Veille et communauté professionnelle
Il y a une vérité particulière en cybersécurité : ce que vous savez aujourd'hui sera en partie périmé dans deux ans. Les outils changent, les techniques d'attaque évoluent, de nouvelles failles apparaissent chaque jour. Le professionnel qui dure n'est pas celui qui sait tout, mais celui qui sait continuer à apprendre et qui s'entoure d'une communauté. Cette leçon vous donne les moyens d'organiser votre veille sans vous noyer, et de trouver votre place dans la communauté, dans le respect de ses règles.
Règles d'or de la communauté
La communauté white hat repose sur l'éthique : on partage pour progresser et protéger, on ne vante pas des intrusions, on ne publie pas de failles non corrigées, on respecte les autorisations et les lois (articles 323-1 à 323-3-1 du Code pénal en France). Évitez les espaces qui échangent des données volées, des outils malveillants ou des services illégaux : y participer, même en simple curieux, peut vous exposer à des risques juridiques et nuire à votre réputation.
Pourquoi une veille ?
Trois raisons pratiques :
- Rester à jour : une faille majeure publiée cette semaine peut concerner les systèmes que vous protégez ou auditez ;
- Nourrir votre pratique : chaque article, analyse ou rapport est une occasion d'apprendre une technique ou un raisonnement ;
- Gagner en crédibilité : en entretien, citer un événement récent et expliquer ce que vous en avez retenu montre que vous êtes engagé dans le métier.
Les sources de référence
La qualité de la veille dépend de la qualité des sources. Voici des familles fiables, sans qu'il soit nécessaire de toutes les suivre :
| Source | Ce que vous y trouvez |
|---|---|
| CERT-FR (rattaché à l'ANSSI, sur cyber.gouv.fr) | Alertes et avis de sécurité sur les vulnérabilités importantes, en français |
| cybermalveillance.gouv.fr | Menaces visant le grand public et les petites structures, conseils de prévention |
| cve.org et nvd.nist.gov | Catalogue et base de données des vulnérabilités publiques |
| OWASP (owasp.org) | Référentiels de sécurité applicative, guides, aide-mémoire |
| MITRE ATT&CK (attack.mitre.org) | Comportements d'attaquants, mises à jour du framework |
| NIST (nist.gov) | Cadres de gestion des risques, guides techniques |
| developer.mozilla.org | Documentation technique sur le web, utile pour comprendre ce que l'on teste |
| Blogs de chercheurs et d'équipes de sécurité | Analyses détaillées de vulnérabilités, de campagnes d'attaque, de techniques de défense |
| Balados, newsletters et chaînes vidéo spécialisées | Vulgarisation, retours d'expérience, actualité |
Pour les blogs et les médias, privilégiez ceux qui citent leurs sources, expliquent leur raisonnement, et distinguent faits et suppositions. Méfiez-vous des titres alarmistes et des chiffres sans origine.
Organiser sa veille sans s'épuiser
Le risque principal n'est pas de manquer d'information, mais d'en avoir trop. Quelques principes :
- Choisir peu de sources : cinq à dix, que vous lirez vraiment. Mieux vaut peu et régulièrement.
- Automatiser la collecte : un lecteur de flux ou un agrégateur rassemble vos sources en un seul endroit.
- Bloquer un créneau : par exemple vingt à trente minutes, quelques fois par semaine, plutôt que de lire en permanence.
- Trier en trois piles : « à lire maintenant », « à lire plus tard », « à ignorer ». Ne vous sentez jamais coupable de la troisième.
- Prendre des notes : trois lignes par article important (ce que c'est, pourquoi c'est important, ce que j'en retiens). Ces notes deviennent votre mémoire et un matériau pour vos propres publications.
- Relier à la pratique : quand une technique vous intéresse, essayez de la comprendre dans votre laboratoire, jamais sur un système réel qui ne vous appartient pas.
Les compétitions et les rencontres
- Les CTF (Capture The Flag) : en solo ou en équipe, en ligne ou en présentiel, de tous niveaux. Les premiers sont conçus pour les débutants. L'équipe permet d'apprendre des autres et de découvrir des spécialités.
