Cybersécurité : le cours pour grands débutants
Sommaire
Chapitre 1 : Les fondations
Chapitre 2 : Ordinateurs et réseaux, les bases
Chapitre 3 : Linux et la ligne de commande
Chapitre 4 : Sécurité du web et des applications
Chapitre 5 : Les menaces les plus courantes (version terrain)
Chapitre 6 : Les outils de sécurité informatique de base
Chapitre 7 : Les bases du hacking éthique
Chapitre 8 : Ta sécurité personnelle au quotidien
Chapitre 9 : Projets pour débuter
Chapitre 10 : Les bases de la réponse à incident
Chapitre 11 : Le projet final
Ce cours d’informatique et sécurité part de zéro et suppose que tu n’y connais rien. Chaque mot compliqué y est expliqué avec des mots de tous les jours, et quand un vrai terme technique existe, on te le donne, avec ce repère :
Le mot des pros : exemple. Ici, on t’explique le mot en langage simple. Tu apprends le vrai vocabulaire, sans te perdre.
Cette édition est adaptée à notre réalité : au Bénin, en Côte d’Ivoire et dans la sous-région, le premier ordinateur de la plupart des gens, c’est le téléphone. Et l’argent, aujourd’hui, passe surtout par le mobile money (MTN MoMo, Moov Money, Orange Money, Wave, Celtiis Cash selon ton pays). Les exemples de ce cours partent donc de là.
La règle numéro un, avant tout le reste. Tout ce que tu apprends ici sert à te protéger et à t’entraîner sur tes propres machines. On ne teste jamais le téléphone, l’ordinateur, le site ou le réseau de quelqu’un d’autre sans son accord écrit. Le faire, même « juste pour voir », est illégal.
Comment lire ce cours d’informatique pour débutants
Chaque chapitre est une suite de petits articles « Comment faire ». Lis dans l’ordre, prends ton temps. Il n’y a rien à apprendre par cœur : le but est de comprendre.
Trois mots reviennent partout, autant les apprendre tout de suite.
La menace : quelqu’un qui pourrait te faire du mal.
La faille : une faiblesse, comme une porte mal fermée. Le mot des pros : une vulnérabilité.
Le risque : la chance que ça tourne mal, et les dégâts que ça ferait.
Chapitre 1 : Les fondations
Comprendre ce qu’est la cybersécurité (la sécurité informatique), et pourquoi c’est important
Pense à ta maison, ou à ta boutique. Tu fermes à clé, tu ne laisses pas ton argent sur le comptoir, tu te méfies d’un inconnu qui rôde. Ça, c’est de la sécurité.
La cybersécurité, c’est pareil, mais pour tout ce qui est numérique : ton téléphone, ton compte mobile money, ton WhatsApp, ta page Facebook, tes photos, tes contacts.
Si c’est devenu si important, c’est que presque toute ta vie est dans ton téléphone. Quelqu’un qui y entre sans permission peut vider ton compte MoMo, se faire passer pour toi auprès de tes contacts pour leur soutirer de l’argent, ou détruire ce à quoi tu tiens.
Comment marche une cyberattaque, en gros
Une cyberattaque, c’est quelqu’un (ou un programme) qui essaie d’entrer là où il n’a pas le droit, ou de casser ou voler quelque chose.
Presque toutes les attaques suivent le même chemin, très humain :
Observer. L’attaquant regarde sa cible, comme un voleur qui repère la boutique la plus facile.
Trouver une faiblesse. Un code MoMo trop simple, un téléphone jamais mis à jour, une personne trop confiante.
Entrer. Il utilise la faiblesse.
Agir. Voler de l’argent, arnaquer tes contacts, prendre ton compte.
La bonne nouvelle, c’est que la plupart des attaques marchent à cause de faiblesses toutes bêtes. En apprenant les bases, tu te protèges donc déjà énormément.
Comprendre menace, faille et risque
L’image de la boutique marche parfaitement.
La menace, c’est l’arnaqueur qui traîne. Il existe, tu n’y peux rien.
La faille, c’est ton code secret que tout le monde peut deviner (comme 1234).
Le risque, c’est les deux ensemble : « il y a des arnaqueurs ET mon code est facile, donc je risque gros ».
Tu ne peux pas faire disparaître les arnaqueurs, mais tu peux réparer tes failles, et en réparant tes failles tu fais baisser le risque. Toute la cybersécurité tient là-dedans.
Reconnaître les types d’attaquants
Tous les attaquants ne sont pas pareils.
Le curieux. Il teste des trucs trouvés sur internet, sans vrai plan. Pas très dangereux, mais il y en a beaucoup.
L’arnaqueur du quotidien. C’est le plus courant chez nous. Faux dépôt MoMo, faux gain à une loterie MTN ou Orange, faux agent, faux acheteur. Il veut ton argent.
Le manipulateur. Il ne casse rien : il te parle bien pour que tu lui donnes toi-même ton code ou ton OTP (chapitre 5).
L’attaquant très organisé. Très fort, il vise les banques, les entreprises ou les États. Tu ne le croiseras sûrement jamais, mais sache qu’il existe.
Comprendre le cycle de la cybersécurité
Se protéger n’est pas un geste unique, c’est une boucle qui tourne tout le temps. On la résume en cinq étapes.
Identifier. Savoir ce qu’on a de précieux (mon compte MoMo, mon WhatsApp, mes photos).
Protéger. Mettre des barrières (codes solides, mises à jour, sauvegardes).
Détecter. Remarquer quand quelque chose cloche (un SMS de retrait que tu n’as pas fait).
Répondre. Réagir vite (appeler l’opérateur, bloquer, changer ses codes).
Récupérer. Réparer et revenir à la normale.
Le mot des pros : le cadre NIST. Ces cinq étapes portent un nom. C’est un modèle très connu, créé aux États-Unis, qu’on appelle le cadre NIST. Tu le recroiseras.
