Les techniques de protection de base - mises à jour, antivirus (signatures, heuristique, comportement), pare-feu personnel et réseau, sauvegardes 3-2-1, double authentification, moindre privilège, sensibilisation - et comment les combiner en défense en profondeur.
Après avoir passé en revue les attaques, voici les protections. Aucune n'arrête tout : un antivirus ne bloque pas un XSS, un pare-feu ne protège pas d'un mot de passe donné à un hameçonneur. C'est leur combinaison qui protège Souk Atlas, du PC de la caisse jusqu'au serveur du site.
Première couche : l'utilisateur. Formé, il repère un e-mail d'hameçonnage et ne clique pas.
À mettre à jour : le système d’exploitation, le navigateur, les logiciels (bureautique, lecteur PDF), et côté site : PHP, Apache, MySQL, le CMS, ses plugins, et les bibliothèques (composer outdated, npm audit).
Un pare-feu ne voit pas si une requête HTTP autorisée contient une injection SQL : pour ça, il faut un pare-feu applicatif (WAF, leçon C.5) et surtout un code correct.
Une porte blindée (pare-feu), un chien qui reconnaît les rôdeurs (antivirus), des fenêtres réparées dès qu'elles se fissurent (mises à jour), un double des papiers chez un parent (sauvegarde) : aucune protection ne suffit seule, ensemble elles découragent.
La police reconnaît un malfaiteur dont elle a la photo (signature d'antivirus). Pour un inconnu, elle observe le comportement suspect (heuristique). Un antivirus moderne fait les deux.
Proposez un plan de sauvegarde 3-2-1 pour la base de données et les photos du site Souk Atlas, et dites comment vérifier qu'il fonctionne.
3 copies : la base en production, une sauvegarde automatique chaque nuit chez l'hébergeur, une copie hebdomadaire téléchargée. 2 supports différents : le serveur de l'hébergeur et un disque externe (ou un stockage cloud d'un autre fournisseur). 1 copie hors site et hors ligne : le disque externe débranché et rangé ailleurs, ou un stockage cloud avec versions non modifiables. Vérification : une restauration d'essai chaque mois sur une base de test (une sauvegarde jamais restaurée n'est pas une sauvegarde), avec une alerte si la sauvegarde de la nuit échoue.
Donnez trois applications du principe du moindre privilège dans une petite entreprise.
1. Les employés travaillent avec un compte Windows standard, pas administrateur : un logiciel malveillant ne peut pas s'installer partout. 2. Le site se connecte à MySQL avec un utilisateur qui n'a que SELECT, INSERT, UPDATE, DELETE sur sa base, jamais root. 3. Le stagiaire n'a accès qu'aux dossiers de son service, et ses accès sont retirés le jour de son départ.