Les 100 mots de la cybersécurité

Annuaire de Microsoft qui centralise les comptes, les mots de passe et les droits de la plupart des réseaux d’entreprise sous Windows : qui le contrôle contrôle tout le réseau.

Nestor

Groupe d’attaquants très organisé, souvent lié à un État, qui s’introduit durablement et discrètement dans un réseau ciblé pour espionner, voler des secrets ou préparer un sabotage.

Attaque où un pirate s’interpose discrètement entre deux parties qui communiquent, pour lire, voler ou modifier leurs échanges sans qu’elles s’en aperçoivent.

Attaque qui compromet un fournisseur, un prestataire ou un composant logiciel de confiance pour atteindre, par ricochet, tous ses clients.

Attaque qui essaie systématiquement un grand nombre de mots de passe jusqu’à trouver le bon, soit en ligne sur un service de connexion, soit hors ligne sur des empreintes de mots de passe volées.

Connexion qui exige au moins deux preuves d’identité de natures différentes (ce que vous savez, ce que vous possédez, ce que vous êtes), pour qu’un mot de passe volé ne suffise plus.

Nestor

Mécanisme qui permet de s’identifier une seule fois auprès d’un fournisseur d’identité pour accéder ensuite à plusieurs applications sans ressaisir de mot de passe.

Équipe chargée de défendre le système d’information au quotidien : surveiller, détecter les attaques, y répondre et durcir les configurations.

Niveau d’information confié aux testeurs avant un audit : rien (boîte noire), un accès utilisateur ou une documentation partielle (boîte grise), ou tout, code source compris (boîte blanche).

Réseau d’ordinateurs, de serveurs ou d’objets connectés infectés et pilotés à distance par un attaquant, qui les fait agir ensemble à l’insu de leurs propriétaires.

Attaque automatisée qui teste en masse, sur un site, des couples identifiant et mot de passe volés ailleurs, en pariant que les utilisateurs réutilisent les mêmes mots de passe.

Programme par lequel une organisation invite des chercheurs en sécurité à chercher des failles dans un périmètre défini, et les récompense pour chaque vulnérabilité valide signalée.

Un certificat est une carte d’identité numérique qui relie une clé publique à un nom (site, personne, machine) ; la PKI est l’organisation qui émet, vérifie et révoque ces certificats.

Logiciel malveillant déguisé en programme ou en document légitime, qui ouvre en secret un accès à l’attaquant une fois installé par la victime elle-même.

Procédé qui rend des données illisibles pour quiconque ne possède pas la bonne clé, afin de protéger leur confidentialité lorsqu’elles sont stockées ou transmises.

Belinda

Certification professionnelle de l’ISC2, parmi les plus reconnues au monde, qui atteste d’une expérience confirmée et d’une vision d’ensemble de la sécurité de l’information.

Infrastructure qui permet à un attaquant de piloter à distance les machines qu’il a compromises : envoyer des ordres, récupérer des données, déployer d’autres outils.

Faille d’une application web qui permet à un attaquant d’injecter du code JavaScript dans une page consultée par d’autres utilisateurs, et donc d’agir dans leur navigateur à leur place.

Nouveaux algorithmes de chiffrement et de signature conçus pour résister à un futur ordinateur quantique, capable de casser RSA et les courbes elliptiques qui protègent aujourd’hui Internet.

Belinda

Équipe dédiée à la réponse aux incidents de sécurité pour un périmètre donné (une entreprise, un secteur, une région, un pays), qui alerte, conseille et coordonne la riposte.

Identifiant unique et public attribué à une vulnérabilité connue (par exemple CVE-2021-44228), qui permet à tout le monde de parler de la même faille sans ambiguïté.

Système de notation de 0 à 10 qui mesure la gravité technique d’une vulnérabilité, selon des critères comme la facilité d’exploitation et l’impact sur les données et le service.

Catalogue public des types d’erreurs de conception et de programmation à l’origine des vulnérabilités, chaque type portant un numéro (par exemple CWE-89 pour l’injection SQL).

Règlement européen qui impose des exigences de cybersécurité à tous les produits matériels et logiciels comportant des éléments numériques vendus dans l’UE, de leur conception à la fin de leur support.

Ensemble des mesures techniques, organisationnelles et humaines qui protègent les systèmes informatiques, les données et les personnes contre les attaques, les erreurs et les pannes.

