Questions d'entretien Cybersécurité
1. Expliquez les principales vulnérabilités du OWASP Top 10 (2021).
Les 10 risques les plus critiques pour les applications web : A01 Broken Access Control (un utilisateur accède à des ressources non autorisées), A02 Cryptographic Failures (données sensibles non chiffrees), A03 Injection (SQL, NoSQL, LDAP, OS command injection), A04 Insecure Design (defauts architecturaux), A05 Security Misconfiguration (configurations par défaut, headers manquants), A06 Vulnérable Components (dépendances avec des CVE connues), A07 Authentication Failures, A08 Data Integrity Failures (désérialisation, CI/CD non sécurisées), A09 Logging Failures, A10 SSRF (Server-Side Request Forgery).
2. Comment fonctionne une attaque par injection SQL et comment s'en protéger ?
L'injection SQL se produit quand une entrée utilisateur est inseree directement dans une requête SQL. Exemple : une requête WHERE user = 'input' avec input = ' OR '1'='1 retourne toutes les lignes. Protection : requêtes paramétrées (prepared statements) qui separent le code SQL des données, ORM qui genere des requêtes sécurisées, validation des entrées (whitelist, pas blacklist), principe du moindre privilege (le compte DB n'a que les droits nécessaires), et WAF (Web Application Firewall) comme couche supplémentaire.
3. Expliquez la cryptographie symétrique vs asymetrique.
Cryptographie symétrique : une seule cle pour chiffrer et dechiffrer. Rapide, utilisee pour les gros volumes. Algorithmes : AES (standard, 128/256 bits), ChaCha20. Problème : comment partager la cle en sécurité ? Cryptographie asymetrique : une paire de clés publique/privée. La cle publique chiffre, la cle privée dechiffre (ou inversement pour la signature). Algorithmes : RSA, ECDSA, Ed25519. Plus lent, utilise pour l'échange de clés et les signatures. TLS combine les deux : asymetrique pour l'échange de clés, symétrique pour les données.
4. Qu'est-ce que le Zéro Trust et comment l'implémenter ?
Le Zéro Trust est un modèle de sécurité base sur le principe "ne jamais faire confiance, toujours vérifier". Contrairement au modèle traditionnel (perimetrique : sécuriser la frontiere du réseau), le Zéro Trust vérifie chaque requête indépendamment de sa provenance. Implémentation : authentification forte (MFA) pour chaque accès, micro-segmentation du réseau, moindre privilege (accès minimal nécessaire), vérification continue (pas seulement à la connexion), chiffrement de bout en bout, et monitoring de toutes les activités.
5. Comment fonctionne TLS/HTTPS ?
Le TLS handshake : le client envoie un ClientHello (versions supportees, cipher suites). Le serveur répond avec son certificat X.509 (contenant sa cle publique). Le client vérifie le certificat (chaîne de confiance vers une CA racine). Les deux parties negocient une cle de session symétrique (via ECDHE pour le forward secrecy). Les données sont ensuite chiffrees avec cette cle symétrique (AES-GCM). TLS 1.3 simplifie le handshake (1 aller-retour au lieu de 2) et elimine les algorithmes obsolètes.
6. Expliquez les différentes types d'authentification et leurs forces.
Mots de passe : le plus courant mais le plus faible (phishing, brute force, réutilisation). MFA (Multi-Factor Authentication) : combine deux facteurs parmi connaissance (mot de passe), possession (téléphone, cle physique), inherence (biometrie). FIDO2/WebAuthn : authentification sans mot de passe avec des clés de sécurité (YubiKey) ou la biometrie de l'appareil. SSO (Single Sign-On) avec SAML ou OIDC : une seule authentification pour multiple services. Passkeys : évolution de FIDO2, remplacement des mots de passe sur mobile et desktop.
7. Comment détecter et répondre à un incident de sécurité ?
Processus de réponse aux incidents (NIST) : 1. Préparation (plan de réponse, équipe, outils), 2. Détection et analyse (alertes SIEM, analyse des logs, triage), 3. Confinement (isoler les systèmes affectes, preserver les preuves), 4. Eradication (supprimer la cause racine, patcher les vulnérabilités), 5. Recuperation (restaurer les services, vérifier l'intégrité), 6. Lecons apprises (post-mortem, mise à jour des procédures). Outils : SIEM (Splunk, Sentinel), EDR (CrowdStrike, SentinelOne), SOAR pour l'automatisation.
8. Qu'est-ce que le XSS et comment s'en protéger ?
Le Cross-Site Scripting (XSS) injecte du code JavaScript malveillant dans une page web. Types : Stored (stocke en base, execute à chaque visite), Reflected (dans l'URL, execute au clic), DOM-based (manipulation du DOM cote client). Protection : encodage contextuel des sorties (HTML entities, JavaScript escape, URL encode), Content Security Policy (CSP) headers, validation des entrées, sanitisation HTML (DOMPurify), frameworks modernes qui echappent par défaut (React, Angular, Vue).
9. Comment sécuriser une API REST ?
Bonnes pratiques : authentification (OAuth 2.0 / JWT, pas de clés API en paramètre d'URL), autorisation (RBAC/ABAC au niveau des endpoints et des ressources), HTTPS obligatoire, rate limiting (prévenir les abus et le brute force), validation des entrées (schéma validation avec Zod, Joi, JSON Schéma), headers de sécurité (CORS strict, X-Content-Type-Options, Strict-Transport-Security), logging des accès et des erreurs, et versionnement de l'API pour gérer les changements de manière sécurisée.
10. Qu'est-ce qu'une analyse de vulnérabilités et un test d'intrusion ?
L'analyse de vulnérabilités (vulnerability assessment) est un scan automatise qui identifie les failles connues (CVE) sur les systèmes, applications et réseaux. Outils : Nessus, Qualys, OpenVAS. C'est un processus régulier (hebdomadaire/mensuel). Le test d'intrusion (pentest) est une simulation d'attaque realisee par un expert qui tente d'exploiter les vulnérabilités pour mesurer l'impact réel. Types : boîte noire (aucune info), boîte grise (accès partiel), boîte blanche (accès complet au code et à l'infrastructure). Les deux sont complémentaires.