Chapitre 2 : Ordinateurs et réseaux, les bases
Comment les ordinateurs se parlent sur un réseau
Un réseau, c’est plusieurs appareils reliés qui s’échangent des messages. Quand ton téléphone charge une vidéo, il la demande à un ordinateur lointain, qui la lui envoie.
L’image la plus proche, c’est le courrier. Pour envoyer une lettre, il faut une adresse, une enveloppe et un système de tri. Un réseau, c’est pareil.
Le mot des pros : le paquet. Un message ne voyage pas d’un bloc. Il est découpé en petits morceaux, et chaque morceau s’appelle un paquet. Les paquets voyagent, puis sont recollés à l’arrivée. C’est aussi pour ça que ton forfait data se vide : tu paies pour ces paquets.
Comment marchent les adresses IP, les ports et les protocoles
Trois mots, expliqués avec le courrier.
L’adresse IP est l’adresse postale de la machine. Elle dit où elle se trouve. Exemple : 192.168.1.10.
Le port est le numéro de la porte. Une machine peut faire plusieurs choses à la fois (un site web, une messagerie…), et chaque service a sa propre porte. Un port est juste un numéro.
Le protocole est la langue utilisée pour se parler. Deux machines doivent parler la même langue pour se comprendre.
Résumé : l’IP dit où, le port dit quelle porte, le protocole dit comment on se parle.
Le mot des pros : TCP/IP. L’ensemble des règles qui font marcher tout ça s’appelle TCP/IP. C’est la « langue de base » d’internet.
Comment marchent le DNS et le HTTP/HTTPS
Le DNS est l’annuaire d’internet. Toi, tu tapes un nom facile, comme exemple.com, mais les machines ne comprennent que des numéros (les adresses IP). Le DNS fait la traduction : il transforme le nom en numéro, comme un répertoire transforme un nom de contact en numéro de téléphone.
Le HTTP est la langue des sites web, c’est-à-dire la façon dont ton navigateur demande une page, et dont le site la renvoie.
Le HTTPS, c’est le HTTP dans une enveloppe scellée. Le petit « S » veut dire « sécurisé ».
Le mot des pros : le chiffrement. Rendre un message illisible pour tous ceux qui pourraient l’intercepter en route, ça s’appelle chiffrer. Avec HTTPS, ton code voyage chiffré. C’est pour ça qu’on ne tape jamais un mot de passe ou un code sur un site sans le petit cadenas.
Comment marchent les routeurs, pare-feu et VPN
Le routeur est le centre de tri de ta connexion. Chez toi, c’est ta box : la box MTN, la Livebox d’Orange, la box Moov, ou la CanalBox (la fibre). Elle reçoit les messages et les envoie au bon appareil, ton téléphone, la télé ou l’ordinateur. Quand tu actives le partage de connexion pour dépanner un ami, ton téléphone devient lui aussi un petit routeur.
Le pare-feu est un gardien à l’entrée. Il regarde qui entre et qui sort, et bloque ce qui n’est pas autorisé. Le mot des pros : un firewall, c’est la même chose en anglais.
Le VPN est un tunnel privé et opaque. D’habitude, certains intermédiaires peuvent voir où tu vas sur internet. Un VPN cache tout ça dans un tunnel chiffré, et personne autour ne voit ce que tu fais. Très utile sur un Wi-Fi partagé (maquis, hôtel, cybercafé).
Un mot sur ta box. Ta box MTN, Orange, Moov ou CanalBox arrive souvent avec un mot de passe Wi-Fi écrit derrière, du genre admin ou une suite simple. Change-le. Sinon, tes voisins peuvent utiliser ta connexion, vider ton forfait, et parfois voir ton trafic. On explique comment faire un bon mot de passe au chapitre 8.
Comment utiliser des commandes réseau de base
Une commande, c’est une instruction qu’on tape au clavier au lieu de cliquer. Les deux qui suivent sont sans danger, tu peux les essayer sur un ordinateur.
ping sert à voir si une machine répond, comme crier « t’es là ? » et attendre l’écho.
ping google.com
Si tu reçois des réponses, la machine est joignable.
Pour voir ta propre adresse sur le réseau :
ipconfig (sur Windows)
ip a (sur Linux ou Mac)
Ces commandes ne cassent rien. Elles regardent, c’est tout.
Chapitre 3 : Linux et la ligne de commande
Comment installer et utiliser Linux
Linux est un système d’exploitation, c’est-à-dire le logiciel de base qui fait tourner l’ordinateur, comme Windows ou macOS. Il est gratuit, il est utilisé partout en sécurité, et on peut tout regarder à l’intérieur.
Tu n’as pas besoin de supprimer Windows. Pour apprendre, le plus simple est d’installer Linux dans une machine virtuelle, un « ordinateur dans une fenêtre » (on voit ça au chapitre 7). Dans les cybercafés, les PC sont souvent sous Windows : pour t’entraîner sérieusement, mieux vaut ta propre machine, même modeste.
Le mot des pros : une distribution. Il existe plein de versions de Linux. Chaque version s’appelle une distribution (ou « distro »). Pour débuter, la plus facile s’appelle Ubuntu.
Comment se déplacer dans la ligne de commande
La ligne de commande, c’est une fenêtre où tu tapes des ordres au lieu de cliquer. Ça impressionne au début, mais c’est simplement une autre façon de parler à l’ordinateur.
Le mot des pros : le terminal. Cette fenêtre s’appelle un terminal (ou « shell »). Retiens le mot, on l’utilise tout le temps.
Quelques ordres de base :
pwd montre où tu es (le dossier actuel)
ls liste ce qu'il y a dans le dossier
cd change de dossier (comme entrer dans une pièce)
cd .. remonte au dossier au-dessus
Exemple : cd Documents t’emmène dans Documents, puis ls te montre ce qu’il y a dedans.
