| Les deux révisions précédentes
Révision précédente
Prochaine révision
|
Révision précédente
Prochaine révision
Les deux révisions suivantes
|
enseignement:tiw4 [2016/04/01 13:06]
rthion [Évaluation] |
enseignement:tiw4 [2019/09/11 11:05]
rthion |
| ===== TIW4 2015-2016: Sécurité des systèmes d'information ===== | ===== TIW4 2019-2020: Sécurité des systèmes d'information ===== |
| |
| L'unité d'enseignement TIW4 2015-2016 ([[http://offre-de-formations.univ-lyon1.fr/front_fiche_ue.php?UE_ID=9543&PARCOURS_ID=156|odf]]) est une introduction à la sécurité du système d'information qui a pour objectif de sensibiliser les étudiants à la sécurité informatique et à la protection de la vie privée. Sur les plans techniques et méthodologique, les étudiants acquerront des bases sur l'analyse de risques, la cryptographie, les vulnérabilités web et la gestion des autorisations. | L'unité d'enseignement TIW4 ([[http://offre-de-formations.univ-lyon1.fr///front_fiche_ue.php?UE_ID=9543&PARCOURS_ID=345|odf]]) est une introduction à la sécurité du système d'information qui a pour objectif de sensibiliser les étudiants à la sécurité informatique. Sur les plans techniques et méthodologique, les étudiants acquerront des bases sur l'analyse de risques, la cryptographie, l'authentification, les vulnérabilités web et la gestion des autorisations. |
| ==== Programme ==== | ==== Programme ==== |
| |
| Retrouvez l'emploi du temps sur [[http://master-info.univ-lyon1.fr/M2TI/#planning|le site du M2TI]]. Les enseignements seront sur le mode des cours intégrés, sans distinctions entre les séances de CM et celles de TD. | Retrouvez l'emploi du temps sur [[http://master-info.univ-lyon1.fr/M2TIW/#planning|le site du M2TIW]]. |
| |
| ^ Thématique ^ Séance ^^ Diapos ^ Exercices ^ CC ^ | * 11/09 - 3h - [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM0-Introduction.pdf|Introduction à la sécurité]] et [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM2-Chiffre.pdf|Introduction à la cryptographie]] |
| ^ ::: | * 18/09 - 3h - [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM2-Chiffre.pdf|Introduction à la cryptographie]] (authentification) |
| ^ Introduction | 16/09 | 13h30-16h45 - C4 | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM0-Introduction.pdf|introduction]] [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM1-AnalyseDeRisques.pdf|analyse de risques EBIOS]] | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD1.pdf|TD 1]] | | * 09/10 - 1h + 3h - TP Authentification (partie 1) |
| ^ ::: | * 16/10 - 3h + 1h - TP Authentification (partie 2) |
| ^ Cryptographie | 23/09 | 13h30-17h15 - C4 | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM2-Chiffre.pdf|cryptographie et applications]] [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/Exemples/|exemples]] | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD2.pdf|TD 2]] | | * 06/11 - 1h30 - CC1 ? |
| ^ ::: | 07/10 | 13h30-17h15 - C4 | ::: | ::: | | * 13/11 - 3h - |
| ^ ::: | * 04/12 - 3h - |
| ^ Vie privée | 14/10 | 13h30-17h15 - C4 | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM3-Privacy.pdf|introduction à la protection de la vie privée]] | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD3.pdf|TD 3]] [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TD3_decisions_CNIL/|CNIL]]| **CC1**| | * 11/12 - 3h - |
| ^ ::: | * 08/01 - 1h30 - Vulnérabilité |
| ^ Vulnérabilités | 28/10 | 13h30-17h15 - C4 | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM4-Vuln.pdf|vulnérabilités logicielles et web]] | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD4.pdf|TD 4]] | | * 14/01 - 1h + 2h - TP PenTest |
| ^ ::: | 04/11 | 13h30-18h00 - TP7 | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TP-Seed.pdf|TP sur les vulnérabilités web]] | | **Rapport**| | * 15/01 - 3h + 1h - TP PenTest |
| ^ ::: | ::: | 13h30-18h00 - TP8 | ::: | ::: |::: | | * 05/02 - 3h |
| ^ ::: | ::: | 13h30-18h00 - TP11| ::: | ::: |::: | | * 12/02 - 1h30 |
| ^ ::: | * 04/03 - Examen |
| ^ Autorisations | 18/11 | 13h30-17h15 - C5| [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-CM5-Autorisations.pdf|gestion des autorisations]] | [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD5.pdf|TD5]] | **CC2** | | |
| ^ ::: | 25/11 | 13h30-17h15 - C5 | ::: | :::| | |
| ^ ::: | |
| ^ Conclusion | 14/12 |13h30-15h30 - C4| débriefing et révisions | | |
| ^ ::: | 16/12 | 13h30-15h30 - C2 | contrôle final (1h30) | | **CCF**| | |
| |
| |
| | <note>Le [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD-Book.pdf|livret des exercices]]</note> |
| | |
| | |
| | <note>**Consignes de rendu pour HTTPS et authentification ** |
| | |
| | La plate-forme de TP "HTTPS et authentification" sera évaluée en 2 parties : |
