71 termes

Glossaire de la cybersécurité : le vocabulaire, sans brouillard

La cybersécurité se vend aussi par le jargon : un acheteur qui ne comprend pas les mots ne peut pas comparer deux propositions. Chaque terme est défini en une phrase utilisable, puis expliqué, avec la confusion qu’il faut éviter.

Attaque21 Défense12 Méthode16 Conformité15 Technique7

Réponse courte

À quoi sert ce glossaire ?

Il sert à acheter correctement. La plupart des écarts de prix entre deux devis de sécurité viennent d’un malentendu de vocabulaire : un scan vendu comme un test d’intrusion, une red team proposée là où un audit suffisait, un « audit de conformité » qui ne regarde aucune ligne de code. Comprendre les termes est le moyen le moins coûteux de ne pas payer deux fois.

Attaque

IDOR / BOLA : définitionIDOR · BOLA · Insecure Direct Object Reference · Broken Object Level AuthorizationUn défaut de contrôle d’accès où l’application sert l’objet demandé sans vérifier qu’il appartient à l’utilisateur authentifié. Changer un identifiant dans une URL ou un corps de requête suffit alors à lire ou modifier les données d’un autre client.
Élévation de privilèges : définitionPrivilege escalation · Escalade de privilègesL’obtention de droits supérieurs à ceux accordés au départ, soit en accédant à un rôle plus puissant (élévation verticale), soit en accédant aux ressources d’un autre utilisateur de même niveau (élévation horizontale). Elle transforme un accès limité en contrôle d’un compte administrateur ou d’un système.
Injection SQL : définitionSQLi · SQL injectionUne vulnérabilité où des données saisies par l’utilisateur sont interprétées comme du code SQL par la base de données, faute de séparation entre la requête et ses paramètres. L’attaquant peut alors lire, modifier ou supprimer des données, voire contourner une authentification.
Cross-site scripting : définitionXSS · Injection de script intersitesUne vulnérabilité qui permet d’injecter du code JavaScript dans une page web consultée par d’autres utilisateurs. Le script s’exécute dans leur navigateur avec les droits de leur session et peut lire des données affichées, agir en leur nom ou rediriger vers un site contrôlé par l’attaquant.
SSRF : définitionServer-Side Request Forgery · Falsification de requête côté serveurUne vulnérabilité où l’attaquant amène un serveur à émettre une requête vers une destination qu’il choisit. Le serveur, qui a accès à des ressources internes inaccessibles depuis Internet, devient un intermédiaire pour atteindre des services d’administration, des bases ou les métadonnées d’un fournisseur cloud.
Exécution de code à distance : définitionRCE · Remote Code ExecutionUne vulnérabilité qui permet à un attaquant d’exécuter ses propres commandes ou son propre code sur un système distant, sans y avoir d’accès légitime. Elle donne en général le niveau de droits du service exploité et constitue l’un des impacts les plus graves qu’un défaut puisse avoir.
CSRF : définitionCross-Site Request Forgery · Falsification de requête intersitesUne attaque qui pousse le navigateur d’un utilisateur connecté à envoyer, à son insu, une requête vers un site où sa session est ouverte. Le site la traite comme légitime puisque le navigateur joint automatiquement les cookies de session, ce qui permet de déclencher une action au nom de la victime.
Désérialisation non sécurisée : définitionInsecure deserialization · Désérialisation d’objets non fiablesUne vulnérabilité où une application reconstruit des objets à partir de données fournies par l’utilisateur sans en vérifier le contenu. Un objet forgé peut alors déclencher l’exécution de code, la modification de la logique de l’application ou l’accès à des données non prévues.
Condition de course : définitionRace condition · TOCTOUUne vulnérabilité où le résultat d’une opération dépend de l’ordre ou du moment auquel plusieurs requêtes concurrentes sont traitées. En envoyant des requêtes quasi simultanées, un attaquant peut dépasser une limite, utiliser deux fois un droit à usage unique ou contourner une vérification.
