oct. 2026

YASSA BANK

L'architecture sécurisée d'une néobanque fictive, mise à l'épreuve sur une maquette de 20 VM entièrement décrite en code.

Période: oct. 2026
Cadre: EFREI Paris · M2 · Architecture sécurisée
Équipe: Groupe de 5
Ma part: Maquette et démonstrations devant le jury. Le dossier de conception (EBIOS RM, zones, matrice de flux) est un travail de groupe.
Rôle de l'IA: La maquette a été construite avec Claude Code à partir du dossier du groupe : l'agent a écrit et appliqué le code OpenTofu et Ansible, j'ai fixé les règles, relu, testé et démontré.

Preuves

20 VMdécrites en code (OpenTofu et Ansible)Source : journal de construction, 03/10/2026
6 684trajets réseau testés, tous conformes à la matrice de fluxSource : VM sonde, 03/10/2026
10 sur 10démonstrations rejouées sans écart avant le jurySource : répétition automatisée, 20/10/2026
0requête perdue à la perte d'un nœud KubernetesSource : test de résilience, 22/10/2026

Dossier du groupe : analyse EBIOS RM (10 risques, 31 mesures), 14 décisions d'architecture, 16 zones de confiance et une matrice de 99 règles de flux.
Cloisonnement par deux technologies de pare-feu, OPNsense et nftables, avec des règles générées depuis la matrice et vérifiées par une VM sonde.
Administration par bastion Teleport (TOTP, sessions enregistrées, certificats SSH courts, séparation tier 0 et tiers 1-2), identités clients sous Keycloak, PKI et secrets dynamiques sous OpenBao.
Zone cartes isolée selon PCI DSS : tokenisation, clé AES non extractible dans SoftHSM2, base chiffrée, données fictives.
Chaîne logicielle signée (gitleaks, Bandit, Checkov, Trivy, cosign) et cluster k3s durci par Kyverno, NetworkPolicies et Falco.
Détection Wazuh (9 règles pour 5 cas d'usage rattachés à MITRE ATT&CK) relayée en TLS vers un SOC simulé ; sauvegardes restic en ajout seul.

Le WAF prévu par le dossier n'a pas été construit : le point d'entrée cloud est un reverse proxy TLS.
Pas d'EDR ni de site de secours dans la maquette, et du TOTP plutôt que des clés FIDO2.
Le jury attendait un SIEM démontré de bout en bout : une vidéo complémentaire a montré la détection sur 24 h.

Les 16 zones de confiance du dossier. Sélectionnez une zone pour voir son niveau de sensibilité.

Aucune zone sélectionnée.

La chaîne d'entrée côté cloud, telle que conçue dans le dossier.

Le parcours des données de carte jusqu'à la zone isolée.