Cybersécurité — les fondamentaux
Les huit missions du Bloc 1 du CNED, regroupées : le vocabulaire, les réflexes et les outils qu'on attend d'un apprenti au service informatique.
Résumé flash
La cybersécurité repose sur trois piliers — Confidentialité, Intégrité, Disponibilité (la triade CID). Les attaquants se rangent en trois « chapeaux » selon leur intention et leur autorisation. Un cadre légal, le RGPD, protège les données personnelles ; la CNIL le fait respecter. Face à une attaque — souvent un ransomware — on déconnecte sans éteindre et on suit la procédure ANSSI. Et l'essentiel de la défense tient dans l'hygiène numérique : mots de passe robustes, mises à jour, sauvegardes, prudence.
Les huit missions du Bloc 1 viennent du CNED — une ressource supplémentaire procurée en dehors du cours. Elles ne font pas partie du programme dispensé en classe : rien ici ne sera demandé par vos professeurs au titre de leur cours.
Le chapitre reste en ligne, pour deux raisons : la cybersécurité est au programme du BTS CIEL option A, et ce contenu est solide — triade CID, RGPD, procédure ANSSI, hygiène numérique. C'est de la culture professionnelle utile en entretien comme en entreprise.
Dans les index il porte la mention bonus — hors programme, et il n'entre pas dans le décompte d'avancement. À réviser en dernier, quand le reste est acquis.
🔑
#CID #White-Grey-Black-Hat #RGPD #CNIL
#ransomware #ANSSI #OSINT #footprinting
#Maltego #Google-Dorks #Shodan #hachage
#John-the-Ripper #hygiène-numérique
01Le fil rouge des missions
Tout le module de cybersécurité du CNED se déroule dans une même entreprise fictive, « Le nouveau pêcheur de l'Aude », qui vend du matériel de pêche en ligne. On y joue un apprenti au service informatique, encadré par une responsable, Élisa, et par un RSI — le Responsable du Système d'Information, qui dirige l'informatique de l'entreprise.
Chaque mission ajoute une pierre : découvrir l'entreprise et le Helpdesk, vérifier la conformité RGPD, apprendre le vocabulaire de la sécurité, réagir à une cyberattaque, organiser une veille, se mettre dans la peau d'un hacker, et enfin installer les bonnes pratiques. Ce chapitre reprend l'essentiel de ces huit missions dans un ordre logique de cours.
Le Helpdesk (« bureau d'aide ») est le service qui reçoit et traite les demandes des utilisateurs. Il est organisé en niveaux, du plus simple au plus expert — une demande monte d'un niveau à l'autre tant qu'elle n'est pas résolue :
| Niveau | Rôle |
|---|---|
| N0 | Prise d'appel, création du ticket — le poste de l'apprenti dans le scénario |
| N1 | Résolution des problèmes courants (mot de passe oublié, imprimante…) |
| N2 | Problèmes techniques plus poussés |
| N3 | Forte expertise, souvent l'éditeur ou le constructeur |
02Qui sont les attaquants
On classe les cybercriminels par une métaphore de western : la couleur du chapeau. Ce qui les distingue n'est pas la compétence — elle est comparable — mais l'intention et surtout l'autorisation.
| Chapeau | Autorisation | Intention | Exemple |
|---|---|---|---|
| Blanc (White Hat) | Oui | Aider, sécuriser | « Avec l'autorisation du RSI, je recherche les failles du réseau de mon entreprise » |
| Gris (Grey Hat) | Non | Le défi, pas la nuisance | « Je cherche des vulnérabilités sur des serveurs pour le challenge et pour aider » |
| Noir (Black Hat) | Non | Nuire, s'enrichir | « Mon but est de revendre des données sur le dark web » · « J'ai exploité l'ordinateur de mon collègue pour dérober ses mots de passe » |
Ce qui range un hacker en gris et non en blanc, ce n'est pas la gentillesse de ses motifs : c'est l'absence d'autorisation. Chercher des failles « pour aider », mais sans qu'on le lui ait demandé, reste illégal. Le blanc agit toujours dans un cadre — un mandat, un contrat de test d'intrusion.
C'est exactement pour cela que, dans la mission « dans la peau d'un hacker », le sujet précise chaque fois : « vous êtes un pentester mandaté par votre entreprise ». Le mandat fait toute la différence entre un métier et un délit.
Parce que la question n'est plus si mais quand. Une attaque réussie coûte de l'argent (rançon, arrêt d'activité), des données, et la réputation de l'entreprise. Avoir en interne des gens capables d'anticiper, de détecter et de réagir, c'est transformer une catastrophe potentielle en incident maîtrisé.
