Back
Explore every episode of the podcast Expert CyberSecurité & DevSecOps : Développer, PenTester et Déployer des applications sécurisées
Dive into the complete episode list for Expert CyberSecurité & DevSecOps : Développer, PenTester et Déployer des applications sécurisées. Each episode is cataloged with detailed descriptions, making it easy to find and explore specific topics. Keep track of all episodes from your favorite podcast and never miss a moment of insightful content.
| Title | Pub. Date | Duration | |
|---|---|---|---|
| Bonnes pratiques de documentation et de versioning des modèles | 23 Sep 2026 | 00:15:00 | |
Après avoir appris à modéliser les menaces avec des outils comme OWASP Threat Dragon, à construire des diagrammes de flux de données et à transformer des menaces STRIDE en scénarios de test, il devient essentiel de savoir documenter et versionner cor... | |||
| Outils pour modéliser les menaces – Threat Dragon, Draw.io, autres | 23 Sep 2026 | 00:15:00 | |
La modélisation des menaces consiste à représenter graphiquement une application, ses composants et ses flux de données afin d'identifier de manière systématique où et comment un attaquant pourrait la compromettre. Jusqu'ici, vous avez appris les con... | |||
| Prise en main d’OWASP Threat Dragon sur le projet Blog | 23 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE La modélisation des menaces consiste à identifier, de manière structurée, ce qui peut mal tourner dans une application avant qu’un attaquant ne le fasse. Le mental model à retenir : on décrit d’abord le système (composants, flux de d... | |||
| Adapter la checklist à une API publique tierce | 22 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Une checklist de tests de sécurité est un outil dérivé de votre modélisation des menaces (STRIDE) et de votre priorisation par OWASP Risk Rating. Elle liste, pour chaque menace identifiée, les tests concrets à exécuter afin de valide... | |||
| Étude de cas – Transformation d’une menace STRIDE en scénario de test automatisé | 22 Sep 2026 | 00:15:00 | |
Ce cours te montre, pas à pas, comment transformer une menace identifiée grâce à la méthode STRIDE en un scénario de test automatisé exécutable. C'est la suite logique des activités précédentes : après avoir modélisé les menaces, scoré les risques et... | |||
| Élaborer une checklist de tests à partir du modèle de menaces | 22 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Une checklist de tests de sécurité est le pont opérationnel entre la modélisation des menaces (ce qui peut mal tourner) et l'action concrète du testeur (comment le vérifier). Le mental model à retenir est simple : chaque menace ident... | |||
| De la modélisation au plan de tests – passerelle pratico-pratique | 22 Sep 2026 | 00:15:00 | |
Jusqu'à présent, vous avez appris à identifier ce qui compose une application (la surface d'attaque), à décomposer les menaces (avec la méthode STRIDE), à estimer leur gravité (avec la méthodologie OWASP Risk Rating) et à prioriser les corrections. C... | |||
| Varier le scoring sur une API d’e-commerce | 21 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Le scoring d'une menace consiste à lui attribuer une note de risque afin de prioriser les corrections et les tests. Dans les activités précédentes, vous avez utilisé la méthodologie OWASP Risk Rating, qui décompose le risque en deux ... | |||
| Récap visuel – Carte mentale des notions vues | 21 Sep 2026 | 00:15:00 | |
Ce chapitre propose une synthèse visuelle et structurée de toutes les notions abordées dans la section « Principes de sécurité applicative et modélisation des menaces ». L'objectif est de relier les concepts entre eux sous forme d'une carte mentale, ... | |||
| Heuristiques pour prioriser corrections et tests | 18 Sep 2026 | 00:15:00 | |
Après avoir cartographié la surface d'attaque du Blog, identifié les menaces avec la méthode STRIDE et scoré les risques avec la méthodologie OWASP Risk Rating, une question pratique se pose : par où commencer ? Vous ne pouvez pas tout tester ni tout... | |||
| Scorer les menaces précédentes avec OWASP Risk Rating | 18 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE La méthodologie OWASP Risk Rating permet d'estimer la gravité d'un risque en croisant deux dimensions : la probabilité (Likelihood) et l'impact (Impact). Le mental model est simple : Risque = Probabilité × Impact. La probabilité se d... | |||
| Méthodologie OWASP Risk Rating – probabilité vs impact | 17 Sep 2026 | 00:15:00 | |
