La Cybersécurité de A à Z
De Zero Trust à l'IA offensive

Définition simple

La cybersécurité, c'est l'ensemble des pratiques, technologies et processus visant à protéger les systèmes, les réseaux et les données contre les accès non autorisés, les attaques et les fuites.

Ce n'est pas un produit qu'on installe une fois pour toutes : c'est un processus continu qui couvre les humains, les processus et la technologie.

Les 3 piliers historiques — CIA Triad

Toute mesure de sécurité renforce au moins un de ces 3 axes — et parfois en dégrade un autre (ex : un chiffrement fort renforce C mais peut compliquer A en cas de perte de clé).

Les 3 acteurs typiques d'une attaque

• L'attaquant (threat actor) : cybercriminel, hacktiviste, État-nation, ex-employé rancunier, script-kiddie…
• La cible : entreprise, infrastructure critique, particulier, chaîne d'approvisionnement…
• Le défenseur (blue team) : RSSI, SOC, équipe IT, prestataire MSSP, autorité (ANSSI en France).

On parle aussi de red team (audit offensif autorisé pour tester les défenses) et purple team (collaboration red+blue).

Les chiffres clés

Le top des menaces en 2026

1. Ransomware "double extorsion". Chiffrement + exfiltration + menace de publication. Cibles : santé, collectivités, ETI.
2. Attaques sur la supply chain. Compromission d'un fournisseur pour atteindre ses clients (SolarWinds 2020, XZ Utils 2024, npm/PyPI infectés en 2025).
3. Phishing dopé à l'IA. Spear-phishing généré en masse, voix et visages clonés (deepfake CEO fraud).
4. Vol d'identifiants & "infostealers". Lumma, RedLine, Vidar : les cookies de session valent plus que les mots de passe.
5. Compromission d'API et de SaaS. Clés API leakées sur GitHub, OAuth abusé, configurations cloud exposées.
6. Attaques sur les LLM et agents IA. Prompt injection, exfiltration de données via tool-use, jailbreaks à l'échelle.
7. Hacktivisme & menaces étatiques. Sabotage d'infrastructures (eau, énergie), espionnage industriel.
8. Mobile & IoT. Smishing, applications malveillantes, IoT mal mis à jour formant des botnets.

Timeline des attaques marquantes

AAA — Authentification, Autorisation, Audit Indispensable

• Authentification — "qui êtes-vous ?" Mot de passe, MFA, certificats, biométrie, passkeys.
• Autorisation — "qu'avez-vous le droit de faire ?" RBAC, ABAC, ACL, policies.
• Audit / Accounting — "qui a fait quoi quand ?" Logs immuables, SIEM, traces.

Zero Trust Modèle 2026

Le modèle historique du perimètre sécurisé ("château-fort + douves") est mort avec le cloud, le télétravail et le SaaS. Zero Trust remplace par 3 principes :

1. Never trust, always verify — ne faites jamais confiance par défaut, même en interne.
2. Least privilege — donner le minimum de droits nécessaires (et seulement le temps nécessaire).
3. Assume breach — partez du principe que vous êtes déjà compromis. Cloisonnez, surveillez, segmentez.

Le modèle de menace — Threat Modeling

Avant de protéger, on identifie ce qu'on veut protéger et contre qui. Méthode classique : STRIDE (Microsoft).

Phishing & ingénierie sociale N°1 mondial

Toujours en tête. Variantes 2026 :

• Spear phishing — ciblé sur une personne avec des infos OSINT.
• Whaling — cible un dirigeant (CEO/CFO).
• Smishing / Vishing — SMS / vocal (souvent avec deepfake voix).
• Quishing — QR code malveillant (en explosion 2024-2026).
• Business Email Compromise (BEC) — mail interne usurpé pour faire exécuter un virement.