Comment gérer fichiers et permissions
Créer, copier, supprimer des fichiers :
touch note.txt crée un fichier vide
mkdir dossier crée un dossier
cp a.txt b.txt copie a.txt en b.txt
mv a.txt Documents/ déplace a.txt dans Documents
rm note.txt supprime le fichier (attention, pas de corbeille !)
Un point très important pour la sécurité, maintenant : les permissions.
Chaque fichier a des règles qui disent qui a le droit de le lire, de le modifier ou de le lancer. C’est comme des clés qu’on donne à certaines personnes seulement.
ls -l montre les permissions de chaque fichier
Tu verras des suites comme rwxr-xr--. En simple : r = lire, w = écrire, x = exécuter (lancer).
Le mot des pros : le moindre privilège. L’idée à retenir : on donne à chacun seulement les droits dont il a besoin, pas davantage. Ce principe s’appelle le moindre privilège, et c’est une règle d’or de la sécurité.
Comment lancer des commandes et installer des logiciels
Pour installer un logiciel sur Ubuntu, on utilise un « magasin en ligne de commande » :
sudo apt update met à jour la liste des logiciels
sudo apt install nom_du_logiciel installe un logiciel
Le mot des pros : sudo. Le mot sudo veut dire « fais ça en tant qu’administrateur ». C’est le trousseau de clés maître : puissant, donc à utiliser avec attention. L’administrateur s’appelle aussi root.
Comment comprendre la sécurité de base sous Linux
Trois réflexes simples font déjà beaucoup.
Mettre à jour souvent. Une machine à jour a moins de failles connues.
Ne pas être administrateur tout le temps. On utilise un compte normal, et on passe en sudo seulement quand il le faut.
Appliquer le moindre privilège. Chaque personne, chaque programme n’a que les droits utiles.
Chapitre 4 : Sécurité du web et des applications
Comment fonctionnent les sites et applications web
Imagine un maquis. Toi (ton navigateur), tu es le client. Le site web, c’est la cuisine. Tu passes commande, la cuisine prépare, on te sert. Tu ne vas jamais toi-même en cuisine.
Le mot des pros : client et serveur. Ton navigateur (ou ton appli) est le client. L’ordinateur lointain qui héberge le site est le serveur. Ce duo client / serveur est la base de tout le web et de toutes tes applis.
Comment le navigateur parle au serveur
Quand tu ouvres une page ou une appli :
Ton téléphone demande au DNS l’adresse IP du service (l’annuaire, souviens-toi).
Il envoie une demande au serveur : « donne-moi la page ».
Le serveur renvoie une réponse : le contenu.
Ton téléphone l’affiche joliment.
Le mot des pros : requête et réponse. La demande s’appelle une requête (en anglais « request »), et le retour s’appelle une réponse. Le web, c’est un échange requête / réponse, encore et encore.
Comment marchent l’authentification et l’autorisation
Ces deux mots se ressemblent et veulent dire des choses différentes.
L’authentification, c’est prouver qui tu es, comme montrer ta pièce d’identité. Ton mot de passe ou ton code MoMo sert à ça.
L’autorisation, c’est ce que tu as le droit de faire une fois entré. Dans ton appli mobile money, tu prouves qui tu es avec ton code (authentification), puis tu ne peux toucher qu’à ton compte, pas à celui des autres (autorisation).
Confondre les deux crée des failles classiques, par exemple un service qui vérifie bien qui tu es, mais qui te laisse ensuite voir les données de quelqu’un d’autre.
Comment marchent les mots de passe et les sessions
Ton mot de passe prouve ton identité une fois. Comme le service ne va pas te le redemander à chaque clic, il te donne une session après ta connexion.
C’est le petit ticket qu’on te remet à l’entrée : tant que tu l’as, tu circules sans re-montrer ta pièce.
Le mot des pros : le cookie. Ce « ticket » est rangé dans un petit fichier sur ton appareil, appelé cookie de session. Si quelqu’un te vole ton cookie, il peut se faire passer pour toi. Voilà pourquoi les sessions expirent, et pourquoi HTTPS est important : il empêche qu’on vole ton ticket en chemin.
Autre point important : un bon service ne garde jamais ton mot de passe en clair.
Le mot des pros : le hachage. Le service transforme ton mot de passe en une empreinte impossible à remonter à l’envers. Cette transformation s’appelle un hachage (« hash »). Ainsi, même si la base de données est volée, les mots de passe ne sont pas lisibles directement.
Comment comprendre les failles web courantes
Les grandes familles, en simple, pour comprendre et se défendre, pas pour attaquer.
L’injection. Le site fait trop confiance à ce que tu tapes. Au lieu d’écrire ton nom, on peut y glisser un ordre déguisé, et le site l’exécute bêtement. Le cas le plus connu vise les bases de données : le mot des pros est injection SQL. Défense : ne jamais faire confiance à ce que tape l’utilisateur, toujours le vérifier.
Le vol de session. On récupère le « ticket » (le cookie) de quelqu’un. Défense : HTTPS partout, sessions qui expirent.
Les mots de passe faibles. Rien de technique, juste des codes devinables. Défense : mots de passe longs, uniques, et double authentification.
Les logiciels pas à jour. Une faille déjà connue et corrigée ailleurs, mais toujours là ici. Défense : mettre à jour.
Le mot des pros : l’OWASP Top 10. Une équipe de spécialistes publie la liste des dix failles web les plus courantes. Elle s’appelle l’OWASP Top 10, et c’est la référence des débutants comme des experts.
Comment sécuriser une petite application web
Cinq réflexes règlent déjà l’immense majorité des problèmes.
Toujours utiliser HTTPS.
Ne jamais faire confiance aux données envoyées par l’utilisateur. Toujours les vérifier.
Stocker les mots de passe hachés, jamais en clair.
Mettre à jour les composants utilisés.
Donner le moins de droits possible à chaque partie (le moindre privilège, encore lui).
Chapitre 5 : Les menaces les plus courantes (version terrain)
C’est le chapitre le plus important pour toi au quotidien. Chez nous, la plupart des attaques ne visent pas des machines, mais des gens, et elles tournent souvent autour du mobile money. Lis-le lentement.
