🛡️ Sécurité proactive · Cours théorique 2h

Objectifs pédagogiques

• Identifier les 10 familles d'attaques les plus exploitées en 2025-2026.
• Comprendre la logique shift-left (dev) et detect-early (réseau).
• Positionner les outils SAST (Semgrep) et IDS/IPS (Suricata) dans la chaîne de défense.
• Préparer les TP : audit automatisé de code + sonde réseau avec alerting.

0. Mise en bouche (10 min)

Le coût d'une faille exploitée

Un même bug vu à deux moments. Ordres de grandeur rapportés par l'étude annuelle IBM Cost of a Data Breach :

La règle de Swiss Cheese (James Reason, 2000)

Chaque couche a des trous. L'attaquant traverse quand les trous s'alignent. On ne compte pas sur une couche parfaite — on empile les couches imparfaites. C'est la défense en profondeur.

1. Panorama des attaques (40 min)

1.1 — OWASP Top 10:2025 (applications web)

Classement maintenu par la fondation OWASP, version publiée décembre 2025. Les 10 catégories de risques les plus observées sur les applications web en 2025.

Source officielle : owasp.org/Top10/2025

1.2 — MITRE ATT&CK® (réseau et système)

La matrice de référence des Tactiques, Techniques et Procédures (TTP) adverses, basée sur des observations réelles. Les 14 tactiques dans l'ordre d'une kill chain :

1. Reconnaissance (TA0043) — scan Nmap, Shodan, OSINT
2. Resource Development (TA0042) — comptes fantômes pour supply chain
3. Initial Access (TA0001) — spearphishing, serveur exposé
4. Execution (TA0002) — PowerShell, Bash, binaire déposé
5. Persistence (TA0003) — cron, service, clé SSH ajoutée
6. Privilege Escalation (TA0004) — sudo misconfig, kernel exploit
7. Defense Evasion (TA0005) — log tampering, living-off-the-land
8. Credential Access (TA0006) — dump LSASS, vol de tickets Kerberos
9. Discovery (TA0007) — énumération AD, scan interne
10. Lateral Movement (TA0008) — RDP, pass-the-hash, WMI
11. Collection (TA0009) — screenshots, keylog
12. Command and Control (TA0011) — C2 sur HTTPS, DNS tunneling
13. Exfiltration (TA0010) — upload vers cloud public, DNS tunneling
14. Impact (TA0040) — ransomware, wipe, defacement

Source officielle : attack.mitre.org/matrices/enterprise

1.3 — Attaques centrées humain

• Phishing ciblé (spearphishing) — TA0001. Reste un vecteur majeur d'accès initial selon les rapports ANSSI et Verizon DBIR.
• Ingénierie sociale téléphonique (vishing) — en hausse, y compris avec voix synthétique.
• Compromission de compte partenaire — supply chain humaine, un prestataire piraté sert de rampe.

Outil de détection : logs + corrélation (SIEM), hors scope aujourd'hui.

2. La parade : shift-left + detect-early (20 min)

2.1 — Deux moments pour agir

  Code → Build → Test → Deploy → Run
   │      │       │       │       │
   │      │       │       │       └─► IDS/IPS, SIEM, EDR  (DETECT-EARLY)
   │      │       │       └─────────► Scan conteneur, secrets in CI
   │      │       └─────────────────► DAST (scan black-box)
   │      └─────────────────────────► SCA (dépendances), SBOM
   └────────────────────────────────► SAST (Semgrep), pre-commit  (SHIFT-LEFT)

• Shift-left — on pousse la détection le plus à gauche possible du pipeline : moins cher, moins d'incidents.
• Detect-early — on suppose qu'une faille passe en prod et on prépare la sonde qui crie.

Les deux sont complémentaires, pas concurrents. Un bon SI fait les deux.

2.2 — Taxonomie des outils de sécurité logicielle

3. SAST dans la vraie vie : Semgrep (30 min)

Principe

Semgrep analyse du code source sans l'exécuter et cherche des patterns qui correspondent à des règles. C'est l'équivalent de grep qui comprend la syntaxe du langage (AST-based). Supporte 30+ langages : Python, JavaScript, Java, Go, C#, PHP, Ruby, Rust, Terraform, Bash, Dockerfile.

