Formation en sécurité informatique

**Siguillaume** · 23/04/2009, 15h24

Bonjour à tous, je voudrais avoir le plan d'une formation en sécurité informatique. Je veux parler en termes de fondamentaux. Pas forcément pour cibler un OS ou une technologie.

J'ai une proposition que je ne trouve pas très consistante. J'ai aussi fait quelques recherches sur google, mais elles ne sont pas assez concluantes.

Quels pourraient être les points à aborder?

Je voudrais avoir vos avis sur la question.

Merci.

**my_put** · 28/04/2009, 23h57

salut, j'ai fais quelques projets de securite, et pour ma part, j'ai beaucoup appris en regardant les codes sources.

Sur unix par exemple, tu peux regarder un code source en C (ou en n'importe quel language, c'est un exemple), et voir que les failles de securites sont vraiment faciles a interpretes et qu'il y en a enormement.
C'est abuse toutes les cources que tu trouves ou l'injection de code, l'infiltration est possible.
Je parle du c car c'est un language proche de la machine donc les appels systemes etc sont assez presents pour la gestion de la memoire.
tu peux donc regarder du cote des valeurs de renvoie non verifiers etc, facile de faire des buffers overflow ou faire segfaulter un programme.

donc je te conseille d'apprendre un language tel que le c ou l'asm, et de regarder les coses sources a l'aide des (man) unix (si tu es sous unix).
tu vera que parfois, ouvrir un shell en root dans un programme n'est pas tres difficile.

voila bonne chance a toi.
++

**Siguillaume** · 29/04/2009, 09h50

BOnjour, merci pour la piste.

Mais je crois que ce que tu dis est au niveau des failles systèmes. C'est dejà bon, toutefois, il serait d'abord bon de s'orienter vers les fondamentaux de la sécurité.

**gangsoleil** · 29/04/2009, 12h01

Bonjour,

Pour une formation en securite, il faut commencer par les bases : Quels risques, et quelles sources de risques ?
Exemple de risque : arret des serveurs.
Exemple de source : panne electrique si abscence d'onduleur, pas de redondance des serveurs donc si perte d'un serveur, perte du service

Il y a un certain nombre de risques majeurs clairement identifies, et un certain nombre de sources, qui s'appliquent presque toutes dans tous les cas. Je crois me souvenir que c'est 4 et 7, mais c'est a verifier.

Une fois ces XX points identifies, il convient de les etudier plus ou moins profondement en fonction de ce que l'on veut faire : une societe d'hebergement de serveurs n'aura pas les memes problematiques qu'une societe de developpement de logiciels.

Est-ce que cela t'apporte un debut de reponse ? Si oui, peux-tu nous preciser le plan de la formation que tu as ?

**Siguillaume** · 29/04/2009, 16h50

Effectivement ça donne des idées, et même beaucoup d'orientations.
L'élément que j'ai actuellement se résume à ceci:

1. Définition des besoins de la sécurité informatique
2. Présentation des règles de base de la sécurité informatique
3. Présentation des différents types d’attaque
4. Présentation de la méthodologie d’analyse des risques
5. Mise en œuvre d’une politique de sécurité locale

6. Mise en œuvre d’une politique de sécurité dans la transmission des données
7. Présentation des différentes formes d’authentification des utilisateurs : mot de passe, biométrique, certificats, carte à puce, etc.

Et même que je comprends pas encore tout ce que cela veut dire, ou de quoi veulent-ils parler concrètement.

**RV80** · 29/04/2009, 17h25

En terme de fondamentaux voici comment on peut résumer la sécurité :
DIC²P : Disponibilité, Intégrité, Confidentialité, Conformité, Preuve.
C'est ce que l'utilisateur demande dans le cadre de la sécurité et ça marche aussi bien pour les parties réseaux, systèmes ou applicatives, après c'est justement les points techniques qui changent ... et la à toi de savoir dans quoi tu veux te spécialiser

.