Retour
Explorez tous les épisodes du podcast Hacker Éthique & Cyberdéfense
Plongez dans la liste complète des épisodes de Hacker Éthique & Cyberdéfense. Chaque épisode est catalogué accompagné de descriptions détaillées, ce qui facilite la recherche et l'exploration de sujets spécifiques. Suivez tous les épisodes de votre podcast préféré et ne manquez aucun contenu pertinent.
| Titre | Date | Durée | |
|---|---|---|---|
| Périmètre et règles d'engagement : ce que l'on a le droit de tester | 04 Nov 2026 | 00:15:00 | |
Deux notions qui encadrent toute mission Dans les activités précédentes, vous avez vu que la différence entre un hacker éthique et un attaquant tient à l'autorisation. Une autorisation ne vaut pourtant rien si elle reste vague. Un client qui écrit « ... | |||
| Le cadre légal : ce que la loi interdit et ce qu'une autorisation écrite permet | 02 Nov 2026 | 00:15:00 | |
Ce que la loi française interdit Dans l'activité précédente, vous avez vu que la différence entre un hacker éthique et un attaquant tient à l'autorisation. Ce chapitre précise ce que la loi dit exactement. En France, les atteintes aux systèmes inform... | |||
| Hacker éthique : la différence entre tester et attaquer tient à l'autorisation | 02 Nov 2026 | 00:15:00 | |
Même technique, statut opposé Dans les activités précédentes, vous avez suivi le déroulé d'un incident de bout en bout : reconnaissance, intrusion, installation, action sur la cible. Un hacker éthique, appelé aussi pentesteur, enchaîne exactement les... | |||
| Attaque, défense, enquête : le déroulé d'un incident de bout en bout | 29 Oct 2026 | 00:15:00 | |
Un incident raconté sous trois angles Vous savez désormais distinguer une menace, une vulnérabilité et un risque. Vous savez identifier un attaquant et ses motivations. Vous savez classer une attaque par famille et par ce qu'elle compromet : confiden... | |||
| Les familles d'attaques : hameçonnage, logiciel malveillant, intrusion, blocage | 28 Oct 2026 | 00:15:00 | |
Pourquoi classer les attaques en familles Vous savez maintenant distinguer une menace, une vulnérabilité et un risque. Vous savez aussi qui attaque et pourquoi. Vous savez enfin ce que la sécurité protège : la confidentialité, l'intégrité et la dispo... | |||
| Confidentialité, intégrité, disponibilité : ce que la sécurité protège | 26 Oct 2026 | 00:15:00 | |
Pourquoi trois critères Dans les activités précédentes, vous avez distingué la menace, la vulnérabilité et le risque, puis identifié les profils d'attaquants et leurs motivations. Une question reste ouverte : que cherche-t-on exactement à protéger ? ... | |||
| Qui attaque et pourquoi : profils et motivations des attaquants | 23 Oct 2026 | 00:15:00 | |
Pourquoi étudier les attaquants Dans l'activité précédente, vous avez distingué trois notions : la menace, la vulnérabilité et le risque. Une menace n'est pas une abstraction. Derrière elle se trouve presque toujours un acteur humain, avec des moyens... | |||
| Bienvenue : à quoi sert la cybersécurité, et l'ordinateur qu'il vous faut | 21 Oct 2026 | 00:15:00 | |
Bienvenue dans le cursus Hacker Éthique et Cyberdéfense. Ce premier cours répond à deux questions : à quoi sert concrètement la cybersécurité, et de quel ordinateur avez-vous besoin pour suivre la formation. Vous y découvrirez aussi les règles du jeu... | |||
| Menace, vulnérabilité, risque : les trois mots à ne pas confondre | 21 Oct 2026 | 00:15:00 | |
Pourquoi ces trois mots comptent Dans l'activité précédente, vous avez vu à quoi sert la cybersécurité : protéger des systèmes, des données et des personnes. Pour en parler avec précision, les professionnels utilisent trois mots que le grand public m... | |||
| Bonnes pratiques de documentation et de versioning des modèles | 23 Sep 2026 | 00:15:00 | |
Après avoir appris à modéliser les menaces avec des outils comme OWASP Threat Dragon, à construire des diagrammes de flux de données et à transformer des menaces STRIDE en scénarios de test, il devient essentiel de savoir documenter et versionner cor... | |||
| Prise en main d’OWASP Threat Dragon sur le projet Blog | 23 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE La modélisation des menaces consiste à identifier, de manière structurée, ce qui peut mal tourner dans une application avant qu’un attaquant ne le fasse. Le mental model à retenir : on décrit d’abord le système (composants, flux de d... | |||
| Outils pour modéliser les menaces – Threat Dragon, Draw.io, autres | 23 Sep 2026 | 00:15:00 | |
