Côté Labo

Les supports pédagogiques présentés ici proposent une démarche pédagogique pour aborder un thème donné à partir d'une réalisation concrète. Une argumentation est systématiquement proposée pour justifier la progression retenue et explorer les difficultés potentielles, les limites, les prolongements possibles.

Voici une description rapide des côtés Labo proposés jusqu'à présent, cliquez sur l'intitulé pour afficher une présentation détaillée :

Public Intitulé Présentation
BTS SIO OWASP - Activité 6 : Inclusion de fichiers locaux et distants

Ce Côté labo a pour objectif d'exploiter la plateforme d'apprentissage Mutillidae du groupe OWASP (OpenWeb Application Security Project) afin de se familiariser avec les principales vulnérabilités des applications Web.
Chaque activité couvre une problématique spécifique (SQLi, XSS, CSRF…) en référence au top 10 des vulnérabilités décrites par l'OWASP.
Dans un premier temps, l'étudiant doit réaliser les attaques associées à chaque vulnérabilité.
Dans un deuxième temps, l’objectif est d’analyser et de comprendre les codes sources des scripts présentés dans leur forme non sécurisée puis sécurisée en tant que contre-mesure.
Cette sixième activité concerne l’inclusion de fichiers locaux et distants. Cette faille arrive en 5ième position dans le classement OWASP 2017.

BTS SIO OWASP - Activité 7: Défauts de configurations de chiffrement

Ce Côté labo a pour objectif d'exploiter la plateforme d'apprentissage Mutillidae du groupe OWASP (OpenWeb Application Security Project) afin de se familiariser avec les principales vulnérabilités des applications Web. Chaque activité couvre une problématique spécifique (SQLi, XSS, CSRF…) en référence au top 10 des vulnérabilités décrites par l'OWASP.
Dans un premier temps, l'étudiant doit réaliser les attaques associées à chaque vulnérabilité.
Dans un deuxième temps, l’objectif est d’analyser et de comprendre les codes sources des scripts présentés dans leur forme non sécurisée puis sécurisée en tant que contre-mesure.

Cette septième activité concerne les problématiques liées à l’absence ou à la mauvaise configuration des protocoles de chiffrement. Cette vulnérabilité est en deuxième position dans le dernier classement du top 10 du groupe OWASP.

BTS SIO Mise en œuvre d’un équipement de gestion unifiée des menaces informatiques

Activités en laboratoire du bloc 3 Cybersécurité spécialité SISR concernant la mise en place d’un équipement de gestion unifiée des menaces informatiques dans un contexte plus large.

Cet ensemble d’activités lié au bloc 3 Cybersécurité spécialité SISR a pour but d’immerger les étudiants dans un contexte spécifique nommé CUB. Ils devront dans un premier temps remobiliser des compétences techniques acquises dans le bloc 2 afin de déployer la maquette qui leur est proposée : Segmentation réseau, VLAN, 802.1q, routage, routage inter-VLAN, DHCP, DNS, HTTP, HTTPS, Contrôleur de domaine Windows. Puis dans un second temps, acquérir des compétences spécifiques au bloc 3 à travers la mise en place d’un équipement de gestion unifiée des menaces informatiques.

Il s'agit ici d'un pare-feu Stormshield Network Security (SNS) et nous recommandons l’utilisation de la version 4.3.x du firmware SNS (future version LTS) lors de la réalisation de ces activités.

BTS SIO Labo CI/CD Docker Git Jenkins

La première activité présente pas-à-pas l’installation du logiciel de conteneurisation Docker dans un environnement Linux (distribution Ubuntu) et la création d’un premier conteneur avec le client Docker.

La seconde séquence permet de se familiariser avec les commandes de base de l’outil de gestion de versions Git qui pourraient être utilisées dans le cadre d’un projet pour réaliser le suivi des modifications effectuées au cours du développement d’une application logicielle : sélection des fichiers à suivre, validation des modifications, gestion de branches, …. 

La troisième activité permet de pratiquer l’intégration continue d’application à travers l’outil Jenkins. Les labs proposés permettent de créer des builds et de les lancer manuellement ou de manière automatisée en exploitant des webhooks.

Voir le webinaire de présentation du labo du 16 février 2024 

BTS SIO Utilisation de la distribution Kali dans le cadre du bloc 3 sur la cybersécurité avec les laboratoires sur Docker (v3)

Activités en laboratoire permettant d’exploiter la distribution Kali Linux dans le cadre du bloc 3 sur la cybersécurité.
Deux laboratoires composés de conteneurs Docker sont fournis.

Les activités suivantes utilisant ces laboratoires sont proposées :

  • Activité 1 : attaque MITM d’un service SSH et mise en place de contre-mesures
  • Activité 2 : attaque MITM d’un service HTTP et mise en place de contre-mesures
  • Activité 3 : attaque de type injection SQL et mise en place de contre-mesures
  • Activité 4 : attaque par ingénierie sociale (hameçonnage associé à du typosquattage)
  • Activité 5 : exploitation d’une faille applicative du service FTP via l’outil « Metasploit »
  • Activité 6 : analyse des failles de sécurité avec Nessus
  • Activité 7 : attaque de type DNS SPOOFING et propositions de contre-mesures

Les activités peuvent se traiter de manière indépendante. La progression proposée peut donc être modifiée et adaptée en fonction des outils disponibles et des spécificités de chaque établissement.
Les professeurs peuvent reprendre en l’état ces activités ou les modifier pour les intégrer dans leurs travaux en laboratoire.

D’autres activités ont vocation à être ajoutées.