Faille de logique métier : définitionBusiness logic flaw · Abus de logique métierUn défaut dans les règles propres à une application, exploitable en utilisant ses fonctions de façon légitime mais dans un ordre, un contexte ou une combinaison que ses concepteurs n’avaient pas prévus. Aucune syntaxe malveillante n’est nécessaire, ce qui la rend invisible aux outils automatiques.
Kerberoasting : définitionKerberoastUne technique d’attaque contre Active Directory où un utilisateur ordinaire du domaine demande des tickets de service Kerberos pour des comptes de service, puis tente de retrouver leur mot de passe hors ligne. Un mot de passe faible permet de prendre le contrôle d’un compte souvent très privilégié.
Chemin d’attaque Active Directory : définitionAttack path · Chemin d’attaque AD · Active DirectoryUne suite de relations de confiance, de droits et de configurations dans Active Directory qui permet de passer d’un compte ou d’une machine compromise à un compte administrateur du domaine. Chaque maillon est souvent autorisé isolément ; c’est leur enchaînement qui constitue le risque.
Mouvement latéral : définitionLateral movement · Déplacement latéralL’ensemble des techniques qu’un attaquant utilise, une fois entré dans un réseau, pour passer d’une machine ou d’un compte à d’autres afin d’atteindre ses objectifs. Il réutilise des identifiants et des protocoles d’administration légitimes, ce qui le rend difficile à distinguer d’une activité normale.
Persistance : définitionPersistence · Maintien d’accèsL’ensemble des mécanismes par lesquels un attaquant conserve son accès à un système après un redémarrage, un changement de mot de passe ou la correction du défaut initial. Il crée ainsi plusieurs points de retour indépendants, ce qui complique l’éradication de l’intrusion.
Exfiltration de données : définitionData exfiltration · Fuite de donnéesLe transfert non autorisé de données depuis un système d’information vers un emplacement contrôlé par un attaquant. Elle intervient généralement en fin de chaîne d’attaque, après la reconnaissance et la collecte, et peut précéder un chiffrement, une extorsion ou une revente.
Rançongiciel : définitionRansomware · Logiciel de rançonUn logiciel malveillant qui chiffre les données et systèmes d’une organisation pour en interdire l’usage, puis exige un paiement en échange de leur restitution. Dans la forme dite de double extorsion, les données sont aussi volées au préalable et leur publication est brandie comme menace.
Hameçonnage : définitionPhishing · Spear phishing · Smishing · VishingUne technique de fraude qui se fait passer pour un tiers de confiance, par courriel, SMS, appel ou site factice, afin d’amener la victime à révéler des identifiants, ouvrir une pièce jointe piégée ou effectuer une action. C’est l’un des moyens d’accès initial les plus courants.
Ingénierie sociale : définitionSocial engineering · Pretexting · Fraude au présidentL’ensemble des méthodes qui exploitent le comportement humain plutôt qu’une faille technique pour obtenir un accès, une information ou une action. L’attaquant s’appuie sur la confiance, l’urgence ou l’autorité apparente, que ce soit par courriel, téléphone ou en présence physique.
Chaîne d’approvisionnement logicielle : définitionSupply chain attack · Attaque par la chaîne d’approvisionnement · SBOML’attaque qui vise un composant, un outil ou un fournisseur dont dépend un logiciel, plutôt que le logiciel lui-même. En compromettant une bibliothèque, une mise à jour ou un pipeline de construction, l’attaquant atteint en une fois tous les clients qui font confiance à ce maillon.
Injection de prompt : définitionPrompt injection · Injection d’instructions · Détournement de promptUne attaque contre une application fondée sur un modèle de langage, qui consiste à glisser dans le texte lu par le modèle des instructions qu’il suit à la place de celles de l’application. Elle peut être directe, écrite par l’utilisateur, ou indirecte, cachée dans un document, une page web ou un e-mail.
Jumeau maléfique (evil twin) : définitionEvil twin · Faux point d’accès · Rogue access point · Point d’accès pirateUne attaque sur réseau sans fil où l’attaquant installe un point d’accès qui reprend le nom d’un réseau légitime. Les appareils s’y connectent à la place du vrai réseau, et l’attaquant peut intercepter le trafic ou récupérer des identifiants. Elle vise surtout les réseaux d’entreprise mal configurés.

