Enquêter sur une fuite de sauvegarde web est un cours pratique de sécurité web destiné aux débutants. Dans le rôle de l'ingénieur d'astreinte de Northstar, vous retracerez un téléchargement inhabituel dans les journaux d'accès Nginx et protégerez une archive interne sans interrompre le site d'assistance.
Le cours comprend un laboratoire guidé et un défi. Le laboratoire guidé vous accompagne de l'enquête à la correction en trois étapes. Le défi propose un second portail avec une arborescence et des noms de fichiers différents pour vous permettre d'appliquer les mêmes méthodes en autonomie.
Ce que vous apprendrez
À l'issue de ce cours, vous saurez :
- lire les champs essentiels d'un journal d'accès web et identifier un téléchargement de fichier réussi ;
- utiliser
curlettarpour examiner ce qu'un site web rend réellement accessible ; - relier l'URL d'une requête au répertoire public du serveur, ou racine web ;
- conserver les données internes en dehors de ce répertoire public ;
- vérifier que le téléchargement de l'archive privée est bloqué, tandis que les pages publiques et les téléchargements autorisés restent accessibles.
À qui s’adresse ce cours
Ce cours s'adresse aux débutants en sécurité, aux développeurs et aux futurs administrateurs système qui souhaitent enquêter sur un cas concret d'exposition de fichiers web et y remédier.
Prérequis : Une connaissance élémentaire du terminal, notamment la saisie de commandes et la reconnaissance des chemins de fichiers. Aucune expérience en administration Nginx, en tests d'intrusion ou en programmation n'est nécessaire. Le cours présente les notions de HTTP, de journaux et d'archives utilisées dans les exercices.
Environnement d'apprentissage : Un environnement Linux préconfiguré dans le navigateur, avec les terminaux Workstation et Web Server ainsi qu'une vue Topology. Le site, les données d'exemple et l'historique des requêtes sont fournis ; aucune installation locale n'est nécessaire.
Questions fréquentes
Dois-je configurer un serveur web ?
Non. Le site et les deux terminaux sont prêts au démarrage du laboratoire. Vous pouvez vous concentrer sur l'enquête et la correction.
Devrai-je écrire du code applicatif ?
Non. Vous utiliserez des outils en ligne de commande pour examiner les requêtes, lire la configuration, déplacer un fichier et tester le résultat.
Comment le défi prolonge-t-il le laboratoire guidé ?
Il utilise les mêmes outils et la même méthode de correction, avec une arborescence et un nom d'archive différents. Vous déterminez quel téléchargement contient des données internes et appliquez la correction sans procédure détaillée. Une solution complète et expliquée est disponible en cas de difficulté.