Comment fonctionne le hameçonnage
Le hameçonnage, c’est de la pêche à l’information. L’arnaqueur t’envoie un message (SMS, WhatsApp) qui ressemble à un vrai : ton opérateur, ta banque, un service de livraison. Le message te met la pression (« votre compte MoMo sera bloqué aujourd’hui ») et te pousse à cliquer sur un lien, qui mène vers un faux site, copie du vrai. Si tu y tapes ton code, tu le donnes directement à l’arnaqueur.
Chez nous, ça prend surtout ces formes :
« Vous avez gagné 2 000 000 FCFA à la loterie MTN / Orange, cliquez ici. »
« Moov Money : votre compte est suspendu, confirmez vos informations sur ce lien. »
Un faux lien qui imite le nom d’un opérateur, avec une petite faute (mtn-momo-gain.xyz au lieu du vrai site).
C’est la méthode la plus utilisée, parce qu’elle ne vise pas la machine mais l’humain, plus facile à tromper.
Le mot des pros : le phishing. Le hameçonnage s’appelle phishing en anglais. Envoyé par SMS, on parle de smishing ; par appel téléphonique, de vishing. Tu verras ces mots partout.
L’arnaque au mobile money (à connaître absolument)
Le mobile money est la cible numéro un. Les grandes arnaques :
Le faux dépôt. Tu reçois un SMS qui ressemble à « vous avez reçu 50 000 FCFA », puis quelqu’un appelle : « pardon, je me suis trompé de numéro, renvoie-moi l’argent ». En vrai, tu n’as rien reçu : le SMS était faux. Ne renvoie jamais sans avoir vérifié ton vrai solde toi-même.
Le faux agent. Quelqu’un t’appelle en se disant agent MTN, Orange ou Moov, et te demande ton code ou un code reçu par SMS « pour débloquer ton compte ». Un vrai opérateur ne demande jamais ton code secret ni ton OTP.
Le retrait à ta place. L’arnaqueur t’a soutiré ton code, puis retire ton argent chez un agent.
La règle d’or du mobile money. Ton code secret et le code reçu par SMS (l’OTP) ne se donnent à personne. Ni à un « agent », ni à un « service client », ni à un ami, ni à ta famille au téléphone. Jamais.
Le mot des pros : l’OTP. Le code à usage unique reçu par SMS pour valider une opération s’appelle un OTP (« One-Time Password », mot de passe à usage unique). Le donner à quelqu’un, c’est lui ouvrir ton compte.
Comment fonctionne l’échange de SIM frauduleux
Cette arnaque est grave et bien réelle chez nous. L’arnaqueur va voir l’opérateur (ou un agent complice) et se fait passer pour toi pour obtenir une nouvelle carte SIM avec ton numéro. Dès que ça marche, ta SIM ne capte plus, et c’est lui qui reçoit tes SMS, donc tes codes OTP. Il peut alors vider ton MoMo et reprendre tes comptes (WhatsApp, mail…).
Le mot des pros : le SIM swap. Cet échange frauduleux de carte SIM s’appelle un SIM swap. Deux signes doivent t’alerter tout de suite : ta SIM perd le réseau sans raison en pleine journée, ou tu reçois un message « changement de SIM » que tu n’as pas demandé. Dans ce cas, appelle vite ton opérateur pour bloquer.
Comment fonctionne un logiciel malveillant
Un logiciel malveillant, c’est un programme fait pour nuire. Sur téléphone, il peut lire tes SMS (donc tes OTP), espionner ce que tu tapes, ou afficher de fausses pages par-dessus tes applis. Il arrive souvent par une appli téléchargée en dehors du magasin officiel (un .apk reçu sur WhatsApp), un logiciel piraté, ou un lien piégé.
Le mot des pros : le malware. Le mot officiel est malware (mélange de « malicious » et « software »). Défense de base : n’installe des applis que depuis le magasin officiel (Play Store), n’ouvre pas les .apk reçus par message, et reste à jour.
Comment fonctionne un rançongiciel
Le rançongiciel est un malware particulièrement méchant. Il verrouille tous tes fichiers en les rendant illisibles, puis affiche un message qui exige de l’argent pour te rendre l’accès. C’est une prise d’otage numérique.
Le mot des pros : le ransomware. Son nom anglais est ransomware (« ransom » veut dire rançon).
La seule vraie protection est la sauvegarde. Si tu as une copie récente de tes fichiers ailleurs (une clé USB rangée, un cloud comme Google Photos), le chantage ne marche plus : tu restaures et tu ignores la demande.
Comment fonctionne l’ingénierie sociale
L’ingénierie sociale, c’est manipuler des gens au lieu des machines. L’arnaqueur ne casse aucun code. Il joue sur la peur, la confiance, la pitié ou la gourmandise.
Tu la reconnaîtras surtout sous ces formes :
Le compte WhatsApp d’un proche piraté : « c’est moi, j’ai un problème, envoie-moi vite du crédit ou de l’argent MoMo ». Toujours rappeler la personne pour vérifier.
Le faux « tu as gagné », le faux emploi ou la fausse bourse qui demande des « frais de dossier » d’avance.
Le faux acheteur sur Jiji ou les groupes de vente, qui « a déjà payé » et t’envoie une fausse preuve.
La meilleure défense, c’est le doute. Vérifie toujours l’identité de ton interlocuteur par un autre moyen avant de donner quoi que ce soit.
Comment fonctionnent les attaques sur les mots de passe et les codes
Trois méthodes reviennent.
Le deviner : essayer les classiques. Pour un code MoMo à 4 chiffres, ce sont 0000, 1234, 1111, ou ton année de naissance. À éviter absolument.
La force brute : un programme essaie automatiquement des milliers de combinaisons, très vite. Le mot des pros : brute force.
La réutilisation : si ton mot de passe fuite sur un site, l’arnaqueur l’essaie sur tous tes autres comptes.