03La triade CID — la clé de voûte
Tout, en sécurité, se ramène à trois objectifs. On les appelle la triade CID — Confidentialité, Intégrité, Disponibilité (en anglais CIA : Confidentiality, Integrity, Availability). Une bonne mesure de sécurité sert toujours au moins l'un de ces trois piliers.
| Pilier | Question | Menace | On l'obtient par… |
|---|---|---|---|
| Confidentialité | Qui a le droit de lire ? | Lecture non autorisée (vol de fiche de paie, de mots de passe, de fichier client) | le chiffrement, le contrôle d'accès |
| Intégrité | La donnée a-t-elle été modifiée ? | Écriture ou modification non autorisée | le CRC, le condensé MD5, la signature numérique (données) ; les anti-malwares (système) |
| Disponibilité | Le service est-il accessible ? | Panne, attaque par déni de service (DDoS) | la redondance matérielle/logicielle, le Plan de Reprise d'Activité (PRA) |
Le cours distingue deux niveaux :
- Data Integrity — protège les données des modifications non autorisées. On vérifie qu'une donnée n'a pas été altérée grâce à un condensé (MD5), un CRC ou une signature numérique.
- System Integrity — protège le système (Linux, Windows…) des modifications non autorisées, pour qu'il fonctionne comme attendu. On s'appuie sur les anti-malwares.
Confidentialité : seul vous connaissez la combinaison. Intégrité : personne n'a pu remplacer vos lingots par du plomb sans que ça se voie. Disponibilité : la banque est ouverte quand vous voulez récupérer votre bien. Un coffre inviolable mais dont la porte est bloquée pour toujours a parfaitement échoué sur la disponibilité.
Un ransomware chiffre tous les fichiers de l'entreprise. Quels piliers de la triade sont touchés ?
Principalement la disponibilité — les données existent mais sont inaccessibles. Et si l'attaquant a d'abord exfiltré les données avant de les chiffrer (technique de « double extorsion »), la confidentialité tombe aussi. L'intégrité, elle, n'est pas nécessairement violée : les fichiers ne sont pas falsifiés, ils sont verrouillés.
04RGPD et CNIL — le cadre légal
Dès qu'une entreprise collecte des données personnelles — ici, les comptes clients du site de vente — elle entre dans le champ du RGPD, le Règlement Général sur la Protection des Données. En France, l'autorité qui veille à son respect est la CNIL.
| RGPD | Règlement européen encadrant la collecte et le traitement des données personnelles. Toute opération sur ces données — collecte, enregistrement, consultation, stockage — est un traitement. |
| CNIL | Commission Nationale de l'Informatique et des Libertés. Créée par la loi Informatique et Libertés du 6 janvier 1978, c'est une autorité administrative indépendante qui veille à ce que l'informatique ne porte atteinte ni à la vie privée, ni aux libertés. |
Dans le scénario, l'entreprise stocke des données directement identifiantes sur ses clients : le RGPD s'applique donc pleinement.
Les droits des personnes sur leurs données
Toute personne dispose, sur ses propres données, d'un ensemble de droits que l'entreprise doit pouvoir honorer :
- droit d'accès — savoir quelles données sont détenues ;
- droit de rectification — corriger une donnée fausse ;
- droit à l'effacement (« droit à l'oubli ») ;
- droit d'opposition et de limitation du traitement ;
- droit à la portabilité — récupérer ses données pour les transférer.
L'obligation de sécurité
Le responsable de traitement doit mettre en place des mesures de sécurité : contrôle des accès, chiffrement, sauvegardes, mises à jour, traçabilité, mots de passe robustes. La sécurité n'est pas une option, c'est une obligation légale.
En cas de manquement, la CNIL peut prononcer des sanctions financières lourdes — jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. S'y ajoutent des sanctions administratives (mise en demeure, rappel à l'ordre) et un coût de réputation. Pour une PME comme « Le nouveau pêcheur de l'Aude », c'est potentiellement fatal.
La CNIL propose un cours en ligne gratuit — un MOOC (Massive Open Online Course) — sur l'atelier RGPD. La mission 2 demande de le suivre pour vérifier que le formulaire d'inscription du site respecte bien la réglementation : mentions d'information, recueil du consentement, finalité déclarée, durée de conservation.
05Ransomware et gestion de crise
Un jour, l'écran d'un poste affiche un message exigeant une rançon : l'entreprise subit une cyberattaque. Une cyberattaque est un acte volontaire et malveillant sur un réseau informatique, dont le but est de porter atteinte à l'information et à ceux qui la traitent.