La méthodologie OWASP Risk Rating (traduisible par « évaluation des risques selon l'OWASP », l'Open Web Application Security Project) est une approche standardisée permettant de mesurer et de hiérarchiser les risques associés aux vulnérabilités d'une... | |||
| Cartographier la surface d’attaque du Blog | 16 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE La surface d’attaque désigne l’ensemble des points par lesquels un attaquant peut interagir avec une application pour tenter d’y injecter, extraire ou manipuler des données. On distingue généralement trois grandes familles : la surfa... | |||
| Surface d’attaque – définition et identification | 15 Sep 2026 | 00:15:00 | |
La surface d’attaque d’une application désigne l’ensemble des points par lesquels un attaquant peut tenter d’entrer, d’extraire des données ou d’altérer le comportement d’un système. Autrement dit, c’est la somme de tous les endroits exposés où une m... | |||
| Adapter les principes à un microservice d’upload de fichiers | 15 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Un microservice d’upload de fichiers est l’un des points d’entrée les plus dangereux d’une application. Il combine plusieurs surfaces d’attaque : traversée de répertoire (path traversal), exécution de code via des fichiers malveillan... | |||
| Étude de cas – Incident dû à l’absence de Least Privilege | 14 Sep 2026 | 00:15:00 | |
Le principe du moindre privilège, en anglais Least Privilege, est l’un des piliers de la sécurité applicative. Il stipule qu’un utilisateur, un processus, un service ou un composant logiciel ne doit disposer que des droits strictement nécessaires à l... | |||
| Évaluer le Blog face aux principes de conception sécurisée | 11 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Les principes de conception sécurisée (Secure Design Principles) sont des règles fondamentales qui guident la construction d'applications robustes avant même l'écriture du code. Contrairement à la modélisation des menaces (STRIDE, DF... | |||
| Principes de conception sécurisée – Least Privilege & Defense in Depth | 11 Sep 2026 | 00:15:00 | |
Après avoir appris à modéliser les menaces avec la méthode STRIDE, les diagrammes de flux de données et la construction d'une matrice de menaces, il est temps de passer à l'étape suivante : concevoir des applications qui résistent réellement à ces me... | |||
| Fil rouge – Construire une matrice de menaces complète pour le Blog | 10 Sep 2026 | 00:15:00 | |
## Présentation du projet Ce mini-projet fil rouge consolide l'ensemble des compétences acquises dans ce chapitre : composants et actifs, triade CIA (Confidentialité, Intégrité, Disponibilité), méthode STRIDE, Data Flow Diagrams (DFD) et rapprochemen... | |||
| Identifier les menaces STRIDE dans le DFD | 10 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE La modélisation des menaces consiste à analyser une application avant qu'elle ne soit attaquée, afin d'anticiper les faiblesses. Le Data Flow Diagram (DFD) représente visuellement comment les données circulent dans le système : entit... | |||
| Dessiner le DFD de l’application Blog | 09 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Un Data Flow Diagram (DFD) est une représentation graphique de la façon dont les données circulent à travers une application. Il ne décrit pas le code, mais les mouvements de données entre les composants. Le DFD repose sur quatre sym... | |||
| Data Flow Diagram (DFD) – symboles et bonnes pratiques | 09 Sep 2026 | 00:15:00 | |
Le Diagramme de Flux de Données, en anglais Data Flow Diagram, souvent abrégé DFD, est un outil visuel fondamental dans la modélisation des menaces. Il sert à représenter graphiquement la façon dont les données circulent à travers une application ou ... | |||
| STRIDE sur un endpoint API "create post" | 08 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE STRIDE est une méthode de modélisation des menaces qui classe les risques en six catégories : Spoofing (usurpation d'identité), Tampering (altération de données), Repudiation (répudiation, impossibilité de prouver une action), Inform... | |||
| Appliquer STRIDE sur le flux d’authentification | 07 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE STRIDE est un modèle de classification des menaces développé par Microsoft. Chaque lettre correspond à une catégorie de menace et à la propriété de sécurité qu'elle viole : Spoofing (usurpation d'identité, viole l'authentification), ... | |||
