Objectifs:

Mettre en œuvre et tester des applications Web. Configurer un serveur Web pour chiffrer le trafic Web avec HTTPS. Identifier, diagnostiquer et corriger les 10 principales vulnérabilités définies par l'OWASP. Protéger des applications Web 2.0 Ajax Sécuriser des services Web XML avec WS-Security. Réaliser un audit de la sécurité des applications Web.  

Programme:

Préambule

• Définir les menaces
•  Recueil de données sur la légalité et le droit à la vie privée
• Explorer les vulnérabilités courantes

Sécurité : Principes fondamentaux et modélisation de la sécurité Web

• Confidentialité, Intégrité et Disponibilité
• Authentifications et autorisations

Chiffrement et hachage

• Principes des clés
• Intégrité des messages

Configurer la sécurité pour des services HTTP

• Les mises à jour de logiciels
• Restriction des méthodes HTTP

Sécuriser les communications avec SSL/TLS

• Certificats de serveurs
• HTTPS
• Echange des identités

Détecter des modifications non autorisées du contenu

• Permissions
• Scanner

Utiliser les ressources de l'OWASP

• OWASP (Open Web Application Security Project)
• Les dix principales vulnérabilités selon OWASP
• Correction des failles identifiées

Sécuriser les interactions entre les bases de données et les applications

• Déceler et empêcher les injections SQL
• Protéger les références d'objets directs

Gérer l'authentification

• Protéger contre le détournement de sessions
• Mettre en place un contrôle d'accès aux URL
• Bloquer la falsification de requêtes inter-sites

Validation des saisies

• Limites de confiance
• Cross-site scripting
• Exposer les dangers de la validation côté client
• Prévenir le vol électronique

Utiliser Ajax pour améliorer la sécurité de ses applications web

• Généralités et principes Ajax
• Spécificités des échange d'informations

Évaluer les risques et des menaces

• Gestion des interactions
• Identification de vulnérabilités JSON

Services Web XML : Diagnostiquer les vulnérabilités et les sécuriser

• Balises non terminées et dépassements de champs
• Révéler les faiblesses de services Web

Echanger des messages SOAP

• Valider les saisies avec un schéma XML
• HTTPS et SOAP
• Framework de sécurité des services Web
• Authentifier l'accès

Scanner pour identifier les faiblesses

• Mettre en place un scanner
• Identifier les erreurs
• Fuzz Testing
• Scans d'applications à distance
• Stratégies de scans et de tests
• Outils de tests

Synthèse et Bonnes pratiques

Normes : principes et apports

• Architectures
• Données personnelles et financières
• Recommandations pour la journalisation

Sécurité réseau

• Modéliser les menaces
• Intégrer les applications web à votre architecture réseau