Identification des failles de sécurité dans les projets-webs

Présentation effectuée à Meetup Lizard Secu (11 avril 2019) par Christophe Villeneuve sur "Identification des failles dans les projets webs".
Vous allez mieux comprendre l'importance de la sécurité dans un projet web.
Une occasion de parler dans un monde idéal, de fiction et de réalité

Transcript

1. @hellosct1 @hellosct1@mamot.fr Christophe Villeneuve projets webs Identification Lizard Secu – Meetup #1 – 10 avril 2019
2. @hellosct1 Une histoire... Un monde imaginaire La fiction La réalité
3. Un monde imaginaire La fiction La réalité
4. @hellosct1 L’équipe de rêve • Un chef de projet (technique et/ou fonctionnel) • Un designer / Intégrateur • Un ou des configurateur(s) • Un ou des développeurs PHP • Un lead Dev. – Si le absence chef de projet tech. • Un ou des thémeurs • Un architecte (sénior) • Un DBA • Un ou des testeurs • Option : Administrateur réseau (support) Une P. Sécurité
5. Un monde imaginaire La fiction La réalité
6. @hellosct1 CRM Intranet Website Tracker Service Auth. Web Service Serveur Web Firewall Base de données Access Control Architecture d'une application Web
7. @hellosct1 CRM Intranet Website Tracker Service Auth. Web Service Serveur Web Firewall Base de données Access Control Points sensibles pour un attaquant XSS CSRF Click Jacking XML/JSON Injection SQL Injection Direct Object Reference Token Directory Traversal Packet Sniffing Paramètre facilfication
8. @hellosct1 Architecture d'une application Web XXE moderne moderne Stockage Code Quality Client Chiffrement Communication
9. Un monde imaginaire La fiction La réalité
10. @hellosct1 Cycle d’un projet Défaut Logique métier Erreurs Sécurité Défaut De code Deux semaines Piratage éthique Plusieurs années de développement
11. @hellosct1 Projet web sécurisé ? Pas sur Agile Scrum Design Patterns Git Integration Continue Refactoring CMS WebServices Framework Tests DDOS Hijacking SQL Botnets XSS Injection CSRF Phishing Tronjan • Réalisation d'un projet web → avec peu de sécurité
12. @hellosct1 Au final Une fonctionnalité : - Développement - Tests - Contrôles - Validations Une fonctionnalité : - Développement - Tests - Contrôles - Validations Ne laissez pas un Web « sombre » grandir
13. Christophe Villeneuve @hellosct1 @hellosct1@mamot.fr Merci projets webs Identification