Test automatique d’une application en fonctionnement, qui lui envoie des requêtes comme le ferait un attaquant pour observer ses réactions et détecter des failles exploitables.

Stratégie qui superpose plusieurs couches de protection indépendantes, de sorte que la défaillance de l’une soit compensée par les autres.

Attaque qui rend un site ou un service indisponible en le submergeant de requêtes envoyées simultanément depuis des milliers de machines.

Erreur de programmation où un logiciel écrit plus de données qu’une zone mémoire ne peut en contenir, écrasant les données voisines, ce qui peut faire planter le programme ou permettre d’exécuter du code malveillant.

Démarche qui intègre la sécurité à chaque étape du développement et de l’exploitation d’un logiciel, au lieu de la contrôler seulement à la fin, juste avant la mise en production.

Directive européenne de 2022 qui impose à des milliers d’organisations de 18 secteurs des mesures de cybersécurité, la notification de leurs incidents importants et une responsabilité directe de leurs dirigeants.

Belinda

Règlement européen, applicable depuis le 17 janvier 2025, qui impose au secteur financier (banques, assurances, sociétés de gestion, établissements de paiement…) de maîtriser ses risques informatiques et ceux de ses prestataires.

Personne chargée de veiller au respect du RGPD dans une organisation, de la conseiller et de servir de point de contact avec la CNIL et les personnes concernées.

Méthode française d’analyse des risques numériques, publiée par l’ANSSI, qui part des missions essentielles de l’organisation et des attaquants plausibles pour construire des scénarios et un plan de traitement.

Logiciel installé sur les ordinateurs et les serveurs qui surveille leur comportement, détecte les activités malveillantes et permet d’isoler ou de nettoyer une machine à distance.

Étape d’une attaque où l’intrus, entré avec des droits limités, obtient des droits plus élevés, jusqu’à ceux d’administrateur.

Score publié par le FIRST qui estime, entre 0 et 1, la probabilité qu’une vulnérabilité publiée (CVE) soit exploitée dans les 30 prochains jours.

Vulnérabilité qui permet à un attaquant de faire exécuter ses propres commandes sur une machine distante, généralement par le réseau, ce qui revient souvent à en prendre le contrôle.

Programme ou technique qui tire parti d’une vulnérabilité précise pour faire faire à un système ce qu’il ne devrait pas : exécuter du code, contourner une authentification, lire des données.

Faille qui permet à un attaquant de faire envoyer, par le serveur lui-même, des requêtes vers des adresses de son choix, y compris vers des systèmes internes normalement inaccessibles depuis Internet.

Attaque qui pousse le navigateur d’un utilisateur connecté à envoyer à son insu une requête d’apparence légitime (changement d’adresse e-mail, virement, suppression) vers un site où sa session est ouverte.

Escroquerie où un fraudeur se fait passer pour un dirigeant, un fournisseur ou un avocat afin d’obtenir d’un salarié un virement urgent et confidentiel vers un compte qu’il contrôle.

Méthode de test qui bombarde un logiciel de données inattendues, mal formées ou aléatoires pour provoquer des plantages révélateurs de failles.

Dispositif qui contrôle, trace et limite l’usage des comptes les plus puissants (administrateurs, comptes de service, accès d’urgence), cibles préférées des attaquants.

Processus qui recense les logiciels, suit les correctifs de sécurité publiés et les déploie dans des délais adaptés au risque, sans casser la production.

Belinda

Ensemble des processus et des outils qui garantissent que chaque personne ou machine dispose des bons accès, aux bonnes ressources, au bon moment, et qu’elle les perd dès qu’ils ne se justifient plus.

Manière de stocker, distribuer et renouveler les mots de passe techniques, clés d’API, jetons et certificats utilisés par les applications, sans jamais les écrire en clair dans le code.

Nestor

Calcul qui transforme n’importe quelle donnée en une empreinte de taille fixe, impossible à inverser en pratique, et qui change du tout au tout à la moindre modification de la donnée.

Belinda

Escroquerie qui imite un expéditeur de confiance (banque, fournisseur, collègue) par e-mail, SMS, appel ou QR code pour pousser la victime à cliquer, à livrer ses identifiants ou à payer.

