Formation OWASP Sécurité des applications Web Mixed: In person / distance learning

La sécurité des applications web est devenue aussi importante pour la protection des actifs que pour la réputation de l'entreprise. La formation des développeurs est devenue une obligation légale depuis l'introduction de la RGPD. En plus des menaces bien connues telles que les XSS, CSRF et SQL Injection, les nouveaux patterns de développement basés sur des API amènent leur lot de nouvelles menaces.

Ce cours prépare au passage de la certification
L'achat du voucher pour passer la certification est en option.

• M-Campus OPCO Mobilités
  Cette formation est accessible avec un tarif de formation négocié (offre adhérent)
  Pour en bénéficier, contactez-nous à hello.institute@docaposte.fr et complétez votre inscription sur M-Campus.

En savoir plus sur les dispositifs de financement

• Savoir d'où provient la menace dans une application web
• Comprendre ce qu'apporte le protocole HTTPS en termes de sécurité
• Comprendre les vulnérabilités du TOP 10 OWASP et savoir les éviter
• Connaitre les menaces générées par les architectures basées sur des API
• Savoir où trouver de l'information pour développer de façon sécurisée
• Intégrer la démarche Security by Design lors des développements

• Développeurs
• Administrateurs
• Responsables sécurité des SI
• Chefs de projets informatique
• Ingénieurs
• Développeurs
• Web masters

• Avoir des connaissances de base en systèmes, réseaux et Internet.

1. Introduction à l'Open Web Application Security Project

• Rappels juridiques
• Comprendre la menace
• KALI Linux
• Tour d'horizon des outils
• Le processus de déroulement d'une attaque

2. Le protocole HTTP/S

• Verbes, En-têtes et Corps
• TLS et SS
• Les attaques sur le protocole HTTPS
• Les certificats
• Les en-têtes de sécurité

3. Le web comme source d'information

• Qu'est-ce que l'OWASP, les TOP 10
• Qu'est-ce que CWE, le TOP 25
• Le référentiel des vulnérabilités CVE
• La gravité d'une vulnérabilité CVSS
• Bienvenue chez les scripts kiddies

4. Le développement sécurisé

• Les outils
• Le Security by design appliqué au développement
• Modifier sa façon de développer en pensant comme un attaquant

5. Le Top 10 Web

• A1 Les injections
• A2 La mauvaise gestion de l'authentification
• A3 L'exposition de données sensibles
• A4 Les attaques sur le langage XML
• A5 Contrôle d'accès insuffisant
• A6 Mauvaise configuration de composants
• A7 Prise de contrôle du navigateur
• A8 Utilisation non sécurisée des fonctions de désérialisation
• A9 Utilisation de composants avec des vulnérabilités connues
• A10 Traces ou monitoring insuffisants ou absents
• CSRF (optionnel, retiré dans la version 2017)
• Redirection arbitraire (optionnel, retiré dans la version 2017)

6. Le Top 10 API

• Vue d'ensemble
• API3 : Exposition excessive de données
• API6 : Modification de données non documentées
• API9 : Exposition de services

Docaposte Institute propose plusieurs dispositifs pédagogiques adaptés aux apprenants :

• Formation en présentiel
• En groupe (inter-entreprises ou intra-entreprise)
• En individuel (monitorat)
• En journée ou en cours du soir (sur demande spécifique)
• Formation en distanciel
• Distanciel synchrone
• Distanciel asynchrone

• Alternance d'apports théoriques et de mises en pratique contextualisées.
• Progression pédagogique structurée, de la compréhension à la mise en œuvre opérationnelle.
• Pédagogie immersive favorisant une mise en application immédiate des compétences.
• Formation interactive et participative s'appuyant sur des ateliers pratiques, études de cas et échanges collectifs (+ 60 % du temps de formation.)
• Séquences pédagogiques rythmées et évaluations formatives régulières pour renforcer l'ancrage des apprentissages.
• Supports de cours, ressources documentaires et références mis à disposition par le formateur

En amont de la formation (évaluation en ligne dans l'extranet apprenant)

• Recueil des besoins et des attentes des participants.
• Auto-positionnement permettant d'évaluer le niveau initial des apprenants.

Tout au long de la formation

• Évaluations continues réalisées par le formateur travers des questions orales, exercices, QCM, études de cas et mises en situation pratiques.
  
  

À l'issue de la formation (évaluations en ligne dans l'extranet apprenant)

• Auto-positionnement afin de mesurer l'acquisition des compétences visées.
• Validation de l'acquisition des compétences par le formateur
• Questionnaire de satisfaction « à chaud » à l'issue de la formation
• Questionnaire de satisfaction "à froid", 45 jours après la formation afin d'évaluer l'ancrage des acquis et leur mise en application en situation professionnelle.

• Admission sans disposition particulière