Comment apprendre la sécurité des applications Web?

La sécurité Web est une vraie affaire, et il vaut mieux la reconnaître plus tôt que d'attendre que quelque chose de mal se produise.

Les progrès rapides de la technologie, y compris les services et les applications Web, ont révolutionné les entreprises modernes. De nombreuses entreprises ont transféré la plupart de leurs opérations en ligne, permettant aux employés et partenaires commerciaux de n'importe quelle partie du monde de collaborer et de partager facilement des données en temps réel.

Après l'introduction des applications Web HTML5 modernes et du Web 2.0, les demandes des clients ont changé. Désormais, tout le monde souhaite accéder à toutes les informations dont il a besoin 24/7/365. En conséquence, les entreprises en ligne sont également poussées à rendre leurs données disponibles à tout moment.

Alors que la période de verrouillage mondial aurait pu être assez bien pour ces travailler à domicile et les détaillants en ligne, il a également énormément profité aux cybercriminels.

L'augmentation des transactions en ligne et du travail à distance leur a permis de pirater de nombreuses informations de carte de crédit et de cibler les travailleurs à distance et leurs organisations. Cette avancée a également invité des escrocs et des pirates malveillants qui développent de temps en temps de nouveaux vecteurs de menaces.

Cette année, environ 80 % des entreprises ont assisté à une recrudescence des cyberattaques, tandis que le coronavirus a alimenté une augmentation de 238% des menaces sur les banques, selon un rapport.

Pour atténuer toutes ces attaques, la sécurité des applications Web est née il y a longtemps. Et cette industrie a besoin de professionnels talentueux qui peuvent éviter aux organisations de perdre des données, de l'argent et la confiance des consommateurs.

C'est le but de cet article où vous comprendrez des choses sur la sécurité, ce que l'on attend des professionnels de la sécurité Web et des sources à partir desquelles vous pouvez apprendre et maîtriser les compétences.

Alors, commençons?

Qu'est-ce que la sécurité des applications Web?

La sécurité Web, la cybersécurité ou la sécurité des applications Web est le moyen de protéger les services en ligne et les sites Web contre diverses menaces exploitant les vulnérabilités associées aux codes d'une application.

Certaines des cibles courantes de ces attaques sont les solutions de gestion de bases de données telles que phpMyAdmin, les applications SaaS, les systèmes de gestion de contenu (CMS) comme WordPress, etc.

La sécurité Web vise à empêcher de telles attaques en refusant l'accès, l'utilisation, la destruction / perturbation ou la modification non autorisés.

Alors, quelle est la raison pour laquelle les attaquants ciblent largement les applications Web?

• Complexité inhérente au code source de l'application, augmentant la probabilité de vulnérabilités ainsi que la manipulation du code.
• Les applications sont faciles à exécuter; par conséquent, les attaquants peuvent facilement lancer ou automatiser la plupart des attaques, ce qui peut cibler des milliers d'applications à la fois.
• Des butins de grande valeur qui incluent des données sensibles et privées via la manipulation du code source ainsi que des profits financiers

Types courants de vulnérabilité

Script intersite (XSS)

XSS permet aux attaquants d'infuser des scripts côté client dans une page Web et d'accéder directement aux données importantes, d'amener les utilisateurs à divulguer des données importantes ou de se faire passer pour des utilisateurs. Ses conséquences incluent l'accès aux comptes, l'activation des chevaux de Troie, la modification du contenu de la page, etc.

Falsification de demandes intersites (CSRF)

CSRF trompe les victimes lorsqu'elles font une demande qui utilise leur autorisation ou leur authentification. Par conséquent, grâce à ces privilèges de compte, les attaquants peuvent faire des requêtes usurpant l'identité de l'utilisateur. Cela pourrait entraîner un transfert de fonds, des changements de mot de passe, etc.

Déni de service (DoS) et déni de service distribué (DDoS)

Les attaquants surchargent le serveur ciblé et/ou son infrastructure avec divers trafics d'attaque. Une fois que le serveur devient incapable de traiter efficacement les demandes d'idées, il commence à se comporter lentement et refuse éventuellement le service à davantage de demandes entrantes, même de visiteurs légitimes.

Injection SQL 💉

Méthode utilisée par un attaquant pour exploiter les vulnérabilités de la même manière que les bases de données implémentent les requêtes de recherche. Les attaquants utilisent SQI pour accéder à des données non autorisées, créer ou modifier des autorisations utilisateur, détruire ou manipuler des données sensibles, etc.

Inclusion de fichiers à distance

Les attaquants l'utilisent pour injecter des fichiers malveillants avec des codes dans un serveur d'application Web afin d'exécuter ces codes afin d'endommager l'application, de la manipuler et de voler des données.