La modélisation des menaces consiste à représenter graphiquement une application, ses composants et ses flux de données afin d'identifier de manière systématique où et comment un attaquant pourrait la compromettre. Jusqu'ici, vous avez appris les con... | |||
| Étude de cas – Transformation d’une menace STRIDE en scénario de test automatisé | 22 Sep 2026 | 00:15:00 | |
Ce cours te montre, pas à pas, comment transformer une menace identifiée grâce à la méthode STRIDE en un scénario de test automatisé exécutable. C'est la suite logique des activités précédentes : après avoir modélisé les menaces, scoré les risques et... | |||
| Adapter la checklist à une API publique tierce | 22 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Une checklist de tests de sécurité est un outil dérivé de votre modélisation des menaces (STRIDE) et de votre priorisation par OWASP Risk Rating. Elle liste, pour chaque menace identifiée, les tests concrets à exécuter afin de valide... | |||
| De la modélisation au plan de tests – passerelle pratico-pratique | 22 Sep 2026 | 00:15:00 | |
Jusqu'à présent, vous avez appris à identifier ce qui compose une application (la surface d'attaque), à décomposer les menaces (avec la méthode STRIDE), à estimer leur gravité (avec la méthodologie OWASP Risk Rating) et à prioriser les corrections. C... | |||
| Élaborer une checklist de tests à partir du modèle de menaces | 22 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Une checklist de tests de sécurité est le pont opérationnel entre la modélisation des menaces (ce qui peut mal tourner) et l'action concrète du testeur (comment le vérifier). Le mental model à retenir est simple : chaque menace ident... | |||
| Varier le scoring sur une API d’e-commerce | 21 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Le scoring d'une menace consiste à lui attribuer une note de risque afin de prioriser les corrections et les tests. Dans les activités précédentes, vous avez utilisé la méthodologie OWASP Risk Rating, qui décompose le risque en deux ... | |||
| Récap visuel – Carte mentale des notions vues | 21 Sep 2026 | 00:15:00 | |
Ce chapitre propose une synthèse visuelle et structurée de toutes les notions abordées dans la section « Principes de sécurité applicative et modélisation des menaces ». L'objectif est de relier les concepts entre eux sous forme d'une carte mentale, ... | |||
| Heuristiques pour prioriser corrections et tests | 18 Sep 2026 | 00:15:00 | |
Après avoir cartographié la surface d'attaque du Blog, identifié les menaces avec la méthode STRIDE et scoré les risques avec la méthodologie OWASP Risk Rating, une question pratique se pose : par où commencer ? Vous ne pouvez pas tout tester ni tout... | |||
| Scorer les menaces précédentes avec OWASP Risk Rating | 18 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE La méthodologie OWASP Risk Rating permet d'estimer la gravité d'un risque en croisant deux dimensions : la probabilité (Likelihood) et l'impact (Impact). Le mental model est simple : Risque = Probabilité × Impact. La probabilité se d... | |||
| Méthodologie OWASP Risk Rating – probabilité vs impact | 17 Sep 2026 | 00:15:00 | |
La méthodologie OWASP Risk Rating (traduisible par « évaluation des risques selon l'OWASP », l'Open Web Application Security Project) est une approche standardisée permettant de mesurer et de hiérarchiser les risques associés aux vulnérabilités d'une... | |||
| Cartographier la surface d’attaque du Blog | 16 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE La surface d’attaque désigne l’ensemble des points par lesquels un attaquant peut interagir avec une application pour tenter d’y injecter, extraire ou manipuler des données. On distingue généralement trois grandes familles : la surfa... | |||
| Surface d’attaque – définition et identification | 15 Sep 2026 | 00:15:00 | |
La surface d’attaque d’une application désigne l’ensemble des points par lesquels un attaquant peut tenter d’entrer, d’extraire des données ou d’altérer le comportement d’un système. Autrement dit, c’est la somme de tous les endroits exposés où une m... | |||
| Adapter les principes à un microservice d’upload de fichiers | 15 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Un microservice d’upload de fichiers est l’un des points d’entrée les plus dangereux d’une application. Il combine plusieurs surfaces d’attaque : traversée de répertoire (path traversal), exécution de code via des fichiers malveillan... | |||
| Étude de cas – Incident dû à l’absence de Least Privilege | 14 Sep 2026 | 00:15:00 | |
