• Prochaine session : nous contacter.
  • Formation accessible aux personnes en situation de handicap.
  • 70% de pratique et 30% de théorie en moyenne.
  • Nombreuses activités pratiques pour une évaluation constante.
  • Supports, exercices et corrections à disposition en ligne pendant et après la formation.
  • Délai d'accès minimum moyen : deux mois.
  • Formation en distanciel ou en présentiel au sein de votre entreprise.
  • Evaluation par le formateur à travers les activités pratiques.

  • Public : Développeur, Administrateur, technicien IT
  • Prérequis : Connaissances de base en systèmes, réseaux et d'Internet et développement

  • Durée : 3 jours (7 heures/jour).
  • Tarif inter * : 1320 € - intra * : nous contacter.

Les entreprises s'appuient de plus en plus sur Internet et les systèmes en réseau. Or, la cybercriminalité et les violations de sécurité laissent planer une menace toujours plus importante sur leurs données et fonctions vitales. Si vos applications Web ne sont pas dotées des parades de sécurité appropriées, des intrus peuvent s'immiscer et compromettre l'intégrité des informations qu'elles envoient et reçoivent. La menace est particulièrement sérieuse pour les entreprises qui partagent des données propriétaires sur Internet, des intranets ou d'autres réseaux publics. Aujourd'hui, la cybersécurité est un défi, les attaques ciblant précisément les vulnérabilités des applications Web. Par conséquent, les entreprises doivent mettre en place des mesures de sécurité strictes dans le processus de développement d'applications Web. Cette formation Sécurité Internet vous apporte une expérience pratique approfondie de la sécurisation d'applications et serveurs hôtes Web. Ce cours vous permettra de : - Mettre en œuvre et tester des applications web dans votre entreprise - Identifier, diagnostiquer et corriger les 10 principales vulnérabilités définies par l'OWASP - Configurer un serveur web pour chiffrer le trafic web avec HTTPS - Protéger des applications fonctionnant avec Ajax et prévenir le vol de données JSON et sécuriser les services web XML avec WS-Security

