cyber / cybersecurite-fondamentale
Introduction : menaces, risques et vulnérabilités
Explication
Un peu d'histoire
La cybersécurité prend un tournant majeur en novembre 1988 avec le "ver Morris", le premier ver informatique à se propager massivement sur Internet. Il infecte environ 10% des ordinateurs alors connectés au réseau et provoque une prise de conscience brutale : il pousse à la création du tout premier CERT (Computer Emergency Response Team), une équipe dédiée à répondre aux incidents de sécurité. Depuis, la discipline n'a cessé de gagner en importance à mesure qu'Internet, puis le cloud et le mobile, se sont généralisés dans tous les secteurs.
Pourquoi apprendre la cybersécurité aujourd'hui
Avec la numérisation de presque tout (banques, hôpitaux, infrastructures critiques, objets connectés), les compétences en cybersécurité comptent parmi les plus demandées et les mieux rémunérées du secteur informatique. Mais ce n'est pas réservé aux futurs experts en sécurité : comprendre les bases (mots de passe, injections, XSS...) permet à n'importe quel développeur d'écrire du code nettement moins vulnérable, quel que soit son métier.
Ce que vous allez apprendre
- Distinguer précisément une menace, une vulnérabilité et un risque, et savoir pourquoi confondre les trois fait perdre du temps en entreprise
- Utiliser la triade CIA (confidentialité, intégrité, disponibilité) comme grille de lecture pour classer n'importe quelle attaque
- Lire et interpréter un identifiant CVE et un score CVSS pour prioriser une correction
- Reconnaître les grandes familles d'acteurs de menace (script kiddie, hacktiviste, cybercriminel, APT, menace interne)
- Appliquer le cycle de gestion des vulnérabilités (identification, évaluation, remédiation, vérification, reporting) à un cas concret
Dans quel contexte ?
Imaginez une équipe sécurité qui reçoit chaque semaine un rapport de scan listant des dizaines de failles potentielles sur ses serveurs. Sans méthode, elle risque de paniquer sur un score CVSS de 2.1 pendant qu'une faille critique notée 9.8 reste ignorée. Le triangle du risque et le score CVSS servent exactement à trier ce genre de liste et à décider, en quelques minutes, ce qui doit être corrigé dans l'heure et ce qui peut attendre le prochain sprint.
Première étape : le triangle du risque
Avant de parler d'attaques concrètes, il faut un vocabulaire commun. Un risque naît toujours de la rencontre entre trois éléments : une menace (qui pourrait vouloir me nuire), une vulnérabilité (où je suis faible) et un impact (ce que ça coûterait si les deux se rencontrent).
Prenons une image simple : une maison. Le cambrioleur potentiel est la menace, la fenêtre mal fermée est la vulnérabilité, et les objets volés représentent l'impact. Retenez bien ceci : s'il manque un seul des trois éléments, il n'y a pas de risque réel, seulement un danger théorique.
Deuxième étape : ne pas confondre vulnérabilité et risque. Une fenêtre mal fermée au 12e étage sans balcon n'est pas un vrai risque, car personne ne peut l'exploiter. C'est exactement pareil en informatique : un bug technique isolé, sans menace réaliste, n'est pas forcément urgent à corriger.
Troisième étape : une grille pour analyser CHAQUE attaque du cours. On appelle ça la triade CIA : confidentialité, intégrité, disponibilité. Dès qu'une attaque survient, une seule question suffit : quelle propriété est visée ? Un vol de données touche la confidentialité. Une facture trafiquée touche l'intégrité. Un site qui tombe en panne sous une attaque touche la disponibilité. Gardez ce réflexe en tête, vous l'utiliserez à chaque leçon suivante.
| Composante CIA | Question à se poser | Exemple d'atteinte |
|---|---|---|
| Confidentialité | Qui a le droit de lire cette donnée ? | Fuite de la base clients d'un site e-commerce |
| Intégrité | La donnée a-t-elle été modifiée sans autorisation ? | Une facture dont le montant est trafiqué |
| Disponibilité | Le service est-il accessible quand on en a besoin ? | Un site qui tombe sous une attaque DDoS |
Prérequis
Aucune connaissance préalable en sécurité n'est nécessaire pour cette leçon : une familiarité de base avec le fonctionnement d'un site web (client, serveur, base de données) suffit pour suivre les exemples.
