OBJECTIF

Aujourd’hui, pour affirmer avoir un niveau de protection suffisant sur l’en-semble de son infrastructure, il est nécessaire de réaliser des audits. Ce cours a pour objectif d’illustrer toutes les méthodes pour éprouver les sys-tèmes avec l’ensemble des attaques connues. Mener un audit impose des règles et des limitations qu’il est nécessaire de connaître. Cette formation décrit les différentes méthodologies d’audit ainsi que leur particularité. Une présentation des outils indispensables ainsi que des travaux pratiques pour comprendre et connaître leur utilisation sera faite.

En particulier, les objectifs de la formation sont les suivants:

• Bien délimiter un audit,connaître les méthodes existantes
• Connaître les règles et les engagements d’un audit, et ses limitations
• Quelles sont les méthodologies reconnues

PREREQUIS

• Niveau cours HSF/HSA

• Connaissance des systèmes Linux et Windows

INFORMATION GENERALES

• Code : AUDSI
• Durée : 3 jour
• Horaires : 8h30 - 17h30
• Lieu : centre de formation, Centre Urbain Nord

PUBLIC VISE

• • Consultants en sécurité
• • Développeurs
• • Ingénieurs / Techniciens

RESSOURCES

• Support de cours
• 40% de démonstration
• 40% de théorie
• 20% d’exercices pratiques

PROGRAMME DE LA FORMATION

• Jours 1
• Introduction aux tests d’intrusion

• Définition du test d’intrusion
• L’intérêt du test d’intrusion
• Les phases d’un test d’intrusion


• Reconnaissance
• Analyse des vulnérabilités
• Exploitation
• Gain et maintien d’accès
• Comptes rendus et fin des tests


• Règles et engagements

Portée technique de l’audit

• Responsabilité de l’auditeur
• Contraintes fréquentes
• Législation : Articles de loi
• Précautions usuelles


• Les types de tests d’intrusion

• Externe
•Interne


• Méthodologie

• Utilité de la méthodologie
•Méthodes d’audit
•Méthodologies reconnues


• Particularités de l’audit

• d’infrastructure classique
• d’infrastructure SCADA
• web
• de code


• Jours 2
• Les outils d’audit de configuration (SCAP, checklists, etc.)
• Les outils d’audit de code

• ROutils d’analyse de code
• Outils d’analyse statique
• Outils d’analyse dynamique


• Les outils de prise d’information

Prise d’information

• Sources ouvertes
• Active


Scanning

• Scan de ports
•Scan de vulnérabilités


• Les outils d’attaque

•Outils réseau
•Outils d’analyse système
•Outils d’analyse web
•Frameworks d’exploitation
•Outils de maintien d’accès


• Jours 3
• Étude de cas

•Application de la méthodologie et des outils sur un cas concret

• Les livrables

•Évaluation des risques
•Impact, potentialité et criticité d’une vulnérabilité
•Organiser le rapport
•Prestations complémentaires à proposer