Tous les articles

Template SoA : Déclaration d'Applicabilité ISO 27001 (PDF)

Fiche Mémo Transition ISO 27001:2022 (PDF Recto-Verso)

Modèle PSSI : Politique de Sécurité SI Gratuite (ISO 27001)

OSINT : Investigation Numérique et Renseignement Expert

Le renseignement en sources ouvertes (OSINT — Open Source Intelligence) est la discipline qui consiste à collecter, analyser et synthétiser des informations à partir de sources publiquement accessibles pour produire du renseignement actionnable. Contrairement à l'espionnage ou au hacking offensif,...

Auto-évaluation Maturité SSI — Grille de Scoring (PDF Gratuit)

Checklist ISO 27001:2022 — 93 Contrôles Annexe A (PDF Gratuit)

PAM : Gestion Complète des Accès Privilégiés Entreprise

La gestion des accès privilégiés (PAM — Privileged Access Management) constitue l'un des contrôles de sécurité les plus critiques qu'une organisation peut déployer pour protéger ses actifs numériques les plus sensibles. Les comptes privilégiés — administrateurs de domaine, root Unix,...

Reverse Engineering Firmware IoT : Binwalk et Ghidra

L'Internet des Objets représente aujourd'hui la surface d'attaque la plus sous-estimée de l'industrie informatique : des milliards de dispositifs embarquent des systèmes d'exploitation complets, des serveurs web, des stacks cryptographiques et des interfaces réseau, le tout compilé pour des architectures...

Shift Left Security : Intégrer la Sécurité dès le Code

La philosophie du Shift Left Security repose sur un constat simple mais radical : chaque vulnérabilité détectée en production coûte entre 30 et 100 fois plus cher à corriger qu'une faille identifiée lors de la phase de conception ou de...

XXE : XML External Entity — Exploitation et Défense

L'injection XXE (XML External Entity) exploite le mécanisme d'entités externes du standard XML pour forcer un parser côté serveur à charger des ressources arbitraires — fichiers locaux, URLs internes, ou données encodées exfiltrées vers un serveur contrôlé par l'attaquant. Malgré...

Divulgation sauvage : quand un chercheur frustré arme

La divulgation sauvage de trois 0-days Defender en avril 2026 par un chercheur frustré n'est pas un accident. C'est le symptôme d'un contrat social qui s'effrite entre éditeurs et chercheurs sécurité — analyse et conséquences opérationnelles.

DLP : Stratégie Complète de Prévention de Fuite de Données

La prévention des fuites de données (DLP) couvre les technologies et processus pour détecter et bloquer les transferts non autorisés...

Élévation de Privilèges Linux : SUID, Capabilities et Kernel

Glossaire Active Directory : 100 Termes Sécurité et Attaques

Glossaire AD complet : 100 termes sécurité Active Directory — Kerberoasting, DCSync, Golden Ticket, Tiering Model, LAPS, GPO. Définitions et défenses.

Glossaire Cybersécurité : 100 Termes Essentiels 2026

Glossaire cybersécurité complet : 100 termes essentiels expliqués — APT, EDR, SIEM, Zero Trust, ransomware, pentest, MITRE ATT&CK. Définitions expertes.

Patch incomplet : la dette technique de la cyberdéfense

CVE-2026-32202 n'est pas un accident. C'est le symptôme d'une dérive structurelle où les éditeurs publient des patchs qui ferment l'exécution de code mais laissent intactes les surfaces adjacentes. Les défenseurs paient l'addition.

Élévation de Privilèges Windows : Techniques Avancées

SSRF : Server-Side Request Forgery — Exploitation Avancée

Le Server-Side Request Forgery reste en 2026 l'une des vulnérabilités les plus sous-estimées et les plus dévastatrices dans les architectures cloud-native. Là où une injection SQL compromet une base de données, un SSRF bien exploité compromet l'infrastructure entière : accès...

L'IA est passée du côté des attaquants — et on s'est endormi

En six semaines, l'IA a transformé les attaques supply chain en machine industrialisée. prt-scan, CanisterSprawl, LeRobot : nos défenses statiques sont obsolètes. Analyse sans concession.

Audit Sécurité Pipeline CI/CD : SAST, DAST, SCA Intégrés

Les pipelines CI/CD constituent désormais le système nerveux central de toute organisation logicielle. Chaque commit déclenche une cascade d'opérations automatisées — compilation, tests, analyse, déploiement — qui transforme du code source en artefacts de production en quelques minutes. Cette vélocité...

Wazuh SIEM/XDR : Guide Déploiement et Détection 2026

Guide complet Wazuh SIEM/XDR : architecture, déploiement Docker/K8s, agents, règles détection, FIM, Active Response, intégration TheHive/MISP/Shuffle.

Pentest IA : Audit des Systèmes d'Intelligence Artificielle

Méthodologie pentest IA : OWASP ML Top 10, MITRE ATLAS, prompt injection, model extraction, data poisoning. Outils Garak, PromptFoo, ART. Conformité AI Act.

LOLBas / LOLBins : Living Off The Land — Guide Complet

Guide complet LOLBas/LOLBins : certutil, mshta, rundll32, regsvr32, BYOVD. Campagnes APT, détection Sysmon/Sigma, défense AppLocker/WDAC.

Désérialisation : Attaques Java, PHP, .NET et Python

Guide expert désérialisation : ysoserial Java, POP chains PHP, BinaryFormatter .NET, pickle Python. Exploitation, détection et défense complètes.