École Privée d’Ingénierie du Niger — L’école du nouveau monde

✉ elearning@epiniger.edu.ne    🌐 epiniger.edu.ne

EPI e-Learning

L'école du nouveau monde · Plateforme e-Learning

Unité d’enseignement : Master MCS · S2 · UE4 — Sécurité des systèmes d’exploitation et des applications

  • Sécurité des applications web et mobiles

    Ce cours forme à la sécurité des applications web et mobiles, cibles privilégiées des attaquants car elles exposent directement la logique métier et les données (banque en ligne, mobile money, portails administratifs). Dans une approche défensive et « secure by design », il présente la modélisation des menaces (STRIDE), les référentiels OWASP, les vulnérabilités courantes et surtout leurs contre-mesures de codage sûr, la sécurité mobile (stockage, communications, authentification, API, chiffrement), et les méthodes de test (SAST, DAST, SCA) intégrées au cycle de développement. Un atelier guidé de codage sûr, réalisé sur les machines de l’étudiant, met les principes en pratique.

    Objectifs d’apprentissage

    • Modéliser les menaces d’une application (STRIDE) et poser des exigences de sécurité.
    • Comprendre les vulnérabilités web courantes et leurs contre-mesures structurelles.
    • Sécuriser les applications mobiles : stockage, communications, authentification, chiffrement.
    • Concevoir des API sûres (contrôle d’accès objet et fonction, validation, limitation de débit).
    • Choisir et combiner les méthodes de test de sécurité applicative.
    • Intégrer la sécurité au cycle de développement (Secure SDLC, DevSecOps).

    Prérequis

    Connaissances en développement d’applications web et mobiles, notions de bases de données et de réseaux, sécurité informatique de base.

    Plan du cours

    1. Leçon 1 — Modèle de menaces, OWASP et développement sécurisé
    2. Leçon 2 — Vulnérabilités web et codage sûr
    3. Leçon 3 — Sécurité mobile, authentification, API et chiffrement
    4. Leçon 4 — Tests de sécurité, atelier de codage sûr et DevSecOps

    Modalités d’évaluation

    Volume horaire : CM 30 h, TD 10 h, TP 0 h, TPE 40 h (4 crédits). Contrôle continu (TD, atelier de codage sûr noté sur grille, études de cas de contre-mesures) et examen terminal (modélisation de menaces, choix de contre-mesures, priorisation de constats). L’atelier se réalise sur les machines de l’étudiant, en environnement isolé.

    Bibliographie

    • OWASP, Top 10, API Security Top 10, ASVS, MASVS.
    • OWASP, Web Security Testing Guide (WSTG) et Mobile Application Security Testing Guide (MASTG).
    • Stuttard, D. & Pinto, M. The Web Application Hacker’s Handbook, Wiley.
    • NIST, SP 800-218 — Secure Software Development Framework (SSDF).

  • Sécurisation des systèmes d’exploitation

    Ce cours forme à la sécurisation des systèmes d’exploitation Windows et Linux, socle de toute infrastructure. Après avoir posé le modèle de sécurité d’un OS (comptes, privilèges, contrôle d’accès, isolation), il détaille les mesures de durcissement pratiques : stratégies de comptes, UAC et BitLocker sous Windows ; permissions, SELinux/AppArmor et pare-feu sous Linux ; puis la gestion des correctifs, les indicateurs de durcissement, l’audit et la surveillance. L’approche est défensive et opérationnelle, illustrée par des cas de parcs bancaires et administratifs nigériens, avec des exercices guidés et vérifiables.

    Objectifs d’apprentissage

    • Comprendre le modèle de sécurité d’un système d’exploitation.
    • Identifier les vulnérabilités courantes et réduire la surface d’attaque.
    • Durcir Windows : stratégies, UAC, BitLocker, journalisation.
    • Durcir Linux : permissions, SELinux/AppArmor, pare-feu, accès distant.
    • Mettre en place une gestion des correctifs et des indicateurs de durcissement.
    • Auditer et surveiller la sécurité des systèmes dans la durée.

    Prérequis

    Connaissances en administration système (Windows et Linux) et en sécurité informatique de base ; notions de réseaux.

    Plan du cours

    1. Leçon 1 — Modèle de sécurité des OS, vulnérabilités et surface d’attaque
    2. Leçon 2 — Sécurisation de Windows : comptes, UAC, BitLocker, audit
    3. Leçon 3 — Sécurisation de Linux : permissions, SELinux/AppArmor, pare-feu
    4. Leçon 4 — Correctifs, indicateurs, audit et surveillance

    Modalités d’évaluation

    Volume horaire : CM 30 h, TD 10 h, TP 0 h, TPE 40 h (4 crédits). Contrôle continu (TD, exercices guidés de durcissement, calcul de permissions et d’indicateurs) et examen terminal (études de cas de durcissement Windows/Linux, priorisation de correctifs). Les exercices guidés se réalisent sur les machines virtuelles de l’étudiant.

    Bibliographie

    • Garfinkel, S. & Spafford, G. Practical UNIX and Internet Security, O’Reilly.
    • Center for Internet Security, CIS Benchmarks (Windows, Linux).
    • ANSSI, Guides de configuration et de durcissement (Windows, GNU/Linux).
    • NIST, SP 800-123 — Guide to General Server Security.
    • NIST, SP 800-40 Rev. 4 — Guide to Enterprise Patch Management Planning.