Défense

Défense en profondeur : définitionDefense in depth · Sécurité en couchesUne stratégie qui superpose plusieurs mesures de sécurité indépendantes, de sorte que la défaillance ou le contournement de l’une ne suffise pas à compromettre le système. Elle part du principe qu’aucun contrôle n’est parfait et organise la redondance entre prévention, détection et réaction.
Moindre privilège : définitionLeast privilege · Principe du moindre privilègeLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire. En limitant ce qu’un compte compromis permet de faire, il réduit l’ampleur d’une intrusion et facilite l’isolement de ses conséquences.
Zero trust : définitionZero Trust · Confiance zéro · ZTNAUn modèle d’architecture selon lequel aucune connexion n’est présumée fiable du seul fait de sa provenance, y compris depuis le réseau interne. Chaque accès à une ressource est évalué à partir de l’identité, de l’état de l’appareil et du contexte, avec des droits limités et renouvelés.
Segmentation réseau : définitionCloisonnement réseau · Microsegmentation · Network segmentationLe découpage d’un réseau en zones distinctes, dont les échanges sont limités par des règles de filtrage explicites. Elle empêche qu’une machine compromise puisse atteindre librement toutes les autres, et circonscrit les conséquences d’une intrusion à la zone où elle a commencé.
EDR et XDR : définitionEDR · XDR · Endpoint Detection and Response · Extended Detection and ResponseL’EDR est un agent installé sur les postes et serveurs qui enregistre l’activité des machines pour détecter des comportements malveillants et permettre de les contenir à distance. Le XDR étend ce principe en corrélant les données de plusieurs sources : messagerie, identités, réseau, cloud.
SIEM et SOC : définitionSIEM · SOC · Security Operations Center · Security Information and Event ManagementLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes. Le SOC est l’équipe, interne ou externalisée, qui exploite ces alertes, les qualifie, enquête et déclenche la réponse à incident.
Authentification multifacteur : définitionMFA · Double authentification · 2FA · Authentification à deux facteursUne méthode de connexion qui exige au moins deux preuves d’identité de natures différentes : quelque chose que l’on sait (mot de passe), que l’on possède (téléphone, clé de sécurité) ou que l’on est (empreinte). Elle empêche qu’un mot de passe volé suffise à accéder à un compte.
Plan de réponse à incident : définitionPRI · Plan de gestion de crise cyber · Procédure de réponse à incidentLe document, testé par des exercices, qui décrit qui fait quoi quand un incident de sécurité survient : qualification, décisions d’isolement, préservation des preuves, communication, notification aux autorités, reprise d’activité. Il vaut par sa pratique, pas par sa seule existence.
Modèle d’administration en tiers : définitionTiering · Tier model · Modèle en tiers Active Directory · Tier 0Une organisation de l’administration en niveaux étanches : le niveau 0 regroupe les contrôleurs de domaine et les identités qui les contrôlent, le niveau 1 les serveurs, le niveau 2 les postes. Un compte d’un niveau ne se connecte jamais à un niveau inférieur, pour qu’un poste compromis ne livre pas un compte d’administration du domaine.
Sauvegarde immuable : définitionCopie immuable · Immutable backup · WORM · Règle 3-2-1-1-0Copie de sauvegarde verrouillée pour une durée définie : personne, pas même un administrateur ou un attaquant disposant de ses droits, ne peut la modifier ni la supprimer avant l’échéance. Elle protège contre les rançongiciels qui détruisent les sauvegardes avant de chiffrer la production.
Gestion des accès à privilèges (PAM) : définitionPAM · Privileged Access Management · Bastion d’administrationEnsemble de pratiques et d’outils qui encadrent les comptes dotés de droits élevés : administrateurs, comptes de service, accès d’urgence. Elle impose des comptes dédiés, des droits accordés à la demande pour une durée limitée, un coffre pour les secrets et l’enregistrement des sessions sensibles.
Threat hunting : définitionChasse aux menaces · Chasse proactive aux menaces · Cyber threat huntingUne recherche active, menée par un analyste à partir d’une hypothèse, de traces d’attaquants qui n’ont déclenché aucune alerte. Elle exploite les journaux et la télémétrie déjà collectés (EDR, SIEM) et se distingue de la supervision, qui traite les alertes produites par des règles existantes.