BTS SIO Utilisation de la distribution Kali dans le cadre du bloc 3 sur la cybersécurité v2 + MITM

Activités en laboratoire permettant d’exploiter la distribution Kali Linux dans le cadre du bloc 3 sur la cybersécurité.
Deux laboratoires composés de machines virtuelles sur VirtualBox sont fournis (connexion requise) ↓↓ .

Les activités suivantes utilisant ces laboratoires sont proposées :

  • Activité 1 : attaque MITM d’un service SSH et mise en place de contre-mesures
  • Activité 2 : attaque MITM d’un service HTTP et mise en place de contre-mesures
  • Activité 3 : attaque de type injection SQL et mise en place de contre-mesures
  • Activité 4 : attaque par ingénierie sociale (hameçonnage associé à du typosquattage)
  • Activité 5 : exploitation d’une faille applicative du service FTP via l’outil « Metasploit »
  • Activité 6 : analyse des failles de sécurité avec Nessus
  • Activité 7 : attaque de type DNS SPOOFING et propositions de contre-mesures

Les activités peuvent se traiter de manière indépendante. La progression proposée peut donc être modifiée et adaptée en fonction des outils disponibles et des spécificités de chaque établissement.
Les professeurs peuvent reprendre en l’état ces activités ou les modifier pour les intégrer dans leurs travaux en laboratoire.

D’autres activités ont vocation à être ajoutées.

BTS SIO OWASP - Activité 5 : Sécurisation des applications web

Ce Côté labo a pour objectif d’exploiter la plateforme d’apprentissage Mutillidae du groupe OWASP (OpenWeb Application Security Project) afin de se familiariser avec les principales vulnérabilités des applications Web.
Chaque activité couvre une problématique spécifique (SQLi, XSS, CSRF…) en référence au top 10 des vulnérabilités décrites par l'OWASP.
Dans un premier temps, l’étudiant doit réaliser les attaques associées à chaque vulnérabilité.
Dans un deuxième temps, l’objectif est d’analyser et de comprendre les codes sources des scripts présentés dans leur forme non sécurisée puis sécurisée en tant que contre-mesure.
Cette cinquième activité traite des vulnérabilités de type XXE (XML External Entities). Cette faille arrive en 5ᵉ position dans le classement OWASP 2021.

SIG Système d'information de gestion, BTS SIO, Autres BTS tertiaires Mise en conformité au RGPD d'un site de vente en ligne

Ce TP demande aux étudiants de travailler en groupe sur la mise en conformité au RGPD du site internet d'une librairie en ligne fourni avec le TP. La mission 1 porte sur une mise en conformité minimale, qui pourrait concerner tout site web. La mission 2 suppose que ce site traite des données sensibles et amène à développer une gestion des risques plus approfondie à travers une AIPD (analyse d'impact relative à la protection des données personnelles) à l'aide du logiciel spécifique mis à disposition par la CNIL (PIA). Le TP vient avec un ensemble de ressources : fiches savoirs, fiche méthode, dont l'intérêt peut dépasser le TP lui-même et des ressources spécifiques au TP.

BTS SIO Attaque MITM d’un service SSH et mise en place de contre-mesures

Après avoir remobilisé les savoirs fondamentaux en matière de cryptographie, ce TP permet de mettre en évidence certaines vulnérabilités du service SSH. À travers l’exploitation de ces vulnérabilités, l’étudiant sera amené à approfondir le fonctionnement de certains protocoles réseaux et de certaines attaques informatiques puis à mettre en place des contre-mesures visant à améliorer son hygiène numérique et ses pratiques professionnelles.

Première STMG Aux jardins Fleury

Cette ressource permet aux élèves, placés dans le contexte d’une organisation, de découvrir les diverses contributions du numérique à l’agilité organisationnelle et faciliter l’émergence de l’intelligence collective.

Idéalement les élèves doivent travailler sur un poste de travail, seuls ou en binômes.

Durées indicatives

  • Partie 1 : 30 mn
  • Partie 2 : 45 mn
  • Partie 3 : 15 mn
  • Partie 4 : 10 mn

La ressource peut être utilisée de façon à découvrir les notions qui y sont abordées ou bien comme une première illustration dans la séquence pédagogique de l’enseignant.

La ressource applique les préconisations du programme à savoir l’articulation entre l’observation, l’analyse, la conceptualisation et l’interprétation au travers d’un cas d’organisation dont les besoins ont été simplifiés.

La mobilisation des outils et ressources d’environnements numériques sont indispensables dans ce thème où, particulièrement, les technologies sont au cœur des transformations.

Aspects didactiques

Si la plupart des questions peuvent être traitées individuellement par les élèves, certaines questions peuvent être traitées en binôme ou en groupe.

Le contexte peut être démarré grâce au dialogueur (chatbot) en ligne qui permettra de présenter le cas et d’une façon plus générale, les interactions possibles : http://bacstmg.fr/chatbot/ (l’élève doit préciser sa classe pour accéder au cas).

Comprendre les enjeux d’un outil par l’utilisation de celui-ci peut s’avérer plus efficace et davantage stimulant pour les élèves. Il est alors possible pour l’enseignant de récupérer les réponses de ses élèves. Il suffit que ce dernier l’accepte explicitement (validation via le dialogueur) et renseigne l’adresse courriel de son enseignant. Un courriel sera automatiquement envoyé en fin de parcours.

Afin de faciliter la compréhension, le terme de dialogueur sera utilisé alternativement avec son équivalent anglais de chatbot (que l’on retrouve dans les articles de presse et chez les prestataires). On trouve également l’expression « agent conversationnel » qui permet d’induire l’idée d’intelligence artificielle sous-jacente.

Pages