Ce Côté labo a pour objectif d’exploiter la plateforme d’apprentissage Mutillidae du groupe OWASP (OpenWeb Application Security Project) afin de se familiariser avec les principales vulnérabilités des applications Web.

Chaque activité couvre une problématique spécifique (SQLi, XSS, CSRF…) en référence au top 10 des vulnérabilités décrites par l’OWASP.

Dans un premier temps, l’étudiant doit comprendre le mécanisme des attaques.

Dans un deuxième temps, l’objectif est de réaliser des défis à travers des manipulations pratiques.

Cette huitième activité concerne les problématiques liées aux falsifications de requêtes côté serveur(SSRF – Server Side Request Forgery). Cette vulnérabilité a fait son entrée en 10ème position dans le dernier classement OWASP.

Ce Côté labo a pour objectif d'exploiter la plateforme d'apprentissage Mutillidae du groupe OWASP (OpenWeb Application Security Project) afin de se familiariser avec les principales vulnérabilités des applications Web. Chaque activité couvre une problématique spécifique (SQLi, XSS, CSRF…) en référence au top 10 des vulnérabilités décrites par l'OWASP.
Dans un premier temps, l'étudiant doit réaliser les attaques associées à chaque vulnérabilité.
Dans un deuxième temps, l’objectif est d’analyser et de comprendre les codes sources des scripts présentés dans leur forme non sécurisée puis sécurisée en tant que contre-mesure.

Cette septième activité concerne les problématiques liées à l’absence ou à la mauvaise configuration des protocoles de chiffrement. Cette vulnérabilité est en deuxième position dans le dernier classement du top 10 du groupe OWASP.

Ce Côté labo a pour objectif d’exploiter la plateforme d’apprentissage Mutillidae du groupe OWASP (OpenWeb Application Security Project) afin de se familiariser avec les principales vulnérabilités des applications Web.
Chaque activité couvre une problématique spécifique (SQLi, XSS, CSRF…) en référence au top 10 des vulnérabilités décrites par l’OWASP.
Dans un premier temps, l’étudiant doit réaliser les attaques associées à chaque vulnérabilité.
Dans un deuxième temps, l’objectif est d’analyser et de comprendre les codes sources des scripts présentés dans leur forme non sécurisée puis sécurisée en tant que contre-mesure.
Cette sixième activité concerne l’inclusion de fichiers locaux et distants. Cette faille arrive en 5ième position dans le classement OWASP 2017.

La première activité présente pas-à-pas l’installation du logiciel de conteneurisation Docker dans un environnement Linux (distribution Ubuntu) et la création d’un premier conteneur avec le client Docker.

• PodEduc – Présentation du Labo 1 CICD Docker Git Jenkins (education.fr)

La seconde séquence permet de se familiariser avec les commandes de base de l’outil de gestion de versions Git qui pourraient être utilisées dans le cadre d’un projet pour réaliser le suivi des modifications effectuées au cours du développement d’une application logicielle : sélection des fichiers à suivre, validation des modifications, gestion de branches, …. 

• PodEduc – Présentation du Labo 2 CICD Docker Git Jenkins (education.fr)

La troisième activité permet de pratiquer l’intégration continue d’application à travers l’outil Jenkins. Les labs proposés permettent de créer des builds et de les lancer manuellement ou de manière automatisée en exploitant des webhooks.

• PodEduc – Présentation du Labo 3 CICD Docker Git Jenkins (education.fr)

Voir le webinaire de présentation du labo du 16 février 2024 

Découvrir la programmation graphique type No-Code ou Low-Code avec une implémentation de concepts essentiels.

Dans un premier temps, les étudiants sont amenés à étudier les différences entre la gestion d’un réseau à partir de l’interface en ligne de commande (CLI) et l’utilisation d’un contrôleur de réseau défini par logiciel (SDN).

Dans un deuxième temps, ils utiliseront le contrôleur réseau de Packet Tracer et la documentation de l’API associée pour envoyer des requêtes REST à partir de Postman et de Visual Studio Code (VS Code).

Ce Côté labo a pour objectif d’exploiter la plateforme d’apprentissage Mutillidae du groupe OWASP (OpenWeb Application Security Project) afin de se familiariser avec les principales vulnérabilités des applications Web.
Chaque activité couvre une problématique spécifique (SQLi, XSS, CSRF…) en référence au top 10 des vulnérabilités décrites par l’OWASP.
Dans un premier temps, l’étudiant doit réaliser les attaques associées à chaque vulnérabilité.
Dans un deuxième temps, l’objectif est d’analyser et de comprendre les codes sources des scripts présentés dans leur forme non sécurisée puis sécurisée en tant que contre-mesure.
Cette cinquième activité traite des vulnérabilités de type XXE (XML External Entities). Cette faille arrive en 5ᵉ position dans le classement OWASP 2021.

Fiches pratiques de travaux en laboratoire permettant d’exploiter la distribution Kali Linux dans le cadre du bloc 3 sur la cybersécurité.

Une fiche est commune aux deux options puis chaque option dispose de deux fiches spécifiques.

Principes didactiques retenus pour le scénario

Le référentiel du BTS SIO est désormais organisé en blocs de compétences afin de suivre les préconisations de la loi n° 2014-288 du 5 mars 2014 sur la formation professionnelle réaffirmées par la loi pour la liberté de choisir son avenir professionnel de 2018. Ainsi, à chaque bloc de compétences professionnel correspond une finalité métier et des compétences évaluées dans une seule épreuve. Il est ainsi possible pour un étudiant de choisir de se former à une ou plusieurs finalités métier constitutives du diplôme.

Afin de donner du sens aux apprentissages, les étudiants doivent se sentir en situation de prendre en charge des missions significatives du métier préparé. La stratégie adoptée ici consiste à leur proposer un scénario pédagogique qui les place dans un contexte professionnel où les compétences du référentiel vont être sollicitées. Dans leur « entreprise d’apprentissage », ils ont ainsi le rôle de collaborateurs en charge de la cybersécurité des services informatiques.

Structure du scénario pédagogique

La compétence globale « Assurer la cybersécurité d’une solution applicative et de son développement » est composée de plusieurs séquences, elles-mêmes composées de séances.

Une séquence permet d’accomplir une mission pour le compte d’une organisation cliente.  L’accomplissement de cette mission permet de travailler une ou plusieurs des compétences détaillées en mobilisant les savoirs associés. Des prérequis et des transversalités peuvent être précisés pour pouvoir suivre la séquence et faire des liens avec d’autres séquences. Une séquence est composée de séances.
 
Une séance correspond à un travail précis à réaliser, les ressources données ou à rechercher ainsi que les résultats attendus sont précisés. La réalisation de l’ensemble des tâches permet d’accomplir la mission confiée par l’organisation prestataire pour le compte d’une organisation cliente.