Menaces et principes de défense : la formation

Cette formation apprend à raisonner comme un défenseur : savoir ce que l'on protège, comprendre comment une attaque se déroule, reconnaître les menaces courantes et mesurer ce que votre organisation expose à un attaquant. Elle s'adresse aux personnes qui découvrent la sécurité informatique, sans aucun prérequis : les notions sont définies au fur et à mesure. Une fois la formation terminée, vous saurez décrire une intrusion phase par phase, placer une mesure de protection à chaque étape et la classer, repérer un phishing ou un rançongiciel à ses indicateurs, et mesurer l'exposition d'un système que vous administrez. Les trois premiers modules sont complets ; le quatrième est publié en partie, avec ses trois premières leçons : la section « Où en est la formation ? » détaille l'état du plan.

Une phrase de Sun Tzu, dans L'Art de la Guerre, résume la démarche : « Connais ton ennemi et connais-toi toi-même ; tu vaincras sans péril dans cent combats ». Les quatre modules la suivent dans l'ordre : d'abord se connaître (ce qu'on défend et comment), puis connaître l'ennemi (comment il attaque, avec quels outils), enfin regarder son propre système avec les yeux de l'attaquant.

Quels sont les quatre modules, et pourquoi dans cet ordre ?

Le premier module, Principes de sécurité, pose le vocabulaire et les idées qui servent partout ensuite : la triade confidentialité, intégrité, disponibilité, les types de mesures (préventif, détectif, correctif), le moindre privilège, la défense en profondeur, le Zero Trust. Il vient en premier parce qu'on ne peut pas juger une attaque sans savoir quelle propriété elle casse, ni une défense sans savoir ce qu'elle vise.

Le deuxième module, Comprendre une attaque, prend le point de vue de l'attaquant. Il raconte une intrusion en sept phases avec la kill chain de Lockheed Martin, présente les profils d'attaquants et leurs motivations, puis passe au référentiel MITRE ATT&CK, qui décrit les techniques avec plus de précision. Ce module applique directement les principes du premier : à chaque phase, vous placez un contrôle et vous le classez. Il est complet : l'introduction aux phases, les acteurs, les sept phases une à une, l'après-intrusion (élévation de privilèges, vol d'identifiants, mouvement latéral) et MITRE ATT&CK sont publiés. Il s'achève par une première épreuve sur papier : reconstituer les phases d'une intrusion par rançongiciel et proposer une mesure typée pour chacune.

Le troisième module, Reconnaître les menaces courantes, est consacré aux menaces concrètes et compte sept leçons, chacune avec son quiz, plus une leçon facultative sur LOLBAS, les outils légitimes détournés. Il s'ouvre sur le paysage des menaces en 2026, qui dit ce que l'ENISA a relevé en Europe et comment lire un chiffre de menace. Viennent ensuite les logiciels malveillants, le phishing et la fraude et le rançongiciel.

Le module poursuit avec les attaques sur les identifiants et le réseau : bourrage d'identifiants, vol de session, fatigue de la double authentification, homme du milieu et déni de service. Il enchaîne sur les fuites de données et les erreurs de configuration, c'est-à-dire un stockage exposé, un secret publié par erreur ou une menace interne. Il se ferme sur le renseignement sur la menace (CTI), qui apprend à suivre ces évolutions soi-même. Ce module vient après la kill chain parce que chacune de ces menaces occupe une place précise dans l'enchaînement des phases, que vous savez alors lire.

Le quatrième module, Mesurer son exposition, retourne l'outil de l'attaquant contre lui-même. Il s'ouvre sur le cadre légal de la reconnaissance, puis enseigne la recherche en sources ouvertes avec les Google dorks et la capture de bannières. Ces trois leçons sont publiées. Le scanner Nmap, l'outil netcat en leçon dédiée et une seconde épreuve sur papier (un rapport d'exposition sur une organisation fictive) restent à venir : les pages Nmap et netcat existent comme guides autonomes, mais elles ne sont pas encore rangées dans le parcours.

