GitHub Advanced Security (GH-500) – Examen Blanc

Catégories : Cybersécurité, Examen
Partager

À propos du cours

Certification GitHub
🌐 Anglais & Français

GitHub Advanced Security (GH-500)

Disponible en anglais (langue officielle de l’examen) et en français (traduction complète)

65questions
100 mindurée
700/1000score requis
116questions d’entraînement

Choisissez un abonnement (à partir de 9,90 €/mois, 39 certifications) et accédez immédiatement à l'examen blanc complet, ainsi qu'à ces 4 outils d'entraînement supplémentaires :

Glossaire — 25 termes clés

Advisory Database (GitHub Advisory Database)Base de données organisée et consultable de vulnérabilités de sécurité connues dans des projets open source, alimentée par des CVE et des contributions de la communauté. Elle constitue la source principale utilisée par Dependabot pour générer ses alertes.
Code scanningFonctionnalité de GitHub Advanced Security qui analyse le code source d'un dépôt afin de détecter des vulnérabilités de sécurité et des erreurs de programmation, en s'appuyant sur CodeQL ou des outils tiers compatibles SARIF. Elle permet de détecter, trier et prioriser les corrections de problèmes nouveaux et existants.
CodeQLMoteur d'analyse sémantique de code développé par GitHub qui traite le code comme des données relationnelles, permettant d'écrire des requêtes en langage QL pour détecter des vulnérabilités dans les bases de code. Il prend en charge les langages compilés et interprétés.
CodeQL CLIOutil en ligne de commande permettant de créer des bases de données CodeQL, d'exécuter des requêtes et de téléverser des résultats SARIF vers GitHub, indépendamment de GitHub Actions. Il est conçu pour intégrer CodeQL dans des systèmes CI externes.
Voir les 21 autres termes →

Étude de cas — 3 scénarios inclus

Fuite de secrets dans un pipeline CI/CD d'entreprise

120Nombre de dépôts concernés47 alertes activesSecrets détectés lors de l'audit initial8Clés API exposées dans des dépôts temporairement publics~30 %Faux positifs estimés liés aux tests automatisés

La société FinSecure, spécialisée dans les paiements en ligne, utilise GitHub Enterprise Cloud pour héberger l'ensemble de ses 120 dépôts applicatifs. Suite à un audit interne, l'équipe sécurité découvre que plusieurs développeurs ont commis des clés API de fournisseurs cloud (AWS, Azure) directement dans le code source, dont certaines dans des dépôts qui ont été rendus publics temporairement lors d'une migration. L'entreprise dispose de GitHub Advanced Security et souhaite renforcer sa posture de sécurité immédiatement. L'équipe sécurité constate que le secret scanning est activé sur tous les dépôts, mais que la push protection n'a jamais été configurée. Plusieurs alertes anciennes ont été ignorées sans raison documentée, et les développeurs ne savent pas comment gérer les faux positifs générés par les secrets de test présents dans les suites de tests automatisés. Le RSSI souhaite mettre en place une stratégie complète : bloquer les futures fuites à la source, assainir l'historique Git, traiter les alertes en cours et former les équipes aux bonnes pratiques. Il doit également comprendre qui est notifié en cas de détection, afin d'organiser la chaîne de réponse aux incidents.

Voir les questions d'analyse et réponses modèles →

Texte à trous — 25 phrases incluses

Avant d'intégrer une nouvelle bibliothèque open source dans leur projet, les développeurs consultent la _____ pour vérifier si des vulnérabilités connues y sont répertoriées.

Grâce au _____ configuré sur la branche principale, l'équipe de sécurité reçoit automatiquement une alerte dès qu'une traversée de répertoire est introduite dans le code Go.

En traitant le code source comme une base de données relationnelle, _____ permet d'écrire des requêtes qui retracent le flux de données depuis une entrée utilisateur non filtrée jusqu'à un appel système dangereux.

Voir les réponses et le reste des phrases →

Flashcards — 89 cartes incluses

Question

Qu'est-ce que CodeQL ?

Appuyer pour voir la réponse ›
Réponse

Un outil d'analyse de code

Question

Que signifie « décaler vers la gauche » (shift left) dans le contexte de la sécurité ?

Appuyer pour voir la réponse ›
Réponse

Adopter des pratiques de sécurité tôt dans le cycle de développement

Voir les 87 autres cartes →
Commencer maintenant

Texte à trous — 25 phrases incluses

Avant d'intégrer une nouvelle bibliothèque open source dans leur projet, les développeurs consultent la _____ pour vérifier si des vulnérabilités connues y sont répertoriées.

Grâce au _____ configuré sur la branche principale, l'équipe de sécurité reçoit automatiquement une alerte dès qu'une traversée de répertoire est introduite dans le code Go.

En traitant le code source comme une base de données relationnelle, _____ permet d'écrire des requêtes qui retracent le flux de données depuis une entrée utilisateur non filtrée jusqu'à un appel système dangereux.

Voir les réponses et le reste des phrases →

Contenu du cours

GitHub Advanced Security (GH-500) – Examen Blanc

  • Présentation
  • GitHub Advanced Security (GH-500) — Examen 1 (Français) (58 questions)
  • GitHub Advanced Security (GH-500) — Examen 2 (Français) (58 questions)
  • Fiche mémo
  • Modalités
  • Documents
  • Glossaire — Termes clés
  • Flashcards — Révision express
  • Texte à trous — Exercice de complétion
  • Études de cas — Mise en situation

GitHub Advanced Security (GH-500) – Examen (Anglais)

Retour en haut