| | |
| | - un test sur table le 14/11/2018 comprenant une partie QCM et une partie ouverte comptant pour environ 2/3 de la note du TP; |
| | - une évaluation de l'appli d'authentification pour environ 1/3 de la note du TP à rendre pour le 18/11/2018 23h59. |
| | |
| | Une cellule tomuss "Depot_ZIP_PHP" a été ouverte pour déposer un .zip comprenant toute l'application d'authentification (code php, script bd). |
| | |
| | Le serveur 192.168.239.xx attribué à votre binôme doit être fonctionnel à compter du 19/11/2018 (votre accès à la VM sera supprimé). |
| | **Vous devrez créer un compte nommé "evaluation" mot de passe "evaluation" avec les privilèges sudoers sur votre serveur pour les besoins de l'évaluation.** |
| |
| <note tip> | |
| [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/TIW4-TD-correction.zip|Corrections des sujets de TD]] (mot de passe donnée en cours). | |
| </note> | </note> |
| |
| ==== Évaluation ==== | |
| |
| * <del>20%</del> 22% : Contrôle continu 1 | |
| * <del>20%</del> 22% : Contrôle continu 2 | |
| * <del>26%</del> 22% : Compte-rendu de TP | |
| * <del>33%</del> 34% : Contrôle continu final | |
| * Présence du 25/11/15 : bonus/malus -0.5 (ABI), 0 (PRES), jusqu'à +0.5 (PRES et exercice fait) | |
| |
| //Les modalités de contrôle imposent que le CCF ait un poids de 1 et le contrôle continu un poids de 2// | <note>**Consignes de rendu pour BlackOps ** |
| | |
| | Une machine 192.168.239.xx a été attribuée à votre binôme du TP1 dans la case Tomuss **IP_VM_TP_2**. Une Kali est disponible à l'IP 192.168.239.30 (root/etudiant) |
| | |
| | Pour le 03/03/19, vous rendrez une **synthèse d'au plus 4 pages** de pen-test (hors annexe) à déposer au format PDF dans la case idoine de Tomuss. |
| | Le sujet fourni est là pour vous guider dans l’identification des vulnérabilités et des solutions, les points qui vous sont demandés dans le sujet constituent les annexes du rapport. |
| | |
| | La partie synthèse comprendra une conclusion à l'attention des décideurs et surtout le tableau (exhaustif) des vulnérabilités trouvées. |
| | Ce tableau constituera l'essentiel de la synthèse, il est imaginé dans l'esprit de la section 1.6 de [[https://github.com/radicallyopensecurity/templates/blob/master/sample-report/REP_SittingDuck-pentestreport-v10.pdf|ce rapport]]. |
| | Vous devez rédiger ce rapport dans l'idée qu'un décideur n'en lira que le début et que l'annexe est destinée à la DSI. |
| | La DSI fera une proposition au décideur de remédiation à partir de votre travail. |
| | |
| | |
| | Pour décrire une vulnérabilité on attend //au moins// les informations suivantes : |
| | * une évaluation du risque (faible, moyen, fort), |
| | * une référence OWASP et/ou CWE |
| | * une courte description de la vulnérabilité |
| | * une courte description de l'impact |
| | * une preuve de concept de l'exploit (avec une référence vers l'annexe) |
| | * une proposition de remédiation (avec une référence vers l'annexe) |
| | |
| | |
| | </note> |
| | |
| | ==== Évaluation ==== |
| | |
| | * Contrôle continu : 2/3 |
| | * TP HTTPS et authentification : 24/11 |
| | * TP Vulnérabilités BlackOps : TBD |
| | * Contrôle intermédiaire : 24/11 |
| | * Contrôle final : 1/3 |
| |
| ==== Informations complémentaires ==== | ==== Informations complémentaires ==== |
| |
| * [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/Annales/|dossier des annales]] (CCF 2010 à 2013, CC1 et CC2 2013). Nota : les exercices du CCF sont généralement intégrés dans les sujets de TD de l'année suivante. | * [[http://liris.cnrs.fr/romuald.thion/files/Enseignement/TIW4/Annales/|dossier des annales]] |
| | * Projet de référence sur la sécurité [[https://www.owasp.org/index.php/Main_Page|OWASP]] |
| * cours de cryptographie de [[http://crypto.stanford.edu/~dabo/|Dan Boneh]] sur [[https://class.coursera.org/crypto-preview|coursera]] | * cours de cryptographie de [[http://crypto.stanford.edu/~dabo/|Dan Boneh]] sur [[https://class.coursera.org/crypto-preview|coursera]] |
| *// “...no one can hack my mind”: Comparing Expert and Non-Expert Security Practices// un [[https://www.usenix.org/system/files/conference/soups2015/soups15-paper-ion.pdf|article de recherche]] sur la perception de la sécurité selon l'expertise | *// “...no one can hack my mind”: Comparing Expert and Non-Expert Security Practices// un [[https://www.usenix.org/system/files/conference/soups2015/soups15-paper-ion.pdf|article de recherche]] sur la perception de la sécurité selon l'expertise |
| * [[https://www.cs.utexas.edu/~byoung/cs361/syllabus361.html|Introduction to Computer Security, Bill Young]] | * [[https://www.cs.utexas.edu/~byoung/cs361/syllabus361.html|Introduction to Computer Security, Bill Young]] |