Structure d'une règle

Exemple : détecter une concaténation SQL en Python.

rules:
  - id: python-sqli-concat
    pattern: |
      $CURSOR.execute("..." + $VAR + "...")
    message: |
      Concaténation SQL détectée — utilise des paramètres liés.
    languages: [python]
    severity: ERROR
    metadata:
      owasp: A05:2025-Injection
      cwe: CWE-89

Modes de règle en CI (Monitor / Comment / Block)

• Monitor — log la finding, la PR passe.
• Comment — post un commentaire PR, la PR passe.
• Block — fait échouer le job CI. La PR ne peut plus être mergée si la branche est protégée.

Source officielle : semgrep.dev/docs/semgrep-ci/configuring-blocking-and-errors-in-ci

Pipeline cible (TP SLAM)

Dev pousse sa branche
    │
    ▼
GitHub reçoit le push
    │
    ▼
Déclenche workflow .github/workflows/security.yml
    │
    ▼
Job tourne sur runner AUTO-HÉBERGÉ (server IRIS)
    │
    ▼
semgrep ci --sarif --output=audit.sarif
    │
    ├── SARIF → onglet GitHub Security
    ├── Markdown audit → artefact téléchargeable
    └── Si ERROR trouvé → exit code ≠ 0 → PR BLOQUÉE

4. IDS/IPS dans la vraie vie : Suricata (20 min)

IDS vs IPS : la différence à bien distinguer

Suricata fait les deux selon la configuration (stream.inline: yes + NFQUEUE en mode IPS). Bonne pratique PME : IDS d'abord, IPS en second temps sur les segments critiques, une fois les règles stabilisées.

Format d'une règle Suricata (compat Snort)

alert tcp $EXTERNAL_NET any -> $HOME_NET 22 \
  (msg:"ET SCAN SSH brute force attempt"; \
   flow:to_server; threshold: type both, track by_src, count 5, seconds 60; \
   classtype:attempted-admin; sid:2001219; rev:5;)

Rulesets communautaires

• ET Open (Emerging Threats Open) — ruleset gratuit, mis à jour quotidiennement en semaine. Installé via suricata-update.
• ET Pro — version commerciale (Proofpoint), règles plus récentes.
• Custom — tes propres règles dans /etc/suricata/rules/local.rules.

Sortie : EVE JSON (format qu'on parse)

{
  "timestamp": "2026-04-23T14:22:10.123456+0200",
  "event_type": "alert",
  "src_ip": "203.0.113.42",
  "dest_ip": "10.0.0.15",
  "dest_port": 22,
  "proto": "TCP",
  "alert": {
    "signature_id": 2001219,
    "signature": "ET SCAN SSH brute force attempt",
    "category": "Attempted Administrator Privilege Gain",
    "severity": 1
  }
}

5. Défense en profondeur — synthèse (10 min)

Internet
   │
   ▼
┌─────────────────────────┐
│  Pare-feu périmétrique  │   ← Filtrage L3/L4 (M3.4 C3.4.1)
└──────────┬──────────────┘
           │
   ┌───────┴───────┐
   │    SURICATA   │   ← IDS/IPS L7 (AUJOURD'HUI)
   └───────┬───────┘
           │
┌──────────┴──────────┐
│      DMZ / LAN      │
│                     │
│  App Web ← ── ── ── │ ← Code scanné par SEMGREP (AUJOURD'HUI)
│                     │    en amont, à la CI/CD
└─────────────────────┘
           │
           ▼
     Veille CVE + correctifs (M3.4 C3.4.2)
     PCA/PRA en cas de crise   (M3.4 C3.4.3)

On boucle le B3 : chaque module apporte une couche de fromage. Aujourd'hui on ferme le bord droit (détection) et le bord gauche (prévention dev).

6. Ce qu'il faut retenir

1. OWASP Top 10:2025 : A01 Broken Access Control reste n°1. A03 Supply Chain remonte. A10 Mishandling of Exceptional Conditions arrive.
2. Shift-left + detect-early : les deux sont nécessaires, pas l'un à la place de l'autre.
3. Semgrep = SAST AST-based, règles YAML, intégrable en CI avec mode Block.
4. Suricata = IDS/IPS, règles Snort-compat, sortie EVE JSON avec severity 1-3.
5. Règle d'or : sans log, sans alerte, sans review — on est aveugle.

Sources officielles (à consulter)

• OWASP Top 10:2025 — owasp.org/Top10/2025
• MITRE ATT&CK Enterprise — attack.mitre.org/matrices/enterprise
• ANSSI — Les essentiels DevSecOps — messervices.cyber.gouv.fr
• Semgrep docs — semgrep.dev/docs
• Suricata docs — docs.suricata.io
• IBM Cost of a Data Breach — ibm.com/reports/data-breach
• Mandiant M-Trends — mandiant.com/m-trends