Ransomware CRITIQUE

Déroulé classique d'une attaque ransomware moderne :

1. Initial access : phishing, credentials achetés, exploit d'un service exposé (RDP, VPN, Exchange).
2. Persistance : tâches planifiées, services Windows, comptes back-door.
3. Lateral movement : Active Directory, mimikatz, Pass-the-Hash, Pass-the-Ticket.
4. Privilege escalation : Kerberoasting, exploit local, abus de GPO.
5. Exfiltration : RClone, MEGAsync, Cobalt Strike vers C2.
6. Encryption : LockBit, BlackCat, Akira… sur tous les serveurs et sauvegardes.
7. Extorsion : rançon en BTC/Monero + menace de publier les données.

Le top OWASP Web 2025

OWASP Top 10 LLM & LLMOps NOUVEAU

Depuis 2024, l'OWASP publie un Top 10 spécifique aux applications à base de LLM :

• LLM01 — Prompt Injection (directe ou indirecte via documents/sites).
• LLM02 — Insecure Output Handling (sortie LLM exécutée/affichée sans contrôle).
• LLM03 — Training Data Poisoning.
• LLM04 — Model Denial of Service (saturation par requêtes coûteuses).
• LLM05 — Supply Chain Vulnerabilities (poids altérés, plugins compromis).
• LLM06 — Sensitive Information Disclosure.
• LLM07 — Insecure Plugin Design.
• LLM08 — Excessive Agency (l'agent peut faire trop de choses).
• LLM09 — Overreliance (confiance aveugle dans les sorties).
• LLM10 — Model Theft.

Le contexte CAS D'ÉCOLE

En 2025, Anthropic (l'éditeur de Claude) a publiquement évoqué un modèle interne, surnommé Mythos, dont les capacités en cybersécurité offensive ont été jugées suffisamment puissantes pour ne pas être publié en l'état. C'est l'un des premiers cas où un modèle frontier est explicitement relié à un risque cyber concret.

Ce cas illustre une bascule : l'IA n'est plus seulement un outil de productivité pour les attaquants, c'est un amplificateur de capacité offensive autonome.

Pourquoi c'est important pour la cybersécurité

• Auto-recon à l'échelle : un agent LLM peut cartographier des centaines d'organisations en parallèle, en quelques minutes.
• Exploitation autonome : identification d'une CVE, écriture du payload, adaptation au target — tout en boucle agentique.
• Phishing hyper-personnalisé : d'après LinkedIn, GitHub, l'historique mail public, l'agent compose un message quasi indiscernable d'un message légitime.
• Capacités "uplift" — un attaquant moyen accède à des techniques avancées jusque là réservées aux groupes APT.

Les réponses des éditeurs d'IA

Les laboratoires frontier (Anthropic, OpenAI, Google DeepMind, xAI) appliquent désormais des responsible scaling policies :

• Capability evaluations — tests offensifs avant publication.
• Niveaux de risque (ASL chez Anthropic, Preparedness chez OpenAI) qui déclenchent des restrictions selon les capacités.
• Refus de publier certains poids ou capacités jugées au-dessus du seuil.
• Red-teaming externe (UK AISI, US AISI, partenariats académiques).

L'IA pour les défenseurs (Blue Team)

• Détection d'anomalies — modèles ML sur les logs réseau et endpoint.
• Triage automatique d'alertes — les SOC modernes utilisent un LLM pour résumer / prioriser des alertes.
• Threat hunting assisté — copilote LLM pour formuler des requêtes Splunk/Elastic.
• Code review sécurité automatique — SAST dopé aux LLM (Snyk Code, GitHub Copilot Autofix).
• Phishing-aware mailbox — analyse contextuelle des mails entrants par LLM.

L'IA pour les attaquants (Red Team / cybercriminels)

• Phishing à grande échelle — messages parfaitement rédigés, multilingues.
• WormGPT / FraudGPT — LLMs sans garde-fous vendus sur le dark web (mais souvent du vent ou des rapidos GPT-3.5 jailbreakés).
• Développement de malware — templates polymorphes, évasion EDR, obfuscation.
• Recon automatisée — OSINT, scrape LinkedIn/GitHub, profilage cible.
• Vuln scanning intelligent — identification automatique de CVEs exploitables sur un parc.
• Deepfakes audio/vidéo — CEO fraud, kidnapping virtuel, ingénierie sociale téléphonique.