Autres

D'autres attaques incluent la corruption de mémoire, la violation de données, le détournement de clic, la traversée de répertoire, la commande injection, débordement de beurre, et plus encore.

J'espère que cela suffit pour comprendre que la sécurité Web est la nécessité de l'heure et pourquoi tout le monde doit la mettre en œuvre le plus tôt possible avant qu'elle ne puisse constituer une menace pour votre application et vous nuire financièrement ou sur le plan de votre réputation.

En raison de ses demandes croissantes, de nombreuses personnes se présentent pour apprendre. Et si vous êtes désireux d'apprendre ce sujet, cela pourrait être une excellente option de carrière et bénéfique au niveau personnel.

Que font les professionnels de la sécurité Web?

Les professionnels de la sécurité Web sont responsables de la protection des applications Web, des réseaux pertinents et des données d'application. Ils aident à atténuer les violations de données en surveillant le réseau et en réagissant aux menaces.

Ces professionnels ont des antécédents en tant qu'administrateurs réseau ou système, programmeurs. C'est parce que ce domaine nécessite de la curiosité, une pensée critique, une passion pour la recherche et l'apprentissage. Ils doivent être capables de déjouer les pirates qui sont «créatifs de manière destructrice» en développant et en injectant diverses menaces.

Étant donné que les menaces de sécurité peuvent apparaître à tout moment, les professionnels de la sécurité doivent se tenir au courant de toutes les dernières tactiques utilisées par les pirates pour se faufiler dans les systèmes et les réseaux. Certaines des responsabilités des professionnels de la sécurité Web sont:

• Trouvez des vulnérabilités dans les applications Web, les bases de données et le chiffrement.
• Atténuez les attaques en résolvant les problèmes de sécurité
• Effectuer des audits périodiquement pour garantir les meilleures pratiques de sécurité
• Déployez des outils de prévention et de détection des terminaux pour empêcher les attaques malveillantes
• Mettre en œuvre des systèmes de gestion des vulnérabilités entre les actifs dans le cloud et sur site
• Gérez le nettoyage en cas d'attaque
• Travailler avec d'autres opérations informatiques pour planifier reprise après sinistre.
• Travailler avec les chefs d'équipe et les RH pour éduquer tous les employés à détecter les activités suspectes.

Quelques bonnes pratiques de sécurité pour sécuriser les applications Web

Utilisation de pare-feu d'applications Web (WAF)

WAF aide à protéger vos applications Web contre les requêtes HTTP malveillantes. Il place une barrière entre l'attaquant et votre serveur. Il peut protéger la couche sept contre des menaces telles que XSS, CSRF, injection SQL, etc.

Atténuation des attaques DDoS

Comme son nom l'indique, il est utilisé pour atténuer les attaques DDoS et les attaques de la couche réseau, sécurisant ainsi les sites Web, les applications et l'infrastructure des serveurs.

Filtrage des robots

Il est mis en œuvre pour filtrer le mauvais trafic des robots.

Protection DNS

Cela est fait pour protéger votre requête DNS contre le piratage par des attaques sur chemin et l'empoisonnement du cache DNS.

Utiliser HTTPS

HTTPS crypte toutes les données échangées entre le serveur et votre client pour protéger les identifiants de connexion, les informations d'en-tête, les cookies, les données de demande, etc.

Donc, si vous avez décidé d'apprendre la sécurité des applications Web, vous pouvez vous référer aux ressources d'apprentissage suivantes et affiner vos compétences 🧑‍💻.

PortSwigger

Apprenez des créateurs de Burp Suite - une plateforme leader pour une variété d'outils de cybersécurité en PortSwigger. Il s'agit d'une formation en ligne et GRATUITE qui peut booster votre carrière en cybersécurité.

Grâce aux laboratoires interactifs, vous pouvez apprendre à tout moment et de n'importe où et suivre vos progrès au fil du temps. Il fournit une formation sur les vulnérabilités de la logique métier, la divulgation d'informations, l'empoisonnement du cache Web, la désérialisation non sécurisée, l'injection SQL, XSS, CSRF, l'injection XXE, etc.

Le matériel d'apprentissage de PortSwigger est fabriqué par des professionnels expérimentés, une équipe de recherche et leur fondateur - Dafydd Stuttard. Il est également l'auteur d'un livre célèbre appelé Web Application Hacker's Handbook.

Aperçu	Produit	Rating	Prix
	Le manuel du pirate d'applications Web : trouver et exploiter les failles de sécurité		$40.87	Acheter sur Amazon

Les didacticiels sont expliqués de manière exhaustive dans le contenu du texte et de la vidéo pour aider à se souvenir facilement des points clés. Leurs laboratoires interactifs rendent le cours global passionnant, et c'est là qu'ils posent des énigmes réalistes pour tester vos compétences en piratage.

