Comment apprendre la sécurité des applications Web ?

La sécurité sur le web est un problème réel, et il est préférable de le reconnaître plus tôt que d'attendre que quelque chose de grave se produise.

Les progrès rapides de la technologie, y compris les services et applications web, ont révolutionné les entreprises modernes. De nombreuses entreprises ont transféré la plupart de leurs opérations en ligne, ce qui permet aux employés et aux partenaires commerciaux de n'importe où dans le monde de collaborer et de partager facilement des données en temps réel.

Après l'introduction des applications web modernes HTML5 et du Web 2.0, les exigences des clients ont changé. Aujourd'hui, tout le monde veut avoir accès à toutes les informations dont il a besoin 24 heures sur 24, 7 jours sur 7 et 365 jours par an. Par conséquent, les entreprises en ligne sont également poussées à rendre leurs données disponibles en permanence.

Si la période de verrouillage global a pu être assez bien vécue par ceux qui se sont engagés à ne pas se rendre à l'étranger, il n'en est pas de même pour les autres. le travail à domicile et les détaillants en ligne, elle a aussi énormément profité aux cybercriminels.

L'augmentation des transactions en ligne et du travail à distance leur a permis de pirater de nombreuses informations sur les cartes de crédit et de cibler les travailleurs à distance et leurs organisations. Cette évolution a également attiré les escrocs et les pirates informatiques malveillants, qui développent régulièrement de nouveaux vecteurs de menace.

Cette année, environ 80% des entreprises ont connu une recrudescence des cyberattaques, tandis que le Coronavirus a alimenté une augmentation 238% des menaces sur les banques, indique une étude de l'OCDE. rapport.

Pour atténuer toutes ces attaques, la sécurité des applications web a vu le jour il y a bien longtemps. Ce secteur a besoin de professionnels talentueux qui peuvent éviter aux organisations de perdre des données, de l'argent et la confiance des consommateurs.

L'objectif de cet article est de vous faire comprendre ce qu'est la sécurité, ce que l'on attend des professionnels de la sécurité web et les sources où vous pouvez apprendre et maîtriser ces compétences.

Alors, commençons ?

Qu'est-ce que la sécurité des applications web ?

La sécurité web, la cybersécurité ou la sécurité des applications web est la manière de protéger les services en ligne et les sites web contre diverses menaces exploitant les vulnérabilités associées aux codes d'une application.

Les cibles les plus courantes de ces attaques sont les solutions de gestion de bases de données comme phpMyAdmin, les applications SaaS, les systèmes de gestion de contenu (CMS) comme WordPress, et bien d'autres encore.

La sécurité sur le web vise à prévenir ces attaques en interdisant l'accès, l'utilisation, la destruction/perturbation ou la modification non autorisés.

Quelle est donc la raison pour laquelle les attaquants ciblent largement les applications web ?

• La complexité inhérente au code source de l'application, qui augmente la probabilité de vulnérabilités et de manipulation du code.
• Les applications sont faciles à exécuter ; les attaquants peuvent donc lancer ou automatiser facilement la plupart des attaques, qui peuvent viser des milliers d'applications à la fois.
• Un butin de grande valeur qui comprend des données sensibles et privées grâce à la manipulation du code source, ainsi qu'un butin financier.

Types courants de vulnérabilité

Scripts intersites (XSS)

XSS permet aux attaquants d'insérer des scripts côté client dans une page web et d'accéder directement à des données importantes, d'inciter les utilisateurs à divulguer des données importantes ou d'usurper leur identité. Les conséquences sont notamment l'accès à des comptes, l'activation de chevaux de Troie, la modification du contenu de la page, etc.

Falsification des requêtes intersites (CSRF)

CSRF trompe les victimes lorsqu'elles font une demande qui utilise leur autorisation ou leur authentification. Ainsi, grâce à ces privilèges de compte, les attaquants peuvent effectuer des requêtes en se faisant passer pour l'utilisateur. Cela peut se traduire par des transferts de fonds, des changements de mot de passe, etc.

Déni de service (DoS) et déni de service distribué (DDoS)

Les attaquants surchargent le serveur ciblé et/ou son infrastructure avec divers trafics d'attaque. Une fois que le serveur devient incapable de traiter efficacement les demandes d'encre, il commence à se comporter de manière lente et refuse éventuellement le service à d'autres demandes entrantes, même de la part de visiteurs légitimes.

Injection SQL 💉

Méthode utilisée par un attaquant pour exploiter les vulnérabilités, similaire à la façon dont les bases de données mettent en œuvre les requêtes de recherche. Les attaquants utilisent le SQI pour accéder à des données non autorisées, créer ou modifier les autorisations des utilisateurs, détruire ou manipuler des données sensibles, etc.