Le principe du moindre privilège, en anglais Least Privilege, est l’un des piliers de la sécurité applicative. Il stipule qu’un utilisateur, un processus, un service ou un composant logiciel ne doit disposer que des droits strictement nécessaires à l... | |||
| Évaluer le Blog face aux principes de conception sécurisée | 11 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Les principes de conception sécurisée (Secure Design Principles) sont des règles fondamentales qui guident la construction d'applications robustes avant même l'écriture du code. Contrairement à la modélisation des menaces (STRIDE, DF... | |||
| Principes de conception sécurisée – Least Privilege & Defense in Depth | 11 Sep 2026 | 00:15:00 | |
Après avoir appris à modéliser les menaces avec la méthode STRIDE, les diagrammes de flux de données et la construction d'une matrice de menaces, il est temps de passer à l'étape suivante : concevoir des applications qui résistent réellement à ces me... | |||
| Fil rouge – Construire une matrice de menaces complète pour le Blog | 10 Sep 2026 | 00:15:00 | |
Présentation du projet Ce mini-projet fil rouge consolide l'ensemble des compétences acquises dans ce chapitre : composants et actifs, triade CIA (Confidentialité, Intégrité, Disponibilité), méthode STRIDE, Data Flow Diagrams (DFD) et rapprochement a... | |||
| Identifier les menaces STRIDE dans le DFD | 10 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE La modélisation des menaces consiste à analyser une application avant qu'elle ne soit attaquée, afin d'anticiper les faiblesses. Le Data Flow Diagram (DFD) représente visuellement comment les données circulent dans le système : entit... | |||
| Data Flow Diagram (DFD) – symboles et bonnes pratiques | 09 Sep 2026 | 00:15:00 | |
Le Diagramme de Flux de Données, en anglais Data Flow Diagram, souvent abrégé DFD, est un outil visuel fondamental dans la modélisation des menaces. Il sert à représenter graphiquement la façon dont les données circulent à travers une application ou ... | |||
| Dessiner le DFD de l’application Blog | 09 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Un Data Flow Diagram (DFD) est une représentation graphique de la façon dont les données circulent à travers une application. Il ne décrit pas le code, mais les mouvements de données entre les composants. Le DFD repose sur quatre sym... | |||
| STRIDE sur un endpoint API "create post" | 08 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE STRIDE est une méthode de modélisation des menaces qui classe les risques en six catégories : Spoofing (usurpation d'identité), Tampering (altération de données), Repudiation (répudiation, impossibilité de prouver une action), Inform... | |||
| Appliquer STRIDE sur le flux d’authentification | 07 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE STRIDE est un modèle de classification des menaces développé par Microsoft. Chaque lettre correspond à une catégorie de menace et à la propriété de sécurité qu'elle viole : Spoofing (usurpation d'identité, viole l'authentification), ... | |||
| Méthode STRIDE – description et exemples | 04 Sep 2026 | 00:15:00 | |
La méthode STRIDE est l'une des approches les plus utilisées pour modéliser les menaces qui pèsent sur une application. Elle a été créée par Microsoft à la fin des années 1990 pour aider les équipes de développement à identifier de manière systématiq... | |||
| Décomposer l’application Blog simplifiée en composants | 03 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Avant de modéliser des menaces sur une application, il faut d'abord comprendre sa structure. La décomposition consiste à découper une application en composants élémentaires : interfaces utilisateur, services applicatifs, bases de don... | |||
| Pourquoi modéliser les menaces ? Bénéfices et étapes clés | 03 Sep 2026 | 00:15:00 | |
La modélisation des menaces (en anglais 'Threat Modeling') est une démarche structurée qui consiste à analyser une application, un système ou un service afin d'identifier de manière anticipée les menaces qui pèsent sur lui, les vulnérabilités potenti... | |||
| Associer scénarios de risques à OWASP Top 10 (cartes) | 01 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Un scénario de risque décrit comment une menace exploite une vulnérabilité sur un actif, en produisant un impact sur la Confidentialité, l'Intégrité ou la Disponibilité (CIA). Vous avez déjà manipulé ce vocabulaire : actif, menace, v... | |||
