Formation OWASP Top 10 2025

A01:2025 - Contrôle d'accès défectueux
A02:2025 - Mauvaise configuration de la sécurité
A03:2025 - Défaillances de la chaîne d'approvisionnement logicielle
A04:2025 - Défaillances cryptographiques
A05:2025 - Injection
A06:2025 - Conception non sécurisée
A07:2025 - Défaillances d'authentification
A08:2025 - Défaillances d'intégrité logicielle ou des données
A09:2025 - Défaillances de journalisation et d'alertes de sécurité
A10:2025 - Gestion inappropriée des conditions exceptionnelles

A01:2025 Contrôle d'accès défectueux - Le contrôle d'accès applique une politique qui empêche les utilisateurs d'agir en dehors de leurs permissions prévues. Les défaillances entraînent généralement une divulgation non autorisée d'informations, la modification ou la destruction de toutes les données, ou l'exécution de fonctions métier au-delà des limites de l'utilisateur.

A02:2025 Mauvaise configuration de la sécurité - La mauvaise configuration de la sécurité se produit lorsqu'un système, une application ou un service cloud est configuré incorrectement d'un point de vue de la sécurité, créant ainsi des vulnérabilités.

A03:2025 Défaillances de la chaîne d'approvisionnement logicielle - Les défaillances de la chaîne d'approvisionnement logicielle sont des dysfonctionnements ou autres compromissions dans le processus de construction, de distribution ou de mise à jour des logiciels. Elles sont souvent causées par des vulnérabilités ou des modifications malveillantes dans le code tiers, les outils ou d'autres dépendances dont le système dépend.

A04:2025 Défaillances cryptographiques - En général, toutes les données en transit doivent être chiffrées au niveau de la couche de transport (couche 4 de l'OSI). Les obstacles précédents, tels que les performances du CPU et la gestion des clés privées/certificats, sont désormais gérés par des CPU dotés d'instructions conçues pour accélérer le chiffrement (par ex. : prise en charge de l'AES) et par une simplification de la gestion des clés privées et des certificats grâce à des services comme LetsEncrypt.org, les grands fournisseurs de cloud offrant des services de gestion des certificats encore plus étroitement intégrés pour leurs plateformes spécifiques. Outre la sécurisation de la couche de transport, il est important de déterminer quelles données nécessitent un chiffrement au repos ainsi que quelles données nécessitent un chiffrement supplémentaire en transit (au niveau de la couche application, couche 7 de l'OSI). Par exemple, les mots de passe, les numéros de cartes de crédit, les dossiers médicaux, les informations personnelles et les secrets d'affaires nécessitent une protection supplémentaire, en particulier si ces données relèvent des lois sur la vie privée, par exemple le Règlement général sur la protection des données (RGPD) de l'UE, ou des réglementations telles que le Standard de sécurité des données de l'industrie des cartes de paiement (PCI DSS).

A05:2025 Injection - Une vulnérabilité d'injection est un défaut du système qui permet à un attaquant d'insérer du code ou des commandes malveillantes (tels que du code SQL ou shell) dans les champs de saisie d'un programme, trompant le système pour qu'il exécute le code ou les commandes comme s'ils faisaient partie intégrante du système. Cela peut entraîner des conséquences désastreuses.

A06:2025 Conception non sécurisée - La conception non sécurisée est une catégorie large représentant différentes faiblesses, exprimées sous la forme de « conception de contrôles manquants ou inefficaces ». La conception non sécurisée n'est pas la source de toutes les autres catégories de risques du Top Ten. Il y a une différence entre la conception non sécurisée et la mise en œuvre non sécurisée. Nous distinguons les défauts de conception et les défauts de mise en œuvre pour une raison : ils ont des causes racines différentes, se produisent à des moments différents du processus de développement et ont des méthodes de remédiation différentes. Une conception sécurisée peut toujours avoir des défauts de mise en œuvre menant à des vulnérabilités exploitables. Une conception non sécurisée ne peut pas être corrigée par une mise en œuvre parfaite car les contrôles de sécurité nécessaires n'ont jamais été créés pour se défendre contre des attaques spécifiques. L'un des facteurs qui contribuent à la conception non sécurisée est le manque de profilage des risques métier inhérent au logiciel ou au système en cours de développement, et donc l'échec à déterminer quel niveau de conception de sécurité est requis.