Sécuriser les applications IA elles-mêmes

Mettre un LLM en production introduit de nouveaux risques :

1. Prompt injection : le modèle suit des instructions cachées dans un document, un site web, ou même un nom de fichier.
2. Data exfiltration : via tool-use, l'agent envoie des données sensibles vers un endpoint contrôlé par l'attaquant.
3. Excessive agency : l'agent a trop de droits ; un prompt malicieux déclenche une action destructrice (suppression, paiement…).
4. Jailbreak : contournement des garde-fous via reformulation ou contexte détourné.

Le vocabulaire des solutions Indispensable

Le SOC moderne — Anatomie

En 2026, l'IA est intégrée à chaque niveau : enrichissement des alertes, triage L1, suggestion de playbook, rédaction automatique du rapport d'incident.

Pour les défenseurs Open source

• Wazuh — SIEM/HIDS open source complet.
• Elastic Security — SIEM basé sur Elastic, EDR intégré.
• Suricata / Zeek — IDS/NDR réseau open source.
• OSSEC / Wazuh agent — surveillance des fichiers, intégrité.
• TheHive + Cortex + MISP — gestion d'incidents + threat intelligence.
• Velociraptor — DFIR endpoint hunting.
• OpenVAS / GVM — scanner de vulnérabilités.
• Trivy / Grype / Syft — SCA, SBOM, scan de conteneurs.
• Falco — runtime security pour Kubernetes (CNCF).
• OpenSSL / Lego / certbot — PKI et automatisation TLS.

Pour les red teams autorisées / pentest

• Kali Linux / Parrot OS — distributions outillées.
• Nmap — scan de ports et services.
• Burp Suite — pentest web (proxy intercepteur).
• OWASP ZAP — alternative open source à Burp.
• Metasploit Framework — exploitation modulaire.
• Sqlmap — tests d'injection SQL.
• BloodHound / SharpHound — cartographie Active Directory.
• Mimikatz / Rubeus — extraction de credentials Windows.
• Hashcat / John the Ripper — cassage de hash.
• Responder / Impacket — tools réseau Windows/AD.

Plateformes d'apprentissage et CTF

• Hack The Box — pentest, machines à rooter, parcours pro.
• TryHackMe — tutoriels guidés, parcours débutant à expert.
• Root-Me — plateforme française, large catalogue.
• OverTheWire / PortSwigger Web Security Academy — gratuits, pédagogiques.
• CTFtime — calendrier des CTF mondiaux.
• RangeForce / Cybrary — formation entreprise.

Le paysage européen 2026

NIS2 — Ce qui change vraiment 2025

• Périmètre élargi : ~10x plus d'entités concernées que NIS1 (santé, espace, gestion des déchets, fabricants…).
• Notification d'incident en 24h (alerte initiale), 72h (rapport intermédiaire), 1 mois (rapport final).
• Responsabilité des dirigeants : la conformité cyber relève désormais du conseil d'administration.
• Audits supply chain : vous êtes responsable de la sécurité de vos prestataires critiques.
• ANSSI = autorité compétente en France ; renforcée par la loi de transposition 2025.

Référentiels à connaître

• ISO 27001 / 27002 — SMSI, mesures de sécurité.
• NIST CSF 2.0 — framework cyber décidant Identify / Protect / Detect / Respond / Recover / Govern.
• CIS Critical Security Controls — 18 contrôles concrets et priorisables.
• MITRE ATT&CK — matrice des tactiques et techniques d'attaquants (le Wikipédia du red team).
• OWASP ASVS / Top 10 — sécurité applicative web.
• HDS (FR) — Hébergement de Données de Santé (obligatoire pour les acteurs santé).
• SecNumCloud (FR) — qualification ANSSI pour le cloud souverain.

