École Privée d’Ingénierie du Niger — L’école du nouveau monde

✉ elearning@epiniger.edu.ne    🌐 epiniger.edu.ne

EPI e-Learning

L'école du nouveau monde · Plateforme e-Learning

Unité d’enseignement : TR · S5 · UE2 — Sécurité des réseaux 2

  • Audit et tests d’intrusion

    Le cours Audit et tests d’intrusion (UE2 « Sécurité des réseaux 2 », semestre 5) forme le technicien supérieur au métier d’auditeur de sécurité : vérifier, de façon méthodique, documentée et autorisée, que les dispositifs de sécurité d’un système d’information sont conformes aux règles et efficaces. Le point de vue adopté est celui de l’auditeur et du défenseur : on étudie le cadre légal et contractuel d’une mission, les référentiels (ISO 27001/27002, ISO 19011, PTES, OSSTMM, NIST SP 800-115), l’audit organisationnel et l’audit de configuration, le rôle des outils d’inventaire et de scan de vulnérabilités, puis la cotation des vulnérabilités avec CVSS v3.1, la rédaction du rapport et le plan de remédiation. Les cas sont tirés du contexte nigérien : mairie, banque de Mobile Money, opérateur, datacenter. Aucune technique d’attaque n’est enseignée : les tests d’intrusion sont présentés au niveau méthodologique, et toutes les manipulations se font sur un laboratoire isolé appartenant à l’école.

    Objectifs d’apprentissage

    • Expliquer le cadre légal et contractuel d’un audit : autorisation écrite, périmètre, règles d’engagement, confidentialité.
    • Décrire les phases et livrables d’un audit selon ISO 19011 et d’un test d’intrusion selon PTES, OSSTMM et NIST SP 800-115.
    • Situer le rôle des outils d’inventaire, de scan de vulnérabilités et d’analyse de configuration, et en interpréter les résultats (faux positifs, couverture).
    • Conduire un audit organisationnel et un audit de configuration d’un serveur et d’un routeur à l’aide d’une check-list de durcissement.
    • Analyser des journaux, calculer un score CVSS v3.1, rédiger un rapport d’audit et un plan de remédiation priorisé.

    Prérequis

    Pare-feux et VPN, bases de l’administration Linux et Cisco, modèle TCP/IP ; cryptographie appliquée (recommandée en parallèle).

    Plan du cours

    1. Leçon 1 — Cadre légal, contractuel et normatif de l’audit de sécurité
    2. Leçon 2 — Méthodologies des tests d’intrusion et rôle des outils de scan
    3. Leçon 3 — Audit organisationnel et audit de configuration (TP guidés)
    4. Leçon 4 — Journaux, scoring CVSS v3.1, rapport d’audit et remédiation

    Modalités d’évaluation

    Volume horaire : 10 h de CM, 10 h de TD, 30 h de TP (audit de configuration d’un serveur et d’un routeur de labo, analyse de journaux, rédaction d’un rapport avec calcul de scores CVSS) et 10 h de TPE ; 3 crédits. Évaluation : contrôle continu (comptes rendus de TP, rapport d’audit, quiz en ligne) et examen terminal écrit.

    Bibliographie

    • S. Ghernaouti, Sécurité informatique et réseaux, Dunod.
    • ISO/IEC 27001:2022 et ISO/IEC 27002:2022 ; ISO 19011:2018, Lignes directrices pour l’audit des systèmes de management.
    • NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, 2008.
    • FIRST, Common Vulnerability Scoring System v3.1 : Specification Document.
    • Center for Internet Security, CIS Benchmarks (Ubuntu Linux, Cisco IOS).

  • Cryptographie appliquée

    Le cours de Cryptographie appliquée (UE2 « Sécurité des réseaux 2 », semestre 5) donne au technicien réseau les bases nécessaires pour comprendre, configurer et dépanner les mécanismes cryptographiques qui protègent les communications : chiffrement symétrique et asymétrique, fonctions de hachage, signatures, certificats numériques, infrastructures à clés publiques (PKI) et protocoles sécurisés comme TLS/HTTPS et SSH. L’approche est appliquée : on manipule des exemples numériques simples (chiffre de César, RSA et Diffie-Hellman « jouets ») pour comprendre les principes, puis on utilise des outils professionnels (OpenSSL, OpenSSH, serveur web) en TP. Les situations sont tirées du contexte nigérien : portail d’une administration en HTTPS, applications de Mobile Money, administration à distance de routeurs d’un opérateur, échanges entre agences bancaires. L’orientation est strictement défensive : il s’agit de bien configurer et de bien vérifier.

    Objectifs d’apprentissage

    • Expliquer les services de sécurité (confidentialité, intégrité, authentification, non-répudiation) et le principe de Kerckhoffs.
    • Distinguer cryptographie symétrique et asymétrique, et en connaître les algorithmes usuels (AES, RSA, ECC, Diffie-Hellman, SHA-2).
    • Effectuer des calculs élémentaires : espace de clés, temps d’attaque exhaustive, nombre de clés, RSA et Diffie-Hellman sur de petits nombres.
    • Décrire le contenu d’un certificat X.509 et le fonctionnement d’une PKI (AC, chaîne de confiance, révocation).
    • Expliquer le fonctionnement de TLS/HTTPS et de SSH et les configurer de manière sûre.

    Prérequis

    Sécurité informatique fondamentale, modèle TCP/IP, bases d’arithmétique (division euclidienne, puissances) et de la ligne de commande Linux.

    Plan du cours

    1. Leçon 1 — Principes de la cryptographie et chiffrement symétrique
    2. Leçon 2 — Cryptographie asymétrique, hachage et signature numérique
    3. Leçon 3 — Certificats numériques et infrastructure à clés publiques (PKI)
    4. Leçon 4 — Protocoles sécurisés : TLS/HTTPS et SSH

    Modalités d’évaluation

    Volume horaire : 20 h de CM, 10 h de TD, 10 h de TP (OpenSSL, création d’une PKI de test, HTTPS et SSH par clés) et 20 h de TPE ; 3 crédits. Évaluation : contrôle continu (TD, comptes rendus de TP, quiz en ligne) et examen terminal écrit.

    Bibliographie

    • S. Ghernaouti, Sécurité informatique et réseaux, Dunod.
    • W. Stallings, Cryptography and Network Security — Principles and Practice, Pearson.
    • B. Schneier, Cryptographie appliquée, Vuibert.
    • A. Menezes, P. van Oorschot, S. Vanstone, Handbook of Applied Cryptography, CRC Press.
    • IETF, RFC 8446 (TLS 1.3) et RFC 4251-4254 (architecture et protocoles SSH).