Méthode

Test d’intrusion : définitionPentest · Penetration test · Audit d’intrusionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini. Elle combine outils et raisonnement humain et se conclut par un rapport de constats reproductibles, hiérarchisés et assortis de corrections.
Boîte noire, grise ou blanche : définitionBlack box · Grey box · White box · Boîte griseLes trois niveaux d’information fournis aux testeurs avant une mission : aucun (boîte noire), des comptes et de la documentation (boîte grise), ou l’accès complet au code et à l’architecture (boîte blanche). Plus le niveau est élevé, plus la couverture obtenue pour un même budget est grande.
Red team : définitionExercice red team · Simulation d’adversaire · Adversary simulationUn exercice qui simule un adversaire réaliste, avec un objectif précis (accéder à une donnée, prendre le contrôle d’un système), sur plusieurs semaines et de manière discrète. Il teste autant la capacité de détection et de réponse de l’organisation que l’existence de vulnérabilités techniques.
Blue team et purple team : définitionBlue team · Purple team · Équipe bleue · Équipe violetteLa blue team désigne l’équipe qui défend, détecte et répond aux attaques ; la purple team est un mode de travail où attaquants et défenseurs collaborent en direct, technique par technique, pour améliorer la détection plutôt que pour mesurer un résultat à l’insu de la défense.
TLPT : définitionThreat-led penetration testing · Test d’intrusion fondé sur la menaceUn test d’intrusion fondé sur la menace : un exercice avancé, proche d’un red team, qui reproduit les tactiques d’attaquants réalistes contre les systèmes de production d’une entité financière, à partir d’un scénario nourri de renseignements sur la menace, sous un encadrement réglementaire strict.
Simulation de phishing : définitionCampagne de phishing · Test d’hameçonnageUn exercice où une organisation envoie à ses salariés de faux messages d’hameçonnage, dans un cadre convenu, pour mesurer leur réaction et entraîner le réflexe de signalement. Les résultats servent à améliorer le dispositif et la formation, pas à désigner des personnes.
Audit de sécurité informatique : définitionAudit de sécurité · Audit SSI · Audit cybersécuritéUne évaluation structurée, sur un périmètre convenu à l’avance, de la capacité d’un système d’information à résister à une attaque. Elle combine revue, analyse et tests, et livre un rapport priorisé avec des preuves. Elle recouvre des travaux variés : architecture, configuration, code, test d’intrusion, organisation.
Rapport de test d’intrusion : définitionRapport de pentest · Rapport d’auditLe document livré à l’issue d’un test d’intrusion : synthèse de direction, périmètre et méthode, et pour chaque constat une description, une preuve reproductible, l’impact démontré, une gravité justifiée et une recommandation. Il précise aussi ce qui n’a pas été testé.
OWASP MASVS : définitionMASVS · MASTG · Mobile Application Security Verification Standard · OWASP MASLe référentiel de l’OWASP qui liste les exigences de sécurité d’une application mobile, regroupées en huit familles : stockage, cryptographie, authentification, réseau, plateforme, qualité du code, résistance à la rétro-ingénierie et vie privée. Son guide de test, le MASTG, décrit comment vérifier chaque exigence sur iOS et Android.
EASM : définitionExternal Attack Surface Management · Gestion de la surface d’attaque externe · Surveillance de surface exposéeLa découverte et la surveillance continues des actifs d’une organisation visibles depuis Internet : domaines, sous-domaines, services ouverts, certificats, applications oubliées. L’EASM (External Attack Surface Management) regarde de l’extérieur, comme un attaquant, et signale les nouveautés et les changements.
Émulation d’adversaire : définitionAdversary emulation · Émulation de menace · Rejeu de techniques d’attaqueUne méthode de test qui reproduit les techniques documentées d’un groupe d’attaquants réel ou d’un scénario de menace, en suivant sa chaîne d’actions, pour vérifier ce que les défenses détectent et bloquent. Elle s’appuie souvent sur la matrice MITRE ATT&CK pour décrire et mesurer ce qui est rejoué.
Compromission supposée : définitionAssumed breach · Assume breach · Postulat de compromissionUne approche de test de sécurité qui part de l’hypothèse qu’un attaquant a déjà pris pied à l’intérieur du réseau, sur un poste de travail ou avec un compte utilisateur, et cherche jusqu’où il peut aller. Elle remplace la question « peut-on entrer ? » par « que se passe-t-il une fois qu’il est entré ? ».
DevSecOps : définitionSécurité CI/CD · Shift left · Sécurité du pipelinePratique qui intègre des contrôles de sécurité automatisés à chaque étape du développement et de la livraison : analyse du code, des dépendances, des secrets et des conteneurs, puis protection du pipeline lui-même. L’objectif est de détecter les défauts au moment où ils sont introduits, quand ils coûtent le moins à corriger.
MITRE ATT&CK : définitionATT&CK · Matrice ATT&CK · MITRE ATTACKUne base de connaissances publique, tenue par l’organisation MITRE, qui décrit les tactiques et les techniques employées par les attaquants d’après des observations réelles. Chaque technique porte un identifiant, des exemples d’usage et des pistes de détection : c’est le vocabulaire commun des équipes de détection et de test.
EBIOS Risk Manager : définitionEBIOS RM · EBIOS 2018 · Méthode EBIOSLa méthode d’analyse de risques numériques publiée par l’ANSSI. Elle part des valeurs métier à protéger et des sources de risque plausibles, construit des scénarios stratégiques puis opérationnels au fil de cinq ateliers, et débouche sur un plan de traitement des risques. Elle s’articule avec la norme ISO/IEC 27005.
Développement sécurisé : définitionSecure SDLC · SSDLC · Sécurité par conception · Secure by designL’intégration de la sécurité à chaque étape de la conception et de la production d’un logiciel : exigences, modélisation des menaces, règles de codage, revue de code, tests automatisés, gestion des dépendances et des secrets, déploiement. L’objectif est de corriger les défauts quand ils coûtent le moins cher, avant la mise en production.