- Les conférences : de nombreuses conférences de sécurité existent en France et à l'international, de la rencontre locale de quelques dizaines de personnes aux grands événements. Beaucoup publient leurs présentations en ligne : un excellent moyen d'apprendre sans se déplacer.
- Les rencontres locales (associations, groupes d'étudiants, clubs) : le lieu idéal pour poser des questions, trouver un binôme, un mentor, une première opportunité.
- Les forums et espaces de discussion spécialisés : choisissez ceux qui ont un code de conduite clair, de la modération, une culture de l'entraide. Avant de poser une question, cherchez si elle a déjà reçu une réponse ; en la posant, précisez ce que vous avez essayé.
- Les projets libres : contribuer à un outil open source (documentation, tests, correction d'un défaut) vous apprend à travailler en équipe et se voit sur votre profil.
Être un bon membre de la communauté
Votre réputation se construit en public et dure longtemps. Quelques réflexes :
- Soyez généreux : répondez aux débutants avec patience, vous étiez à leur place il y a peu.
- Citez vos sources et créditez ceux dont vous reprenez le travail.
- Reconnaissez vos erreurs : « je me suis trompé » est une phrase qui construit la confiance.
- Restez courtois dans les désaccords : critiquez les idées, pas les personnes.
- Respectez la confidentialité : ce qu'un client, un employeur ou un programme de bug bounty vous a confié n'a pas à être partagé.
- Prenez soin de vous et des autres : le syndrome de l'imposteur est très répandu dans ce milieu où l'on est confronté en permanence à ce qu'on ne sait pas. Tout le monde, y compris les experts, apprend sans cesse.
Trouver un mentor, devenir mentor
Un mentor est quelqu'un d'un peu plus avancé qui peut vous guider, relire un rapport, vous faire gagner du temps. Pour en trouver : participez aux rencontres, posez des questions précises, montrez ce que vous avez déjà fait (votre portfolio est votre carte de visite). Et dès que vous avez un peu d'avance sur quelqu'un, partagez : expliquer à un débutant est la meilleure façon de consolider ses propres connaissances.
À vous de jouer
Construisez votre dispositif de veille et de communauté :
- Choisissez cinq sources à suivre (au moins une institutionnelle, une technique, une généraliste) ;
- Planifiez deux créneaux hebdomadaires de veille, avec leur durée ;
- Choisissez une communauté à rejoindre dans les 30 jours (rencontre locale, équipe de CTF, forum) ;
- Fixez-vous une contribution : un message utile, un writeup, une question bien formulée, une correction de documentation.
Voir une solution
- Sources : bulletins du CERT-FR (institutionnel) ; documentation OWASP (technique web) ; cybermalveillance.gouv.fr (grand public) ; un blog de chercheurs choisi pour la clarté de ses analyses ; une newsletter ou un balado de vulgarisation.
- Créneaux : mardi soir (30 min, bulletins et un article), samedi matin (30 min, lecture approfondie d'un sujet et prise de notes).
- Communauté : une rencontre locale ou une équipe de CTF accueillant les débutants, avec un code de conduite explicite.
- Contribution : publier un writeup d'un défi d'entraînement dans le respect des règles de la plateforme, et répondre à une question de débutant sur un sujet maîtrisé.
Pour votre portfolio
Gardez un carnet de veille : date, source, trois lignes de synthèse, lien éventuel avec votre laboratoire. Au bout de trois mois, vous aurez une base de connaissances personnelle et, probablement, deux ou trois idées de billets à publier.
À retenir
- Le domaine évolue vite : la capacité à apprendre en continu vaut plus qu'un stock de connaissances.
- Peu de sources fiables (CERT-FR, cybermalveillance.gouv.fr, cve.org et NVD, OWASP, MITRE ATT&CK, NIST), lues régulièrement, valent mieux qu'un flot continu.
- CTF, conférences, rencontres locales, forums et projets libres sont les portes d'entrée de la communauté.
- Soyez généreux, courtois, honnête sur vos erreurs, et respectez la confidentialité.
- Restez à l'écart des espaces illégaux ; l'éthique est le socle de votre réputation.