Quatrième étape : comment on nomme et on priorise une faille dans le vrai monde du travail. On ne dit jamais juste "il y a un problème" à une équipe technique. On utilise un identifiant CVE (un nom unique pour une vulnérabilité connue) et un score CVSS, qui va de 0 à 10, pour dire à quel point c'est grave. Une équipe sérieuse traite d'abord le score 9.8, jamais le 2.1, même si les deux existent en même temps.
| Score CVSS | Niveau de gravité | Délai de correction typique en entreprise |
|---|---|---|
| 9.0 - 10.0 | Critique | Immédiat, souvent hors cycle de release |
| 7.0 - 8.9 | Élevé | Sous quelques jours |
| 4.0 - 6.9 | Moyen | Prochain sprint planifié |
| 0.1 - 3.9 | Faible | Backlog, sans urgence |
Piège fréquent
Paniquer dès qu'on entend le mot "vulnérabilité", en oubliant de se poser les vraies questions. Le bon réflexe pro, c'est toujours de se demander : qui pourrait réellement exploiter ça, et qu'est-ce que ça coûterait vraiment à l'entreprise si ça arrivait ?
Maintenant que vous savez évaluer un risque en théorie, la prochaine leçon attaque le tout premier rempart concret que rencontre un attaquant : le mot de passe. Vous verrez que la même logique (menace, vulnérabilité, impact) s'y applique directement.
Commandes & code
Introduction : menaces, risques et vulnérabilités
La sécurité informatique repose sur une équation simple : Risque = Menace × Vulnérabilité × Impact.
Menace : un acteur ou événement capable de causer un dommage (attaquant, malware, erreur humaine, catastrophe naturelle)
Vulnérabilité: une faiblesse exploitable (bug, mauvaise config, mot de passe faible)
Impact : la conséquence si la menace exploite la vulnérabilité (perte de données, indisponibilité, atteinte à la réputation)# La triade CIA (Confidentiality, Integrity, Availability)
Confidentialité : seules les personnes autorisées accèdent à la donnée
Intégrité : la donnée n'est pas altérée sans autorisation
Disponibilité : le service est accessible quand on en a besoin
# Étendue parfois avec AAA
Authentification : prouver qui on est
Autorisation : définir ce qu'on a le droit de faire
Auditabilité : garder une trace (logs) de qui a fait quoi# Classification des acteurs de menace (threat actors)
Script kiddie : utilise des outils/exploits publics sans les comprendre
Hacktiviste : motivation idéologique/politique
Cybercriminel : motivation financière (ransomware, fraude)
APT (Advanced Persistent Threat) : groupe étatique ou très structuré, furtif, persistant
Menace interne (insider threat) : employé malveillant ou négligent# Types de vulnérabilités courantes (CWE - Common Weakness Enumeration)
CWE-89 : SQL Injection
CWE-79 : Cross-Site Scripting (XSS)
CWE-798 : Identifiants codés en dur (hardcoded credentials)
CWE-22 : Path Traversal
CWE-352 : Cross-Site Request Forgery (CSRF)
CWE-287 : Authentification incorrecte# CVE (Common Vulnerabilities and Exposures) - identifiant public d'une vulnérabilité connue
Format : CVE-AAAA-NNNNN
Exemple: CVE-2021-44228 (Log4Shell - RCE critique dans Log4j)
# CVSS (Common Vulnerability Scoring System) - score de sévérité 0.0 à 10.0
0.1 - 3.9 : Faible
4.0 - 6.9 : Moyen
7.0 - 8.9 : Élevé
9.0 - 10.0 : Critique# Exemple : consulter la base de vulnérabilités NVD (National Vulnerability Database) en lab
curl -s "https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2021-44228" | jq '.vulnerabilities[0].cve.descriptions[0].value'# Cycle de vie de la gestion des vulnérabilités
1. Identification (scan, audit, veille CVE)
2. Évaluation (score CVSS, contexte métier -> priorisation)
3. Remédiation (patch, mitigation, contournement)
4. Vérification (re-scan pour confirmer la correction)
5. Reporting (documentation pour audit / conformité)Résumé
- Le risque combine menace, vulnérabilité et impact.
- La triade CIA (confidentialité, intégrité, disponibilité) est le socle de tout raisonnement sécurité.
- CVE identifie une vulnérabilité, CVSS en mesure la sévérité.
- La gestion des vulnérabilités est un cycle continu, pas une action ponctuelle.
Exercices pratiques
Mission : trier un rapport de scan sous pression
Objectif : Prioriser une liste de vulnérabilités en croisant CVSS, exposition réelle et impact métier, sans se fier au score seul.
Contexte
Le rapport de scan hebdomadaire de Technologik liste deux vulnérabilités. Le score CVSS ne suffit jamais seul à décider quoi corriger en premier : il faut aussi savoir qui peut réellement atteindre la faille et ce qu'elle coûterait si elle était exploitée.
Vulnérabilité A : CVSS 9.8, RCE non authentifiée, sur un panneau d'administration interne, accessible uniquement depuis le VPN d'entreprise. Vulnérabilité B : CVSS 6.5, exécution de commande authentifiée, sur l'API publique de paiement exposée sur Internet.