Inclusion de fichiers à distance

Les attaquants l'utilisent pour injecter des fichiers malveillants contenant des codes dans un serveur d'application web afin d'exécuter ces codes pour nuire à l'application, la manipuler et effectuer des vols de données.

Autres

Parmi les autres attaques, citons la corruption de la mémoire, la violation de données, le détournement de clics, la traversée de répertoires, le détournement de commandes, le détournement d'informations. injection, le débordement du beurre, et plus encore.

J'espère que ces éléments sont suffisants pour comprendre que la sécurité web est une nécessité de l'heure et que chacun doit la mettre en œuvre dès que possible avant qu'elle ne constitue une menace pour votre application et qu'elle ne vous porte préjudice financièrement ou sur le plan de la réputation.

En raison de la demande croissante, de nombreuses personnes souhaitent apprendre. Si vous êtes désireux d'apprendre ce sujet, il pourrait s'agir d'un excellent choix de carrière et d'un avantage sur le plan personnel.

Que font les professionnels de la sécurité web ?

Les professionnels de la sécurité web sont chargés de protéger les applications web, les réseaux correspondants et les données des applications. Ils contribuent à limiter les violations de données en surveillant le réseau et en réagissant aux menaces.

Ces professionnels ont une formation d'administrateur de réseau ou de système, de programmeur. C'est parce que ce domaine exige de la curiosité, un esprit critique, une passion pour la recherche et l'apprentissage. Ils doivent être capables de déjouer les pirates informatiques qui font preuve d'une "créativité destructrice" dans la mise au point et l'injection de diverses menaces.

Les menaces de sécurité pouvant surgir à tout moment, les professionnels de la sécurité doivent se tenir au courant des dernières tactiques employées par les pirates pour s'introduire dans les systèmes et les réseaux. Voici quelques-unes des responsabilités des professionnels de la sécurité web :

• Trouver des vulnérabilités dans les applications web, les bases de données et le cryptage.
• Atténuer les attaques en corrigeant les problèmes de sécurité
• Effectuer des audits périodiques pour garantir les meilleures pratiques en matière de sécurité
• Déployer des outils de prévention et de détection des points d'accès pour empêcher les attaques malveillantes.
• Mettre en œuvre des systèmes de gestion des vulnérabilités pour les actifs dans le nuage et sur site.
• Assurer le nettoyage en cas d'attaque
• Collaborer avec d'autres services informatiques pour planifier reprise après sinistre.
• Travailler avec les chefs d'équipe et les RH pour former tous les employés à la détection d'activités suspectes.

Quelques bonnes pratiques pour sécuriser les applications web

Utilisation de pare-feu d'application web (WAF)

WAF permet de protéger vos applications web contre les requêtes HTTP malveillantes. Il place une barrière entre l'attaquant et votre serveur. Il peut protéger la couche sept contre des menaces telles que XSS, CSRF, injection SQL, etc.

Atténuation des DDoS

Comme son nom l'indique, il est utilisé pour atténuer les attaques DDoS sur les applications et les attaques de la couche réseau, ce qui permet de sécuriser les sites web, les applications et l'infrastructure des serveurs.

Bot 🤖 filtrage

Il est mis en œuvre pour filtrer le trafic de robots malveillants.

Protection DNS

Il s'agit de protéger votre requête DNS contre le détournement par des attaques de type "on-path" et "on-path". Empoisonnement du cache DNS.

Utiliser HTTPS

HTTPS crypte toutes les données échangées entre le serveur et votre client afin de protéger les identifiants de connexion, les informations d'en-tête, les cookies, les données de requête, etc.

Si vous avez décidé d'apprendre la sécurité des applications web, vous pouvez vous référer aux ressources d'apprentissage suivantes et aiguiser vos compétences 🧑‍💻.

PortSwigger

Apprenez des créateurs de Burp Suite - une plateforme de premier plan pour une variété d'outils de cybersécurité. PortSwigger. Il s'agit d'une formation en ligne et GRATUITE qui peut donner un coup de pouce à votre carrière dans le domaine de la cybersécurité.

Grâce aux laboratoires interactifs, vous pouvez apprendre à tout moment et de n'importe où, et suivre vos progrès au fil du temps. Il fournit une formation sur les vulnérabilités de la logique d'entreprise, la divulgation d'informations, l'empoisonnement du cache web, la désérialisation non sécurisée, l'injection SQL, XSS, CSRF, l'injection XXE, et plus encore.

Les supports pédagogiques de PortSwigger sont élaborés par des professionnels expérimentés, une équipe de recherche et leur fondateur. Dafydd Stuttard. Il est également l'auteur d'un livre célèbre intitulé Web Application Hacker's Handbook.

