Formation DevSecOps : Détecter, trier et corriger les vulnérabilités applicatives dans le code et les composants logiciels

Introduction au DevSecOps

• Définition et origine : comprendre ce qu'est DevSecOps et comment il évolue à partir des pratiques de DevOps
• Principes clés : examiner les principes fondamentaux du DevSecOps, comme l'intégration de la sécurité dès le début du cycle de développement
• Avantages : discuter des avantages du DevSecOps, notamment la réduction des risques et l'amélioration de la qualité du logiciel

Intégration de la sécurité dans le cycle de développement

• Sécurité dès la conception : souligner l'importance d'intégrer la sécurité dès les premières phases de la conception
• Outils et automatisation : présenter les outils couramment utilisés pour automatiser les tests de sécurité dans les pipelines CI/CD
• Collaboration Interfonctionnelle : expliquer comment la collaboration entre les développeurs, les opérations et les équipes de sécurité est essentielle pour réussir le DevSecOps

Rappel sur OWASP Top 10

• Introduction au projet OWASP Top 10, qui répertorie les 10 risques de sécurité les plus critiques pour les applications web. Brève histoire de l'OWASP Top 10 et comment il a évolué au fil des ans pour répondre aux nouvelles menaces.
• Les risques de sécurité du Top 10 : Injection SQL, XSS, et autres vulnérabilités : discussion détaillée sur des vulnérabilités courantes comme les injections SQL et les attaques par cross-site scripting (XSS)
• Exemples et études de Cas : analyse d'exemples réels d'attaques et de vulnérabilités pour illustrer comment elles se produisent et leurs impacts

Prévention et mitigation

• Stratégies de prévention : conseils sur les meilleures pratiques pour prévenir chaque risque listé dans l'OWASP Top 10
• Outils et ressources : présentation d'outils et de ressources utiles pour détecter et atténuer les vulnérabilités

Application de l’OWASP Top 10 dans le cadre DevSecOps

• Intégration dans les pipelines CI/CD : comment intégrer la vérification des vulnérabilités du Top 10 dans les pipelines de développement continu
• Formation et sensibilisation des Équipes : l'importance de former et de sensibiliser les équipes de développement et de sécurité aux risques du Top 10 et aux meilleures pratiques pour les éviter

Comprendre les vulnérabilités dans le code source

• Types de vulnérabilités : exploration des différentes catégories de vulnérabilités dans le code
• Exemples et analyse de Code : présentation d'exemples concrets de code vulnérable et analyse de pourquoi et comment ces vulnérabilités se produisent
• Utilisation de code source Sûr : discussion sur les pratiques de développement sécurisé, incluant la rédaction de code propre et sécurisé

Outils pour détecter les vulnérabilités

• Scanners de vulnérabilités statiques (SAST) : introduction aux outils SAST, leur fonctionnement, et comment les intégrer dans le processus de développement
• Scanners de vulnérabilités dynamiques (DAST) : présentation des outils DAST, leur rôle dans la détection des vulnérabilités au sein d'applications en cours d'exécution
• Démos et tutoriels : démonstrations pratiques de l'utilisation de ces outils pour identifier les vulnérabilités

Triage des vulnérabilités

• Priorisation des risques : enseigner comment évaluer et prioriser les vulnérabilités en fonction de leur gravité et de leur impact potentiel (calcul de CVSS dans ses différentes versions)
• Gestion des faux positifs : stratégies pour gérer efficacement les faux positifs souvent générés par les outils de scan de sécurité
• Communication et collaboration : importance de la communication entre les équipes de développement et de sécurité pour un triage efficace des vulnérabilités

Comprendre la gravité et l'impact des vulnérabilités

• Évaluation des risques : introduction aux méthodes d'évaluation des risques associés aux vulnérabilités, y compris la gravité, l'exploitabilité, et l'impact
• Frameworks d'évaluation : présentation de cadres d'évaluation standard, tels que le Common Vulnerability Scoring System (CVSS), pour classer et prioriser les vulnérabilités

Stratégies de priorisation des vulnérabilités

• Critères de priorisation : discussion sur les critères à considérer pour prioriser les vulnérabilités, comme l'exposition, la criticité des systèmes affectés, et la facilité d'exploitation
• Planification de la réponse : comment élaborer des plans d'action pour traiter les vulnérabilités en fonction de leur priorité

Gestion des vulnérabilités

• Processus de gestion des vulnérabilités : établir un processus systématique pour la gestion des vulnérabilités, de la détection à la résolution
• Outils de gestion des vulnérabilités : examiner les outils et plateformes disponibles pour aider à la gestion et au suivi des vulnérabilités

Correction des vulnérabilités

• Techniques de correction : techniques et meilleures pratiques pour corriger efficacement les vulnérabilités, y compris la réécriture du code, la mise à jour des dépendances et la configuration de la sécurité
• Tests de non-régression : l'importance des tests post-correction pour s'assurer que les vulnérabilités sont entièrement résolues et que de nouvelles failles n'ont pas été introduites

Documentation et rapports

• Documentation des vulnérabilités et des corrections : l'importance d'une documentation détaillée pour la traçabilité et la conformité
• Rapports de sécurité : créer des rapports de sécurité efficaces pour communiquer les problèmes de vulnérabilités et les actions correctives aux parties prenantes

Intégration de la sécurité dans le cycle de vie du développement

• Développement sécurisé (Secure Coding) : approfondir les principes du développement sécurisé et comment ils s'intègrent dans le cycle de vie du développement logiciel
• Sécurité en tant que culture : encourager une culture de la sécurité au sein des équipes de développement, opérations et sécurité

Outils et technologies de sécurité dans DevSecOps

• Automatisation de la sécurité : présentation des outils et technologies pour automatiser la sécurité dans les pipelines CI/CD
• Sélection et mise en œuvre d'outils : conseils pour choisir et implémenter efficacement les outils de sécurité dans le cadre DevSecOps (par exemple génération de SBOM)

Patterns/Anti-Patterns, meilleures pratiques de sécurité

• Sécurité par conception : approfondir les concepts de "Security by Design" et leur application pratique
• Gestion des secrets : stratégies pour la gestion sécurisée des secrets, comme les clés API et les mots de passe

Monitoring et réponse aux incidents

• Surveillance en continu : techniques pour la surveillance continue de la sécurité des applications
• Planification et réponse aux incidents : établir des plans de réponse aux incidents de sécurité et pratiquer des simulations d'incident

Conformité et normes de sécurité

• Conformité réglementaire : discussion sur les exigences de conformité liées à la sécurité des applications (comme RGPD, LPM, NIST, DORA …)
• Normes et framework : introduction aux normes de sécurité reconnues et à leur application dans le cadre de DevSecOps