D’où les règles : un code qui n’est pas lié à ta vie (ni date de naissance, ni suite simple), un mot de passe long et unique pour chaque compte, et la double authentification quand c’est possible.
Comment repérer un lien, un fichier ou un message suspect
Quelques signaux d’alerte simples.
Un sentiment d’urgence ou une menace (« agissez tout de suite », « votre compte sera bloqué »).
Un gain trop beau pour être vrai (« vous avez gagné »).
Une adresse d’expéditeur ou de site bizarre, qui ne colle pas exactement au vrai nom.
Des fautes de langue, un français approximatif.
Une pièce jointe inattendue, surtout un fichier .apk à installer.
Une demande de ton code secret ou de ton OTP. C’est toujours une arnaque.
Le bon réflexe : dans le doute, on ne clique pas et on ne rappelle pas le numéro du message. On contacte le service par son canal officiel connu.
Chapitre 6 : Les outils de sécurité informatique de base
Rappel : ces outils s’utilisent sur ton matériel ou dans un labo d’entraînement. Les pointer vers une machine qui n’est pas à toi, sans autorisation, est illégal.
Comment utiliser Wireshark pour observer le trafic réseau
Wireshark est une paire de lunettes qui rend le courrier visible. Souviens-toi : les données voyagent en petits paquets. Wireshark attrape ces paquets et te les montre un par un, avec leur provenance, leur destination et leur contenu.
Le mot des pros : la capture de paquets. Attraper le trafic pour l’examiner s’appelle faire une capture de paquets (« packet capture », ou « sniffing »).
Pour débuter, il sert surtout à voir en vrai ce que tu as appris : les adresses IP, les ports, la différence entre HTTP (lisible) et HTTPS (chiffré, donc illisible). Il te montre aussi, très concrètement, pourquoi un Wi-Fi de maquis non protégé est risqué.
Comment utiliser Nmap dans un labo sûr
Nmap frappe aux portes d’une machine pour voir lesquelles sont ouvertes. Souviens-toi des ports, ces portes derrière une adresse IP. Nmap les teste et te dit lesquelles répondent, et donc quels services tournent.
Le mot des pros : le scan de ports. Cette action s’appelle un scan de ports (« port scan »).
Exemple, sur ta propre machine de test :
nmap 192.168.56.101
Il te dira par exemple « le port 80 est ouvert » (donc un site web tourne là). Encore une fois : uniquement sur des cibles à toi, ou prévues pour l’entraînement.
Comment utiliser un scanner de vulnérabilités de base
Un scanner de vulnérabilités inspecte une machine et la compare à une liste de faiblesses connues, puis te dit : « attention, ce logiciel a telle faille connue ». C’est comme la visite technique d’un véhicule, qui coche une liste de points.
Le mot des pros : le CVE. Chaque faille connue reçoit un numéro officiel, du genre CVE-2024-1234. Ce numéro s’appelle un CVE. C’est la carte d’identité mondiale d’une faille.
Comment inspecter des journaux
Les journaux sont le carnet de bord de tes machines. Chaque événement important s’y écrit : une connexion, une erreur, un accès refusé. Savoir les lire, c’est savoir raconter ce qui s’est passé.
Le mot des pros : les logs. Ces journaux s’appellent des logs. Tu entendras ce mot tous les jours en sécurité.
Sous Linux, pour regarder un journal :
cat /var/log/auth.log montre le journal des connexions
tail -f /var/log/auth.log l'affiche en direct, ligne par ligne
En débutant, on y cherche des connexions ratées répétées, une connexion à une heure bizarre, une erreur qui revient sans arrêt.
Comment utiliser des outils de test en environnement contrôlé
Il existe des systèmes tout prêts qui regroupent des outils de sécurité.
Le mot des pros : Kali Linux. La distribution la plus connue pour l’entraînement s’appelle Kali Linux. Elle vient avec des centaines d’outils déjà installés.
À ton niveau, le but n’est pas d’accumuler des outils, mais de comprendre ce que fait chacun, et de ne les utiliser que dans ton labo. Un outil qu’on ne comprend pas est inutile, et dangereux s’il est mal dirigé.
Chapitre 7 : Les bases du hacking éthique
Comment fonctionne le hacking éthique
Le hacking éthique, c’est utiliser les mêmes techniques qu’un attaquant, mais avec permission, et pour protéger.
Pense à un serrurier. Il sait crocheter une serrure. S’il le fait à la demande du propriétaire, pour tester sa porte, c’est un métier respecté. S’il le fait sur la porte du voisin, c’est un délit. La seule différence, c’est l’autorisation, alors retiens bien ce mot.
Le mot des pros : le pentest. Un test de sécurité autorisé s’appelle un test d’intrusion, ou pentest (de « penetration testing »). La personne qui le fait est un pentester. C’est un vrai métier, y compris dans nos banques et nos entreprises télécoms.
Comment monter un labo de cybersécurité légal
Un labo, c’est ton espace de jeu fermé : un endroit à toi où tu peux tout casser, sans conséquence et sans rien d’illégal.
L’idée est de faire tourner plusieurs « ordinateurs dans des fenêtres » (des machines virtuelles) sur ton ordinateur, dans un réseau isolé qui ne touche ni internet ni le reste de ta maison.
Ce qu’il te faut :
Un logiciel pour créer des machines virtuelles. VirtualBox est gratuit et parfait pour commencer.
Une machine « attaquante » : par exemple Kali Linux.
Une ou plusieurs machines « cibles » volontairement faibles, faites pour l’entraînement.
Astuce locale : ces images pèsent plusieurs Go. Télécharge-les sur une bonne connexion (fibre CanalBox, Wi-Fi d’une école ou d’un espace de coworking) plutôt que sur ton forfait data, pour ne pas le vider.