  • Introduction
    • Statistiques et évolution des failles liées au Web selon IBM X-Force et OWASP
    • Evolution des attaques protocolaires et applicatives
    • Le monde des hackers : qui sont-ils ? Quels sont leurs motivations, leurs moyens ?
  • Constituants d'une application Web
    • Les éléments d'une application N-tiers
    • Le serveur frontal HTTP, son rôle et ses faiblesses
    • Les risques intrinsèques de ces composants
    • Les acteurs majeurs du marché
  • Le protocole HTTP en détail
    • Rappels TCP, HTTP, persistance et pipelining
    • Les PDU GET, POST, PUT, DELETE, HEAD et TRACE
    • Champs de l'en-tête, codes de status 1xx à 5xx
    • Redirection, hôte virtuel, proxy cache et tunneling
    • Les cookies, les attributs, les options associées
    • Les authentifications (Basic, Improved Digest...)
    • L'accélération http, proxy, le Web balancing
    • Attaques protocolaires HTTP Request Smuggling et HTTP Response splitting
    • Installation et utilisation de l'analyseur réseau Wireshark. Utilisation d'un proxy d'analyse
    • HTTP spécifique
  • Les vulnérabilités des applications Web
    • Pourquoi les applications Web sont-elles plus exposées ?
    • Les risques majeurs des applications Web selon l'OWASP (Top Ten 2010)
    • Les attaques " Cross Site Scripting " ou XSS - Pourquoi sont-elles en pleine expansion ?
    • Comment les éviter ?
    • Les attaques en injection (Commandes injection, SQL Injection, LDAP injection...)
    • Les attaques sur les sessions (cookie poisonning, session hijacking...)
    • Exploitation de vulnérabilités sur le frontal HTTP (ver Nimda, faille Unicode...)
    • Attaques sur les configurations standard (Default Password, Directory Transversal...)
  • Le firewall réseau dans la protection d'application HTTP
    • Le firewall réseau, son rôle et ses fonctions
    • Combien de DMZ pour une architecture N-Tiers
    • Pourquoi le firewall réseau n'est pas apte à assurer la protection d'une application Web
  • Sécurisation des flux avec SSL / TLS
    • Rappels des techniques cryptographiques utilisées dans SSL et TLS
    • Gérer ses certificats serveurs, le standard X509
    • u'apporte le nouveau certificat X509 EV ?
    • Quelle autorité de certification choisir ?
    • Les techniques de capture et d'analyse des flux SSL
    • Les principales failles des certificats X509
    • Utilisation d'un reverse proxy pour l'accélération SSL
    • L'intérêt des cartes crypto hardware HSM
  • Configuration du système et des logiciels
    • La configuration par défaut, le risque majeur
    • Règles à respecter lors de l'installation d'un système d'exploitation
    • Linux ou Windows. Apache ou IIS ?
    • Comment configurer Apache et IIS pour une sécurité optimale ?
    • Le cas du Middleware et de la base de données. Les V.D.S. (Vulnerability Detection System)
  • Principe du développement sécurisé
    • Sécurité du développement, quel budget ?
    • La sécurité dans le cycle de développement
    • Le rôle du code côté client, sécurité ou ergonomie ?
    • Le contrôle des données envoyées par le client
    • Lutter contre les attaques de type " Buffer Overflow "
    • Les règles de développement à respecter
    • Comment lutter contre les risques résiduels : Headers, URL malformée, Cookie Poisoning…
  • L'authentification des utilisateurs
    • L'authentification via HTTP : Basic Authentication et Digest Authentication ou par l'application (HT
    • L'authentification forte : certificat X509 client, Token SecurID, ADN digital Mobilegov..
    • Autres techniques d'authentification par logiciel : CAPTCHA, Keypass, etc
    • Attaque sur les mots de passe : sniffing, brute force, phishing, keylogger
    • Attaque sur les numéros de session (session hijacking) ou sur les cookies (cookie poisoning)
    • Attaque sur les authentifications HTTPS (fake server, sslsniff, X509 certificate exploit...)
  • Le firewall " applicatif "
    • Reverse-proxy et firewall applicatif, détails des fonctionnalités
    • Quels sont les apports du firewall applicatif sur la sécurité des sites Web ?
    • Insérer un firewall applicatif sur un système en production. Les acteurs du marché

  • Formation avec un formateur, qui peut être suivie selon l’une des 2 modalités suivantes : dans la salle de cours en présence du formateur en intra ou en téléprésence / distanciel depuis votre domicile ou votre entreprise. Vous rejoignez un environnement deformation en ligne, à l’aide de votre ordinateur, tout en étant éloigné physiquement du formateur et des autres participants. Vous êtes en totale immersion avec le groupe et le formateur.
  • Le nombre de stagiaires peut varier de de 1 à 8 personnes, ce qui facilite le suivi permanent et la proximité avec chaque stagiaire.
  • Chaque stagiaire dispose d’un support, d’exercices à disposition en ligne pendant et après la formation. Pour une meilleure assimilation, le formateur alterne tout au long de la journée les exposés théoriques, les démonstrations et la mise en pratique au travers d’exercices et de cas concrets réalisés seul ou en groupe (70% de pratique er 30% de théorie en moyenne).

  • Feuille de présence, émargée par demi-journée par chaque stagiaire et le formateur
  • Evaluation qualitative de fin de formation
  • Attestation de fin de formation
  • Evaluation par le formateur à travers les activités pratiques.
  • Auto-évaluation des participants à travers les activités pratiques.

La formation est animée par un professionnel de l'informatique et de la pédagogie, dont les compétences techniques, professionnelles et pédagogiques ont été validées par des certifications et/ou testées et approuvées par les éditeurs et/ou notre responsable technique et pédagogique. Il est en veille technologique permanente et possède plusieurs années d'expérience sur les produits, technologies et méthodes enseignés. Il est présent auprès des stagiaires pendant toute la durée de la formation.

* Types de formation

  • En inter (plusieurs entreprises) : session ouverte et maintenue à partir de 3 participants (tarif à la session par participant);
  • En intra (une seule entreprise) : cours individuel ou collectif, standard ou sur-mesure (tarif à la journée, 8 participants max.)