Nestor

En-tête de sécurité par lequel un site demande au navigateur de ne plus s’y connecter qu’en HTTPS, ce qui empêche un attaquant de faire basculer la connexion vers du HTTP non chiffré.

Systèmes qui analysent le trafic réseau ou l’activité d’une machine pour repérer des attaques : l’IDS alerte, l’IPS bloque en plus.

Trace technique qui signale qu’un système a probablement été compromis : adresse IP ou domaine malveillant, empreinte de fichier, nom de processus, clé de registre.

Logiciel malveillant spécialisé dans le vol rapide des mots de passe enregistrés, cookies de session, portefeuilles de cryptomonnaie et données du navigateur, revendus ensuite sur des marchés criminels.

Ensemble de techniques de manipulation qui amènent une personne à contourner elle-même la sécurité : révéler un mot de passe, valider un paiement, ouvrir une porte ou installer un logiciel.

Nestor

Attaque qui glisse des instructions dans le texte traité par une IA générative (message, page web, document, e-mail) pour lui faire ignorer ses consignes et agir au profit de l’attaquant.

Attaque qui glisse des instructions de base de données dans un champ de saisie ou une URL pour lire, modifier ou effacer des données auxquelles l’attaquant ne devrait pas avoir accès.

Nestor

Discipline qui collecte, préserve et analyse les traces numériques (disques, mémoire, journaux) pour reconstituer le déroulé d’un incident, avec une rigueur qui permet de les produire en justice.

Norme internationale qui fixe les exigences d’un système de management de la sécurité de l’information (SMSI) et permet de faire certifier sa démarche par un organisme indépendant.

Catalogue public de la CISA, l’agence américaine de cybersécurité, qui recense les vulnérabilités dont l’exploitation par des attaquants est avérée.

Tout programme conçu pour nuire : voler des données, espionner, chiffrer ou détruire des fichiers, ou prendre le contrôle d’un appareil à l’insu de son utilisateur.

Toute cause potentielle d’incident, qu’il s’agisse d’un attaquant, d’un logiciel malveillant, d’une erreur humaine ou d’une catastrophe naturelle, susceptible de nuire à vos systèmes ou à vos données.

Base de connaissances gratuite, tenue par l’organisme américain à but non lucratif MITRE, qui décrit les tactiques et techniques réellement employées par les attaquants, à partir d’observations publiques.

Principe selon lequel chaque utilisateur, application ou service ne reçoit que les droits strictement nécessaires à sa mission, et seulement pour la durée nécessaire.

Ensemble des techniques qu’un attaquant utilise pour passer d’une première machine compromise aux autres machines du réseau, jusqu’à atteindre ses véritables cibles.

Collecte et analyse d’informations accessibles publiquement (sites web, réseaux sociaux, registres, fuites publiées) pour comprendre une cible.

Nestor

Classement de référence des dix catégories de risques les plus critiques pour les applications web, publié par la fondation OWASP et utilisé dans le monde entier pour sensibiliser les équipes et fixer des exigences.

Équipement ou logiciel qui filtre les communications entre réseaux selon des règles : ce qui n’est pas explicitement autorisé est bloqué.

Identifiant de connexion sans mot de passe, fondé sur une paire de clés cryptographiques : la clé privée reste sur votre appareil et se déverrouille par empreinte, visage ou code PIN.

Le plan de continuité d’activité (PCA) organise la poursuite des activités essentielles pendant une crise ; le plan de reprise d’activité (PRA) décrit comment redémarrer l’informatique et retrouver les données après un sinistre.

Leurre (faux serveur, faux compte, faux fichier) placé volontairement pour attirer les attaquants : comme personne de légitime ne doit y toucher, toute interaction est une alerte fiable.

Politique de sécurité des systèmes d’information : document de référence, approuvé par la direction, qui fixe les objectifs, les règles et les responsabilités de l’organisation en matière de sécurité.

Logiciel malveillant qui chiffre les données d’une organisation et exige une rançon pour les restituer, souvent en menaçant aussi de publier les données volées.

Belinda

Exercice où une équipe d’attaquants mandatés imite, pendant plusieurs semaines, un adversaire réaliste pour éprouver la capacité de l’organisation à détecter une attaque et à y réagir.

Faille de contrôle d’accès où l’application donne accès à une ressource (facture, dossier, compte) à partir de son seul identifiant, sans vérifier que l’utilisateur a le droit de la consulter.