Le ransomware (rançongiciel)
Un ransomware est un logiciel malveillant qui prend en otage les données ou le système, et réclame une rançon pour les libérer. Il se propage souvent par une pièce jointe piégée ou un lien frauduleux (hameçonnage). On distingue deux familles :
| Type | Ce qu'il fait |
|---|---|
| Bloquant (locker) | Verrouille l'accès à l'appareil (écran figé), sans nécessairement toucher aux fichiers eux-mêmes |
| Chiffrant (crypto) | Chiffre les fichiers : ils sont toujours là, mais illisibles sans la clé. C'est le plus répandu et le plus destructeur |
La mission demande « quel type de ransomware s'est retrouvé sur l'ordinateur de Brice ? ». Un message de rançon plein écran ressemble d'abord à un bloquant. Mais dans le scénario, le poste est « complètement effacé et réinstallé, les documents perdus » : cette perte irréversible des fichiers est la signature d'un ransomware chiffrant. Ne concluez pas sur la seule apparence de l'écran — regardez ce qui est arrivé aux données.
La réaction immédiate — les réflexes ANSSI
Le guide de l'ANSSI « Cyberattaque, comment réagir ? » donne des gestes simples, à la portée de tout utilisateur, qui limitent énormément l'impact.
- Déconnecter immédiatement les équipements suspects du réseau — retirer le câble, couper le Wi-Fi — pour éviter la propagation.
- Laisser allumé, ne rien modifier : on préserve les traces techniques nécessaires à la compréhension de l'incident et à l'enquête.
- Ne plus connecter aucun appareil au réseau.
- Alerter immédiatement le service ou le prestataire informatique.
Côté responsable de l'organisation, s'ajoutent : notifier la CNIL, déposer plainte, constituer une cellule de crise et préparer une communication de crise.
Devant un écran de rançon, on a envie d'éteindre la machine — c'est précisément l'erreur. Éteindre efface la mémoire vive, où se trouvent souvent les traces vivantes de l'attaque (processus en cours, clés de chiffrement encore présentes). On isole sans couper l'alimentation. Et on ne paie jamais la rançon : rien ne garantit la restitution, et cela finance le crime.
Pour une crise majeure, l'ANSSI propose un guide en 18 fiches, organisé en deux temps : se préparer (fiches 1 à 7) et réagir (fiches 8 à 18, en quatre phases : alerter/endiguer, comprendre, relancer, capitaliser). Deux fiches reviennent dans les missions :
- Fiche 13 — Conduire l'investigation numérique : reconstituer le scénario de l'attaque (comment le ransomware est entré). Ici, très probablement une pièce jointe ou un lien piégé ouvert par mégarde.
- Fiche 18 — Tirer les leçons de la crise : le RETEX (retour d'expérience), pour que cela ne se reproduise pas. Trois axes : sensibiliser et former, sécuriser techniquement, soigner la politique de sauvegarde.
Une crise cyber n'est pas qu'une affaire technique : elle mobilise une cellule stratégique (direction, communication, juridique, RH) et une cellule opérationnelle (cyber et IT).
06La reconnaissance du hacker
Pour se défendre, il faut comprendre l'attaquant. Une attaque organisée suit toujours des étapes incontournables — le cyber kill chain, version simplifiée :
La mission « dans la peau d'un hacker » se concentre sur la première étape, la reconnaissance passive, aussi appelée footprinting (« prise d'empreinte »). « Passive » signifie qu'on n'attaque pas encore la cible : on se contente de récolter tout ce qui est déjà public. C'est lent, discret, et c'est le socle de tout le reste.
L'OSINT (Open Source INTelligence) est le recueil et l'analyse
d'informations issues de sources publiques : le site de l'entreprise, les
réseaux sociaux (LinkedIn, Facebook), les forums, les dépôts de code (GitHub), les offres
d'emploi, la commande whois, les enregistrements DNS.
L'exemple le plus parlant : une offre d'emploi. Une annonce cherchant un administrateur système révèle, sans le vouloir, toute l'architecture : « maîtrise de Windows Server, VMware, Active Directory, Azure », « pare-feu Stormshield », « sauvegarde Veeam », « GLPI »… Autant d'indices sur les technologies à cibler. Le hacker n'a même pas eu à toucher au réseau.