Comment créer des machines virtuelles pour s’entraîner
Une machine virtuelle est un ordinateur complet, mais simulé par un logiciel. Il vit dans une fenêtre sur ton vrai ordinateur. Tu peux l’allumer, l’éteindre, la casser, et repartir de zéro, sans jamais toucher à ta vraie machine.
Le mot des pros : la VM. Une machine virtuelle s’appelle une VM (« Virtual Machine »). Le logiciel qui les fait tourner s’appelle un hyperviseur.
Les étapes, en simple :
Installe VirtualBox.
Télécharge le système voulu (Ubuntu ou Kali, par exemple).
Dans VirtualBox, crée une nouvelle machine et donne-lui ce système.
Règle son réseau en mode isolé, pour qu’elle reste dans ton labo. Le mot des pros : un réseau « host-only » ou « réseau interne ».
Prends une photo de l’état de la VM, pour y revenir en un clic si tu casses tout. Le mot des pros : un snapshot (instantané).
Comment repérer des vulnérabilités dans tes propres systèmes
Sur tes VM de labo, entraîne-toi à la démarche complète. Liste les services qui tournent (avec Nmap). Vérifie s’ils sont à jour. Regarde les mots de passe utilisés. Examine les permissions des fichiers.
À ce stade, il ne s’agit pas encore d’attaquer, mais d’apprendre à voir les faiblesses, comme un inspecteur qui repère les défauts d’une maison.
Le mot des pros : la surface d’attaque. L’ensemble des points par lesquels on pourrait entrer (les ports ouverts, les services, les comptes…) s’appelle la surface d’attaque. Plus elle est petite, mieux c’est.
Comment faire de la reconnaissance de base dans un labo
La reconnaissance, c’est la phase d’observation, avant tout le reste. On rassemble des informations sur la cible.
Dans ton labo, sur ta cible d’entraînement, ça veut dire répondre à des questions simples. Quelle est son adresse IP ? Quels ports sont ouverts ? Quels services tournent derrière ? Quelles versions ?
Le mot des pros : la recon et l’énumération. Les pros disent recon (pour reconnaissance). Quand on liste en détail tout ce qu’une machine expose, on dit qu’on fait de l’énumération.
Comment documenter et rapporter tes découvertes
En sécurité, noter est aussi important que trouver. Pour chaque découverte, écris :
Ce que tu as trouvé (la faiblesse).
Où et comment tu l’as trouvée (la machine, la commande).
Pourquoi c’est un problème (le risque).
Comment le corriger (la recommandation).
Le mot des pros : le rapport de pentest. Ce document final s’appelle le rapport de pentest. Un bon rapport clair vaut mieux qu’une trouvaille brillante mal expliquée.
Chapitre 8 : Ta sécurité personnelle au quotidien
Chez nous, se protéger, c’est d’abord protéger son téléphone et son mobile money.
Comment sécuriser ton téléphone
Ton téléphone est ta banque, ton carnet d’adresses et ton album photo. Protège-le :
Mets un verrouillage d’écran solide (code à 6 chiffres, schéma difficile, ou empreinte). Pas 0000.
Mets à jour Android et tes applis dès que c’est proposé.
Installe uniquement depuis le Play Store. N’installe jamais un .apk reçu par WhatsApp ou trouvé sur un site au hasard.
Fais le ménage dans les autorisations. Une appli lampe torche n’a pas besoin de lire tes SMS. Retire les accès inutiles dans les réglages.
Active la localisation à distance (« Localiser mon appareil ») pour pouvoir bloquer ou effacer ton téléphone s’il est volé.
Comment sécuriser ton mobile money
C’est la partie la plus importante de tout le cours.
Ton code secret et ton OTP ne se partagent jamais. Avec personne. On l’a dit au chapitre 5, on le répète parce que 9 arnaques sur 10 passent par là.
Choisis un code impossible à deviner. Ni ta date de naissance, ni 1234, ni 1111.
Vérifie toujours le nom du destinataire avant de valider un envoi. Un chiffre de travers, et l’argent part chez un inconnu, sans retour.
Vérifie ton vrai solde toi-même avant de « rembourser » un dépôt reçu par SMS. Le SMS peut être faux.
Garde le contact du service client de ton opérateur (MTN, Orange, Moov, Celtiis) pour bloquer vite en cas de problème.
Comment protéger ta carte SIM
Ta SIM reçoit tes codes OTP : c’est une clé précieuse.
Active le code PIN de la SIM (celui demandé au démarrage du téléphone). Ainsi, une SIM volée est inutilisable telle quelle.
Reste attentif au SIM swap (chapitre 5) : si ta SIM perd le réseau sans raison en pleine journée, appelle vite ton opérateur.
Comment créer et gérer des mots de passe solides
Un bon mot de passe est long (une phrase entière vaut mieux qu’un mot compliqué), unique pour chaque compte, et pas devinable à partir de ta vie.
Personne ne peut retenir cinquante phrases, alors on utilise un coffre-fort numérique qui les retient à ta place.
Le mot des pros : le gestionnaire de mots de passe. Cet outil s’appelle un gestionnaire de mots de passe (« password manager »). Tu ne retiens qu’un seul mot de passe : celui du coffre.
Comment utiliser la double authentification
La double authentification, c’est ajouter une deuxième preuve en plus du mot de passe.
Comme un retrait au guichet : il faut la pièce (ce que tu possèdes) et parfois un code (ce que tu sais). Même si quelqu’un vole ton mot de passe, il lui manque la deuxième clé.
Le mot des pros : MFA ou 2FA. On l’appelle 2FA (« deux facteurs ») ou MFA (« plusieurs facteurs »). Active-la partout où tu peux, en priorité sur ta boîte mail et sur WhatsApp. Sur WhatsApp, ça s’appelle la « vérification en deux étapes » : active-la, c’est la meilleure protection contre le piratage de ton compte.
Comment sécuriser tes comptes
Ta boîte mail est la clé de tout le reste : c’est par elle qu’on remet à zéro les mots de passe des autres services. Protège-la en priorité, avec un mot de passe unique et solide, et la double authentification.
