Programme SECURITE DES APPLICATIONS, SERVICES ET SERVEURS WEB
Ce cours s'adresse à toute personne désireuse de protéger ses applications Web d'attaques potentielles. Il concerne plus particulièrement les personnes directement impliquées dans le développement, la maintenance ou l'audit d'applications Web, y compris les développeurs d'applications Web, le personnel chargé de l'Assurance Qualité sur les logiciels, les testeurs et les auditeurs de la sécurité des applications Web, ainsi que les administrateurs de la sécurité.
Durée : 4 jours - 28 heures
Tarif : Nous contacter pour une formation INTER – INTRA ou en COURS PARTICULIER
La formation est délivrée en présentiel ou distanciel (e-learning, classe virtuelle, présentiel et à distance). Le formateur alterne entre méthodes démonstrative, interrogative et active (via des travaux pratiques et/ou des mises en situation). La validation des acquis peut se faire via des études de cas, des quiz et/ou une certification.
Cette formation est animée par un consultant-formateur dont les compétences techniques, professionnelles et pédagogiques ont été validées par des diplômes et/ou testées et approuvées par l’éditeur et/ou par Audit Conseil Formation.
Les objectifs
pré-requis
Moyens pédagogiques, techniques et d'encadrement
- 1 poste de travail complet par personne
- De nombreux exercices d'application
- Mise en place d'ateliers pratiques
- Remise d'un support de cours
- Remise d'une attestation de stage
Modalités d'évaluation des acquis
- Evaluation des besoins et objectifs en pré et post formation
- Evaluation technique des connaissances en pré et post formation
- Evaluation générale du stage
Accessibilité handicapés
- Au centre d’affaires ELITE partenaire d’ACF à 20 m.
- Guide d’accessibilité à l’accueil.
Le Programme
Démarrage
- Définir les menaces contre vos atouts web
- Recueil de données sur la légalité et le droit à la vie privée
Modélisation de la sécurité web
- Le triangle CIA (Confidentialité, Intégrité et Disponibilité)
- Authentifications et autorisations
Chiffrement et hachage
- Différentiation cryptographie à clé publique et à clé privée
- Vérification de l'intégrité des messages
Configuration de la sécurité pour des services HTTP
- Gestion des mises à jour de logiciels
- Restriction des méthodes HTTP
Sécurisation des communications avec SSL/TLS
- Obtention et installation de certificats de serveurs
- Mise en place de HTTPS sur le serveur web
Détection de modifications non autorisées du contenu
- Configuration correcte des permissions
- Scanner pour détecter les changements du système de fichiers
Utilisation des ressources de l'OWASP
- Les dix principales vulnérabilités de l'OWASP
- Identification des risques dans la cybersécurité
Gestion de l'authentification de sessions
- Protection contre le détournement de sessions
- Blocage de la falsification de requêtes inter-sites
Contrôle des fuites d'informations
- Messages d'erreurs édulcorés sur l'écran de l'utilisateur
- Gestion des erreurs de requêtes et sur les pages
Validation des saisies
- Établissement de limites de confiance
- Déceler et supprimer les menaces de XSS
- Exposer les dangers de la validation côté client
- Mettre en œuvre une validation des données côté serveur robuste avec les expressions régulières
Fonctionnalités Ajax
- Identification des éléments principaux d'Ajax
- Échange d'informations de façon asynchrone
Évaluation des risques et des menaces
- Gestion des interactions imprévisibles
- Identification de vulnérabilités JSON
Diagnostic des vulnérabilités XML
- Repérage des balises non terminées et des dépassements de champs, révéler les faiblesses de services web
Protection de l'échange de messages SOAP
- Validation des saisies avec un schéma XML
- Chiffrement des échanges avec HTTPS
- Mise en œuvre d'un cadre de sécurité des services web
Configuration et utilisation de scanners
- Recherche par motifs pour identifier les erreurs
- Découverte de vulnérabilités inconnues grâce au « fuzzing »
Détection des défauts dans les applications
- Scans d'applications à distance
- Trouver les vulnérabilités dans les applications Web grâce aux outils de test d'intrusion de l'OWASP et de tiers
Adoption des normes
- Réduction des risques en mettant en œuvre des architectures éprouvées
- Gestion des données personnelles et financières