Introduction à l’audit de sécurité
- Pourquoi auditer la sécurité ?
- Le contexte juridique (ex : PCI-DSS)
- Les différents types d’audit : organisationnel, technique
L’audit technique de sécurité
- Les différentes façons de réaliser un audit technique : blackbox, whitebox, greybox
- Les limites d’un audit technique de sécurité
- Le planning typique d’un audit de sécurité technique
Les grandes phases de l’audit de sécurité technique :
- Collecte passive d’informations
- Collecte active d’informations
- Identification des vulnérabilités
- Exploitation des vulnérabilités
- Persistance et post-exploitation
Les principales failles de sécurité
- « systèmes » : buffer overflow, use-after-free, format string
- Web : failles PHP, injections SQL, XSS, XSRF, Clickjacking
- Réseau : déni de service, protocoles en clair, Man-In-The-Middle, Spoofing, Poisoning, Wifi
Le travail du Pentester :
- Collecter des informations en ligne afin de profiler une entreprise
- Scanner un réseau et identifier des vulnérabilités
- L’exploitation des failles sous Linux et Windows avec Metasploit
- Collecter et attaquer les mots de passe
- La post-Exploitation avec le meterpreter (bypasser un antivirus, élever ses privilèges, pivotage avec l’attaque pass-the-hash, pillage du système etc…)
Présenter les résultats de l’audit
- Le cours est accompagné de mises en pratique afin de permettre aux stagiaires de maîtriser les outils et les méthodes permettant d’auditer techniquement le niveau de sécurité d’un système d’information.
- Exemples d’outils que les stagiaires utiliseront : Metasploit, Netcat, Nmap et les scripts NSE, Open Vas, AirCrack-NG, John The Ripper, Medusa, Exiftool, TheHarvester, Maltego, Google GHDB, TCPDump, Nikto, Burp
Proxy