1
Cryptographie et PKI
Vocabulaire essentiel
-
Cryptographie symétrique : même clé pour chiffrer et déchiffrer (ex: AES, DES, 3DES)
-
Cryptographie asymétrique : paire de clés publique/privée (ex: RSA, ECC)
-
Fonction de hachage : empreinte numérique d'un message (MD5, SHA-1, SHA-256, SHA-512)
-
PKI (Public Key Infrastructure) : infrastructure à clés publiques
-
AC (Autorité de Certification) : entité qui délivre les certificats numériques
-
Certificat numérique : document électronique attestant l'identité (X.509)
-
SSL/TLS : protocoles de sécurisation des communications (HTTPS)
-
Signature numérique : garantit l'authenticité et l'intégrité d'un message
Notions clés à comprendre
- Différence entre chiffrement et hachage (réversible vs irréversible)
- Longueur des clés : 128, 256 bits pour AES / 2048, 4096 bits pour RSA
- Les 4 propriétés de sécurité : Confidentialité, Intégrité, Authenticité, Non-répudiation
- Cycle de vie d'un certificat : génération, publication, révocation (CRL, OCSP)
- Attaques : force brute, collision, homme du milieu (MITM)
2
Sécurité des réseaux
Vocabulaire essentiel
-
Pare-feu (Firewall) : filtre le trafic réseau selon des règles de sécurité
-
IDS (Intrusion Detection System) : détecte les intrusions (mode passif)
-
IPS (Intrusion Prevention System) : détecte et bloque les intrusions (mode actif)
-
DMZ (DeMilitarized Zone) : zone tampon entre réseau interne et externe
-
VPN (Virtual Private Network) : réseau privé virtuel sécurisé (IPSec, SSL VPN)
-
VLAN : segmentation logique du réseau (802.1Q)
-
NAC (Network Access Control) : contrôle d'accès au réseau
-
Proxy : serveur intermédiaire pour filtrer et sécuriser
-
DDoS (Distributed Denial of Service) : attaque par déni de service distribué
Notions clés à comprendre
- Filtrage par paquets vs filtrage applicatif (Stateless vs Stateful)
- Architecture réseau sécurisée : zonage, filtrage, supervision
- Protocoles sécurisés : SSH, SFTP, HTTPS, SNMPv3, LDAPS
- Attaques réseau : spoofing, sniffing, scanning, ARP poisoning
- NAT et PAT pour masquer les adresses internes
3
Sécurité des systèmes
Vocabulaire essentiel
-
Hardening : durcissement, réduction de la surface d'attaque
-
Patch : correctif de sécurité pour vulnérabilités
-
Baseline de sécurité : configuration de référence sécurisée
-
Antivirus/Antimalware : protection contre les logiciels malveillants
-
EDR (Endpoint Detection and Response) : détection avancée sur les postes
-
GPO (Group Policy Object) : stratégies de groupe Active Directory
-
SIEM (Security Information and Event Management) : corrélation et analyse des logs
-
CVE (Common Vulnerabilities and Exposures) : référentiel des vulnérabilités
Notions clés à comprendre
- Gestion des comptes : principe du moindre privilège, séparation des comptes
- Politique de mots de passe : complexité, longueur, renouvellement
- Services à désactiver, ports à fermer
- Journalisation (logs) : quoi, où, combien de temps
- Sauvegarde : règle 3-2-1 (3 copies, 2 supports, 1 hors site)
4
Authentification et contrôle d'accès
Vocabulaire essentiel
-
AAA (Authentication, Authorization, Accounting) : authentification, autorisation, traçabilité
-
MFA/2FA (Multi-Factor Authentication) : authentification multifacteur
-
SSO (Single Sign-On) : authentification unique pour plusieurs services
-
LDAP/Active Directory : annuaire centralisé de gestion des identités
-
RADIUS : protocole d'authentification réseau
-
Kerberos : protocole d'authentification par tickets
-
OAuth/SAML : protocoles d'authentification et autorisation web
-
RBAC (Role-Based Access Control) : contrôle d'accès basé sur les rôles
Notions clés à comprendre
- Les 3 facteurs d'authentification : connaissance, possession, inhérence
- Différence authentification vs autorisation
- ACL (Access Control List) : listes de contrôle d'accès
- Gestion du cycle de vie des identités (joiner/mover/leaver)
- Biométrie : empreinte, reconnaissance faciale, iris
5
Sécurité applicative
Vocabulaire essentiel
-
OWASP Top 10 : principales vulnérabilités applicatives
-
Injection SQL : insertion de code SQL malveillant
-
XSS (Cross-Site Scripting) : injection de code JavaScript