A07:2025 Défaillances d'authentification - Lorsqu'un attaquant parvient à tromper un système pour qu'il reconnaisse un utilisateur invalide ou incorrect comme légitime, cette vulnérabilité est présente.

A08:2025 Défaillances d'intégrité logicielle ou des données - Les défaillances d'intégrité logicielle et des données concernent le code et l'infrastructure qui ne protègent pas contre le traitement de code ou de données invalides ou non fiables comme étant fiables et valides. Un exemple de cela est lorsqu'une application repose sur des plugins, des bibliothèques ou des modules de sources non fiables, de dépôts et de réseaux de distribution de contenu (CDN). Un pipeline CI/CD non sécurisé sans consommation et fourniture de contrôles d'intégrité logicielle peut introduire le potentiel d'accès non autorisé, de code non sécurisé ou malveillant, ou de compromission du système. Un autre exemple de cela est un CI/CD qui récupère du code ou des artefacts de lieux non fiables et/ou ne les vérifie pas avant utilisation (en vérifiant la signature ou un mécanisme similaire).

A09:2025 Défaillances de journalisation et d'alertes de sécurité - Sans journalisation et surveillance, les attaques et les violations ne peuvent pas être détectées, et sans alertes, il est très difficile de répondre rapidement et efficacement lors d'un incident de sécurité. Une journalisation insuffisante, une surveillance continue, une détection et des alertes pour initier des réponses actives se produisent à tout moment

A10:2025 Gestion inappropriée des conditions exceptionnelles - La mauvaise gestion des conditions exceptionnelles dans les logiciels se produit lorsque les programmes échouent à prévenir, détecter et répondre à des situations inhabituelles et imprévisibles, ce qui entraîne des plantages, des comportements inattendus et parfois des vulnérabilités. Cela peut impliquer l'un ou plusieurs des 3 échecs suivants ; l'application n'empêche pas la situation inhabituelle de se produire, elle n'identifie pas la situation lorsqu'elle se produit, et/ou elle répond mal ou pas du tout à la situation par la suite.

Nous discuterons et présenterons des aspects pratiques de :

Contrôle d'accès défectueux
- Exemples pratiques de contrôles d'accès défectueux
- Contrôles d'accès sécurisés et meilleures pratiques

Mauvaise configuration de la sécurité
- Exemples concrets de mauvaises configurations
- Étapes pour prévenir les mauvaises configurations, y compris les outils de gestion de configuration et d'automatisation

Défaillances cryptographiques
- Analyse détaillée des défaillances cryptographiques telles que les algorithmes de chiffrement faibles ou la gestion inappropriée des clés
- Importance des mécanismes cryptographiques robustes, des protocoles sécurisés (SSL/TLS) et des exemples de cryptographie moderne dans la sécurité web

Attaques par injection
- Décryptage détaillé des injections SQL, NoSQL, OS et LDAP
- Techniques d'atténuation utilisant des instructions préparées, des requêtes paramétrées et l'échappement des entrées

Conception non sécurisée
- Nous explorerons les défauts de conception pouvant conduire à des vulnérabilités, comme la validation inappropriée des entrées
- Nous étudierons les stratégies pour une architecture sécurisée et les principes de conception sécurisée

Défaillances d'authentification
- Problèmes d'authentification courants
- Stratégies d'authentification sécurisées, comme l'authentification multi-facteurs et la gestion appropriée des sessions

Défaillances d'intégrité logicielle et des données
- Accent sur des problèmes tels que les mises à jour logicielles non fiables et la falsification des données
- Mécanismes de mise à jour sécurisés et contrôles d'intégrité des données

Défaillances de journalisation et de surveillance de sécurité
- Importance de la journalisation des informations pertinentes pour la sécurité et de la surveillance des activités suspectes
- Outils et pratiques pour une journalisation appropriée et une surveillance en temps réel pour détecter les violations tôt