Règle simple de sauvegarde : 3 copies des données, sur 2 supports différents, dont 1 conservée hors site.

Belinda

Document signé qui fixe ce qu’un testeur a le droit de faire : systèmes visés, dates, techniques permises ou interdites, contacts d’urgence et conduite à tenir en cas d’imprévu.

Nestor

Information collectée et analysée sur les attaquants (qui ils sont, ce qu’ils visent, comment ils opèrent) pour orienter les décisions de défense.

Ensemble organisé des actions menées pour détecter une attaque, en limiter les dégâts, chasser l’attaquant, rétablir l’activité et en tirer les leçons.

Belinda

Accès à distance où la machine compromise appelle elle-même l’attaquant, ce qui lui permet de franchir les pare-feux qui bloquent les connexions entrantes.

Règlement européen, applicable depuis le 25 mai 2018, qui encadre l’utilisation des données personnelles et oblige chaque organisation à les protéger par des mesures de sécurité adaptées au risque.

Possibilité qu’une menace exploite une vulnérabilité et cause un dommage, estimée en combinant la vraisemblance de l’événement et la gravité de son impact.

Responsable de la sécurité des systèmes d’information : la personne qui définit la stratégie de cybersécurité de l’organisation, pilote les risques et conseille la direction.

Belinda

Le RTO est la durée maximale d’arrêt acceptable pour un service ; le RPO est la quantité maximale de données, exprimée en temps, que l’on accepte de perdre lors d’une restauration.

Analyse automatique du code source d’une application, sans l’exécuter, pour y repérer des failles de sécurité avant la mise en production.

Liste détaillée et lisible par machine de tous les composants d’un logiciel (bibliothèques, versions, fournisseurs, licences), comparable à la liste des ingrédients d’un produit alimentaire.

Analyse qui recense les bibliothèques open source et tierces utilisées par une application, pour signaler celles qui contiennent des vulnérabilités connues ou posent un problème de licence.

Technique qui interroge les « portes » réseau d’une machine pour savoir lesquelles sont ouvertes et quels services y répondent.

Outil qui centralise les journaux de tout le système d’information, les corrèle et déclenche une alerte quand une combinaison d’événements trahit une attaque.

Mécanisme cryptographique qui prouve qui a signé un document ou un logiciel et garantit qu’il n’a pas été modifié depuis.

Équipe et outils chargés de surveiller en continu le système d’information pour détecter les incidents de sécurité, les qualifier et déclencher la réponse.

Ensemble des points par lesquels un attaquant peut tenter d’entrer dans votre système d’information ou d’en extraire des données : services exposés sur Internet, applications, comptes, équipements, prestataires et personnes.

Intrusion physique qui consiste à franchir une porte à accès contrôlé en suivant de près une personne autorisée, sans présenter soi-même de badge.

Nestor

Attaque simulée, menée par des spécialistes mandatés, pour découvrir les failles d’un système avant qu’un vrai attaquant ne les exploite.

Nestor

Protocole qui chiffre et authentifie les échanges entre deux machines, par exemple entre votre navigateur et un site en HTTPS, pour empêcher d’écouter ou de modifier les données en chemin.

Faille qui permet à un attaquant de sortir du dossier prévu par l’application en manipulant un nom de fichier, pour lire ou écrire des fichiers sensibles ailleurs sur le serveur.

Les trois objectifs fondamentaux de la sécurité de l’information : la confidentialité (seules les personnes autorisées accèdent aux données), l’intégrité (les données ne sont pas modifiées à tort) et la disponibilité (elles restent accessibles quand on en a besoin).

Belinda

Faiblesse d’un logiciel, d’un matériel, d’une configuration ou d’une procédure qu’un attaquant peut exploiter pour obtenir un accès ou un effet non autorisé.

Filtre placé devant un site ou une API qui inspecte chaque requête web et bloque celles qui ressemblent à des attaques (injection SQL, XSS, robots abusifs).

Modèle de sécurité qui n’accorde aucune confiance par défaut à un utilisateur ou à un appareil, même à l’intérieur du réseau, et vérifie chaque accès selon l’identité, l’état de l’appareil et le contexte.

Belinda

Vulnérabilité exploitée par des attaquants avant que l’éditeur ne la connaisse ou n’ait publié de correctif : les défenseurs disposent de « zéro jour » pour se préparer.