| Méthode STRIDE – description et exemples | 04 Sep 2026 | 00:15:00 | |
La méthode STRIDE est l'une des approches les plus utilisées pour modéliser les menaces qui pèsent sur une application. Elle a été créée par Microsoft à la fin des années 1990 pour aider les équipes de développement à identifier de manière systématiq... | |||
| Décomposer l’application Blog simplifiée en composants | 03 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Avant de modéliser des menaces sur une application, il faut d'abord comprendre sa structure. La décomposition consiste à découper une application en composants élémentaires : interfaces utilisateur, services applicatifs, bases de don... | |||
| Pourquoi modéliser les menaces ? Bénéfices et étapes clés | 03 Sep 2026 | 00:15:00 | |
La modélisation des menaces (en anglais 'Threat Modeling') est une démarche structurée qui consiste à analyser une application, un système ou un service afin d'identifier de manière anticipée les menaces qui pèsent sur lui, les vulnérabilités potenti... | |||
| Associer scénarios de risques à OWASP Top 10 (cartes) | 01 Sep 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Un scénario de risque décrit comment une menace exploite une vulnérabilité sur un actif, en produisant un impact sur la Confidentialité, l'Intégrité ou la Disponibilité (CIA). Vous avez déjà manipulé ce vocabulaire : actif, menace, v... | |||
| Introduction légère à OWASP Top 10 (vision risques) | 01 Sep 2026 | 00:15:00 | |
Après avoir découvert le vocabulaire de base de la sécurité (actif, menace, vulnérabilité, risque), les principes de Confidentialité, Intégrité et Disponibilité, ainsi que la distinction entre acteur et attaquant, nous allons franchir une nouvelle ét... | |||
| Classer impacts CIA sur les actifs de la Todo List | 31 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Le triptyque CIA (Confidentiality, Integrity, Availability) constitue le socle de l'analyse de sécurité applicative. La Confidentialité garantit que seules les personnes autorisées accèdent à une information. L'Intégrité garantit que... | |||
| Actor vs Attacker – clarification de rôles | 31 Aug 2026 | 00:15:00 | |
Dans le chapitre précédent, vous avez appris le vocabulaire fondamental de la sécurité applicative : actif, menace, vulnérabilité et risque, ainsi que le triangle Confidentialité, Intégrité, Disponibilité. Nous allons maintenant clarifier une distinc... | |||
| Confidentialité, Intégrité, Disponibilité (CIA) – fondements | 28 Aug 2026 | 00:15:00 | |
La sécurité d'une application repose sur un modèle fondateur appelé la triade CIA, acronyme anglais pour Confidentiality, Integrity, Availability, que l'on traduit en français par Confidentialité, Intégrité et Disponibilité. Ce modèle constitue le so... | |||
| Repérer les actifs dans une application "Todo List" | 27 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Avant de tester ou de sécuriser une application, il faut savoir ce qu'on protège. C'est le rôle de l'identification des actifs (assets). Un actif est tout élément ayant de la valeur pour l'organisation ou l'utilisateur : données (mot... | |||
| Vocabulaire essentiel – actif, menace, vulnérabilité, risque | 26 Aug 2026 | 00:15:00 | |
Bienvenue dans ce chapitre consacré au vocabulaire fondamental de la sécurité applicative. Avant de pouvoir tester, corriger ou sécuriser une application, il est indispensable de maîtriser quatre notions centrales : l'actif, la menace, la vulnérabili... | |||
| Bienvenue et objectifs du chapitre | 26 Aug 2026 | 00:15:00 | |
Bienvenue dans ce premier chapitre consacré aux Principes de sécurité applicative et à la modélisation des menaces. Ce chapitre constitue la fondation de tout le parcours "Expert CyberSécurité & DevSecOps". Avant d'apprendre à attaquer une applicatio... | |||
| Conclusion, ressources et prochains pas | 25 Aug 2026 | 00:15:00 | |
Ce chapitre clôt la section consacrée à Linux avancé pour la sécurité. Il fait la synthèse des compétences acquises, propose des ressources fiables pour approfondir, et trace un chemin clair vers les prochaines étapes du cursus Expert CyberSécurité e... | |||
| Appliquer une checklist de hardening sur VM labo | 24 Aug 2026 | 00:15:00 | |
## Contexte Vous venez d'étudier les principes de hardening (CIS Benchmarks, minimisation), la gestion avancée des utilisateurs et de sudoers, la journalisation/audit (syslog, journald, logrotate) et les bonnes pratiques de scripting. Ce mini-projet ... | |||
| Principes de hardening : CIS Benchmarks & minimisation | 24 Aug 2026 | 00:15:00 | |
