Formation Sécurité défensive Sécurité applicative Java

Programme de votre formation

1. #

   M2i START AVANT VOTRE FORMATION

   Contextualisation du projet de formation et prise en compte des besoins de chacun

   • Positionnement initial de l’apprenant par rapport aux objectifs
   • Définition des priorités et des objectifs personnels de l’apprenant
   • Vidéos de mise en situation
   • Accès au Chat interactif myM2i pour interagir avec les membres de son groupe
   
2. #

   M2i LIVE VOTRE FORMATION ANIMÉE PAR NOTRE EXPERT ^¹

   Programme

   Jour 1 - Matin

   Rappels sur la sécurité applicative

   • Fonctionnement de la pile d'exécution
   • L'analyse de code
   • L'hijacking de ressources
   • Les overflows
   • Les protections lors de l'exécution

   La sécurité des plateformes Java

   • La sécurité de Java SE / ME / FX
   • Le Java Class Loader
   • Le Security Manager
   • L'Access Controller
   • Le Sandboxing
   • Implémentation de la Default Policy
   • La Policy File Syntax
   • Contenu du Package java.security

   Jour 1 - Après-midi

   Le chiffrement avec Java

   • Rappel des bases du chiffrement
   • Les fonctions de hash
   • Les algorithmes symétriques type AES
   • Les algorithmes asymétriques type RSA
   • La librairie JCE (Java Cryptography Extension)
   • La classe Cipher
   • Générer des clés
   • Générer des certificats

   Exemples de travaux pratiques (à titre indicatif)

   • Création d'un outil de chiffrement / déchiffrement symétrique
   • Création d'un outil de vérification de l'intégrité de contenu d'un répertoire

   Jour 2 - Matin

   La sécurité avec Java EE

   • La sécurité de Java EE
   • L'HTTPS avec JSSE (Java Secure Socket Extension)
   • Gestion de l'authentification Web
   • Exploitation des HTTP basic et HTTP form
   • Utilisation du module JAAS (Java Authentication and Authorization Service)
   • Utilisation du module LoginModule
   • Définition des rôles et domaines
   • Les fichiers .policy
   • Créer des permissions avec Java Security Permission
   • La protection des URL
   • La protection des méthodes
   • Les annotations de sécurité
   • La sécurité programmatique de Java EE

   Exemples de travaux pratiques (à titre indicatif)

   • Mise en place d'une PKI
   • Création d'un formulaire d'authentification

   Jour 2 - Après-midi

   Tester les failles d'une application

   • Anatomie d'une faille applicative
   • Présentation de l'OWASP et de ses projets
   • Les Security Cheat Sheets
   • Le Top 10
   • Les guides de l'OWASP (Test Guide, Dev Guide...)
   • L'ASVS (Application Security Verification Standard)
   • Les grandes familles de vulnérabilités
   • Les CVE (Common Vulnerabilities and Exposures)
   • Les CWE (Common Weakness Enumerations)
   • Le scoring CVSS (Common Vulnerability Scoring System)

   Exemples de travaux pratiques (à titre indicatif)

   • Installation de WebGoat et ESAPI
   • Estimation de la vunérabilité d'un produit commercial
   • Exploitation :
   • D'une injection d'entête HTTP
   • D'une injection SQL
   • D'une Cross-Site Scripting
   • D'une Cross-Site Request Forgery
   • D'une Server-Side Request Forgery
   • D'un vol de session
   • D'une désérialisation
   • D'une référence directe à un objet

   Jour 3 - Matin

   La sécurité du code externe

   • Le cas des librairies
   • Le cas des API
   • La sécurité dans les API JDBC, JNDI, JTA, JMS et JCA

   La sécurité des WebServices

   • La sécurité des WebServices SOAP
   • Utilisation de WS-Security avec WSS4J et XWSS
   • Utilisation de WS-Policy
   • La sécurité des WebServices REST
   • Utilisation de JAX-RS
   • Utilisation de OAuth 1.0 et 2.0

   Jour 3 - Après-midi

   Mettre en place du Secure Code

   • Durcir son application avec l'OWASP ASVS et l'OWASP Dev Guide
   • Les bonnes pratiques de sécurisation du code
   • La protection du bytecode
   • Se protéger de la décompilation
   • L'obfuscation du code
   • Les descripteurs de déploiement XML
   • L'authentification des conteneurs Web et EJB
   • Les contrôles dynamiques
   • Faire des tests et des validations
   • Les tools des navigateurs
   • La capture via proxy
   • La capture via tcpdump ou Wireshark
   • Les tests avec Postman
   • Les vulnerability scanners
   • Le DAST (Dynamic Application Security Testing)
   • Le SAST (Static Application Security Testing)
   • Sonatype Nexus
   • Acunetix
   • Contrast Security
   • Filtrer les échanges
   • Les WAF (Web Application Firewalls)
   • Les IPS (Intrusion Prevention System) et les IDS (Intrusion Detection System)
   • Limiter l'exposition
   • Rôle des firewalls, proxies et DMZ

   Le contenu de ce programme peut faire l'objet d'adaptation selon les niveaux, prérequis et besoins des apprenants.

   
3. #

   M2i BOOST APRÈS VOTRE FORMATION

   Réactivation et consolidation des acquis en situation de travail

   • 30 jours d’accompagnement personnalisé sur myM2i inclus ^²
   • Ressources Boosters (Abonnement au M2i’Mag Soft Skills, formations offertes, invitations aux conférences d’actualité…)
   

1. ^¹ Les actions et les outils présentés dans ce programme le sont à titre indicatif et peuvent faire l’objet d'adaptation selon les niveaux, prérequis et besoins des apprenants. Les compétences clés de ce programme sont traitées à raison d'une compétence par demi-journée de formation.
2. ^² Sur myM2i, pendant 30 jours post-fin de formation, les apprenants disposent d’une messagerie sécurisée pour échanger, dans la limite de 4 sollicitations, avec leur formateur.