Conformité

CVE : définitionCommon Vulnerabilities and Exposures · Identifiant CVEUn identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel. Il permet à tous les acteurs (éditeurs, chercheurs, outils, équipes de sécurité) de désigner sans ambiguïté le même défaut. Il ne le décrit ni ne le note.
CVSS : définitionCommon Vulnerability Scoring System · Score CVSSUn système de notation standardisé qui évalue la sévérité intrinsèque d’une vulnérabilité sur une échelle de 0,0 à 10,0, à partir de critères comme le vecteur d’attaque, la complexité, les privilèges requis et l’impact. Il mesure la gravité technique du défaut, pas le risque propre à votre organisation.
Bug bounty : définitionProgramme de primes aux bogues · Chasse aux boguesUn programme par lequel une organisation invite des chercheurs indépendants à rechercher des vulnérabilités dans un périmètre défini, et les rémunère pour chaque défaut valide. Il fonctionne selon des règles publiées : périmètre, techniques autorisées, barème, délais de traitement et protection des chercheurs.
Divulgation responsable : définitionCoordinated Vulnerability Disclosure · CVD · Divulgation coordonnée · security.txtLe processus par lequel une personne qui découvre une vulnérabilité la signale en privé à l’organisme concerné, lui laisse un délai raisonnable pour la corriger, puis la rend publique de manière coordonnée. Une politique de divulgation publiée indique à qui écrire et à quelles conditions.
NIS 2 : définitionNIS2 · Directive NIS 2 · Directive (UE) 2022/2555La directive européenne (UE) 2022/2555 sur la cybersécurité, qui impose aux entités « essentielles » et « importantes » de nombreux secteurs des mesures de gestion des risques, une responsabilité de la direction et une notification rapide des incidents importants.
ISO 27001 : définitionISO/IEC 27001 · ISO27001La norme internationale qui définit les exigences d’un système de management de la sécurité de l’information (SMSI) : analyse des risques, mesures choisies et documentées, revue de direction et amélioration continue. Une organisation peut en être certifiée par un organisme tiers accrédité.
DORA : définitionDigital Operational Resilience Act · Règlement (UE) 2022/2554Le règlement européen (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025. Il impose aux entités financières une gestion du risque informatique, la déclaration des incidents majeurs, des tests de résilience et le contrôle de leurs prestataires.
PASSI : définitionPrestataire d’audit de la sécurité des systèmes d’information · Qualification PASSILa qualification française délivrée par l’ANSSI aux prestataires d’audit de la sécurité des systèmes d’information qui satisfont à un référentiel d’exigences. Elle couvre l’audit d’architecture, de configuration, de code source, les tests d’intrusion et l’audit organisationnel et physique.
PCI DSS : définitionPCI-DSS · Payment Card Industry Data Security Standard · Norme de sécurité des cartes de paiementLe standard de sécurité des données de l’industrie des cartes de paiement, publié par le PCI Security Standards Council. Il s’applique à toute entité qui stocke, traite ou transmet des données de cartes, et s’impose par contrat via les réseaux de cartes et les banques acquéreuses, non par la loi.
IEC 62443 : définitionISA/IEC 62443 · Sécurité OT · Zones et conduitsSérie de normes internationales de cybersécurité des systèmes d’automatisation et de contrôle industriels. Elle couvre le programme de sécurité de l’exploitant, l’analyse de risque, le découpage du réseau en zones et conduits, les niveaux de sécurité, et le développement sécurisé des produits par les fabricants.
SMSI : définitionSystème de management de la sécurité de l’information · ISMSLe système de management de la sécurité de l’information : l’ensemble des règles, rôles, processus et contrôles par lesquels une organisation gère ses risques de sécurité de façon continue, avec revue de direction et amélioration. La norme ISO/IEC 27001 en fixe les exigences, et il peut être certifié.
AIPD : définitionAnalyse d’impact relative à la protection des données · PIA · DPIAL’analyse d’impact relative à la protection des données : une étude à mener avant tout traitement de données personnelles susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Elle décrit le traitement, évalue sa nécessité et sa proportionnalité, étudie les risques et fixe les mesures pour les réduire. Elle est prévue à l’article 35 du RGPD.
RSSI : définitionResponsable de la sécurité des systèmes d’information · CISO · RSSI externalisé · vCISOLe responsable de la sécurité des systèmes d’information : la personne qui définit la politique de sécurité, pilote la gestion des risques, coordonne la réponse aux incidents et rend compte à la direction. Dans les structures de taille modeste, la fonction est parfois confiée à un prestataire à temps partagé.
PSSI : définitionPolitique de sécurité des systèmes d’information · Politique de sécurité · Charte informatiqueLa politique de sécurité des systèmes d’information : le document de référence, approuvé par la direction, qui fixe les objectifs de sécurité, les règles applicables, les rôles et les responsabilités. Elle se décline en politiques thématiques, en procédures et en une charte d’usage destinée aux utilisateurs.
Homologation de sécurité : définitionHomologation RGS · Homologation SSILa décision formelle par laquelle l’autorité responsable d’un système d’information atteste qu’elle connaît ses risques de sécurité et accepte les risques résiduels. Elle s’appuie sur une analyse de risques, des audits et un dossier, et reste valable pour une durée définie ou jusqu’à une évolution notable du système.