Ensuite, applique la même logique à WhatsApp, à Facebook et à tes comptes sensibles.
Comment utiliser un cybercafé ou un Wi-Fi partagé en sécurité
Sur un PC de cybercafé, tu n’es pas chez toi : d’autres personnes passent après toi.
Ne fais pas de mobile money ni de banque sur un PC partagé.
N’enregistre jamais ton mot de passe dans le navigateur du cybercafé.
Utilise le mode navigation privée, et surtout déconnecte-toi de tous tes comptes avant de partir.
Sur un Wi-Fi partagé (maquis, hôtel, aéroport), tu ne connais pas les autres connectés. Évite les opérations sensibles, vérifie que tu es en HTTPS, et si tu peux, utilise un VPN (le tunnel opaque du chapitre 2).
Comment protéger tes données personnelles
Deux idées à garder en tête. D’abord, moins tu partages, moins tu es exposé, alors réfléchis avant de publier ton numéro, tes photos ou ta position. Ensuite, sauvegarde ce qui compte : la meilleure façon de ne jamais perdre tes souvenirs, c’est d’en avoir toujours une copie ailleurs (une clé USB rangée, ou un cloud comme Google Photos).
Chapitre 9 : Projets pour débuter
Ces petits projets se font entièrement chez toi, sur ton matériel. Ils transforment la théorie en pratique.
Comment construire un labo de cybersécurité maison
C’est le projet de départ, déjà décrit au chapitre 7. En résumé : installe VirtualBox, crée une VM attaquante (Kali) et une VM cible volontairement faible, mets-les dans un réseau isolé, et prends un snapshot de chacune. Tu as un terrain de jeu sûr et illimité.
Comment analyser le trafic de ton propre ordinateur
Installe Wireshark sur ta machine. Lance une capture, puis ouvre une page web, et un site en HTTPS.
Observe la différence. En HTTP, tu peux lire ce qui passe ; en HTTPS, tout est brouillé. Tu verras de tes yeux pourquoi le petit cadenas compte. L’objectif est de mettre une image concrète sur les mots du chapitre 2.
Comment évaluer la sécurité d’une application de test
Il existe des applications volontairement faibles, faites pour l’apprentissage.
Le mot des pros : les applis délibérément vulnérables. Les plus connues s’appellent DVWA (« Damn Vulnerable Web Application ») et OWASP Juice Shop. Elles sont faites exprès pour qu’on s’entraîne dessus, en toute légalité.
Installe-en une dans ta VM cible, puis entraîne-toi à la démarche : reconnaissance, repérage des faiblesses, prise de notes. Tu apprends sur un terrain prévu pour ça, sans jamais toucher à un vrai site.
Comment construire un vérificateur de force de mot de passe
Un premier vrai projet de code, tout simple, en Python. Il regarde un mot de passe et dit s’il est solide. Copie ce code dans un fichier verif_mdp.py, puis lance-le.
import re
def verifier(mot_de_passe):
score = 0
conseils = []
# 1. La longueur : le critere le plus important
if len(mot_de_passe) >= 12:
score += 2
elif len(mot_de_passe) >= 8:
score += 1
else:
conseils.append("Trop court : vise au moins 12 caracteres.")
# 2. Un melange de types de caracteres
if re.search(r"[a-z]", mot_de_passe): score += 1
else: conseils.append("Ajoute des minuscules.")
if re.search(r"[A-Z]", mot_de_passe): score += 1
else: conseils.append("Ajoute des majuscules.")
if re.search(r"[0-9]", mot_de_passe): score += 1
else: conseils.append("Ajoute des chiffres.")
if re.search(r"[^a-zA-Z0-9]", mot_de_passe): score += 1
else: conseils.append("Ajoute un caractere special (!, ?, #...).")
# 3. Le verdict
if score >= 5:
niveau = "SOLIDE"
elif score >= 3:
niveau = "MOYEN"
else:
niveau = "FAIBLE"
return niveau, conseils
mdp = input("Entre un mot de passe a tester : ")
niveau, conseils = verifier(mdp)
print(f"\nForce : {niveau}")
for c in conseils:
print(" - " + c)
Ce projet t’apprend deux choses en même temps : un peu de programmation, et surtout ce qui rend un mot de passe solide. Pour aller plus loin, tu peux ajouter une liste de codes MoMo à bannir (0000, 1234, années de naissance…) et refuser ces valeurs.
Comment créer un projet simple de surveillance de journaux
Objectif : écrire un petit programme qui lit un fichier de logs et t’alerte quand un mot suspect apparaît, par exemple plusieurs échecs de connexion. C’est une toute première version de ce que font les vrais outils de surveillance.
# Lit un journal et compte les tentatives de connexion echouees
mot_a_surveiller = "Failed password"
compteur = 0
with open("/var/log/auth.log") as fichier:
for ligne in fichier:
if mot_a_surveiller in ligne:
compteur += 1
print("Tentative echouee detectee :", ligne.strip())
print(f"\nTotal de tentatives echouees : {compteur}")
if compteur > 10:
print("ALERTE : beaucoup d'echecs, quelqu'un essaie peut-etre de deviner un mot de passe.")
Tu tiens là, en tout petit, le principe de la détection, l’étape 3 du cycle du chapitre 1.
Le mot des pros : le SIEM. Les entreprises utilisent de gros outils qui font ça à grande échelle, sur des milliers de machines. Ce type d’outil s’appelle un SIEM. Ton petit script, c’est le même esprit, en miniature.
Chapitre 10 : Les bases de la réponse à incident
Un incident, c’est quand quelque chose a mal tourné : ton compte MoMo vidé, ton WhatsApp piraté, ton téléphone infecté. Savoir réagir calmement change tout.
Le mot des pros : la réponse à incident. Toute la démarche de ce chapitre s’appelle la réponse à incident (« incident response »).
