Déploiement d'infrastructure cloud-native vulnérable et scénarisation d'attaques pour l'évaluation f/h

Date de publication : Feb 03, 2026, 5:47PM

Dans le cadre de l’évaluation d’un outil de collecte de logs d’audit adapté aux environnements cloud-native, nous cherchons à déployer une infrastructure vulnérable dédiée. Cette infrastructure prendra la forme d’un cluster Kubernetes hébergeant des services conteneurisés représentatifs d’un environnement de production. Les services vulnérables devront permettre l’exécution automatisée
de scénarios d’attaque longs et complexes, représentatifs de menaces réelles dans les environnements cloud-native.

Objectif

* Déploiement d’une infrastructure cloud-native vulnérable. Le début du stage consistera à explorer les outils existants permettant de déployer une infrastructure délibérément vulnérable, soit via l’utilisation d’anciennes versions de Kubernetes pour lesquelles des vulnérabilités ont été identifiées, soit en introduisant des mauvaises configurations rendant l’infrastructure vulnérable.
Le stagiaire pourra commencer par évaluer l’outil pédagogique Kubernetes Goat pour notre cas d’usage [1].
* Identification de services vulnérables à déployer au sein du cluster Kubernetes. Le stagiaire pourra sélectionner des services vulnérables tels que le projet OWASP Juice Shop [2] ou des services issus de CTF (p. ex. CasinoLimit [3], Pirhack [4]. .. ). Néanmoins, ces projets sont
rarement suffisamment représentatifs de services interconnectés tels qu’on pourrait en retrouver en production. Le stagiaire évaluera alors la possibilité de rendre certains projets open source délibérément vulnérables (par exemple Countly [5], qui rassemble de nombreux services conteneurisés hétérogènes et une surface d’attaque étendue).
* Conception de scénarios d’attaques simulant une chaîne d’attaque complète, qu’un adversaire pourrait exécuter en s’appuyant sur les vulnérabilités des services et de l’infrastructure mis en place. Le stagiaire pourra s’appuyer sur des outils de génération de threat model tels que
ThreatCompute [6] et sur des rapports de menaces spécifiques au cloud-native (par exemple l’OWASP Kubernetes Top 10 [2] ou la matrices de menace MITRE [7]) afin de garantir que les scénarios proposés sont représentatifs des menaces réelles et couvrent au mieux la surface
d’attaque.

References
[1] “Kubernetes Goat.” https://madhuakula.com/kubernetes-goat/docs/.
[2] “OWASP Kubernetes Top Ten — OWASP Foundation.” https://owasp.org/
www-project-kubernetes-top-ten/.
[3] “Casino limit challenge.” https://gitlab.inria.fr/pirat-public/casinolimit.
[4] “Pirhack challenge.” https://gitlab.inria.fr/pirat-public/pirhack/pirhack.
[5] “GitHub - Countly/countly-server.” https://github.com/Countly/countly-server.
[6] A. Wimbauer, L. Muscariello, J. Samain, L. Steger, K. Glas, M. Helm, and G. Carle, “Threatcompute:
Leveraging llms for automated threat modeling of cloud-native applications,” in Proceedings
of the 2025 Cloud Computing Security Workshop, pp. 14–27, 2025.
[7] “Mitre att&ck framework - containers matrix.” https://attack.mitre.org/matrices/
enterprise/contain

Nous recherchons un(e) étudiant(e) en Master ou en dernière année
d’école d’ingénieur, idéalement spécialisé(e) en sécurité informatique, avec un cursus en génie informatique.
Vous disposez de solides notions en sécurité informatique et en programmation, indispensables pour réussir dans ce stage. Une connaissance préalable de Kubernetes et Docker sera un atout apprécié pour vous permettre de vous immerger rapidement dans les missions.


Vos hard skills

* Maîtrise des concepts et outils de conteneurisation, notamment Docker.
* Connaissance approfondie de Kubernetes et de son ´écosystème.
* Compréhension des principes de sécurité informatique appliqués aux environnements cloudnative.
* Capacité à utiliser des outils de modélisation de menaces et d’analyse de vulnérabilités.
* Compétences en programmation pour automatiser et simuler des scénarios d’attaque (Python, Bash, etc.).


Vos soft skills

Nous recherchons une personne curieuse et proactive, capable de s’adapter rapidement àun environnement technique complexe. Vous faites preuve d’un esprit analytique aiguisé et d’une grande rigueur dans la conduite de vos travaux. La collaboration et la communication sont au coeur de votre approche, vous permettant de travailler efficacement au sein d’une équipe pluridisciplinaire.
Enfin, votre autonomie et votre sens de l’initiative vous permettront de mener à bien les missions qui vous seront confiées.

* Intégrer une équipe innovante au sein d’Orange Innovation, acteur majeur de la transformation digitale.
* Bénéficier d’un environnement de travail stimulant avec accès à des technologies de pointe en cloud-native et cybersécurité.
* Profiter d’un accompagnement personnalisé pour votre montée en compétences et votre évolution professionnelle.
* Perspectives d’évolution : ce stage constitue une excellente porte d’entrée pour évoluer vers des postes d’ingénieur en sécurité cloud, consultant en cybersécurité ou architecte cloud-native.
Vous aurez l’opportunité de prolonger votre expérience au sein d’Orange, avec des perspectives d’intégration dans des équipes de recherche et développement ou d’expertise technique.
* Promesse employeur : chez Orange, vous évoluez sur un terrain de jeu vaste et diversifié, où chaque défi technique est une opportunité d’excellence. Vous déployez vos compétences dans des
environnements innovants et variés, au coeur des technologies cloud-native et de la cybersécurité.
Ici, votre rigueur et votre passion pour la perfection trouvent un cadre stimulant pour grandir et exceller. Quand vous voulez relever des défis ambitieux, Orange est là.

L’équipe DPI (Data, Privacy and Innovation) du département Data Intelligence Factory d'Orange Innovation est présente à Caen, Rennes et Chatillon. Elle développe un haut niveau d’expertise autour des thématiques de cybersécurité, de sécurisation de la virtualisation, de cryptographie et de protection des données personnelles.

Date de début souhaitée : Mar 02, 2026, 12:00AM

Seules vos compétences comptent

Quel(s) que soient votre âge, votre sexe, vos origines, votre religion, votre orientation sexuelle, votre neuro-diversité, votre handicap ou votre apparence, nous encourageons activement la diversité au sein de nos équipes, car elle est à la fois une force collective et un moteur d'innovation. Orange est une entreprise accessible aux personnes en situation de handicap : n'hésitez pas à nous faire part de vos besoins spécifiques.