Hygiène minimale — Pour tout le monde

1. MFA partout, surtout sur les comptes critiques (mail, banque, IAM, GitHub).
2. Gestionnaire de mots de passe (1Password, Bitwarden, KeePassXC) avec mot de passe maître fort.
3. Mises à jour automatiques activées sur OS, navigateurs, applis.
4. Sauvegardes 3-2-1-1 (3 copies, 2 médias, 1 hors site, 1 immuable).
5. Chiffrement disque (BitLocker, FileVault, LUKS) sur portables.
6. Vigilance phishing : vérifier l'expéditeur, jamais cliquer dans la précipitation.
7. Séparer comptes pro / perso — surtout sur les machines.

Hardening — Côté serveur / développeur

1. SSH sans password (clés uniquement), root login désactivé, port custom + fail2ban.
2. Principe du moindre privilège sur tous les comptes (CI/CD, DB, IAM cloud).
3. Secrets dans un coffre (Vault, AWS Secrets Manager, Doppler), jamais en clair dans Git.
4. HTTPS partout, HSTS, headers sécurité (CSP, X-Frame-Options, Referrer-Policy).
5. WAF devant les apps publiques (Cloudflare, ModSecurity, BunkerWeb).
6. Rate limiting sur toutes les routes d'auth, recherche, upload.
7. SBOM + scan automatique en CI (Trivy, Grype, Snyk).
8. Logs centralisés + alerting.
9. Tests de restauration réguliers des backups (sinon ils n'existent pas).
10. Plan de réponse à incident écrit, exercé au moins 1x/an.

Hardening — Côté humain & gouvernance

• Sensibilisation récurrente — campagnes phishing simulé tous les 2-3 mois.
• Onboarding / offboarding sécurisés — checklist claire, révocation immédiate des accès au départ.
• Politique BYOD claire ou interdiction nette.
• Cyber-assurance — mais pas comme substitut à la prévention (les primes explosent).
• Gestion de crise répétée — tabletop exercises avec direction générale, comm', juridique.

Mois 1-3 — Les bases Débutant

• Comprendre TCP/IP, DNS, HTTP/S, certificats, PKI.
• Installer un Linux, maîtriser bash et le système de fichiers.
• Lire les bases OWASP Top 10, CIA, AAA, Zero Trust.
• Faire les premiers parcours TryHackMe (Pre Security, Complete Beginner).
• Activer MFA sur tous ses comptes perso.

Mois 4-9 — Spécialisation Intermédiaire

• Voie défense (Blue) : Wazuh, Suricata, Splunk fundamentals, MITRE ATT&CK.
• Voie offensive (Red) : Burp Suite, Metasploit, Active Directory attacks (BloodHound).
• Lire les rapports d'attaque de Mandiant, CrowdStrike, ANSSI.
• Premières certifications : CompTIA Security+ (généraliste), Blue Team Level 1 (BTL1), eJPT (offensive).

Mois 10+ — Approfondissement Avancé

• Cloud security (CCSP, AWS/Azure security).
• DFIR, threat hunting, malware analysis.
• OffSec OSCP / OSEP / OSWE pour la voie offensive.
• Sécurité des LLMs et des agents (OWASP LLM Top 10).
• Suivre la veille : @vxunderground, Krebs on Security, CERT-FR, ANSSI bulletins.

Veille & ressources référence

• CERT-FR (ANSSI) — bulletins de sécurité FR.
• CISA — alertes US, Known Exploited Vulnerabilities.
• MITRE ATT&CK — matrice de référence.
• OWASP — Top 10 web, mobile, LLM.
• Krebs on Security — investigations cyber.
• The Hacker News — news quotidiennes.
• Cas Mythos — Blog NET&PRO — sur l'IA et les risques de capacités offensives autonomes.