Comment reconnaître un possible incident de sécurité
Quelques signes doivent t’alerter. Tu reçois un SMS de retrait MoMo que tu n’as pas fait, ou tes contacts reçoivent des messages de ta part que tu n’as pas envoyés. Ta SIM perd le réseau sans raison. Tu es déconnecté de WhatsApp de force. Ton téléphone devient très lent et chauffe sans raison.
Un seul de ces signes ne prouve rien, mais il mérite d’être vérifié tout de suite.
Comment réagir vite (les premiers gestes)
Dans notre contexte, la vitesse compte énormément :
Appelle ton opérateur (MTN, Orange, Moov, Celtiis) pour bloquer ton compte mobile money et ta ligne si nécessaire.
Reprends tes comptes : change ton mot de passe mail, réactive WhatsApp avec la vérification en deux étapes.
Préviens tes proches que ton compte a été piraté, pour qu’ils n’envoient rien à l’arnaqueur en ton nom.
Comment collecter les preuves de base
Avant de tout nettoyer, garde des traces de ce qui s’est passé. On ne balaie pas une scène avant que la police l’ait vue.
Concrètement, à ton niveau : note l’heure et ce que tu as vu, fais des captures d’écran des SMS, des messages et des transactions suspectes. Elles serviront pour la plainte et pour l’opérateur.
Le mot des pros : la preuve numérique. Ces traces gardées proprement s’appellent des preuves numériques. La science qui les étudie s’appelle la forensique (« forensics »).
Comment isoler un appareil compromis
Le premier réflexe face à un appareil peut-être infecté est de l’isoler, pour empêcher la propagation. Coupe les données mobiles et le Wi-Fi (mode avion).
En revanche, ne l’éteins pas tout de suite si tu veux enquêter, parce qu’éteindre efface certaines traces vivantes. Isoler d’abord, éteindre seulement si nécessaire.
Le mot des pros : appareil compromis. Un appareil dont un attaquant a pris le contrôle est dit compromis.
Comment enquêter, puis documenter et signaler
Enquêter, c’est reconstituer l’histoire à partir des traces, en se posant des questions dans l’ordre. Quand est-ce arrivé ? Qu’est-ce qui a été touché ? Par où est-ce entré ?
Ensuite, on écrit tout clairement : ce qui s’est passé, quand, ce qui a été touché, ce qu’on a fait pour réagir, et ce qu’on va changer pour que ça ne se reproduise pas. En cas de perte d’argent ou d’usurpation, ce compte rendu et tes captures d’écran servent à porter plainte.
Où porter plainte, selon ton pays :
Au Bénin, auprès de l’OCRC (Office Central de Répression de la Cybercriminalité), l’unité de police dédiée. Contact : ocrc@dgpr.bj, tél +229 65 48 78 74 / +229 63 09 51 62, à Cotonou. Attention : ne confonds pas l’OCRC avec l’ASIN (Agence des Systèmes d’Information et du Numérique). L’ASIN est l’agence nationale du numérique et de la cybersécurité (stratégie, incidents à l’échelle du pays), ce n’est pas le guichet où un particulier dépose une plainte pour arnaque.
En Côte d’Ivoire, auprès de la PLCC (Plateforme de Lutte Contre la Cybercriminalité), à Cocody Danga (Abidjan), tél +225 27 22 48 97 60. Le dépôt de plainte y est gratuit.
Chapitre 11 : Le projet final
Pour finir ce cours, tu vas rassembler tout ce que tu as appris dans un seul projet complet et sans danger.
L’objectif
Construire ton propre labo de cybersécurité, puis évaluer la sécurité d’une application volontairement vulnérable, et rédiger un petit rapport.
Les étapes
Monte ton labo (chapitre 7) : VirtualBox, une VM Kali (attaquante), une VM cible avec une appli faible comme DVWA ou Juice Shop, le tout dans un réseau isolé.
Fais de la reconnaissance (chapitres 6 et 7) : avec Nmap, découvre l’adresse, les ports ouverts et les services de ta cible.
Observe le trafic (chapitre 6) : lance Wireshark pendant que tu utilises l’appli, et regarde ce qui circule.
Repère les faiblesses (chapitre 4) : identifie les failles connues de l’appli d’entraînement, en t’appuyant sur les familles vues au chapitre 4 et sur l’OWASP Top 10.
Documente (chapitre 7) : pour chaque faiblesse, note ce que c’est, où elle est, pourquoi c’est un risque, et comment on la corrigerait.
Rédige ton rapport final : une page suffit. Un résumé pour un lecteur pressé, puis la liste des découvertes avec leurs recommandations.
Ce que tu sauras faire à la fin
Comprendre les concepts de base de la cybersécurité.
Comprendre comment marche un réseau.
Utiliser Linux et la ligne de commande.
Repérer des vulnérabilités courantes.
Te servir des outils de sécurité de base.
Protéger ton téléphone, ton mobile money et tes comptes.
Réaliser un test de sécurité dans un cadre autorisé.
Réagir correctement à un incident et documenter tes découvertes.
Un dernier mot
Tu as maintenant les fondations de la sécurité informatique. La cybersécurité est un domaine où l’on apprend toute sa vie, en pratiquant. Garde trois principes avec toi.
La curiosité, toujours. La légalité, sans exception. On s’entraîne sur ce qui nous appartient, ou sur ce qui est prévu pour ça. Jamais sur les autres sans autorisation.
Ton code et ton OTP ne se partagent jamais. À personne, sous aucun prétexte. C’est la règle qui te protégera le plus au quotidien.
Les bases battent la sophistication. Mises à jour, codes solides, double authentification, sauvegardes, prudence face au hameçonnage : ces gestes simples arrêtent l’immense majorité des attaques réelles.
Bonne route.
Ce cours a été rédigé par Salem GNANDI, président d’Epihack, le groupe étudiant de cybersécurité d’Epitech, et ne couvre que les bases. Pour aller plus loin et devenir un expert certifié en cybersécurité, rejoins l’un des programmes d’Epitech :