Aperçu	Produit	L'évaluation	Prix
	Le manuel du hacker d'applications Web : Trouver et exploiter les failles de sécurité	Pas de notes	$34.20	Acheter sur Amazon

Les tutoriels sont expliqués de manière exhaustive dans le texte et le contenu vidéo afin de faciliter la mémorisation des points clés. Les laboratoires interactifs rendent l'ensemble du cours passionnant, et c'est là qu'ils posent des énigmes réalistes pour tester vos compétences en matière de piratage.

EdX

Fondamentaux de la sécurité web par EdX est idéal pour comprendre les principes de base. Il vous donne un aperçu des attaques les plus courantes et des contre-mesures adaptées à chacune d'entre elles, tant sur le plan théâtral que pratique.

Ils vous enseignent également les meilleures pratiques de sécurité qui prévalent actuellement pour sécuriser les applications web. Si vous souhaitez participer à ce cours, vous n'avez pas nécessairement besoin de connaissances préalables en matière de sécurité. Mais si vous en avez, cela vous aidera beaucoup à mieux comprendre des choses comme HTTP, JavaScript, HTML, etc.

La durée du cours est de 5 semaines, soit 4 à 6 heures par semaine. L'apprentissage est totalement GRATUIT ; cependant, si vous le souhaitez, vous pouvez payer US$ 48.97 pour obtenir un certificat vérifié et signé par l'instructeur avec le logo de l'institution. Ce certificat peut être utilisé pour augmenter les perspectives d'emploi, et peut être partagé sur LinkedIn ou incorporé dans votre CV.

Stanford

Le cours CS 253 Web Security par Stanford offre un résumé complet de la sécurité web et vise à faire comprendre aux étudiants les attaques web les plus courantes et la manière de les prévenir. Le cours couvre non seulement les fondamentaux mais aussi les aspects avancés de la sécurité web.

Parmi les sujets abordés, citons

• Principes de sécurité du web
• Attaques et contre-mesures
• Vulnérabilités des applications web
• Modèle de sécurité du navigateur
• Attaques par injection, DoS et TLS
• Empreintes digitales, vie privée, politique d'origine identique, authentification, cross-site scripting, sécurité JavaScript
• Défense en profondeur
• Menaces émergentes
• Techniques d'écriture de codes sécurisés, exploits de sécurité
• Mise en œuvre de normes web en constante évolution et défense des applications web faibles

Pour suivre ce cours, vous devez avoir suivi le cours CS 142 ou avoir une expérience équivalente dans le domaine du développement web. Ici, la présence est obligatoire et la notation est basée sur :

• 75% sur les assignations
• 25% à l'examen final

Pour mieux vous préparer, vous pouvez lire la solution pour le Examen final 2019 et autres exemples de questions pour CS 253.

Convivialité pour les débutants

Sans aucun doute, Udemy est l'un des meilleurs endroits pour étudier en ligne pour divers cours ; la sécurité des applications web est l'un d'entre eux. Si vous êtes débutant, ce cours est idéal pour vous, car il ne nécessite aucune connaissance préalable en matière de codage.

Dans ce cours, vous apprendrez

• Identification des 10 meilleures menaces détectées par l'OWASP ou l'Open Web Application Security Project
• Comprendre comment ces menaces peuvent être atténuées
• Impact de chaque menace sur votre entreprise
• Comment les attaquants mettent en œuvre ces menaces

Le cours est expliqué dans le langage le plus simple, de sorte que toute personne ayant peu d'informations sur l'internet et l'ordinateur puisse le comprendre. Il couvre également la défense en profondeur, l'explication de l'usurpation d'identité, la divulgation d'informations, la falsification, la répudiation, l'élévation de privilèges et les attaques par déni de service (DoS).

Des tuteurs expérimentés sont là pour vous enseigner tout ce dont vous avez besoin pour maîtriser les bases de la sécurité web.

Coursera

Une autre très bonne option sur la liste est Courseraqui enseigne comment utiliser le ZAP ou Zed Attack Proxy de l'OWASP. Cet outil aide les professionnels de la sécurité ainsi que les testeurs de pénétration à trouver des vulnérabilités.

• Ils enseignent comment rechercher des vulnérabilités, analyser les résultats de l'analyse, générer des rapports, etc.
• Vous apprendrez également à configurer le proxy du navigateur pour analyser passivement les réponses et les requêtes en explorant les sites web.
• Brève explication de la manière de visualiser, d'intercepter, de transmettre et de modifier les requêtes web se produisant entre l'application web et le navigateur.
• En outre, vous apprendrez à utiliser les listes de dictionnaires pour trouver des dossiers et des fichiers sur votre serveur web.
• En outre, vous pouvez comprendre comment vous pouvez crawler des sites pour trouver des URL et des liens.

Les instructeurs du cours vous guident pas à pas sur chaque sujet dans la vidéo à écran partagé, et comme le cours est sur le cloud, vous ne perdez pas de temps à le télécharger. Coursera fournit des certificats pour chaque programme sans coût supplémentaire.