Trois outils du footprinting
| Outil | À quoi il sert |
|---|---|
| Maltego | Cartographie graphique d'une cible. À partir d'un domaine, ses « transforms » remontent le site web, les adresses IP (To IP Address), les serveurs DNS (To DNS Name), les adresses e-mail, les autres extensions du domaine (Find Other TLD). On obtient un schéma de l'infrastructure publique |
| Google Dorks | Recherches Google avancées à l'aide d'opérateurs, pour dénicher des fichiers ou équipements mal protégés et indexés par erreur |
| Shodan | Moteur de recherche des objets connectés à Internet (serveurs, routeurs, caméras…). Affiche l'équipement, ses services et ses vulnérabilités connues |
Les opérateurs Google Dorks
site:it-connect.fr limite la recherche à un site
filetype:pdf CV ne renvoie que des fichiers d'un type donné
intitle:"GLPI - Authentification" cherche un mot dans le TITRE de la page
inurl:/login.rsp cherche un mot dans l'URL (interfaces de connexion)
after:2021-05-01 résultats postérieurs à une date
"texte exact" les guillemets imposent la correspondance exacte
# on combine :
prenom nom filetype:docx OR filetype:pdf
inurl:/wp-admin/ site:it-connect.fr la page d'admin d'un WordPress est-elle exposée ?Ces techniques sont neutres : le même outil sert à l'attaquant (repérer une faille) et au défenseur (vérifier qu'on n'expose rien). La « bonne démarche » du cours : prendre sa propre IP publique et vérifier que ses équipements ne sont pas référencés ni vulnérables. La Google Hacking Database (exploit-db.com) recense les dorks connus — à consulter pour se tester, pas pour attaquer autrui. Et faire ces recherches en navigation privée ou via TOR.
Rappel juridique : lancer ces recherches contre une organisation sans mandat vous fait basculer du côté du chapeau noir. Dans les missions, vous êtes toujours mandaté.
07Les mots de passe
Le maillon faible reste presque toujours le mot de passe. Le premier exemple
du guide ANSSI est resté célèbre : un comptable choisit 123456 par simplicité, et
son compte bancaire d'entreprise est vidé. Comprendre pourquoi un mot de passe est
faible passe par la notion de hachage.
Un hachage (ou condensé) est une fonction mathématique qui prend un mot de passe et produit une empreinte de taille fixe, unique et non réversible. Un fichier ZIP protégé ne stocke pas le mot de passe : il stocke son empreinte. À l'ouverture, il recalcule l'empreinte de ce que vous tapez et la compare. Identiques → accès ; différentes → refus.
Comme on ne peut pas « inverser » une empreinte, la seule façon de retrouver le mot de passe est d'en essayer des millions et de comparer les empreintes : c'est le cassage par force brute ou par dictionnaire.
Casser un mot de passe — John the Ripper
Le TP de la mission 8 fait déchiffrer des fichiers challenge.zip avec
John the Ripper, un cracker qui s'appuie sur Python :
1. Installer Python, vérifier : python --version → Python 3.XX.X
2. Télécharger John the Ripper, se placer dans son dossier "run"
3. Extraire l'empreinte du ZIP dans un fichier :
zip2john challenge1.zip > challenge1hash.txt
4. (réencoder le fichier hash en UTF-8 si besoin)
5. Lancer l'attaque par dictionnaire :
john challenge1hash.txt
# john essaie la liste "password.lst" (petite)
Pour une liste bien plus grande (des millions de mots de passe réels) :
john --wordlist=rockyou.txt challenge1hash.txt
6. Vérifier en décompressant le ZIP avec le mot de passe trouvérockyou.txt est une liste de ~14 millions de mots de passe
réels, issus d'une fuite de 2009. Si votre mot de passe y figure, il tombe en
quelques secondes, quelle que soit sa longueur : une attaque par
dictionnaire ne teste pas toutes les combinaisons, elle teste les mots de passe que
les gens utilisent vraiment. C'est pourquoi Motdepasse123! est faible
malgré ses 14 caractères, majuscule, chiffre et caractère spécial.
Ce qui fait la force d'un mot de passe
La force se mesure au nombre de combinaisons à essayer : (taille de l'alphabet) ^
(longueur). Chaque caractère ajouté multiplie, chaque type de caractère
en plus élargit l'alphabet.
| Mot de passe | Combinaisons | Temps à 10 milliards d'essais/s |
|---|---|---|
azertyui (8 minuscules) | 26⁸ ≈ 2,1 × 10¹¹ | ≈ 21 secondes |
| 8 car., tous types | 95⁸ ≈ 6,6 × 10¹⁵ | ≈ 8 jours |
| 10 car., tous types | 95¹⁰ ≈ 6,0 × 10¹⁹ | ≈ 190 ans |
| 12 car., tous types | 95¹² ≈ 5,4 × 10²³ | ≈ 1,7 million d'années |
Estimations sur une attaque par force brute exhaustive. Un mot de passe présent dans un dictionnaire tombe en quelques secondes, indépendamment de ce tableau.
