HELMo
Inscription

UE35 Configurer pour sécuriser

En pratique

  • Cette unité d'enseignement (UE) articule 1 activité d'apprentissage :
    • Configurer pour sécuriser
  • En 2026-2027, elle s'organise au premier quadrimestre et couvre 2 crédits (ECTS).
  • L'enseignement est principalement centralisé dans le campus : Département Informatique
  • Cette UE est remédiable d'une session à l'autre
  • Modalités d'enseignement
    • Groupe classe
    • Travaux pratiques dans un local équipé spécifiquement

Activité d’apprentissage

Les finalités de l'UE

Dans la formation en Sécurité des Systèmes à HELMo, une configuration défensive ne s’apprend pas en appliquant une liste de recommandations, mais en comprenant ce qu’une mauvaise configuration permet réellement à un attaquant, puis en la corrigeant et en prouvant que la correction tient.

Cette UE place l’étudiant·e en position de consultant·e mandaté·e par un client pour sécuriser un système existant. L’étudiant·e en audite la configuration, en révèle les faiblesses par une exploitation contrôlée qui établit l’impact concret, corrige et durcit la configuration en s’appuyant sur des référentiels reconnus, vérifie que la faiblesse est fermée sans casser le service, et remet au client un rapport de remédiation.

L’exploitation contrôlée n’est pas la finalité de l’UE : elle est le révélateur qui donne son sens à la configuration sécurisée, on durcit en connaissance de cause, parce qu’on a vu ce que la faiblesse permettait (apprentissage par le contre-exemple).

L’UE vise ainsi l’articulation complète : faiblesse de configuration → impact démontré → correction → preuve, qui est le cœur du métier du durcissement système. Cette exploitation est un moyen au service de la remédiation, ce qui différencie l’UE de l’UE consacrée aux vulnérabilités, où la recherche et l’analyse de la vulnérabilité sont la finalité.

Les contenus de l'UE

L’UE est organisée autour d’un mandat client type : un système fourni sous forme de machine virtuelle vulnérable, provisionnée localement sur le poste de l’étudiant·e. Les systèmes couverts appartiennent à plusieurs familles, pour que le durcissement soit transposé et non récité. Les contenus abordés sont :

  • Méthode d’audit de configuration : inventaire de la surface (services, comptes, permissions, tâches planifiées, secrets, paramètres par défaut) ; lecture et transposition d’un référentiel reconnu (CIS Benchmarks, guides ANSSI) à un système donné.

  • Familles de systèmes et leurs spécificités : Linux Debian (apt, AppArmor), Fedora (dnf, SELinux), Arch (pacman) ; poste Windows isolé (sans domaine ni stratégie de groupe). Les mécanismes de durcissement propres à chaque famille sont mis en regard.

  • Exploitation contrôlée pour établir l’impact : mise en évidence, en environnement isolé et dans un cadre éthique et légal, de ce qu’une faiblesse de configuration permet (accès non prévu, élévation de privilèges, exposition de données), afin d’en qualifier la criticité pour le client.

  • Correction et durcissement : traitement de la faiblesse, application des mesures du référentiel, réduction de la surface, gestion des comptes, des permissions, des services et des secrets, en tenant compte de la famille du système.

  • Vérification et preuve : rejeu du scénario après correction, script d’inspection de l’état durci, contrôle de non-régression du service — l’état « avant » et l’état « après » sont documentés.

  • Rapport de remédiation client : constat, impact, criticité, mesure corrective appliquée, preuve de fermeture, recommandations.

Les acquis d'apprentissage visés par l'UE

  • AA1 : auditer la configuration de sécurité d’un système Linux (plusieurs familles) ou Windows et en dresser l’inventaire structuré des faiblesses ;

  • AA2 : exploiter de façon contrôlée une faiblesse de configuration pour en établir l’impact réel, en environnement isolé et dans un cadre éthique et légal ;

  • AA3 : corriger et durcir la configuration selon un référentiel reconnu (CIS, ANSSI), en transposant ses recommandations à la famille du système concerné ;

  • AA4 : vérifier et prouver l’effet des mesures : comparer l’état avant et après, démontrer que la faiblesse est fermée et que le service n’a pas régressé ;

  • AA5 : rédiger un rapport de remédiation destiné à un client : constat, impact, criticité, correctif appliqué, preuve et recommandations.

Les méthodes d'enseignement-apprentissage

Cette UE se présente sous forme d’ateliers pratiques menés en équipe de trois, chaque membre travaillant sur sa propre copie de la machine cible : tous réalisent l’ensemble des manipulations. L’équipe de trois est une cellule de retour croisé, relecture mutuelle des audits, des correctifs et des rapports, et n’est pas évaluée collectivement.

Les premières séances lancent la méthode d’audit, la prise en main de l’outillage et le cadre éthique, puis déroulent en groupe classe deux à trois cibles courtes pour installer le cycle complet : audit → exploitation → remédiation → rapport.

Une banque de cibles maison sert ensuite de terrain d’entraînement autonome, sur lequel chaque étudiant·e enchaîne des systèmes variés à son rythme. Des capsules courtes (vingt à trente minutes) traitent les points techniques critiques, référentiels, spécificités de familles, script de vérification et sont immédiatement suivies de mise en pratique. 

Engagement attendu de la part de l'étudiant.e

Dans cette UE, une participation assidue aux cours est vivement recommandée car chaque séance se base sur les acquis de la séance précédente. Les étudiant.es seront encouragé.es à poser des questions chaque fois que cela est nécessaire. Nous conseillons aux étudiant.es d’oser mobiliser cette possibilité de questionnement.

Evaluation pratique

Cette épreuve présente des modalités similaires pour toutes les sessions. Elle est organisée durant la session. Il s'agit d'un examen. Cette épreuve est individuelle. Concrètement, l'épreuve repose sur une réalisation par mise en pratique. L'épreuve repose sur des réponses longues, réponses courtes, réponses choisies parmi des propositions, formulations personnelles. Elle se déroule à cours fermé. La correction de cette épreuve est assurée par validation mixte : automatique et par un.e enseignant.e.

Règles de l’UE

Quels sont les supports et matériels de cours indispensables ?

Supports et matériels de cours

Nous rappelons qu'une prise de notes personnelles et une consultation régulière des mails à l’adresse @student.helmo.be sont les bases fondamentales des gestes d’apprentissage visant une réussite académique dans les études supérieures.

Comment la note globale de l’UE est-elle déterminée ?

Explication de la pondération des différentes épreuves

L’évaluation de cette UE est un examen pratique individuel, aux modalités similaires pour toutes les sessions.

Sur une machine cible tirée au sort dans une banque de cibles, l’étudiant·e réalise, dans le temps de l’épreuve, le cycle complet : auditer la configuration et inventorier les faiblesses ; exploiter de façon contrôlée une faiblesse pour en établir l’impact ; corriger et durcir la configuration en justifiant les mesures par un référentiel ; prouver l’effet des mesures (état avant/après, fermeture de la faiblesse, non-régression du service) ; et produire un rapport de remédiation à destination du client.

L’épreuve se déroule avec documents autorisés (les référentiels notamment) et sur le matériel de l’étudiant·e. La correction combine un contrôle automatisé de l’état durci (script d’inspection de la cible) et une validation par l’enseignant·e portant sur la démarche, l’impact démontré, la justification des mesures et le rapport.

En deuxième session, l’étudiant·e est évalué·e selon le même format, sur une nouvelle cible tirée de la banque.

Quelles sont les informations administratives de cette UE ?