| Introduction légère à OWASP Top 10 (vision risques) | 01 Sep 2026 | 00:15:00 | |
Après avoir découvert le vocabulaire de base de la sécurité (actif, menace, vulnérabilité, risque), les principes de Confidentialité, Intégrité et Disponibilité, ainsi que la distinction entre acteur et attaquant, nous allons franchir une nouvelle ét... | |||
| Classer impacts CIA sur les actifs de la Todo List | 31 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Le triptyque CIA (Confidentiality, Integrity, Availability) constitue le socle de l'analyse de sécurité applicative. La Confidentialité garantit que seules les personnes autorisées accèdent à une information. L'Intégrité garantit que... | |||
| Actor vs Attacker – clarification de rôles | 31 Aug 2026 | 00:15:00 | |
Dans le chapitre précédent, vous avez appris le vocabulaire fondamental de la sécurité applicative : actif, menace, vulnérabilité et risque, ainsi que le triangle Confidentialité, Intégrité, Disponibilité. Nous allons maintenant clarifier une distinc... | |||
| Confidentialité, Intégrité, Disponibilité (CIA) – fondements | 28 Aug 2026 | 00:15:00 | |
La sécurité d'une application repose sur un modèle fondateur appelé la triade CIA, acronyme anglais pour Confidentiality, Integrity, Availability, que l'on traduit en français par Confidentialité, Intégrité et Disponibilité. Ce modèle constitue le so... | |||
| Repérer les actifs dans une application "Todo List" | 27 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Avant de tester ou de sécuriser une application, il faut savoir ce qu'on protège. C'est le rôle de l'identification des actifs (assets). Un actif est tout élément ayant de la valeur pour l'organisation ou l'utilisateur : données (mot... | |||
| Vocabulaire essentiel – actif, menace, vulnérabilité, risque | 26 Aug 2026 | 00:15:00 | |
Bienvenue dans ce chapitre consacré au vocabulaire fondamental de la sécurité applicative. Avant de pouvoir tester, corriger ou sécuriser une application, il est indispensable de maîtriser quatre notions centrales : l'actif, la menace, la vulnérabili... | |||
| Bienvenue et objectifs du chapitre | 26 Aug 2026 | 00:15:00 | |
Bienvenue dans ce premier chapitre consacré aux Principes de sécurité applicative et à la modélisation des menaces. Ce chapitre constitue la fondation de tout le parcours "Expert CyberSécurité & DevSecOps". Avant d'apprendre à attaquer une applicatio... | |||
| Conclusion, ressources et prochains pas | 25 Aug 2026 | 00:15:00 | |
Ce chapitre clôt la section consacrée à Linux avancé pour la sécurité. Il fait la synthèse des compétences acquises, propose des ressources fiables pour approfondir, et trace un chemin clair vers les prochaines étapes du cursus Expert CyberSécurité e... | |||
| Appliquer une checklist de hardening sur VM labo | 24 Aug 2026 | 00:15:00 | |
Contexte Vous venez d'étudier les principes de hardening (CIS Benchmarks, minimisation), la gestion avancée des utilisateurs et de sudoers, la journalisation/audit (syslog, journald, logrotate) et les bonnes pratiques de scripting. Ce mini-projet vou... | |||
| Principes de hardening : CIS Benchmarks & minimisation | 24 Aug 2026 | 00:15:00 | |
Le durcissement, appelé en anglais 'hardening', désigne l'ensemble des actions techniques et organisationnelles visant à réduire la surface d'attaque d'un système d'exploitation et à renforcer sa résistance face aux compromissions. Sur un système Lin... | |||
| Analyser /var/log/auth.log pour détections | 21 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Le fichier /var/log/auth.log (sur les distributions Debian/Ubuntu ; son équivalent est /var/log/secure sur RHEL/CentOS) enregistre tous les événements liés à l'authentification et aux privilèges : connexions SSH réussies ou échouées,... | |||
| Journalisation & audit : syslog, journald, logrotate | 20 Aug 2026 | 00:15:00 | |
La journalisation (en anglais logging) est l'un des piliers de la sécurité d'un système Linux. Elle consiste à enregistrer les événements qui se produisent sur la machine : connexions d'utilisateurs, démarrage et arrêt de services, erreurs d'applicat... | |||
| Créer un utilisateur pentest restreint | 19 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Sous Linux, chaque utilisateur possède un UID, un groupe principal (GID), un shell de connexion et un répertoire personnel définis dans /etc/passwd. Les mots de passe hachés vivent dans /etc/shadow, et l'appartenance aux groupes seco... | |||
© My Podcast Data · Projet indépendant · Données issues d'Apple & Spotify