1

Le cyberespace et la sécurité de l'information

• Les principes de la sécurité : défense en profondeur, politique de sécurité.
• Les notions fondamentales : risque, actif, menace...
• Les méthodes de gestion de risques (ISO 27005, EBIOS, MEHARI). Panorama des normes ISO 2700x.
• L’évolution de la cybercriminalité. L'identification des agents de menace.
• Les nouvelles menaces (APT, spear phishing, watering hole, exploit kit...).
• Les failles de sécurité dans les logiciels.
• Le déroulement d'une cyberattaque (NIST).
• Les failles 0day, 0day Exploit et kit d'exploitation.

2

Le pare-feu, la virtualisation et le Cloud Computing

• Les serveurs proxy, reverse proxy, le masquage d'adresse.
• La protection périmétrique basée sur les pare-feu.
• Les différences entre firewalls UTM, enterprise, NG et NG-v2.
• Les produits d’Intrusion Prevention System (IPS) et les IPS NG.
• Les solutions DMZ (zones démilitarisées).
• Les vulnérabilités dans la virtualisation.
• Les risques associés au Cloud Computing selon l'ANSSI, l'ENISA et la CSA.
• Le Cloud Control Matrix et son utilisation pour l'évaluation des fournisseurs de Cloud.

3

La sécurité des postes clients

• Les menaces sur les postes clients.
• Le rôle du firewall personnel et ses limites.
• Les logiciels anti-virus/anti-spyware.
• Les correctifs de sécurité sur les postes clients.
• Savoir sécuriser les périphériques amovibles.
• Le contrôle de conformité du client Cisco NAC, Microsoft NAP.
• Les vulnérabilités des navigateurs et des plug-ins.

4

Les bases de la cryptographie

• Les principales contraintes d'utilisation et la législation en France et dans le monde.
• Les techniques cryptographiques.
• Les algorithmes à clés publiques et symétriques.
• Les fonctions de hachage.
• Les architectures à clés publiques.
• Programmes de cryptanalyse de la NSA et du GCHQ.

5

Le processus d’authentification des utilisateurs

• L'authentification biométrique et les aspects juridiques.
• L'authentification par challenge/réponse.
• Les techniques de vol de mot de passe, brute force, entropie des secrets.
• L'authentification forte.
• L’authentification carte à puce et certificat client X509.
• L’architecture "3A" : concept de SSO, Kerberos.
• Les plateformes d'IAM.
• La fédération d'identité via les API des réseaux sociaux.
• La fédération d'identité pour l'entreprise et le Cloud.

6

La sécurité des échanges

• Crypto API SSL et évolutions de SSL v2 à TLS v1.3.
• Les attaques sur les protocoles SSL/TLS et les flux HTTPS.
• Le confinement hardware des clés, certifications FIPS-140-2.
• Evaluer facilement la sécurité d'un serveur HTTPS.
• Le standard IPsec, les modes AH et ESP, IKE et la gestion des clés.
• Surmonter les problèmes entre IPSec et NAT.
• Les VPN SSL. Quel intérêt par rapport à IPSec ?
• Utilisation de SSH et OpenSSH pour l'administration distante sécurisée.
• Déchiffrement des flux à la volée : aspects juridiques.

7

La sécurité des réseaux sans fils et des dispositifs mobiles

• Les attaques spécifiques WiFi. Comment détecter les Rogue AP ?
• Les mécanismes de sécurité des bornes.
• Les vulnérabilités WEP. Faiblesse de l'algorithme RC4.
• La description des risques.
• Le standard de sécurité IEEE 802.11i. Architecture des WLAN.
• L’authentification des utilisateurs et des terminaux.
• L'authentification WiFi dans l'entreprise.
• Les outils d'audit, logiciels libres, aircrack-ng, Netstumbler, WifiScanner...
• Les menaces et attaques sur la mobilité.
• iOS, Android, Windows mobile : forces et faiblesses.
• Virus et codes malveillants sur mobile.
• Les solutions de MDM et EMM pour la gestion de flotte.

8

La sécurité des logiciels

• Les applications Web et mobiles : quelles différences en matière de sécurité ?
• Les principaux risques selon l'OWASP.
• Focus sur les attaques XSS, CSRF, SQL injection et session hijacking.
• Les principales méthodes de développement sécurisé.
• Les clauses de sécurité dans les contrats de développement.
• Le pare-feu applicatif ou WAF.
• Comment évaluer le niveau de sécurité d'une application ?

9

Les concepts de Security by Design et Privacy by Design

• La sécurité dans la conception.
• L’approche en matière d'assurance de sécurité de la Security by Design.
• Les 7 principes fondamentaux du Privacy by Design.
• Prise en compte de la vie privée tout au long du processus.

10

La supervision de la sécurité

• Les tableaux de bord Sécurité.
• Les audits de sécurité et les tests d'intrusion.
• Les aspects juridiques des tests d'intrusion.
• Les sondes IDS, scanner VDS, WASS.
• Comment répondre efficacement aux attaques ?
• Consigner les éléments de preuve.
• Mettre en place une solution de SIEM.
• Les labels ANSSI (PASSI, PDIS & PRIS) pour l'externalisation.
• Comment réagir en cas d'intrusion ?
• L'expertise judiciaire : le rôle d'un expert judiciaire (au pénal ou au civil).
• L'expertise judiciaire privée.