Une formation au code sécurisé sur du code qui ressemble au vôtre
Des ateliers pour les développeurs sur les failles que nous trouvons en testant des applications : comment les reconnaître dans son propre code et les corriger durablement.
Présentation
Pourquoi une liste de règles ne suffit pas aux développeurs
La plupart des vulnérabilités n'ont rien d'exotique. Ce sont toujours les mêmes classes, par exemple l'injection, le contrôle d'accès défaillant et une gestion de session fragile, réécrites dans une nouvelle fonctionnalité par quelqu'un à qui l'on n'a jamais montré à quoi elles ressemblent dans son langage. Une liste de règles n'y change pas grand-chose. Voir la faille dans du code réaliste et la corriger soi-même, si.
Black Fox construit sa formation au développement sécurisé à partir de ce que nous trouvons en test d'intrusion et en revue de code. Nous l'adaptons aux langages et frameworks de vos équipes, pour que les exemples soient écrits dans un code que vos développeurs reconnaissent et que les corrections utilisent les outils de la stack qu'ils connaissent déjà.
La formation reste défensive du début à la fin. Les participants voient comment une faiblesse est exploitée seulement dans la mesure où cela aide à comprendre pourquoi elle compte. L'essentiel du temps va à la reconnaître, à la corriger et à écrire le test qui l'empêche de revenir.
À qui s'adresse ce service
Les équipes de développement qui construisent des applications web, des API ou des back-ends d'applications mobiles, les équipes dont les tests d'intrusion retrouvent sans cesse les mêmes classes de failles, les nouveaux arrivants dans une équipe technique, et les organisations dont le référentiel ou les clients attendent une formation régulière des développeurs au développement sécurisé, comme c'est courant dans les démarches PCI DSS et ISO/IEC 27001.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Classes de vulnérabilités courantes
Les failles derrière la plupart des constats réels, par exemple celles du Top 10 OWASP : entre autres l'injection, le contrôle d'accès défaillant, le cross-site scripting, la désérialisation non sûre et la falsification de requêtes côté serveur.
Authentification et sessions
Stockage des mots de passe, authentification multifacteur, jetons de session, cookies, réinitialisation de mot de passe et contrôles d'autorisation, avec les erreurs que nous voyons le plus souvent.
Traitement des entrées et sorties
Validation, requêtes paramétrées, encodage des sorties, téléversement de fichiers et analyse de données non fiables, avec les mécanismes sûrs que votre framework fournit déjà.
Dépendances et frameworks
Choisir et mettre à jour les bibliothèques, lire les avis de sécurité, gérer secrets et configuration, et utiliser les fonctions de sécurité des frameworks comme prévu plutôt que de les contourner.
Conception sécurisée et revue de code
Penser aux frontières de confiance et aux cas d'abus avant d'écrire le code, et des habitudes de revue qui repèrent les problèmes de sécurité dans les pull requests.
Écrire des tests de sécurité
Des tests unitaires et d'intégration qui vérifient le contrôle d'accès, le traitement des entrées et d'autres comportements de sécurité, pour qu'une faille corrigée le reste.
Déroulement de la mission
Lancement
Nous rencontrons vos responsables techniques, convenons du public, des sujets, du format et de la langue, et signons d'abord un accord de confidentialité si vous le souhaitez.
Adaptation
Nous examinons vos langages, vos frameworks et le type d'applications que vous développez, et adaptons les exemples et les exercices en conséquence.
Ateliers
Des sessions interactives en ligne ou sur site, en français, en anglais ou en allemand, qui alternent courtes explications et exercices pratiques sur du code réaliste.
Exercices
Les participants trouvent et corrigent des failles dans du code préparé dans votre stack, puis écrivent des tests qui prouvent que la correction tient.
Suivi
Une synthèse de ce qui a été couvert, des questions soulevées et des suggestions sur ce qu'il faut pratiquer ou approfondir ensuite.
Ce que vous recevez
- Plan de formation adapté à vos équipes et à votre stack
- Ateliers avec exercices sur du code réaliste
- Supports de formation et code d'exercice pour vos archives
- Feuilles de présence comme preuve d'audit
- Rapport de synthèse avec recommandations pour la suite
Questions
Quels langages et frameworks couvrez-vous ?
Nous adaptons la formation à votre stack, par exemple Java et Spring, C# et ASP.NET Core, Python et Django, JavaScript ou TypeScript avec Node.js et React, PHP ou Go. Dites-nous ce qu'utilisent vos équipes et nous vous confirmerons ce que nous pouvons couvrir.
Est-ce la même chose que votre formation DevSecOps ?
Non. La formation au développement sécurisé porte sur le code que les développeurs écrivent et relisent. La formation DevSecOps traite de la sécurité dans la chaîne CI/CD et le processus de livraison. Les deux peuvent être combinées.
Les développeurs apprendront-ils à attaquer des systèmes ?
Seulement dans la mesure où cela les aide à comprendre une faille dans leur propre code. L'accent est mis sur la reconnaissance des faiblesses, leur correction et le test de la correction, pas sur l'attaque de systèmes qui ne leur appartiennent pas.
Pouvez-vous utiliser notre propre code dans les exercices ?
Oui, si vous le souhaitez, sous accord de confidentialité et avec un accès que vous contrôlez. Sinon, nous utilisons du code préparé dans vos langages et frameworks.
Services associés
- Conseil et réponseFormation DevSecOpsFormation DevSecOps pratique par Black Fox Security : sécurité CI/CD, infrastructure as code, conteneurs, cloud, chaîne d'approvisionnement, secrets, menaces.
- Conseil et réponseDevSecOps et développement sécuriséDevSecOps avec Black Fox Security : cycle de développement sécurisé, modélisation des menaces, revue de code, sécurité CI/CD, dépendances, secrets et formation.
- Sécurité offensiveTests d'intrusionTests d'intrusion par Black Fox Security : boîte noire, grise ou blanche sur un périmètre convenu, rapports métier et technique, et contre-test de vos correctifs.
- Conseil et réponseFormation à l'hygiène numériqueFormation pratique à l'hygiène numérique par Black Fox Security : mots de passe, MFA, hameçonnage, mises à jour, données et télétravail, adaptée à vos outils.
Corrigez la faille avant qu'elle ne soit écrite
Dites-nous quels langages utilisent vos équipes et ce qu'ont trouvé vos derniers tests. Nous vous proposerons une formation adaptée à votre code.