Über Anthony
Pentester indépendant avec 10 ans d'expérience en cybersécurité offensive.
Je réalise des pentests Web, API et Cloud AWS afin d'identifier les vulnérabilités exploitables avant qu'elles ne soient découvertes par un attaquant.
J'interviens principalement auprès de SaaS et d'entreprises technologiques qui souhaitent réaliser un pentest sérieux de leur application ou de leur infrastructure.
Plus de 100 audits et pentests réalisés au cours des 10 dernières années.
Pentest d'applications Web et API
Réalisation de pentests complets d'applications Web et d'API REST afin d'identifier les vulnérabilités critiques.
Les tests d'intrusion couvrent notamment :
- authentification et gestion des sessions (JWT, OAuth2, SSO)
- contrôles d'accès et logique métier
- vulnérabilités multi-tenant
- exposition d'API
- escalade de privilèges
- exfiltration de données
- failles OWASP Top 10
Chaque pentest vise à démontrer un impact sur l'application ou les données.
Pentest AWS et sécurité Cloud
Pentest et audit de sécurité d'environnements AWS pour applications SaaS.
Analyse des risques de compromission liés à la configuration du cloud :
- IAM et gestion des privilèges
- S3 et permissions excessives
- configuration réseau et exposition de services
- risques d'escalade de privilèges
- chaînes d'attaque combinant application et infrastructure
Objectif : identifier les scénarios de compromission complets dans l'environnement AWS.
Approche
Les pentests sont réalisés selon une approche offensive inspirée de scénarios d'attaque réels.
Chaque vulnérabilité identifiée est exploitée et documentée afin de démontrer son impact.
Livrables
- rapport de pentest structuré pour les équipes techniques
- preuves d'exploitation détaillées
- recommandations priorisées
- restitution technique et exécutive
Positionnement
- pentester indépendant, pas de sous-traitance
- communication directe avec CTO et équipes produit
- compréhension des contraintes SaaS : roadmap, délais, exigences clients
Französisch
Muttersprachlich oder zweisprachig
Englisch
Verhandlungssicher
Spanisch
Grundkenntnisse
Vor Ort möglich
Toulouse (bis zu 20 km)
Projekt- und Berufserfahrung
- CodiTrustPentester Freelance - Sécurité SaaS Web/API & AWSBERATUNG & AUDITSAugust 2021 - Heute (4 Jahre und 10 Monate)Toulouse, Frankreich
Missions principales
- Tests d'intrusion (pentests) applicatifs Web et API REST
- Analyse des mécanismes d'authentification : JWT, OAuth2, SSO
- Audit des contrôles d'accès et vulnérabilités multi-tenant
- Recherche de failles logiques métier
- Escalade de privilèges et exfiltration de données
- Audit de sécurité AWS : IAM, S3, services managés, configuration réseau
Approche
Tests réalisés en conditions réalistes :- Reconnaissance structurée
- Exploitation manuelle validée
- Chaînes d'attaque combinant application et infrastructure
- Preuves d'impact concrètes
- Chaque vulnérabilité est démontrée et contextualisée selon son risque business.
Livrables
Pour chaque pentest, je livre :- Rapport technique détaillé
- Recommandations priorisées
- Restitution aux équipes techniques
- Synthèse pour direction ou investisseurs si nécessaire
Environnements typiques
- SaaS B2B multi-tenant
- Architectures microservices
- Applications exposées publiquement
- Hébergement AWS
- Client dans le secteur du Courtage ImmobilierPentest sur plusieurs applications WebBANKEN & VERSICHERUNGENMai 2023 - Juni 2023Toulouse, FrankreichRéalisation de tests d'intrusion complets sur des applications web exposées en production.
Travaux réalisés
- Phase de reconnaissance et cartographie applicative
- Analyse des mécanismes d'authentification et gestion des sessions
- Tests des contrôles d'accès et logique métier
- Recherche de vulnérabilités OWASP Top 10 et failles spécifiques au contexte applicatif
- Exploitation validée des vulnérabilités critiques
Résultats
- Identification de scénarios d'escalade de privilèges
- Mise en évidence de risques d'exfiltration de données
- Démonstration d'impact réel sur la sécurité de l'application
Livrables
- Rapport d'audit structuré avec preuves d'exploitation
- Recommandations priorisées selon le risque
- Restitution technique détaillée sur site ou en visioconférence
- Société dans le secteur énergieRéponse à incident - Compromission d'un site webENERGIEJuni 2023 - Juni 2023Toulouse, FrankreichIntervention suite à compromission d'un site web en production.
Analyse et investigation
- Analyse forensique des fichiers compromis et des logs applicatifs
- Identification du vecteur d'attaque initial
- Détection de webshells et scripts malveillants injectés
- Analyse des mécanismes de persistance mis en place par l'attaquant
Remédiation
- Suppression des fichiers malveillants et artefacts associés
- Correction de la vulnérabilité exploitée
- Rotation des identifiants et durcissement des accès
- Vérification d'intégrité des fichiers applicatifs
Sécurisation post-incident
- Audit de sécurité complet de l'application
- Revue des permissions serveur et configuration
- Mise en place de mesures de durcissement
- Recommandations pour éviter une nouvelle compromission
Bewertungen
Empfehlungen
Sei die erste Person, die Anthony empfiehlt
Teile Deine Erfahrung aus der Zusammenarbeit mit diesem Freelancer.
Diese Freelancer passen auch zu Ihren Kriterien
Agatha Frydrych
Backend Java Software Engineer
4.7
(3)
2
Baptiste Duhen
Fullstack developer
4.6
(4)
5
Amed Hamou
Senior Lead Developer
4
(2)
7
Audrey Champion
Web developer
4.3
(3)
4
Ausbildung und Abschlüsse
- Doctorat sur la sécurité des systèmes avioniquesINSA de Toulouse2014Doctorat consacré à la sécurité des systèmes embarqués critiques, appliquée à des environnements à fortes contraintes de sûreté et de fiabilité. Travaux de recherche orientés sur : • l’analyse des surfaces d’attaque des systèmes embarqués, • l’évaluation des risques de sécurité dans des contextes critiques, • la modélisation des menaces et des scénarios d’attaque, • l’impact des vulnérabilités sur la sûreté de fonctionnement. Ce travail a permis de développer une approche rigoureuse de l’analyse de risques, directement applicable aux audits de sécurité et aux tests d’intrusion sur des systèmes complexes.
- Master Informatique spécialité Sécurité de l'information et CryptologieUniversité de Limoges2009Formation avancée en sécurité informatique couvrant les fondements théoriques et les applications pratiques de la cryptographie et de la protection des systèmes. Compétences développées : - Cryptographie symétrique et asymétrique - Protocoles cryptographiques et sécurité des communications - Sécurité des systèmes et réseaux - Gestion des identités et mécanismes d'authentification - Analyse de vulnérabilités et modélisation des menaces Stage de 5 mois - Trusted Platform Module (TPM) : Travaux de recherche et développement autour du module matériel de sécurité TPM : - Étude des mécanismes d'ancrage matériel de confiance - Analyse des fonctions de stockage sécurisé de clés - Expérimentation des mécanismes d'attestation et de scellage - Évaluation des usages du TPM dans des architectures sécurisées
Zertifizierungen
- Certified Ethical Hacker InstructorEC-Council2016
- Certified Ethical HackerEC-Council