Ce travail a été mené en M2 dans le cadre d'un module d'audit. Le périmètre et les règles d'engagement ont été écrits et signés par les deux équipes avant de commencer. Nous avons suivi le guide de test de l'OWASP : authentification, contrôle d'accès, injections, gestion des sessions et configuration. Les outils automatiques ont servi de point de départ, mais la plupart des failles ont été trouvées en lisant le code et en testant la logique métier. La restitution orale a été l'exercice le plus formateur : expliquer un risque sans accabler les développeurs.
Les applications réalisées en projet tutoré sont rarement auditées. Elles contiennent souvent des failles classiques qui se retrouvent ensuite dans les projets professionnels.
L'audit, réalisé avec l'accord de l'équipe auteure sur son environnement de test, a relevé une quinzaine de vulnérabilités classées par gravité, avec un correctif proposé pour chacune.
Métriques, logs et alertes réunis dans un tableau de bord, pour voir les incidents avant vos utilisateurs.
Métriques, logs et alertes réunis dans un tableau de bord, pour voir les incidents avant vos utilisateurs.
Un ensemble de machines virtuelles prêtes à l'emploi pour pratiquer l'audit et la détection en salle de TP.
Une relecture méthodique avant déploiement, avec un rapport classé par gravité.
