Sécurité des applications, services et serveurs web

Démarrage

• Définir les menaces contre vos atouts web
• Recueil de données sur la légalité et le droit à la vie privée

Bases de la sécurité

Modélisation de la sécurité web

• Le triangle CIA (Confidentialité, Intégrité et Disponibilité)
• Authentifications et autorisations

• Différentiation cryptographie à clé publique et à clé privée
• Vérification de l’intégrité des messages

Accroissement de la sécurité web

Configuration de la sécurité pour des services HTTP

• Gestion des mises à jour de logiciels
• Restriction des méthodes HTTP

• Obtention et installation de certificats de serveurs
• Mise en place de HTTPS sur le serveur web

• Configuration correcte des permissions
• Scanner pour détecter les changements du système de fichiers

Sécurité des applications web

Utilisation des ressources de l’OWASP

• Les dix principales vulnérabilités de l’OWASP
• Identification des risques dans la sécurité

• Déceler et empêcher les injections SQL
• Protection des références d’objets directs

• Protection contre le détournement de sessions
• Blocage de la falsification de requêtes inter–sites

• Messages d’erreurs édulcorés sur l’écran de l’utilisateur
• Gestion des erreurs de requêtes et sur les pages

• Établissement de limites de confiance
• Déceler et supprimer les menaces de XSS
• Exposer les dangers de la validation côté client
• Mettre en œuvre une validation des données côté serveur robuste avec les expressions régulières

Développement de la sécurité Ajax

Fonctionnalités Ajax

• Identification des éléments principaux d’Ajax
• Échange d’informations de façon asynchrone

• Gestion des interactions imprévisibles
• Identification de vulnérabilités Ajax

Sécurisation des services web XML

Diagnostic des vulnérabilités XML

• Repérage des balises non terminées et des dépassements de champs, révéler les faiblesses de services web

• Validation des saisies avec un schéma XML
• Chiffrement des échanges avec HTTPS
• Mise en œuvre d’un cadre de sécurité des services web

Scans d’applications pour identifier les faiblesses

Configuration et utilisation de scanners

• Recherche par motifs pour identifier les erreurs
• Découverte de vulnérabilités inconnues grâce au « fuzzing »

• Scans d’applications à distance
• Trouver les vulnérabilités dans les applications Web grâce aux outils de test d’intrusion de l’OWASP et de tiers

Bonnes pratiques pour la sécurité web

Adoption des normes

• Réduction des risques en mettant en œuvre des architectures éprouvées
• Gestion des données personnelles et financières

• Modélisation des menaces pour diminuer les risques
• Intégration d’applications à votre architecture réseau