CYBERANGE 4 · Charte d'usage TP ONLINE

1. Préambule : le hacking éthique

Tout ce que vous allez faire dans ce TP, et seulement dans ce TP, relève du hacking éthique : l'usage de techniques offensives (reconnaissance, interception, parfois davantage) dans un cadre strictement défini, sur un périmètre que vous n'avez pas choisi vous-même, avec l'autorisation explicite de votre formateur et pour un objectif pédagogique précis.

Ce qui fait la différence entre un hacker éthique et un délinquant informatique n'est pas la technique (c'est exactement la même), mais trois choses, et trois choses seulement : l'autorisation préalable et explicite, le périmètre accepté par celui qui autorise, et l'objectif déclaré. Sortez de l'une de ces trois conditions, et la même action change entièrement de nature.

Ce que ce document encadre Chez IPCYB, nous avons construit Cyberange 4 comme un réseau isolé, pour que vous puissiez observer et, pour certains gestes précis, déclencher vous-même des actions offensives sans risque réel pour qui que ce soit. Cette charte fixe exactement ce que nous vous autorisons à faire, ce qui reste interdit, et ce qui se passe si vous sortez du cadre.

2. Ce que dit la loi

En droit français, les atteintes aux systèmes de traitement automatisé de données (STAD) sont punies par le Code pénal, articles 323-1 à 323-7. Résumé, sans simplifier l'essentiel :

Article	Ce qu'il punit	Peine encourue
323-1	Accès ou maintien frauduleux dans un système	3 ans, 100 000 €
323-2	Entraver ou fausser le fonctionnement d'un système	5 ans, 150 000 €
323-3	Introduire, modifier ou supprimer frauduleusement des données	5 ans, 150 000 €
323-3-1	Détenir ou diffuser un outil conçu pour commettre ces infractions	mêmes peines que l'infraction visée
323-4	Participer à un groupement formé pour préparer ces infractions	mêmes peines que l'infraction préparée

Un seul élément rend tout ceci légal, ici Nous sommes propriétaires de Cyberange 4, et c'est cette qualité qui nous permet de vous autoriser, par la voix de votre formateur, à effectuer ces actions. Cette autorisation est explicite, mais strictement limitée au périmètre et aux actions décrites dans cette charte. Elle ne vaut que pour Cyberange 4, que pendant les séances encadrées, et que pour les actions listées en section 3. Nous ne vous couvrons pour rien d'autre, nulle part ailleurs.

3. Ce que vous êtes autorisé à faire ici

Deux types d'activités sont prévus pendant les séances ONLINE, avec des droits différents :

Famille 1

Observer et analyser

Une attaque complète (reconnaissance, brute-force, injection, exfiltration) est déclenchée par votre formateur. Votre rôle : capturer ce trafic sur le port SPAN et l'analyser, exactement comme le ferait une équipe de surveillance réseau. Vous n'actionnez aucune de ces attaques vous-même.

Famille 2

Agir, dans un périmètre limité

Pour certaines étapes désignées en séance, c'est vous qui déclenchez l'action : un scan de reconnaissance léger depuis la DMZ, ou une connexion avec des identifiants que vous avez vous-même trouvés. Jamais une exploitation complète, jamais au-delà de ce que votre formateur a explicitement autorisé pour l'exercice en cours.

Cyberange 4 n'est volontairement pas un labo d'exploitation de vulnérabilités : nous mettons à votre disposition, pour cet usage précis, d'autres cyber ranges IPCYB dédiés. Ici, le périmètre d'action que nous vous ouvrons reste toujours limité et encadré.

Dans les deux cas, le périmètre autorisé est celui donné en séance pour cet exercice précis, pas le réseau Cyberange 4 dans son ensemble ni les actions vues dans un exercice précédent.

4. Ce qui reste interdit, même ici

Interdit, sans exception

Toute attaque par déni de service (DoS), quelle que soit sa forme, déclenchée par un étudiant
Toute tentative d'exploitation complète (prise de contrôle, élévation de privilèges) au-delà de ce qui est explicitement désigné pour l'exercice en cours
Toute tentative de sortir du périmètre réseau donné (scanner, se connecter à, ou interroger une machine non désignée par l'exercice)
Toute tentative de connexion SSH depuis la DMZ vers une machine du LAN (elle est bloquée techniquement, mais la tenter reste une infraction aux règles de ce TP). Les connexions explicitement prévues par un exercice (messagerie, phpMyAdmin, FTP, Telnet...) restent bien sûr autorisées dans le cadre donné
Reproduire, en dehors de ce labo, une technique vue ou utilisée ici, sur un système qui ne vous appartient pas et pour lequel vous n'avez pas d'autorisation explicite

En cas de doute sur ce qui est permis pour un exercice donné, la règle est simple : vous demandez à votre formateur avant d'agir, vous ne supposez jamais.

5. Tout est tracé

Le tableau de bord superviseur horodate et journalise chaque action : chaque connexion, chaque commande déclenchée depuis la zone Attaques, chaque bascule Blue Team, chaque capture lancée. L'activité réseau depuis la DMZ est également tracée et peut déclencher une alerte automatique vers le formateur, en temps réel.

Ce que ça signifie concrètement Il n'existe pas de manipulation discrète sur ce labo. Une action hors périmètre n'est pas un risque qu'on prend « au cas où ça passe » : elle sera vue, horodatée, et attribuée à la machine depuis laquelle elle a été lancée.

6. En cas de manquement

Un dépassement du cadre donné dans cette charte est traité selon sa gravité :

Gravité	Exemple	Conséquence
Mineure	Curiosité ponctuelle hors du périmètre de l'exercice, sans intention de nuire	Rappel à l'ordre immédiat par le formateur, en séance
Significative	Tentative répétée, ou action clairement hors cadre malgré un rappel	Convocation au service pédagogique
Grave	Dégradation volontaire du labo, action visant à nuire aux autres groupes ou à l'infrastructure	Entretien avec la direction, pouvant aller jusqu'à l'exclusion

Et au-delà de ce TP Les sanctions ci-dessus sont internes à l'établissement. Elles ne remplacent pas, et n'empêchent en rien, les poursuites pénales prévues par les articles cités en section 2, si les faits les plus graves venaient à s'y rattacher.

7. Engagement

Protection de vos données Les informations de ce formulaire (nom, prénom, email, adresse MAC, date et heure) servent uniquement à tracer la validation de cette charte avant une séance sur Cyberange 4. L'adresse MAC est relevée automatiquement par le réseau du labo au moment où vous ouvrez cette page depuis la salle, dans le seul but d'assurer la protection du Cyberange-4 et le bon fonctionnement de ses services (identification d'un poste en cas d'incident, traçabilité technique) : cette collecte repose sur l'intérêt légitime d'IPCYB (article 6.1.f du RGPD). Pour savoir comment nous traitons vos données, et connaître vos droits d'accès, de rectification et de suppression, consultez notre politique de confidentialité.