EdX

Fondamentaux de la sécurité Web par EdX est idéal pour comprendre les principes de base. Il vous donne un aperçu des attaques courantes et des contre-mesures adaptées à chacune d'elles uniquement de manière théâtrale et pratique.

Ils vous enseignent également les meilleures pratiques de sécurité en vigueur actuellement pour sécuriser les applications Web. Si vous souhaitez rejoindre le cours, vous n'avez pas nécessairement besoin de connaissances préalables en matière de sécurité. Mais si vous le faites, cela vous aidera beaucoup à mieux comprendre des choses comme HTTP, JavaScript, HTML, etc.

La durée du cours est de 5 semaines, dont 4 à 6 heures par semaine. C'est totalement GRATUIT pour apprendre; Cependant, si vous le souhaitez, vous pouvez payer 48.97 USD pour obtenir un certificat vérifié et signé par l'instructeur avec un logo de l'institution dessus. Ce certificat peut être utilisé pour augmenter les perspectives d'emploi et est partageable sur LinkedIn ou peut être intégré à votre CV ou CV.

Stanford

Le cours CS 253 Web Security par Stanford offre le résumé complet de la sécurité Web et vise à faire comprendre aux étudiants les attaques Web courantes et comment les prévenir. Le cours couvre non seulement les principes fondamentaux, mais également les connaissances avancées en matière de sécurité Web.

Certains des sujets incluent:

• Principes de sécurité Web
• Attaques et contre-mesures
• Vulnérabilités des applications Web
• Modèle de sécurité du navigateur
• Attaques par injection, DoS et TLS
• Empreinte digitale, confidentialité, politique de même origine, authentification, scripts intersites, sécurité JavaScript
• Défense en profondeur
• Menaces émergentes
• Techniques d'écriture de codes sécurisés, exploits de sécurité
• Mettre en œuvre des normes Web en constante évolution et défendre les applications Web faibles

Pour suivre ce cours, vous devez avoir suivi le CS 142 ou toute autre expérience équivalente en développement Web. Ici, la présence est obligatoire et la notation est basée sur:

• 75% sur les missions
• 25% à l'examen final

Pour mieux vous préparer, vous pouvez lire la solution pour le Examen final 2019 qualité exemples de questions pour CS 253.

Beginner’s friendly

Indubitablement, Udemy est l'un des meilleurs endroits pour étudier en ligne pour divers cours; la sécurité des applications Web en fait partie. Si vous êtes un débutant, ce cours est idéal pour vous, car il ne nécessite aucune connaissance préalable en codage.

Dans ce cours, vous apprendrez:

• Identification des 10 meilleures menaces détectées par OWASP ou l'Open Web Application Security Project
• Comprendre comment ces menaces peuvent être atténuées
• Impact de chaque menace sur votre entreprise
• Comment les attaquants exécutent ces menaces

Le cours est expliqué dans la langue la plus simple afin que tout le monde avec peu d'informations sur Internet et l'ordinateur puisse le comprendre. Il couvre également la défense en profondeur, une explication de l'usurpation d'identité, de la divulgation d'informations, de la falsification, de la répudiation, de l'élévation des privilèges et du DoS.

Des tuteurs expérimentés sont là pour vous apprendre tout ce dont vous avez besoin pour maîtriser les bases de la sécurité Web.

Coursera

Une autre très bonne option sur la liste est Coursera, qui enseigne comment utiliser OWASP ZAP ou Zed Attack Proxy. Cet outil aide les professionnels de la sécurité ainsi que les testeurs d'intrusion à trouver des vulnérabilités.

• Ils enseignent comment rechercher les vulnérabilités, analyser les résultats de l'analyse, générer des rapports à partir de celles-ci, etc.
• Vous apprendrez également la configuration du proxy du navigateur pour analyser les réponses et les demandes passivement en explorant les sites Web.
• Une brève explication de la façon d'afficher, d'intercepter, de transférer et de modifier les requêtes Web se produisant entre l'application Web et le navigateur.
• De plus, vous apprendrez à utiliser des listes de dictionnaires pour trouver des dossiers et des fichiers sur votre serveur Web.
• En outre, vous pouvez comprendre comment vous pouvez spider les sites d'exploration pour trouver des URL et des liens.

Les instructeurs du cours vous guident étape par étape pour chaque sujet de la vidéo sur écran partagé, et comme c'est sur le cloud, vous ne perdez pas de temps à télécharger. Coursera fournit des certificats inclus pour chaque programme sans frais supplémentaires.