Où en est la formation ?

Le plan de formation, à gauche, contient trois modules complets (Principes de sécurité, Comprendre une attaque avec son épreuve de fin de niveau, Reconnaître les menaces courantes avec ses sept leçons et sa leçon facultative sur LOLBAS) et un quatrième module commencé. Mesurer son exposition publie déjà le cadre légal, la recherche en sources ouvertes et la capture de bannières. Les leçons Nmap et netcat, puis l'épreuve de niveau 2, sont encore à venir : leur contenu comme leur ordre peuvent évoluer, et les guides Nmap et netcat existants se lisent d'ici là comme des pages autonomes.

Comment la formation se valide-t-elle ?

Les leçons d'enseignement se valident par un quiz de compréhension, qui s'ajoute au fil des modules. Les deux épreuves de fin de niveau sont volontairement sur papier : il n'y a pas de machine à préparer, et c'est votre raisonnement qui est évalué, pas votre habileté à taper des commandes. La première porte sur le déroulé d'une attaque, la seconde sur l'analyse d'une exposition à partir de documents fournis. Les trois premiers modules se lisent sans rien installer. Le quatrième suppose un terminal avec Docker, curl et nc (netcat), plus jq pour interroger les certificats publics : les exercices se jouent sur des conteneurs locaux, et aucun scanner n'est demandé tant que la leçon Nmap n'est pas publiée.

Le parcours se fait dans l'ordre, mais rien n'oblige à tout lire d'un trait. Le plan de formation indique où vous en êtes, et les leçons facultatives (signalées comme telles) approfondissent un sujet sans conditionner les leçons qui suivent.

Qu'est-ce qui n'est pas couvert ici ?

La formation donne le vocabulaire commun de la sécurité, elle ne remplace pas les formations de spécialité, qui traitent chacune un domaine en profondeur. La modélisation de menaces (STRIDE) se trouve dans Threat modeling avec STRIDE, et la confiance dans les dépendances logicielles dans la formation DevSecOps. Le durcissement des systèmes, dont GTFOBins, relève de la section Durcissement, la sécurité de la chaîne d'approvisionnement du référentiel SOCLE, la gestion des mots de passe et des clés de la formation Gestion des secrets.

La sécurité réseau (DMZ, détection d'intrusion, pare-feu) a sa section, Sécuriser le réseau, et l'authentification multifacteur sa formation d'identité, dont les bases de l'IAM donnent le point d'entrée. La cryptographie est traitée dans Chiffrement au repos et en transit et dans Cryptographie des jetons. Enfin, la réponse à un incident est abordée dans Incidents et post-mortems et dans la réponse à incident de la supply chain. Pour le vocabulaire de base (menace, risque, vulnérabilité), voir Menace, risque, vulnérabilité, attaque.

À retenir

La formation suit un fil simple, du vocabulaire vers l'analyse d'une attaque réelle :

• Les trois premiers modules sont complets : Principes de sécurité, Comprendre une attaque (avec sa première épreuve) et Reconnaître les menaces courantes (sept leçons) ; le dernier, Mesurer son exposition, est commencé (cadre légal, OSINT passive, banner grabbing) et attend Nmap, netcat et sa seconde épreuve.
• Les principes viennent d'abord, parce qu'ils permettent de juger une attaque et une défense.
• La kill chain puis MITRE ATT&CK décrivent le déroulé d'une intrusion, phase par phase.
• Les menaces concrètes (malwares, phishing, rançongiciel, identifiants et réseau, fuites, renseignement sur la menace) se lisent ensuite comme des cas placés dans ce déroulé.
• Les deux épreuves se font sur papier : c'est le raisonnement qui est évalué.
• Les sujets de spécialité (durcissement, secrets, réseau, cryptographie) restent dans leurs formations.

×

📖 Voir la documentation →