Intro à la Cyber
Pourquoi ce cours ?
Chaque séance s'appuie sur un cas réel ou une manipulation concrète (une fuite de données, un email de phishing, une faille volontairement laissée dans une application), jamais sur de la théorie abstraite livrée sans contexte.
Le Bloc 3 est une compétence évaluée à l'examen, à l'épreuve U7.
🖥️ Introduction à la Cybersécurité
Comment l'année est organisée
Aucune notion nouvelle n'est jamais utilisée avant d'avoir été vue ailleurs dans l'année : chaque séance s'ancre sur ce que vous savez déjà faire (shell Linux dès la semaine 1, PHP et SQL à partir de la 2e moitié de l'année, Git...).
La progression suit 5 grandes étapes :
| Étape | Semaines | Contenu |
|---|---|---|
| Sensibilisation | 1 à 5 | Mots de passe, phishing, droits Linux : les premiers réflexes concrets |
| Identité & bonnes pratiques | 6 à 10 | Identité numérique, secrets dans Git, ingénierie sociale |
| Sécurité applicative & infrastructure | 11 à 20 | Injection SQL, XSS, CSRF côté SLAM ; pare-feu, VPN, sauvegardes côté SISR |
| Attaques & réponse | 21 à 26 | Référentiels OWASP/ANSSI, attaques réseau, détection d'intrusion |
| Audit & synthèse | 27 à 30 | Audit complet d'une application ou d'un serveur, rapport d'audit, bilan |
Le programme
Certaines séances portent un tag (CEJMA) après leur titre.
CEJMA signifie Culture Économique, Juridique et Managériale Appliquée : ce tag signale une séance qui aborde le droit, l'économie ou le management d'une cyberattaque (RGPD/CNIL, charte informatique, preuve électronique, obligations légales, conséquences économiques, plan de continuité d'activité, privacy by design, légalité d'un test d'intrusion...), par opposition aux séances purement techniques.
12 séances sur 60 sont concernées, certaines semaines ayant leurs deux séances marquées, d'autres une seule, la plupart aucune.
| Séance SLAM (2h) | Séance SISR (2h) | |
|---|---|---|
| 1 | Une fuite de données, c'est quoi concrètement ? (CEJMA) | Votre premier geste de sécurité : créer un mot de passe fort et unique, avec le terminal Linux |
| 2 | Qui a le droit de voir vos données personnelles ? Découvrir la CNIL et le RGPD à travers un cas concret (CEJMA) | Reconnaître un email de phishing : atelier pratique sur des cas réels |
| 3 | La charte informatique de l'établissement : que dit-elle, et pourquoi existe-t-elle ? (CEJMA) | Sécuriser sa session Linux : droits utilisateur, chmod, chown, premiers réflexes |
| 4 | Qu'est-ce qu'une donnée à caractère personnel ? Recenser les traitements d'une petite organisation (CEJMA) | Gérer les comptes utilisateurs sous Linux : useradd, passwd, groupes et privilèges |
| 5 | Les conséquences d'une fuite de données : obligations de notification et sanctions de la CNIL (CEJMA) | Le principe du moindre privilège : pourquoi ne jamais travailler en administrateur/root |
| 6 | Son identité numérique professionnelle : ce que l'on expose, ce que l'on protège | Les variables d'environnement contiennent-elles des secrets ? Ne jamais exposer un mot de passe |
| 7 | Git et les secrets : pourquoi un mot de passe commité ne disparaît jamais vraiment | Mettre à jour un système Linux : pourquoi une faille connue est une porte grande ouverte |
| 8 | Usurpation d'identité numérique : protéger l'identité d'une organisation (nom de domaine, réseaux sociaux, emails) (CEJMA) | La preuve électronique : comment un journal système (log) devient une preuve recevable (CEJMA) |
| 9 | Atelier : auditer un dépôt Git à la recherche de secrets oubliés (clé API, mot de passe en clair) | Découvrir le pare-feu : filtrer les connexions entrantes/sortantes sur un serveur Linux |
| 10 | Les menaces qui ciblent un utilisateur : ingénierie sociale, hameçonnage ciblé, rançongiciel (CEJMA) | Sauvegarder pour survivre : plan de sauvegarde, test de restauration, règle 3-2-1 |
| 11 | Un formulaire PHP sans protection : que peut-il se passer ? (démonstration guidée) | Comprendre un scan de ports : ce qu'un attaquant voit de votre serveur en premier |
| 12 | Valider et filtrer les données reçues d'un formulaire PHP : la première ligne de défense | Segmenter un réseau : pourquoi tous les équipements ne doivent pas être sur le même sous-réseau |