-
CSRF (Cross-Site Request Forgery) : exécution d'actions non autorisées
-
Buffer overflow : dépassement de tampon mémoire
-
WAF (Web Application Firewall) : pare-feu applicatif web
-
Validation des entrées : contrôle des données utilisateur
-
CAPTCHA : test de différenciation humain/robot
Notions clés à comprendre
- Principe de défense en profondeur (defense in depth)
- Développement sécurisé : SDL (Security Development Lifecycle)
- Tests de sécurité : pentest, audit de code, scan de vulnérabilités
- Encodage et échappement des données
- Sécurité des API : tokens, rate limiting, validation
6
Gestion des incidents et continuité
Vocabulaire essentiel
-
PSSI (Politique de Sécurité des SI) : document cadre de sécurité
-
PCA (Plan de Continuité d'Activité) : maintien des activités critiques
-
PRA (Plan de Reprise d'Activité) : restauration après sinistre
-
RTO (Recovery Time Objective) : durée maximale d'interruption acceptable
-
RPO (Recovery Point Objective) : perte de données maximale acceptable
-
CERT (Computer Emergency Response Team) : équipe de réponse aux incidents
-
SOC (Security Operations Center) : centre de supervision sécurité
Notions clés à comprendre
- Phases de gestion d'incident : détection, analyse, confinement, éradication, récupération
- Classification des incidents : gravité, impact, urgence
- Analyse forensique : préservation des preuves
- Tests réguliers du PCA/PRA
- Cellule de crise et communication
7
Législation et normes
Vocabulaire essentiel
-
RGPD (Règlement Général sur la Protection des Données) : protection des données personnelles UE
-
CNIL : Commission Nationale de l'Informatique et des Libertés
-
DPO (Data Protection Officer) : délégué à la protection des données
-
ISO 27001 : norme SMSI (Système de Management de la Sécurité de l'Information)
-
ISO 27002 : bonnes pratiques de sécurité
-
ANSSI : Agence Nationale de la Sécurité des SI (France)
-
NIS (Network and Information Security) : directive européenne sur la sécurité des réseaux
Notions clés à comprendre
- Principes RGPD : licéité, minimisation, limitation, exactitude
- Droits des personnes : accès, rectification, effacement, portabilité
- Analyse d'impact (PIA/DPIA) pour traitements à risque
- Notification des violations de données (72h)
- Sanctions RGPD : jusqu'à 4% CA ou 20M€
8
Menaces et attaques
Vocabulaire essentiel
-
Malware : logiciel malveillant (virus, vers, trojans)
-
Ransomware : chiffrement de données avec demande de rançon
-
Phishing : hameçonnage par email frauduleux
-
Spear phishing : hameçonnage ciblé
-
Social engineering : manipulation psychologique
-
APT (Advanced Persistent Threat) : menace persistante avancée
-
Botnet : réseau d'ordinateurs zombies
-
Zero-day : vulnérabilité inconnue exploitée
Notions clés à comprendre
- Kill chain : reconnaissance, armement, livraison, exploitation, installation, C&C, actions
- Indicateurs de compromission (IoC)
- Techniques d'évasion et d'obfuscation
- Sensibilisation des utilisateurs (facteur humain)
- Threat intelligence et veille sur les menaces
9
Analyse de risques
Vocabulaire essentiel
-
Risque : menace × vulnérabilité × impact
-
Menace : cause potentielle d'incident
-
Vulnérabilité : faille exploitable
-
Impact : conséquence d'une attaque
-
EBIOS RM : méthode d'analyse de risques française (ANSSI)
-
MEHARI : méthode d'analyse et gestion des risques
-
Traitement du risque : éviter, réduire, transférer, accepter
Notions clés à comprendre
- Matrice de risques (probabilité × gravité)
- Actifs à protéger (primaires et supports)
- Scénarios de risques et cotation
- Plan de traitement des risques
- Risque résiduel après traitement
💡
Conseils pour la révision
-
Maîtriser les acronymes : ils tombent systématiquement à l'examen
-
Comprendre les différences : IDS/IPS, chiffrement/hachage, HTTP/HTTPS
-
Cas pratiques : savoir analyser un incident, proposer des solutions
-
OWASP Top 10 : connaître les 3-4 principales vulnérabilités
-
Architecture réseau : savoir schématiser une DMZ, un VPN, un filtrage
-
RGPD : principes fondamentaux et droits des personnes
-
Sujets d'annales : s'entraîner sur les BTS des années précédentes