Affiche : Développement & chaîne logicielle

Rubrique · 33 pages · 5 sous-sections

Développement & chaîne logicielle

Là où le code devient une surface d'attaque, et la dépendance un vecteur.

Sécurité applicative

8 pages

Revue de code, tests SAST et DAST, modélisation STRIDE et grandes familles de failles applicatives.

• Formats, bibliothèques et API : rendre la crypto utilisable
• Comment lire un rapport OWASP Top 10
• Comment revoir le code de sécurité au-delà du linter
• Comment bloquer les requêtes côté serveur et la désérialisation
• Intégrer SAST, DAST et IAST dans une CI/CD
• Threat modeling STRIDE avant écrire le code
• Culture de sécurité dans une équipe produit
• PSIRT et divulgation coordonnée des vulnérabilités produit sous CRA

Web & API

4 pages

Jetons JSON signés ou chiffrés, cookies de session et contrats d’API conçus avant le code.

• JWS : signer et sécuriser vos échanges JSON avec JSON Web Signature
• JWE : chiffrer les données JSON avec JSON Web Encryption
• Attributs du cookie de session
• Sécuriser un contrat API-first dès la conception

Usine logicielle

9 pages

Dépôts Git, pipelines, permissions, secrets et postes de développeurs : la chaîne qui mène le code en production.

• Git, CI et versions
• Promouvoir un artefact entre environnements
• Comptes de service Git à révoquer réellement
• Durcir les postes de développeurs contre le vol de code et secrets
• Prévenir les secrets codés en dur dans Git
• Sécuriser les secrets et permissions CI/CD
• Sécuriser un monorepo avec des permissions fines
• Protéger les branches Git et permissions entreprise

+ 1 pageReplier

• Sécuriser les postes développeurs avec secrets de production

Dépendances & chaîne d’approvisionnement

7 pages

Dépendances transitives, SBOM, images de base, signatures et builds reproductibles : tout ce qu’on exécute sans l’avoir écrit.

• Sécuriser les mises à jour automatiques de dépendances et semver
• Maîtriser le risque des dépendances transitives (npm, pip, Maven, Go)
• Images Docker de base et confiance héritée
• SBOM pour inventorier les composants réellement exécutés
• Signer commits et artefacts contre quelles attaques
• Pourquoi les builds reproductibles échouent souvent
• SLSA : niveaux Build, provenance in-toto et vérification

Langages

5 pages

L’histoire des langages de programmation, leurs inventeurs et ce que leur choix change pour la sécurité.

• Langages informatiques : histoire, inventeurs et usages
• Python pour l'automatisation défensive, usages et garde-fous
• Écrire des scripts Bash système fiables et sûrs en production
• JavaScript et SQL côté web, ce qu'il faut savoir des deux langages
• Écrire un outil jetable proprement, sans faille ni dette

Par où commencer

1. 1Sécurité applicative

   Écrire du code qui résiste

2. 2Web & API

   Protéger les échanges entre services

3. 3Usine logicielle

   Sécuriser la route vers la production

4. 4Dépendances & chaîne d’approvisionnement

   Maîtriser le code des autres

← Toutes les affiches