeurs et puis à partir
du pipeline jenkins on fait le scan sonar et le résultat sera envoyer au serveur sonarqube.

Fortify est une offre de test de sécurité des applications utilisée pour analyser le code source des
vulnérabilités de sécurité. Il examine le code et aide les développeurs à identifier et résoudre les
problèmes avec moins d'effort et en moins de temps.

De même aussi les developpeurs push leurs codes et l’analyse se fait par un contrôleur nommé source
analyzer qui est le composant clé d’analyse fortify et puis le résultat qui est un fichier result.fpr sera
envoyer au serveur fortify.
Sonatype IQ se concentre sur la gestion des dépendances et la sécurité des composants open source
utilisés dans les applications. Il fournit des fonctionnalités d'analyse de sécurité, la possibilité de définir
des politiques personnalisées, et peut être intégré dans des pipelines d'intégration continue.

A partir du pipeline d’analyse de jenkins sonatypeIQ détecte le nouveau composant arrivé, il réalise une
évaluation puis à partir de cette analyse le composant se catégorise soit normal ou soit il passe a une
recherche de sécurité pour confirmer si il est vulnérable ou non.

Les tests de pénétration, également connus sous le nom de tests d'intrusion ou de tests de sécurité, sont
des évaluations réalisées pour identifier les vulnérabilités d'un système informatique. Ces tests sont
effectués afin de simuler des attaques potentielles qu'un système pourrait subir et d'évaluer sa
résistance face à ces attaques. Les tests de pénétration peuvent inclure différentes étapes, telles que la
collecte d'informations sur le système cible (recon), l'identification des points d'entrée potentiels,
l'exploitation des vulnérabilités découvertes, l'élévation des privilèges, la manipulation de données
sensibles, etc. en résumé, les pentests sont des opérations pour détécter des vulnérabilités pour
attacker un systéme.

On a Deux types de vulnérabilités :

Les bugs techniques : Des défauts dans un logiciel qui Entraîne des comportements indésirables, des
dysfonctionnements ou des pannes dans le système se sont des attaques directes au systéme par
injection de code se sont des problèmes de developpement et de code.

Les bugs logiques : Des défauts de conception et de mise en œuvre d’une application ils Manipulent de
la logique de l'application se sont des attaques indirectes, des probléme en architecture ou dans les
mécanismes utilisés par exemple les mécanismes d’authentification comme keyckloc ou les mecanismes
de notifications.

Exemple de bugs techniques :

SQL injection : c’est une faille qui se produit lorsqu’un attaquant peut manipuler les requêtes de base de
données d'une application en insérant du code SQL malveillant

Xss (Cross-Site Scripting) : Elle permet à un attaquant d'injecter du code malveillant (généralement du
code JavaScript) dans les champs de saisie ou les paramètres d'URL des pages Web

Exemple de bugs logiques :

Broken Access Control : une vulnérabilité dans laquelle un attaquant peut obtenir un accès non autorisé
à certaines ressources ou effectuer des actions qu'il ne devrait pas pouvoir effectuer.

IDOR : une vulnérabilité de manipulation des objets pour accéder à des informations sensibles liés
généralement à l’authentification

Comme il est important de réaliser des pentests des applications, il est très important de faire des
pentests pour les images dockers
Tout d’abord, c quoi une image docker : …

Pourquoi on pentest les images docker : Le pentest des images Docker est une pratique de sécurité
importante pour identifier les vulnérabilités et les faiblesses des images avant qu'elles ne soient
déployées dans des environnements de production.

Quelques raisons pour lesquelles le penrst des images Docker sont nécessaires : …