Choisir et lire un référentiel
2 pages
À quoi sert un catalogue, ce qu'il ne dit pas, et comment lire un rapport qui cite des codes sans jamais expliquer lesquels.
Affiche : Référentiels & catalogues
Rubrique · 76 pages · 4 sous-sections
Référentiels & catalogues
CWE, CVE, CAPEC, ATT&CK et les Top 10 de l'OWASP : les catalogues qui classent les faiblesses, les failles, les schémas d'attaque et les gestes des attaquants. Ce qu'ils nomment, et ce qu'ils n'imposent pas.
OWASP
32 pages
Les Top 10 de l'OWASP, surface par surface : web, API, mobile, CI/CD, open source, Kubernetes, identités non humaines, modèles de langage et agents.
Le projet, ses listes et comment les lire
Applications, API et chaîne logicielle
- OWASP Top 10 web 2025 : les dix catégories et ce qui a changé
- OWASP API Security Top 10 2023 : l’autorisation à trois granularités
- OWASP Mobile Top 10 2024 : les dix risques des applications mobiles
- OWASP Top 10 CI/CD : les dix risques de la chaîne de livraison
- CICD-SEC-1 : mécanismes de contrôle de flux
- CICD-SEC-2 : identités et accès
- CICD-SEC-3 : chaîne de dépendances
+ 24 pagesReplier
Applications, API et chaîne logicielle
- CICD-SEC-4 : exécution de pipeline empoisonnée
- CICD-SEC-5 : contrôles d'accès du pipeline
- CICD-SEC-6 : hygiène des identifiants
- CICD-SEC-7 : configuration système
- CICD-SEC-8 : services tiers
- CICD-SEC-9 : intégrité des artefacts
- CICD-SEC-10 : journalisation et visibilité
- OWASP Top 10 des risques de l’open source : au-delà des CVE
Plateformes et identités
- OWASP Kubernetes Top 10 2025 : les dix risques d’un cluster
- OWASP Non-Human Identities Top 10 2025 : les identités qui n’ont pas de visage
Modèles de langage et apprentissage
- OWASP Top 10 LLM 2026 : la grille qui relie les risques des modèles
- OWASP MCP Top 10 2025 : les dix risques du protocole de contexte
- OWASP Machine Learning Security Top 10 : viser le modèle, pas l’application
Applications agentiques (ASI01-ASI10)
- Le Top 10 OWASP des applications agentiques (ASI01-ASI10)
- ASI01 : détournement d'objectif de l'agent
- ASI02 : détournement et exploitation des outils
- ASI03 : abus d'identité et de privilèges
- ASI04 : vulnérabilités de la chaîne d'approvisionnement agentique
- ASI05 : exécution de code inattendue
- ASI06 : empoisonnement de la mémoire et du contexte
- ASI07 : communication inter-agents non sécurisée
- ASI08 : défaillances en cascade
- ASI09 : exploitation de la confiance humain-agent
- ASI10 : agents voyous
CWE
26 pages
Le catalogue des types de faiblesses logicielles et son Top 25 annuel : ce que chaque classe recouvre, sa place dans l'arbre, et la page du site qui traite le mécanisme.
Le classement
Injections et exécution de code
- CWE-79 : cross-site scripting
- CWE-89 : injection SQL
- CWE-78 : injection de commande système
- CWE-94 : injection de code
- CWE-77 : injection de commande
- CWE-502 : désérialisation de données non fiables
- CWE-434 : téléversement de fichier dangereux
+ 18 pagesReplier
Mémoire
- CWE-787 : écriture hors limites
- CWE-125 : lecture hors limites
- CWE-120 : débordement de tampon classique
- CWE-121 : débordement dans la pile
- CWE-122 : débordement dans le tas
- CWE-416 : usage après libération
- CWE-476 : déréférencement de pointeur nul
Contrôle d'accès et authentification
- CWE-862 : autorisation manquante
- CWE-863 : autorisation incorrecte
- CWE-284 : contrôle d'accès défaillant
- CWE-639 : contournement par clé utilisateur (IDOR, BOLA)
- CWE-306 : authentification manquante
Requêtes forgées, chemins et ressources
- CWE-352 : falsification de requête inter-sites (CSRF)
- CWE-918 : falsification de requête côté serveur (SSRF)
- CWE-22 : traversée de chemin
- CWE-770 : allocation de ressources sans limite
Classes trop générales, à l'usage déconseillé
MITRE ATT&CK
16 pages
Ce que font réellement les attaquants, observé dans de vraies intrusions : les quinze tactiques de la matrice Enterprise, ce qui se détecte à chaque étape et ce qui se prépare avant.
La matrice
Avant l'intrusion
Entrer et s'installer
Ne pas être vu
+ 8 pagesReplier
Ne pas être vu
Progresser dans le réseau
Aboutir
Par où commencer
- Choisir et lire un référentiel
Comprendre ce qu'un catalogue classe
- OWASP
Prioriser par surface applicative
- CWE
Nommer la faiblesse, pas seulement la faille
- MITRE ATT&CK
Suivre l'attaquant tactique par tactique
Parcours qui passent par ici
- Débuter en cybersécurité (1 étape dans la rubrique)