Module 1 : Maîtriser les fondamentaux de la sécurité applicative
- L’analyse des menaces actuelles et l’anatomie d’une cyberattaque web.
- La présentation de l’OWASP : rôles, standards et ressources communautaires.
- La mise en œuvre du cycle de vie de développement sécurisé (S-SDLC).
Étude de cas
- Analyser un incident de sécurité réel pour identifier les vecteurs de compromission.
Module 2 : Décrypter le Top 10 OWASP et les vecteurs d’attaque
- L’étude approfondie des vulnérabilités critiques (injections, authentification, exposition des données).
- L’examen des modes opératoires des attaquants sur les applications modernes.
Travaux pratiques
- Évaluer ses acquis via un quiz interactif sur les vulnérabilités majeures du Web.
Module 3 : Sécuriser les accès et neutraliser les injections
- La protection contre les injections SQL et les Command Injections.
- La sécurisation de la gestion des sessions et des mécanismes d’authentification.
Travaux pratiques
- Exploiter puis corriger une injection SQL sur une application vulnérable test.
Module 4 : Garantir la confidentialité et prévenir les failles XSS
- La mise en œuvre de la cryptographie pour protéger les données au repos et en transit.
- La compréhension des attaques Cross-Site Scripting (XSS) : types et impacts.
- Le déploiement de techniques de filtrage et d’encodage des entrées/sorties.
Travaux pratiques
- Détecter et neutraliser une faille XSS sur un environnement simulé.
Module 5 : durcir la configuration et les contrôles d’accès
- L’identification des mauvaises configurations de sécurité et des contrôles d’accès défaillants.
- Le durcissement (hardening) des environnements et des serveurs web.
Travaux pratiques
- Configurer une infrastructure de serveur sécurisée pour bloquer les accès non autorisés.
Module 6 : automatiser l’audit avec les outils OWASP
- L’installation et la prise en main de l’outil de scan dynamique OWASP ZAP.
- L’automatisation des tests de sécurité et l’interprétation des rapports de scan.
Travaux pratiques
- Scanner une application web avec OWASP ZAP et prioriser les corrections prioritaires.
Module 7 : Orchestrer la sécurité dans le pipeline DevSecOps
- L’intégration des tests de sécurité automatisés dans les chaînes CI/CD.
- La promotion d’une culture de sécurité partagée entre les développeurs et les équipes opérationnels.
Travaux pratiques
- Automatiser un pipeline CI/CD incluant un contrôle de sécurité natif.
Module 8 : établir la gouvernance et la réponse aux incidents
- L’élaboration d’une politique de sécurité applicative adaptée aux besoins métiers.
- La mise en place d’une surveillance continue et la gestion des mises à jour correctives.
Travaux pratiques
- Développer un plan complet de sécurisation pour une application web critique.