Technique

Zero-day : définition0-day · Faille zero-day · Vulnérabilité jour zéroUne vulnérabilité inconnue de l’éditeur ou du fabricant, ou sans correctif disponible, et que des attaquants peuvent exploiter avant qu’une protection officielle existe. Le terme « zéro jour » désigne le délai dont disposent les défenseurs pour réagir : aucun.
Surface d’attaque : définitionAttack surface · Exposition externe · Surface d’expositionL’ensemble des points par lesquels un attaquant peut tenter d’entrer dans un système ou d’en extraire des données : services exposés sur Internet, applications, API, comptes, équipements, partenaires, et collaborateurs. Plus elle est large et mal connue, plus il est difficile de la défendre.
Scan de vulnérabilités : définitionVulnerability scan · Scanner de vulnérabilités · Analyse de vulnérabilitésUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants. Rapide, répétable et peu coûteux, il couvre le connu mais ne comprend pas la logique de l’application ni ne démontre l’impact.
OWASP Top 10 : définitionTop 10 OWASP · OWASP Top TenLe classement, publié par la fondation OWASP, des dix catégories de risques de sécurité les plus critiques pour les applications web. C’est un document de sensibilisation qui sert de grille de formation, de test et de restitution, pas une norme de conformité ni une liste exhaustive.
Microsoft Entra ID : définitionEntra ID · Azure AD · Azure Active DirectoryLe service d’annuaire et de gestion des identités et des accès dans le cloud de Microsoft, anciennement Azure Active Directory. Il authentifie les utilisateurs de Microsoft 365 et de nombreuses applications, et applique les politiques d’accès conditionnel.
EPSS et catalogue KEV : définitionEPSS · KEV · Exploit Prediction Scoring System · Known Exploited VulnerabilitiesDeux sources pour décider quelles vulnérabilités corriger en premier. L’EPSS, publié par le FIRST, estime la probabilité qu’une vulnérabilité soit exploitée dans les trente jours ; le catalogue KEV de la CISA liste celles dont l’exploitation réelle est avérée. Ils complètent le score de gravité CVSS sans le remplacer.
DMARC, SPF et DKIM : définitionDMARC · SPF · DKIM · Authentification des e-mailsTrois mécanismes complémentaires qui permettent à un destinataire de vérifier qu’un e-mail vient bien du domaine affiché. SPF liste les serveurs autorisés à envoyer, DKIM signe le message, et DMARC fixe la politique à appliquer (aucune, quarantaine, rejet) et envoie des rapports au propriétaire du domaine.