Introduction

ECOLE
ECOLE IT
IT –– 5SOA
5SOA -- Année
Année Académique
Académique 2023-2024
2023-2024 –– ©
© Tous
Tous droits
droits réservés
réservés
Résumé
• Playground
• Contexte
• Concept

ECOLE
ECOLE IT
IT –– 5SOA
5SOA -- Année
Année Académique
Académique 2023-2024
2023-2024 –– ©
© Tous
Tous droits
droits réservés
réservés
 Introduction
Playground

ECOLE IT – 5SOA- Année Académique 2023-2024 – © Tous droits réservés

Notre terrain de jeu

-KALI Linux
-DVWA
-JuiceShop
-Metasploitable 3

ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés

 Introduction
Contexte

ECOLE IT – 5SOA- Année Académique 2023-2024 – © Tous droits réservés

Contexte

-Contexte politico-stratégique tendu ;

-Evolution et sophistication croissante des attaques informatiques ;

-Technologies en évolution permanente (5G, IoT, Voitures autonomes, Usines 2.0) ;

-Nécessité de développer des méthodes proactives pour protéger les systèmes ;

-Comprendre et contrer les menaces potentielles qui pèsent sur l’IT des entreprises ;

-Être en adéquation avec les normes et réglementations.

ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés

Contexte

Risques Élections USA

Ukraine/Russie Hamas/Israël J.O. 2024
géopolitiques 2024

ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés

 Introduction
Concept

ECOLE IT – 5SOA- Année Académique 2023-2024 – © Tous droits réservés

Concept de la sécurité offensive

Quelles sont les vulnérabilités pouvant permettre à un hacker de pénétrer un

réseau informatique, un système informatique ou de voler des données
confidentielles ?

Se rapprocher des pratiques de hacking malveillant en :

-Utilisant les outils et techniques semblables aux attaquants ;
-Calquant son mindset sur celui d’un hacker malveillant ;

Mettre en place des solutions/réponses qui pourront limiter (supprimer?) l’impact

d’une attaque cyber.

ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés

Comment devient on hacker éthique ?

Le hacking n'est pas ce qu’on peut voir au cinéma ou à la TV sur Netflix.

On ne devient pas hacker en regardant des séries de hacking ou en téléchargeant
des applications de hacking.

Le hacking nécessite des années d'études et de pratiques en lisant du code, en

essayant de nouvelles commandes, en essayant de comprendre un protocole.

C’est des années de persévérance, chaque jour, tous les jours ... En essayant de
devenir un petit peu plus compétent.

Et c'est ça le prix à payer pour devenir hacker.

Un chemin long et difficile.

ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés

Sécurité Offensive
Approche professionnelle de la sécurité informatique à travers le
« Hacking éthique »:
-Les évaluations des vulnérabilités ;
-Les audits de sécurité ;
-Les audits Red Team/Blue Team ;
-Les Bug Bounties.

Corriger les failles de sécurité avant qu’elles ne soient exploitées par des acteurs
malveillants ;

Afin de :
-Prévenir les attaques ;
-Être en conformité avec la réglementation ;
-Améliorer/maintenir en continue la sécurité du logiciel ;
-Former et sensibiliser tous les acteurs (chacun est acteur de la sécurité !!!) ;
-Répondre aux incidents dans les meilleurs délais.
ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés
Red Team/Blue Team

Un audit Red Team va se focaliser sur les défenseurs en testant les capacités de
détection d’une attaque ainsi que les capacités à « riposter » ;

A cette fin, une équipe Red Team va :

-Tester l’équipe Blue Team (i.e. évaluer les défenseurs) ;
-Reproduire des techniques, tactiques et procédures d’attaque du monde réel ;
-Se concentrer sur des vulnérabilités lui permettant d’atteindre ses objectifs ;
-Rester le plus furtif possible pendant l’attaque et s’inscrire dans la durée.

ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés

Audits de sécurité

Un audit implique des tests de sécurité établis selon un standard, une

méthode (par exemple : OWASP) ;

Très souvent réalisés à partir d’une check-list détaillée des tests à accomplir ;

Bien que des check-lists soient créées pour les tests de pénétration et les
évaluations de la sécurité, elles n'ont généralement pas la profondeur et la
rigueur d'un audit.

ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés

Evaluation d’une vulnérabilité
Identifier, quantifier et classer les vulnérabilités (pas d'exploitation)

Évaluation de la Test d’intrusion Red Team

vulnérabilité

FOCUS Toutes les vulnérabilités Toutes les vulnérabilités Seulement les

exploitables vulnérabilités utiles pour
le but à atteindre
PROFONDEUR Vulnérabilités de Multi couches (pivoting) Multi couches (pivoting)
« surface »

RISQUE Estimer le risque Risque démontrable Risque démontrable

FURTIVITE Aucune Variable (généralement Haute

minime)

Le test de pénétration nécessite l'exploitation et le pivotement.

Si une évaluation n'inclut pas l'exploitation, il ne s'agit pas d'un test de pénétration !

ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés

A vous de jouer

Mise en pratique : contexte et concept

ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés

 Avenue Alan Turing - 59410 Anzin – France
+33 3 74 01 09 84 - contact@ecole-it.com

www.ecole-it.com

ECOLE IT – 5SOA - Année Académique 2023-2024 – © Tous droits réservés