PentesterLab

PentesterLab couvre les niveaux de base à avancé. Ils vous apprennent à trouver et à exploiter manuellement les vulnérabilités. Tous leurs exercices couvrent les faiblesses ou les problèmes courants rencontrés dans divers systèmes.

Pour un meilleur apprentissage, ils fournissent des systèmes réels et des vulnérabilités réelles afin que vous puissiez apprendre en temps réel, sans émulation. Leurs exercices en ligne vous permettent d'obtenir des certificats après avoir terminé le cours. Tous les exercices sont divisés en badges que vous pouvez compléter pour obtenir le certificat.

YouTube

YouTube est la plaque tournante de la connaissance ; il suffit de l'utiliser à bon escient !

Il existe donc une chaîne - Google Chrome Developers - qui compte 505 000 abonnés sur YouTube et que vous pouvez consulter pour en savoir plus.

Dans ce tutoriel, vous comprendrez certains vecteurs d'attaque typiques et comment vous pouvez protéger vos données, vos utilisateurs et votre réputation. Ensuite, vous découvrirez un nouveau cours qui vise à fournir des exposés concis et des exercices pratiques sur des sujets incluant à la fois la défense et l'attaque.

Mozilla

Tournez jusqu'à MDN web docs par Mozilla et accédez à des articles utiles sur la sécurité du web. Les articles répertoriés ici couvrent une variété de sujets tels que la sécurité du contenu, la sécurité des connexions, la sécurité des données, les fuites d'informations, l'intégrité des données, la protection contre le détournement de clics, la sécurité des données des utilisateurs, etc.

Les informations contenues dans ces articles vous aideront à protéger votre site web et tous ses codes contre le vol de données et les attaques. Vous pouvez apprendre des choses intéressantes comme la manière de réparer votre site, de bloquer le contenu mixte, les algorithmes de signature, etc.

Invicti

Un article complet de Invicti est un bon moyen d'expliquer la sécurité des applications web dans ses moindres détails. Il est excellemment écrit pour aider même les débutants à comprendre les termes et les technologies utilisés dans la sécurité web.

Dans l'article, les mythes et les bases du web sécurité des applicationsLa sécurité des sites web et des applications est expliquée, ainsi que la manière dont les entreprises actuelles peuvent améliorer la sécurité de leurs sites web et de leurs applications afin de tenir les cyber-attaquants à l'écart.

Ici, vous apprendrez :

• Comment sécuriser vos applications web
• Choisir le bon scanner de vulnérabilité
• Différence entre scanner de vulnérabilité web gratuit et commercial
• Comment tester votre scanner de vulnérabilité et quand l'utiliser ?
• Quelques bonnes pratiques pour sécuriser votre serveur web ainsi que d'autres composants

SANS

Suivre ce cours - SEC22 à partir de SANS si vous souhaitez défendre des applications web. Il vous aidera à comprendre toutes les vulnérabilités de sécurité associées à votre application web afin que vous puissiez protéger vos actifs web.

Le cours vous présente des techniques d'atténuation pour l'architecture, l'infrastructure et le codage, ainsi que des méthodes du monde réel. Vous vous familiariserez avec la nature de ces vulnérabilités afin de comprendre pourquoi elles se produisent et comment les atténuer.

Il s'adresse aux personnes chargées de gérer, de mettre en œuvre ou de défendre les applications web. Il peut s'agir d'analystes de la sécurité des applications, d'architectes, de développeurs, d'auditeurs, de testeurs, etc.

Le cours couvrira des sujets tels que

• Les 10 meilleures menaces de l'OWASP
• Problèmes spécifiques liés aux 25 principales erreurs logicielles du CWE
• Intégrer l'informatique dématérialisée dans une application web
• Configuration de la langue de l'application
• Configuration de l'infrastructure et gestion de la sécurité
• Mécanismes d'authentification
• En-têtes HTTP
• Défauts dans la logique d'entreprise
• Erreurs de codage telles que XSS, CSRF, injection SQL, etc.

Si vous comprenez les bases des concepts et des technologies des applications web comme JavaScript et HTML, vous pouvez suivre ce cours.

Cloudflare

Il s'agit d'un autre article de la liste de Cloudflare qui traite de la sécurité des applications web.

Précisément, il explique :

• La signification de cette terminologie,
• Quelques vulnérabilités typiques, puis
• Meilleures pratiques pour prévenir les failles de sécurité sur le web

Lisez cet article pour clarifier certains concepts de base qui vous seront très utiles lorsque vous vous inscrirez à un programme de sécurité des applications web.

Conclusion

L'apprentissage de la sécurité des applications web est devenu crucial car les cyberattaques augmentent rapidement.

Tous nos vœux de réussite !