HSC   Mode texte : accès au contenu de la page
Hervé Schauer Consultants
Vous êtes ici : Accueil > Formations > Réalisation pratique des Tests d'Intrusion
Accéder au : Site HSC généraliste
Télécharger le catalogue des formations
Recherche :  
English version
   Formations Présentielles   
o Planning des formations
o Organismes de certifications
o Labels des formations
o Certifications et qualifications d'HSC
o Formations universitaires
   E-learning   
o Le E-learning HSC
o La norme ISO 27001
o Programmation sécurisée en PHP
   Contacts   
o Coordonnées
o Requêtes particulières
o Accès à nos locaux
o Hôtels proches de nos locaux
   HSC est certifié OPQF   
logo OPQF
|>|Réalisation pratique des Tests d'Intrusion  
Formations Présentielles
Voir aussi...
o Organisation des formations
o Planning des formations inter-entreprises
o Tests d'intrusion
o Tests de vulnérabilités (TSAR)
o Thème actualité
o Thème avis de sécurité
o Newsletter HSC
o Comment nous demander une prestation
o Objectifs
o Durée
o Formateur(s)
o Public visé et prérequis
o Méthode pédagogique
o Cours associés
o Support
o Plan
o Modalités d'inscription

Dates des prochaines sessions :
- Pas de session au cours des prochains mois
Dates soumises à modification sans préavis. Les sessions n'auront lieu que si le nombre d'inscrits est suffisant.
L'intérêt des tests d'intrusion pour évaluer la sécurité d'un système informatique n'est aujourd'hui plus à démontrer :

  • Ils permettent de découvrir des vulnérabilités majeures (et parfois triviales à exploiter) que les scanners de vulnérabilités ne voient pas toujours.
  • Ils montrent comment un attaquant peut progresser au sein du réseau ciblé, en tirant parti de vulnérabilités dans des systèmes peu protégés pour compromettre par rebond des systèmes critiques.
  • Par rapport à un audit de configuration, ils mettent plus facilement l'accent sur les vulnérabilités réellement exploitables par les attaquants.
  • Ils sont le moyen le plus convaincant de mettre la sécurité d'un système informatique "à l'épreuve des faits".
  • Enfin, ils permettent de répondre aux exigences de nombreuses normes qui recommandent ou imposent d'en réaliser régulièrement (par exemple les chapitres 15.2.2 et 12.6.1 de la norme ISO 27002 ou le standard PCI-DSS).
Cependant, pour être efficaces, les tests d'intrusion nécessitent de la part de l'auditeur une réelle méthodologie et la maîtrise des principales techniques d'attaques sur les systèmes entrant dans le périmètre de l'intrusion.


Objectifs

La formation proposée par HSC permet à chaque stagiaire d'apprendre et de mettre en pratique les techniques d'intrusion les plus récentes sur les principales technologies du marché (systèmes d'exploitation, bases de données, applications Web, etc.). La formation se veut pragmatique : chaque stagiaire dispose d'un ordinateur pour réaliser les travaux pratiques utilisant les techniques enseignées sur des plates-formes de tests du laboratoire HSC.


Durée

5 jours.


Formateur(s)

Entre 2 et 3 consultants parmi :


Public visé et prérequis

Cette formation s'adresse :

  • aux experts en sécurité, consultants ou auditeurs internes dont le rôle est de vérifier la sécurité des systèmes informatiques ;
  • aux administrateurs systèmes ou réseaux, chefs de projets, ou responsables sécurité voulant mieux comprendre les techniques des attaquants pour ainsi mieux sécuriser leurs systèmes.
Les participants doivent avoir une expérience dans l'utilisation des systèmes Windows et UNIX/Linux et une bonne connaissance des principaux protocoles de la suite TCP/IP. Des connaissances dans l'administration de bases de données ainsi que dans le développement d'application Web sont un plus mais ne sont pas indispensables.


Méthode pédagogique

Chaque phase du processus d'intrusion est présentée et illustrée par des démonstrations. Durant chaque module, chaque stagiaire dispose d'un PC pour mettre en pratique les techniques enseignées sur des plates-formes de tests du laboratoire HSC.
L'objectif étant de permettre aux stagiaires d'évaluer rapidement les risques que court un système informatique face à une intrusion externe, une large place est laissée dans la formation à l'expérimentation et à l'utilisation des outils et techniques d'intrusion.
Chaque stagiaire reçoit les supports papiers de formation ainsi qu'une clé USB contenant des documents de référence et les outils utilisés lors de la formation (quand ceux-ci ne sont pas disponibles sur le Web).