| 13 | Stocker un mot de passe en PHP : pourquoi jamais en clair, découvrir password_hash() | Le VPN : chiffrer une connexion à distance, mise en place guidée |
| 14 | Sessions et cookies PHP : les sécuriser contre le vol de session | Durcir un service exposé : désactiver ce qui n'est pas utilisé, changer les réglages par défaut |
| 15 | Atelier : construire un formulaire de connexion PHP sécurisé, de bout en bout | Les attaques par déni de service (DoS/DDoS) : comprendre le principe et les contre-mesures de base |
| 16 | L'injection SQL : comprendre l'attaque la plus classique du Web, en conditions contrôlées | Protéger une base de données côté serveur : compte dédié, droits restreints, jamais en root |
| 17 | Se protéger de l'injection SQL : les requêtes préparées en PHP | Audit des comptes et des droits : qui a accès à quoi sur le serveur, et pourquoi |
| 18 | Atelier : exploiter puis corriger une injection SQL sur une application volontairement vulnérable | Chiffrer les données au repos et en transit : principes et mise en œuvre simple (HTTPS, disque chiffré) |
| 19 | Les droits d'accès à une base de données applicative : le moindre privilège appliqué au SQL | Surveiller un serveur : consulter et comprendre les journaux système (logs) |
| 20 | Protéger les données personnelles stockées en base : anonymisation et pseudonymisation (CEJMA) | Détecter une activité suspecte dans des journaux système : atelier pratique |
| 21 | Qu'est-ce qu'un référentiel de sécurité pour une application ? Découvrir l'OWASP | Qu'est-ce qu'un référentiel de sécurité pour une infrastructure ? Découvrir les recommandations de l'ANSSI |
| 22 | Le Cross-Site Scripting (XSS) : comprendre l'injection côté navigateur et s'en protéger | Les attaques réseau courantes : écoute (sniffing), usurpation d'adresse, interception de trafic |
| 23 | Le Cross-Site Request Forgery (CSRF) : comprendre l'attaque et s'en protéger avec un jeton | Détection d'intrusion : premiers pas avec un IDS |
| 24 | Sécuriser une API : authentification, limitation de débit, exposition minimale des données | Plan de continuité et de reprise d'activité (PCA/PRA) : que faire si le serveur tombe en panne ? (CEJMA) |
| 25 | Audit de code : relire une application pour y trouver les failles avant qu'un attaquant ne le fasse | Réagir à un incident de sécurité : détecter, contenir, analyser, corriger |
| 26 | Sécuriser les échanges entre applications : HTTPS, clés d'API, confidentialité des données transmises | Veille sur les vulnérabilités : CVE, bulletins de sécurité, comment rester informé |
| 27 | La sécurité dès la conception (privacy by design, security by default) : concevoir une application sécurisée dès le départ (CEJMA) | Introduction au test d'intrusion : découvrir Kali Linux et une démarche de test responsable (CEJMA) |
| 28 | Atelier : auditer et sécuriser une petite application PHP/SQL volontairement vulnérable | Atelier : auditer et sécuriser un petit serveur Linux volontairement vulnérable |
| 29 | Rédiger un rapport d'audit de sécurité applicative : structurer, prioriser, recommander | Rédiger un rapport d'audit de sécurité d'infrastructure : structurer, prioriser, recommander |
| 30 | Bilan de l'année : les réflexes de cybersécurité à vie, du développeur au citoyen numérique | Bilan de l'année : les réflexes de cybersécurité à vie, de l'administrateur système au citoyen numérique |
Vos deux outils de travail
Ce cours s'appuie sur deux outils complémentaires, à avoir en permanence :
Le site, pour pratiquer
Chaque séance de ce site propose un TP guidé, un quiz de vérification, et un corrigé détaillé. Le site est mis à jour en continu (cas réels récents, outils actuels, référentiel en vigueur), mais il ne remplace pas une révision hors connexion.
Le manuel papier, obligatoire
Chaque étudiant doit se procurer le livre « Cybersécurité BTS SIO 1re année (2024) » (Patrice Dignan, Jérôme Parra, Jean-Pierre Souvanne, éditions Delagrave, ISBN 978-2-206-11088-2), disponible chez l'éditeur : editions-delagrave.fr.
Ce manuel sert de référence structurée et imprimée (situations professionnelles détaillées, utilisable sans connexion, y compris pendant un examen) : il vient en complément de ce site, pas à sa place. En cours, les deux sont utilisés ensemble : le site pour pratiquer, le livre pour structurer et réviser.