Menaces, Attaques et Vulnérabilités
1. Menaces internes vs externes
Définition d'une menace
Une menace est toute circonstance ou événement pouvant potentiellement compromettre
la sécurité d’un système d'information, que ce soit par perte de confidentialité, d'intégrité
ou de disponibilité.
Menaces internes
Définition
Ce sont des menaces qui proviennent de l'intérieur de l'organisation, généralement par des
employés, sous-traitants ou partenaires ayant accès aux systèmes.
Exemples
➢ Un employé mécontent qui efface ou vole des données.
➢ Une erreur humaine (ex : configuration erronée d’un pare-feu).
➢ L’installation involontaire de logiciels malveillants via des supports amovibles.
Menaces externes
Définition
Ce sont des menaces provenant de l'extérieur de l'organisation, souvent perpétrées par des
cybercriminels, des groupes organisés, ou des États-nations.
Exemples
➢ Piratage d'un site web par des hackers.
➢ Lancement d’une attaque DDoS contre un serveur public.
➢ Campagne de phishing par email ciblant les employés.
2. Types d’attaques
Phishing (Hameçonnage)
Définition
Technique utilisée pour tromper les utilisateurs et les inciter à divulguer des informations
sensibles (identifiants, mots de passe, numéros de carte bancaire), généralement par email.
Exemple
Un employé reçoit un email semblant venir de la banque, l'invitant à "mettre à jour" ses
identifiants.
Ransomware (Rançongiciel)
Définition
Logiciel malveillant qui chiffre les données de la victime et exige une rançon en échange
de la clé de déchiffrement.
Exemple
L’attaque WannaCry (2017) a paralysé des hôpitaux et entreprises dans le monde entier.
DDoS (Distributed Denial of Service)
Définition
Attaque consistant à saturer un serveur ou un service web avec un grand nombre de
requêtes simultanées pour le rendre indisponible.
Exemple
Des sites web d’institutions financières rendus inaccessibles suite à des attaques DDoS
organisées.
MITM (Man-In-The-Middle)
Définition
Attaque où l’attaquant intercepte et peut modifier les communications entre deux parties
sans qu’elles ne s’en aperçoivent.
Exemple :
Une personne interceptant des communications entre un client et un site web bancaire via
un réseau Wi-Fi public compromis.
ARP Spoofing
Définition
Attaque sur un réseau local où un attaquant envoie de fausses adresses MAC à une
passerelle réseau pour intercepter ou rediriger le trafic.
Exemple
Un attaquant sur un réseau Wi-Fi d’entreprise usurpe l’adresse MAC du routeur pour
intercepter le trafic des utilisateurs.
3. Ingénierie sociale
Définition
L’ingénierie sociale est l’art de manipuler les personnes pour obtenir des informations
confidentielles ou les amener à réaliser des actions compromettantes.
Techniques courantes
➢ Prétexte (Pretexting) : inventer une fausse identité pour obtenir une
information.
➢ Phishing/spear phishing : emails ciblés trompeurs.
➢ Quid pro quo : proposer un avantage en échange d’un accès ou d’un mot de
passe.
➢ Tailgating : suivre un employé dans une zone sécurisée sans badge.
Exemple :
Un attaquant se faisant passer pour un technicien informatique demande à un employé ses
identifiants pour “mettre à jour son poste”.
4. Vulnérabilités logicielles (OWASP Top 10)
L’OWASP (Open Web Application Security Project) publie régulièrement une liste des 10
principales vulnérabilités de sécurité dans les applications web.
OWASP Top 10 (dernière version 2021)
Rang Vulnérabilité Définition Exemple
Un utilisateur accède aux
Accès non autorisé à des
A01 Broken Access Control données d’un autre utilisateur
ressources.
via URL.
Mauvaise gestion des Données sensibles non
A02 Cryptographic Failures
données sensibles. chiffrées.
Rang Vulnérabilité Définition Exemple
Exécution de code SQL injection, commande
A03 Injection
malveillant. système.
Failles structurelles dans Absence de validation
A04 Insecure Design
l’architecture. d'entrée dans la conception.
Interface d’administration
Security Mauvaise configuration
A05 exposée sans mot de passe
Misconfiguration des systèmes.
fort.
Vulnerable and Logiciels obsolètes avec Utilisation de jQuery
A06
Outdated Components failles connues. obsolète.
Identification and Authentification faible ou
A07 Mots de passe par défaut.
Authentication Failures absente.
Software and Data Absence de vérification
A08 Mises à jour non signées.
Integrity Failures d'intégrité.
Security Logging and Journaux insuffisants pour Aucune alerte sur tentative de
A09
Monitoring Failures détecter les attaques. connexion suspecte.
Serveur manipulé pour
Server-Side Request Appel d’URL interne mal
A10 accéder à des ressources
Forgery (SSRF) filtré.
internes.
Conclusion
Élément Importance
Menaces Permettent d’identifier les sources de risques (internes/externes).
Élément Importance
Illustrent les techniques concrètes utilisées pour exploiter les
Attaques
vulnérabilités.
Ingénierie Montre que la sécurité n’est pas qu’une affaire de technique mais aussi
sociale d’humain.
Soulignent la nécessité de tests, de mise à jour et de bonnes pratiques
Vulnérabilités
de codage.