Cours associés

Les autres cours techniques HSC permettent d'approfondir les risques et les actions de sécurisation à mener sur les technologies abordées dans le cours de tests d'intrusion.

On pourra citer entre autre :

  • Sécurité des serveurs et applications web
  • Sécurité Windows
  • Sécurité Unix et Linux
  • Sécurité des réseaux et des transmissions


Support

Support de cours et annexes associées.


Plan

Jour 1 :

  • Introduction aux tests d'intrusion
    • présentation de l'architecture des travaux pratiques
    • méthodologie des tests d'intrusion
    • préparation et gestion d'un test d'intrusion
    • législation et déontologie
  • Découverte réseau et qualification des cibles
    • rappels TCP/IP
    • astuces de sécurité protocolaire
    • découverte/fuite d'information
    • analyse de l'environnement
    • génération de paquets
    • scan de port
    • présentation de Nessus
  • Travaux pratiques
    • fuite d'information
    • génération de paquets
    • scan réseau
    • scan de vulnérabilités
  • Attaques réseau
    • écoute du réseau local
    • attaque des interfaces d'administration
    • attaque "Man-in-the-middle"/ARP spoofing
    • attaque des routeurs
    • tunneling
  • Travaux pratiques
    • écoute réseau / ARP spoofing
    • compromission de routeurs
    • contournement de pare-feu

Jour 2 :

  • Intrusion sur les applications Web
    • infrastructure Web
    • rappels HTTP
    • prise d'empreinte
    • recherche de vulnérabilités dans l'infrastructure
    • présentation des webshells
    • injection de code SQL, de commande, inclusion de fichier
    • attaque de l'authentification
    • attaque de la session
    • XSS et CSRF
  • Travaux pratiques
    • exploitation de faille d'infrastructure
    • déploiement de webshell
    • exploitation d'injection SQL
    • exploitation de XSS
    • injection de commande
    • cas pratique final

Jour 3 :

  • Découverte des mots de passe
    • généralités
    • génération des empreintes
    • méthodes et outils de cassage d'empreinte
  • Travaux pratiques
    • cassage d'empreintes diverses
  • Utilisation de Metasploit
    • présentation du framework
    • méthodologie d'intrusion avec Metasploit
    • aperçu des débordements de mémoire
    • présentation de Meterpreter
  • Travaux pratiques
    • exploitation avec Metasploit
    • utilisation de Meterpreter
  • Intrusion sur les bases de données
    • introduction et rappels SQL
    • intrusion MySQL
    • intrusion SQL Server
    • intrusion Oracle
  • Travaux pratiques
    • intrusion MySQL
    • intrusion SQL Server
    • intrusion Oracle

Jour 4 :

  • Intrusion sur les systèmes Windows
    • identification des machines et des services
    • récupération d'information à distance/sessions nulles
    • récupération d'information locales
    • authentification sous Windows et récupération des empreintes
    • attaque hors ligne
    • élévation de privilège
  • Travaux pratiques
    • prise d'information/utilisation des sessions nulles
    • récupération et utilisation d'accréditation
    • attaque hors-ligne
    • cas pratique final

Jour 5 :

  • Intrusion sur les postes clients
    • évolution des menaces
    • prise d'empreinte des logiciels
    • attaque et prise de contrôle d'un poste client
    • pillage et rebond
  • Travaux pratiques
    • prise d'empreintes de navigateurs
    • attaque de postes client
  • Intrusion sur les systèmes UNIX / Linux
    • sécurité sous Unix/Linux
    • sortir de la cage
    • attaque par le réseau
    • attaque locale
  • Travaux pratiques
    • tunneling SSH
    • cas pratique final


Modalités d'inscription

Pour toute inscription aux formations HSC, contactez notre service formation par téléphone au (33)1 41 40 97 04 ou par courriel à formations@hsc.fr, en nous transmettant les noms et prénoms des stagiaires, votre adresse postale et le numéro de TVA intra-communautaire de votre société. Ces renseignements permettent d'établir la convention de formation.
La convention de formation est à retourner signée, tamponnée et accompagnée d'un bon de commande de votre organisme, au plus tard 6 jours ouvrés avant la formation. Le bon de commande doit indiquer votre adresse de facturation et nos conditions de règlement : 30 jours nets date d'émission de facture, envoyée après la formation.
L'inscription est confirmée dès la réception de ces deux documents.

Cours inter-entreprises ou intra sur demande.

Dernière modification le 9 mai 2012 à 17:46:04 CET - webmaster@hsc.fr
Mentions légales - Informations sur ce serveur - © 1989-2013 Hervé Schauer Consultants