PentesterLab

PentesterLab couvre des niveaux de base aux niveaux avancés. Ils vous apprennent à trouver puis à exploiter manuellement les vulnérabilités. Tous leurs exercices couvrent des faiblesses ou des problèmes communs rencontrés dans divers systèmes.

Pour un meilleur apprentissage, ils fournissent de vrais systèmes et de réelles vulnérabilités afin que vous puissiez apprendre en temps réel, sans émulation. Leurs exercices en ligne vous permettent d'obtenir des certificats après la fin du cours. Tous les exercices sont divisés en badges que vous pouvez terminer pour bénéficier du certificat.

YouTube

YouTube est le centre de la connaissance; il vous suffit de l'utiliser de la bonne manière!

Il existe donc une chaîne - les développeurs Google Chrome avec 505 abonnés sur YouTube que vous pouvez rechercher pour apprendre.

Dans ce didacticiel, vous pouvez comprendre certains vecteurs d'attaque typiques et comment vous pouvez protéger vos données, vos utilisateurs et votre réputation. Ensuite, vous serez présenté à un nouveau cours qui vise à fournir des conférences concises et des exercices pratiques sur des sujets tels que la défense et l'attaque.

Mozilla

Tournez jusqu'à Documents Web MDN par Mozilla et accédez à des articles utiles sur la sécurité Web. Les articles énumérés ici couvrent une variété de sujets tels que la sécurité du contenu, la sécurité de la connexion, la sécurité des données, la fuite d'informations, l'intégrité des données, la protection contre le détournement de clic, la sécurité des données des utilisateurs, etc.

Les informations contenues dans ces articles vous aideront à protéger votre site Web et tous ses codes contre le vol de données et les attaques. Vous pouvez apprendre des choses intéressantes comme comment réparer votre site, avoir bloqué du contenu mixte, sur les algorithmes de signature, etc.

Invicti

Un article complet de invicti est apte à expliquer l'essentiel de la sécurité des applications Web. Il est parfaitement rédigé pour aider même les débutants à comprendre les termes et les technologies utilisés dans la sécurité Web.

Dans l'article, les mythes et les bases de la sécurité des applications Web sont expliqués et comment les entreprises d'aujourd'hui peuvent améliorer la sécurité de leur site Web et de leurs applications pour tenir les cyber-attaquants à distance.

Ici, vous apprendrez:

• Comment sécuriser vos applications web
• Sélection du bon scanner de vulnérabilité
• Différence entre le scanner de vulnérabilité Web gratuit et commercial
• Comment tester votre scanner de vulnérabilité et quand l'utiliser
• Quelques bonnes pratiques pour sécuriser votre serveur Web ainsi que d'autres composants

SANS

Suivez ce cours - SEC22 de SANS si vous visez à défendre des applications Web. Il vous aidera à comprendre toutes les vulnérabilités de sécurité associées à votre application Web afin que vous puissiez protéger vos actifs Web.

Le cours vous présente les techniques d'atténuation pour l'architecture, l'infrastructure et le codage, ainsi que les méthodes du monde réel. Vous vous familiariserez avec la nature de ces vulnérabilités pour comprendre pourquoi elles se produisent et comment les atténuer.

Il convient aux personnes responsables de la gestion, de la mise en œuvre ou de la défense des applications Web. Il peut inclure des analystes de sécurité des applications, des architectes, des développeurs, des audits, des testeurs de stylos, etc.

Le cours couvrira des sujets tels que:

• OWASP 10 meilleures menaces
• Problèmes spécifiques liés aux 25 principales erreurs logicielles de CWE
• Intégrer le cloud dans une application Web
• Configuration de la langue de l'application
• Configuration de l'infrastructure et gestion de la sécurité
• Mécanismes d'authentification
• En-têtes HTTP
• Failles de la logique métier
• Erreurs de codage comme XSS, CSRF, injection SQL, etc.

Si vous comprenez les bases des concepts et des technologies des applications Web comme JavaScript et HTML, vous êtes prêt à suivre le cours.

Cloudflare

Ceci est un autre article de la liste par Cloudflare qui couvre des choses sur la sécurité des applications Web.

Justement, il explique:

• Quelle est la signification de cette terminologie,
• Quelques vulnérabilités typiques, puis
• Bonnes pratiques pour éviter les vulnérabilités de sécurité Web

Lisez cet article pour clarifier certains concepts de base qui vous aideront beaucoup lorsque vous vous inscrivez à un programme de sécurité des applications Web.

Conclusion

L'apprentissage de la sécurité des applications Web est devenu crucial car cyber-attaques augmentent rapidement.

Bonne chance !