Pourquoi un site de vente est-il attaqué ?
Une menace informatique est un danger qui pèse sur un système : un site, un téléphone, un réseau de lycée. Savoir qui attaque et pourquoi aide à choisir quoi protéger en premier.
Dans ce module, on apprend à défendre. Tu travailles seulement sur ta copie privée d'un lab, jamais sur un vrai site.
À la fin de cette leçon
Remarque
Je peux nommer les menaces qui pèsent sur un système et dire qui est derrière.
Mots clés
| Mot | Ce que ça veut dire |
|---|---|
| Menace | un danger qui peut faire du mal à un système |
| Attaquant | la personne ou le groupe qui est derrière une attaque |
| Confidentialité | seules les bonnes personnes peuvent lire les données |
| Intégrité | les données ne sont pas changées sans permission |
| Disponibilité | le système marche quand on en a besoin |
| Hameçonnage | un faux message qui pousse à donner un secret |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
La règle de ce module
Important
Tu attaques seulement ta propre copie privée du lab, et seulement parce que ton enseignant te le demande. Ne vise jamais un site ou une machine qui n'est pas à toi. Sans permission, c'est une infraction. On apprend l'attaque pour mieux défendre.
Que protège-t-on dans un système ?
On protège trois choses. La confidentialité : ton relevé de notes n'est lu que par toi et l'école.
L'intégrité : personne ne change ta note en douce. La disponibilité : le site marche le jour où tu en as besoin. Une attaque touche au moins une de ces trois choses.
Exemple : une boutique en ligne
| Ce qu'on protège | Dans une boutique | Si on le perd |
|---|---|---|
| Confidentialité | Les adresses et les achats des clients | Des inconnus lisent des données privées |
| Intégrité | Les prix et les commandes | Un article à 1 euro au lieu de 80 euros |
| Disponibilité | Le site pendant les soldes | Plus de ventes, des clients qui partent |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Quelles sont les menaces les plus courantes ?
Le hameçonnage (en anglais phishing) est un faux message qui imite une banque ou un colis. Le logiciel malveillant est un programme fait pour nuire. Le rançongiciel est un logiciel malveillant qui bloque tes fichiers contre de l'argent.
L'attaque par force brute essaie des mots de passe jusqu'à trouver le bon. Le déni de service envoie tant de demandes que le site ne répond plus. La fuite de données est la sortie de données qui devaient rester privées.
Une erreur fréquente
Attention
Beaucoup pensent qu'un attaquant est toujours un génie seul devant un écran noir. C'est faux. La plupart des attaques sont des messages bien écrits envoyés à des milliers de personnes. Il suffit qu'une seule clique.
Qui attaque, et pourquoi ?
Le criminel veut de l'argent : il vole des cartes bancaires ou bloque des fichiers. Le curieux veut voir s'il en est capable. L'activiste veut faire passer un message. Le salarié mécontent connaît déjà la maison.
Il y a aussi les erreurs : un élève qui envoie un fichier au mauvais groupe fait autant de dégâts qu'une attaque.
Exemple : qui veut quoi ?
| Qui | Ce qu'il veut | Exemple |
|---|---|---|
| Criminel | De l'argent | Un rançongiciel dans une mairie |
| Curieux | Un défi | Un lycéen qui teste un site sans permission |
| Activiste | Un message | Un site d'entreprise remplacé par un slogan |
| Salarié mécontent | Se venger | Un compte effacé avant de partir |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Avant de commencer
Remarque
Appuie sur Start the lab dans la barre en haut et attends que la boutique soit prête. La boutique s'appelle Juice Shop. Elle est faible exprès, et elle est à toi seul.
Demande à ta boutique si elle répond
curl -sI http://juice-shop:3000 | head -n 1Affichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Demande le code de la page de version
curl -s -o /dev/null -w "%{http_code}\n" http://juice-shop:3000/rest/admin/application-versionAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Que dit cette réponse sur la boutique ?
La boutique répond à toute demande du réseau, et elle donne même sa version sans qu'on se connecte. C'est utile à un attaquant : il cherche les failles connues de cette version.
Une défense simple : ne montrer que ce qui est nécessaire. Dans le lab, tu cherches ce que la boutique montre sans le vouloir.
Pour aller plus loin : le tableau des défauts
Ouvre la boutique avec Open et cherche, sans rien casser, la page du tableau des scores. Elle liste les défauts à trouver, du plus facile au plus difficile.
Choisis un défaut déjà vert ou facile et dis, avec les trois mots confidentialité, intégrité et disponibilité, ce qu'il met en danger.