Formation Sécurité applicative Java : OWASP, ANSSI et sécurisation d’une application Spring Boot

Programme Sécurité applicative Java : OWASP, ANSSI et sécurisation d’une application Spring Boot

Identifier les enjeux de la sécurité applicative Java

Comprendre les risques de sécurité liés aux applications Java modernes.
Identifier les impacts d’une faille applicative : fuite de données, indisponibilité, compromission de compte, altération des traitements.
Situer la sécurité applicative dans le cycle de vie d’un projet Java : conception, développement, tests, intégration continue, déploiement et maintenance.
Présenter les principales références : OWASP Top 10, recommandations ANSSI, RGPD, bonnes pratiques de développement sécurisé.
Relier les exigences de sécurité au dossier de conception, au plan de tests et à la documentation de déploiement.
Atelier fil rouge : Analyse rapide des risques d’une application Spring Boot exposant une API REST et une interface Web.

Appliquer les principes du développement sécurisé en Java

Développer dans un style défensif : validation des entrées, contrôle des formats, gestion des exceptions, limitation des comportements inattendus.
Sécuriser les échanges entre couches applicatives : contrôleurs, services, composants métier, accès aux données.
Éviter l’exposition d’informations sensibles dans les messages d’erreur, journaux, réponses API et pages Web.
Mettre en place une stratégie de logs utile sans divulguer de données confidentielles.
Comprendre les principes de confidentialité, intégrité, disponibilité et traçabilité.
Atelier fil rouge : Correction de traitements Java vulnérables : validation des entrées, gestion d’erreurs, nettoyage des messages et amélioration des logs.

Prévenir les principales vulnérabilités OWASP

Identifier les principales failles applicatives : injection SQL, XSS, CSRF, contrôle d’accès défaillant, exposition de données sensibles, mauvaise configuration de sécurité, dépendances vulnérables.
Comprendre les mécanismes d’exploitation des vulnérabilités les plus fréquentes dans une application Java Web ou API REST.
Mettre en œuvre les parades adaptées : requêtes paramétrées, échappement des sorties, tokens CSRF, contrôle des rôles, limitation des informations exposées.
Appliquer les bonnes pratiques de sécurisation des entrées et sorties applicatives.
Atelier fil rouge : Identification et correction de vulnérabilités simples sur une application Java / Spring Boot.

Sécuriser l’authentification et les autorisations avec Spring Security

Comprendre les principes d’authentification, d’autorisation, de session, de rôles et de permissions.
Configurer Spring Security pour protéger une application Web ou une API REST.
Mettre en place des règles d’accès selon les profils utilisateurs.
Comprendre les principes d’utilisation des tokens, de JWT, des filtres de sécurité et du CORS.
Gérer les erreurs d’accès et les réponses de sécurité de manière adaptée.
Atelier fil rouge : Mise en place d’une configuration Spring Security simple avec rôles, endpoints protégés et contrôle d’accès sur une API REST.

Sécuriser les accès aux données

Prévenir les injections SQL avec les requêtes paramétrées, l’ORM et les bonnes pratiques d’accès aux données.
Contrôler les entrées avant toute modification de la base de données.
Préserver l’intégrité et la confidentialité des données.
Gérer les transactions, les erreurs et les exceptions liées aux accès aux données.
Identifier les points de vigilance spécifiques aux bases relationnelles et aux bases NoSQL.
Atelier fil rouge : Sécurisation d’un composant d’accès aux données Java : validation, requêtes paramétrées, gestion des exceptions et tests associés.

Protéger les secrets, configurations et dépendances

Identifier les informations sensibles : mots de passe, clés API, tokens, certificats, chaînes de connexion, variables d’environnement.
Éviter le stockage de secrets dans le code source, les fichiers versionnés, les logs ou les artefacts.
Utiliser les variables d’environnement et les variables CI/CD GitLab pour externaliser la configuration.
Analyser les dépendances Maven ou Gradle afin d’identifier les bibliothèques vulnérables.
Comprendre l’intérêt des outils d’audit de dépendances et des mises à jour de sécurité.
Atelier fil rouge : Externalisation de secrets dans une application Spring Boot et ajout d’un contrôle des dépendances dans une chaîne CI/CD.

Tester la sécurité d’une application Java

Intégrer des tests de sécurité simples dans la démarche de développement.
Vérifier les contrôles d’accès, la validation des entrées, la gestion des erreurs et les comportements attendus en cas d’accès non autorisé.
Préparer des jeux d’essai pour les vulnérabilités courantes : injection, accès interdit, données invalides, tentative d’accès à une ressource non autorisée.
Exploiter les rapports de tests, d’analyse qualité et d’audit de dépendances.
Documenter les résultats obtenus et les corrections apportées.
Atelier fil rouge : Rédaction et exécution d’un mini-plan de tests de sécurité sur l’application Spring Boot.

Intégrer la sécurité dans la CI/CD et le déploiement

Positionner la sécurité dans le pipeline GitLab CI/CD : build, tests, analyse qualité, audit de dépendances, packaging et déploiement.
Contrôler les variables et secrets dans GitLab CI/CD.
Limiter l’exposition des artefacts et des journaux de pipeline.
Prendre en compte la sécurité dans le Dockerfile et les images applicatives.
Prévoir les points de contrôle avant déploiement et les mesures de retour arrière en cas d’incident.
Atelier fil rouge : Ajout d’étapes de contrôle sécurité dans un pipeline GitLab CI/CD et vérification des points sensibles avant déploiement.

Documenter la sécurité applicative pour le dossier projet

Rédiger une synthèse des risques identifiés et des mesures de sécurité retenues.
Documenter les choix de sécurité dans le dossier de conception : authentification, autorisations, accès aux données, gestion des secrets, validation des entrées.
Présenter les tests de sécurité réalisés, les résultats obtenus et les corrections appliquées.
Produire des éléments réutilisables dans un dossier projet CDA : extrait de configuration Spring Security, plan de tests sécurité, analyse OWASP, audit de dépendances, procédure de gestion des secrets.
Atelier fil rouge : Constitution des livrables sécurité à intégrer dans le dossier projet CDA.

Supports pédagogiques

Support du formateur, exercices pratiques, cas fil rouge Java / Spring Boot, exemples de configurations Spring Security, exemples de tests de sécurité, ressources OWASP, recommandations ANSSI, ressources complémentaires et éléments mobilisables pour le dossier projet CDA.