- Au moins 12 caractères, avec majuscule, minuscule, chiffre et caractère spécial.
- Ni mot du dictionnaire, ni date, ni information devinable (nom, prénom, entreprise).
- Une bonne astuce : la phrase de passe — une longue phrase facile à retenir, difficile à casser (la longueur prime).
- Unique par service : un mot de passe réutilisé compromet tous les comptes d'un coup.
- Personnel — jamais partagé, jamais stocké en clair dans le navigateur.
- Utiliser un gestionnaire de mots de passe pour tous les retenir.
Des outils comme l'évaluateur de la CNIL ou de l'ANSSI calculent la « force » d'un mot de passe et aident à définir la politique de l'entreprise.
Entre Tr0ub4dor&3 (11 caractères, tous types) et cheval correct
agrafe pile (une phrase de 4 mots simples), lequel est le plus
robuste ?
La phrase, et de loin. Sa longueur (28 caractères) fait exploser le nombre
de combinaisons, alors qu'elle reste facile à mémoriser. Le premier, plus court et bâti sur
un mot connu (« troubadour ») avec des substitutions prévisibles (0 pour o,
4 pour a), résiste bien moins aux attaques modernes. C'est tout le principe de
la phrase de passe : la longueur bat la complexité.
08Bonnes pratiques et veille
La sécurité ne repose pas d'abord sur des outils coûteux, mais sur l'hygiène numérique quotidienne. Le Guide des bonnes pratiques de l'informatique de la CPME et de l'ANSSI la résume en 12 règles, chacune illustrée d'un incident réel.
| # | Règle |
|---|---|
| 1 | Choisir avec soin ses mots de passe |
| 2 | Mettre à jour régulièrement ses logiciels |
| 3 | Bien connaître ses utilisateurs et prestataires |
| 4 | Effectuer des sauvegardes régulières |
| 5 | Sécuriser l'accès Wi-Fi (jamais de WEP) |
| 6 | Être aussi prudent avec son smartphone qu'avec son ordinateur |
| 7 | Protéger ses données lors des déplacements |
| 8 | Être prudent avec sa messagerie (hameçonnage) |
| 9 | Télécharger sur les sites officiels des éditeurs |
| 10 | Être vigilant lors d'un paiement en ligne |
| 11 | Séparer usages personnels et professionnels |
| 12 | Prendre soin de ses informations personnelles (ingénierie sociale) |
Les sauvegardes ne servent qu'à condition d'être bien faites. Les critères du guide :
- Fréquentes — idéalement journalières.
- Conservées plus d'un mois (pour survivre à un ransomware resté discret).
- Délocalisées — à plus de 3 km, pour survivre à un incendie.
- Déconnectées (hors ligne) — un ransomware ne peut pas chiffrer ce qu'il ne voit pas.
- Testées — une sauvegarde jamais restaurée n'est pas une sauvegarde.
- Chiffrées — surtout si elles sont déplacées.
| ANSSI | Agence Nationale de la Sécurité des Systèmes d'Information — l'autorité nationale de cyberdéfense. Édite les guides, gère le CERT-FR (veille et alertes) et le MOOC SecNumAcadémie |
| CNIL | Protège les données personnelles (RGPD) |
| cybermalveillance.gouv.fr | Assistance aux victimes (particuliers, PME, collectivités) |
La veille technologique
Le métier évolue en permanence : nouvelles attaques, nouvelles défenses. Rester à jour demande une veille — s'informer systématiquement sur l'actualité des cybermenaces, à la manière d'une revue de presse. La méthode du cours :
- Définir clairement ses objectifs (que cherche-t-on à suivre ?).
- Choisir des sources variées : revues, blogs d'experts, chaînes YouTube, LinkedIn, forums, GitHub — dont au moins une en anglais.
- Utiliser les bons outils : flux RSS, newsletters, alertes Google, abonnements.
- Trier et organiser — par date et par thème, pour retrouver l'info.
- Aménager des créneaux réguliers (le guide suggère 30 min par jour, le matin au calme) et partager avec ses pairs.
Un footballeur professionnel ne s'entraîne pas « quand il a le temps » : il a un rythme imposé, régulier, même léger. La veille, c'est pareil — 30 minutes chaque matin valent mieux que 4 heures un dimanche par mois. La régularité crée l'habitude, l'habitude crée l'expertise.