Le durcissement, appelé en anglais 'hardening', désigne l'ensemble des actions techniques et organisationnelles visant à réduire la surface d'attaque d'un système d'exploitation et à renforcer sa résistance face aux compromissions. Sur un système Lin... | |||
| Analyser /var/log/auth.log pour détections | 21 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Le fichier /var/log/auth.log (sur les distributions Debian/Ubuntu ; son équivalent est /var/log/secure sur RHEL/CentOS) enregistre tous les événements liés à l'authentification et aux privilèges : connexions SSH réussies ou échouées,... | |||
| Journalisation & audit : syslog, journald, logrotate | 20 Aug 2026 | 00:15:00 | |
La journalisation (en anglais logging) est l'un des piliers de la sécurité d'un système Linux. Elle consiste à enregistrer les événements qui se produisent sur la machine : connexions d'utilisateurs, démarrage et arrêt de services, erreurs d'applicat... | |||
| Créer un utilisateur pentest restreint | 19 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Sous Linux, chaque utilisateur possède un UID, un groupe principal (GID), un shell de connexion et un répertoire personnel définis dans /etc/passwd. Les mots de passe hachés vivent dans /etc/shadow, et l'appartenance aux groupes seco... | |||
| Gestion avancée des utilisateurs et sudoers | 19 Aug 2026 | 00:15:00 | |
La gestion des utilisateurs sous Linux est un pilier fondamental de la sécurité d'un système. Après avoir appris à installer des paquets, documenter l'état réseau et écrire des scripts, il est essentiel de comprendre comment contrôler qui peut accéde... | |||
| Rendre exécutable et planifier via cron | 18 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Sous Linux, un script Bash n'est qu'un fichier texte tant qu'on ne lui donne pas le droit d'exécution. La commande 'chmod +x script.sh' active ce droit, et le shebang en première ligne ('#!/usr/bin/env bash' ou '#!/bin/bash') indique... | |||
| Bonnes pratiques & pièges en scripting | 17 Aug 2026 | 00:15:00 | |
Le scripting Bash est un outil central pour l'administrateur système et le spécialiste en cybersécurité. Après avoir appris à écrire des scripts avec variables, boucles et conditions, puis à créer un script de sauvegarde de /etc, il est essentiel de ... | |||
| Écrire un script de sauvegarde de /etc | 17 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Le répertoire /etc contient l'ensemble des fichiers de configuration système sous Linux : comptes utilisateurs (/etc/passwd, /etc/shadow), configuration réseau, services (SSH, firewall), dépôts de paquets et bien plus. En sécurité, s... | |||
| Scripting Bash : variables, boucles, conditions | 14 Aug 2026 | 00:15:00 | |
Le scripting Bash est une compétence essentielle pour tout Spécialiste CyberSécurité et DevSecOps. Après avoir manipulé les processus, les services, les outils réseau et la gestion des paquets, il est temps d'automatiser ces tâches. Un script Bash es... | |||
| Mises à jour de sécurité et dépôts tiers | 13 Aug 2026 | 00:15:00 | |
Les mises à jour de sécurité constituent l'un des piliers fondamentaux de la protection d'un système Linux. Dans le chapitre précédent, vous avez appris à installer des paquets avec les gestionnaires apt (utilisé sur Debian et Ubuntu) et yum/dnf (uti... | |||
| Installer nmap et wireshark | 13 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Deux outils sont incontournables en reconnaissance réseau et analyse de trafic : nmap et Wireshark. Nmap (Network Mapper) est un scanner qui interroge des hôtes pour découvrir des machines actives, des ports ouverts, les services ass... | |||
| Gestion des paquets : apt, yum/dnf | 12 Aug 2026 | 00:15:00 | |
La gestion des paquets est l'une des compétences fondamentales pour administrer et sécuriser un système Linux. Un paquet est une archive contenant un logiciel (binaires, bibliothèques, fichiers de configuration, documentation) accompagné de métadonné... | |||
| Documenter l’état réseau | 12 Aug 2026 | 00:15:00 | |
RAPPEL THÉORIQUE Documenter l'état réseau d'une machine, c'est capturer à un instant T l'ensemble des interfaces, adresses, routes, connexions actives et ports en écoute. Cette photographie constitue une base essentielle en cybersécurité : elle sert ... | |||
© My Podcast Data · Independent project · Data from Apple & Spotify