60 lines
5.2 KiB
Markdown
60 lines
5.2 KiB
Markdown
# TP - Conception applicative et réalisation d'un modèle de menace
|
||
|
||
## Objectifs
|
||
|
||
- Concevoir un environnement applicatif en fonction d'un cahier des charges en intégrant la sécurité dès l'amorçage du projet.
|
||
|
||
## Contexte et contraintes
|
||
|
||
Soit le cahier des charges suivant:
|
||
|
||
> World Express, société de logistique/transport international
|
||
souhaite revoir ses services numériques proposés à ses employés et clients.
|
||
>
|
||
> Notamment, elle souhaite proposer un service permettant d'effectuer un meilleur suivi des marchandises qu'elle achemine.
|
||
>
|
||
> **Fonctionnalités attendues**
|
||
>
|
||
> * Une application web de supervision accessible en "extranet" (**via Internet, sans VPN**) permettant aux **gestionnaires** d'effectuer le suivi des colis entreposées/en cours de transport.
|
||
> * Une application mobile permettant aux **transporteurs** d'entrer le code d'identification du colis à l'embarquement et de renseigner quotidiennement leur position afin d'effectuer le suivi d'acheminement. Cette position doit pouvoir être entrée manuellement en cas de mauvais fonctionnement du système GPS du terminal mobile.
|
||
> * Un service de notification automatique **par SMS** aux **clients** quand leur colis arrive près de chez eux.
|
||
>
|
||
> **Entités identifiées**
|
||
>
|
||
> - **Colis** Un "colis" représente un paquet/caisse de transport/conteneur identifié dans le système d'information de World Express. Chaque "colis" a un destinataire unique et est identifié par un code unique. Chaque colis a un statut qui peut être soit "en entrepot" ou "en transport" et une position GPS.
|
||
> - **Client** Un "client" représente une entreprise utilisatrice du service de logistique proposé par la société World Express. Outre un nom, un client est également associé à une position GPS correspondant à l'adresse de livraison des colis pour l'entreprise.
|
||
> - **Salarié** Un "salarié" représente un employé de la société World Express. Outre son couple identifiant/mot de passe, il est également associé à un rôle qui définit ses droits d'accès dans le système d'information de World Express.
|
||
>
|
||
> **Rôles identifiés**
|
||
>
|
||
> - **Gestionnaire** Ce rôle donne accès à l'application web de supervision. Il permet de créer/modifier les clients enregistrés dans le système d'information et de visualiser les statut/position des colis gérés par World Express.
|
||
> - **Transporteur** Ce rôle donne accès à l'application mobile de suivi des colis. Il permet de modifier le statut et la position des colis présents dans le système d'information de World Express. Ces opérations ne sont possibles que depuis l'application mobile.
|
||
> - **Administrateur** Ce rôle permet de faire toutes les actions possibles pour les rôles "gestionnaire" et "transporteur". Il permet également d'ajouter/modifier/supprimer des salariés dans l'application web de supervision.
|
||
>
|
||
> **Contraintes techniques**
|
||
>
|
||
> - World Express comporte déjà un annuaire de type OpenLDAP/Active Directory au sein de son infrastructure sur lesquels s'authentifient les salariés. Le serveur hébergeant ce service **se situe dans l'intranet** de la société. Elle souhaiteraient que les salariés puissent utiliser ces mêmes identifiants sur les nouvelles applications.
|
||
> - World Express ne comporte pas d'infrastructure permettant d'envoyer des SMS et ne souhaite pas avoir à gérer cette partie. Elle est prête à utiliser un service externe pour cela.
|
||
|
||
Proposer une architecture logicielle répondant aux besoins exprimés et écrire le document de modélisation de la menace associé.
|
||
|
||
_Le cahier des charges étant succinct et factice, ne vous focalisez pas sur les détails fonctionnels. Analysez plutôt les contraintes techniques et fonctionnelles explicitement définies. Mais si certains détails vous bloquent réellement pour avancer, n'hésitez pas à me poser la question._
|
||
|
||
## Production attendue
|
||
|
||
* Un document de conception décrivant l'architecture logicielle proposée pour répondre au cahier des charges. Ce document devra identifier:
|
||
- Les briques techniques utilisées (serveurs avec services hébergés, bases de données, etc) et/ou services distants utilisés
|
||
- Les technologies (langages) utilisées sur chacune des applications à implémenter
|
||
|
||
_Ne perdez pas trop de temps sur cette partie. Une grande partie devrait être redondante avec votre document de modélisation de la menace. Le document de conception me permettra principalement de comprendre comment vous avez conçu votre architecture logicielle._
|
||
|
||
* Le document de modélisation de la menace associé à votre document de conception.
|
||
|
||
## Ressources
|
||
|
||
- [Présentation de Naïm Qachri & Frédéric Pluquet (ULB) sur la modélisation de menace](http://www.ulb.ac.be/di/info-f-405/enonce/TP3_ThreatModeling.pdf)
|
||
- [Livre blanc sur la modélisation de menace (en anglais)](https://www.sans.org/reading-room/whitepapers/securecode/threat-modeling-process-ensure-application-security-1646)
|
||
- [Web Application Security Frame - Microsoft - Grille de catégorisation des menaces ](https://msdn.microsoft.com/en-us/library/ff649461.aspx) _Déprécié mais le contenu reste d'actualité sur beaucoup de points_
|
||
- [Threat Modeling - Microsoft](https://msdn.microsoft.com/en-us/library/ff648644.aspx) _Idem_
|
||
- [Threat Modeling - OWASP](https://www.owasp.org/index.php/Application_Threat_Modeling)
|