Bilan du T3 2020 — Snyk et DeepCode, bonnes pratiques de sécurité Angular et plus encore

Nous voici en juillet, août et septembre, dans notre série d’articles qui revient sur les publications de l’année et met en lumière les temps forts de chaque trimestre. Nous avons déjà évoqué les deux premiers trimestres, notamment une levée de fonds pour Snyk, l’écosystème JVM et les rapports sur l’état de la sécurité open source. Au troisième trimestre, nous revenons sur quelques actualités majeures qui l’ont marqué : une nouvelle levée de fonds, la découverte d’une bibliothèque malveillante et une acquisition. Quel trimestre !

À LIRE AUSSI : Bilan du T1 2020 — rapport sur l’écosystème JVM, perspectives DevSecOps et plus encore

Août 2020 : SourMint : code malveillant, fraude publicitaire et fuite de données sur iOS

En août, Alyssa Miller a publié un article annonçant les résultats des recherches menées sans relâche par l’équipe de recherche en sécurité de Snyk pour mettre au jour des comportements malveillants chez Mintegral, une entreprise chinoise spécialisée dans les plateformes publicitaires mobiles. Dirigées par Danny Grander et Kirill Efimov, ces recherches ont montré que le code malveillant pouvait espionner l’activité des utilisateurs en enregistrant les requêtes basées sur des URL effectuées par l’application. En outre, ce SDK signale frauduleusement les clics des utilisateurs sur les publicités, détournant ainsi des revenus potentiels aux réseaux publicitaires concurrents et, dans certains cas, au développeur ou à l’éditeur de l’application. Voici une démonstration de ce code malveillant en action :

Play Video: A demonstration of the SourMint Malicious SDK from Mintegral

Au moment de la rédaction de cet article, l’équipe n’avait trouvé de code malveillant que dans la version iOS du SDK Mintegral. Toutefois, il a été découvert par la suite que la distribution Android contenait elle aussi du code malveillant, à l’origine d’autres fuites de données. Il a également été établi que la distribution iOS comportait une exécution de code à distance, décrite dans un article de blog de Danny et Alyssa. L’équipe a également démontré cette exécution de code à distance dans la vidéo ci-dessous :

À LIRE AUSSI : Bilan du T2 2020 — rapport sur l’état de la sécurité open source, DevSecOps Hub et plus encore

Septembre 2020 : Snyk lève 200 millions de dollars pour moderniser le secteur de la sécurité

En septembre, Peter McKay, PDG de Snyk, a annoncé la clôture de notre dernière levée de fonds, d’un montant de 200 millions de dollars. Cette levée a apporté plusieurs éléments importants. Tout d’abord, c’est une somme considérable, qui nous donne la flexibilité et les moyens d’accélérer notre vision de la sécurité des applications cloud natives, pensée avant tout pour les développeurs. Ensuite, elle témoigne du travail remarquable de toute l’équipe Snyk : au cours de l’une des années les plus difficiles et imprévisibles de nos vies, nous avons pu augmenter notre chiffre d’affaires de 275 %, accroître nos effectifs de 100 % et atteindre une valorisation de plus de 2,6 milliards de dollars. Ces chiffres me donnent le vertige. Lorsque j’ai rejoint Snyk, il y a près de trois ans, je me souviens avoir pensé que l’entreprise avait un énorme potentiel. Mais je ne pensais pas qu’elle grandirait aussi vite, gagnerait en maturité si rapidement et deviendrait le leader du marché que nous connaissons aujourd’hui. Quand je regarde Snyk et son potentiel actuel, il m’est difficile de trouver les mots pour décrire l’ambition, l’état d’esprit et la vision de l’équipe. Au fait, nous recrutons : pensez sérieusement à rejoindre la famille Snyk et à faire partie de notre aventure !

Septembre 2020 : Accélérer notre vision axée sur les développeurs avec DeepCode

Toujours en septembre, Peter McKay a annoncé un accord en vue d’acquérir DeepCode, une spin-off de l’ETH Zurich fondée par d’éminents chercheurs en apprentissage automatique et en langages de programmation. Lors de cette annonce, nous avons expliqué comment le moteur d’IA de DeepCode aiderait Snyk à accélérer la détection et la correction des vulnérabilités tout en améliorant leur précision, grâce à un apprentissage continu à partir de la Snyk Vulnerability Database. Cette histoire réservait une autre surprise, annoncée seulement lors de la première conférence SnykCon en octobre : un nouveau produit SAST. Mais il faudra patienter jusqu’au prochain article, consacré aux publications d’octobre, novembre et décembre, pour en savoir plus — PAS DE SPOILER !

Avant son acquisition, DeepCode se concentrait davantage sur l’analyse de la qualité du code, à l’aide d’un moteur d’analyse de code reposant sur des règles d’assurance qualité. Point important, cette technologie analyse le code 10 à 50 fois plus rapidement que les solutions de remplacement, ce qui permet d’intégrer des workflows en temps réel au processus de développement. C’est une avancée majeure, d’autant que, dans le premier article de cette série, nous avions vu qu’un développeur sur deux (48 %) considère la sécurité comme un frein important à la livraison rapide de logiciels. Tout ce qui permet d’accélérer le processus et d’intégrer la sécurité de façon fluide aux workflows et pipelines de développement constitue un grand pas en avant.

Nous aurions pu choisir bien d’autres articles et souhaitions en inclure davantage. Mais nous ne voulions pas transformer cet article de blog en rapport : voici donc quelques mentions honorables que nous ne voulions pas omettre ! Brian Vermeer a fait un excellent travail en créant des badges de sécurité Snyk que les responsables de maintenance peuvent ajouter fièrement à leurs dépôts ou à leurs sites Web, pour montrer à leur communauté qu’ils se soucient de la sécurité et s’efforcent de réduire les risques. Un nouveau rapport ESG a également été publié. Il met en lumière plusieurs enjeux de sécurité auxquels Snyk entend s’attaquer, notamment l’adoption par les développeurs et la remédiation des problèmes. Pour les grandes organisations qui doivent gérer de longues listes de vulnérabilités, il est essentiel de savoir les hiérarchiser afin de traiter en priorité les menaces les plus importantes et de réduire au mieux les risques. Daniel Berman a rédigé un aide-mémoire très utile expliquant comment hiérarchiser votre liste de vulnérabilités, en tenant compte de nombreux facteurs, dont la gravité, la facilité d’exploitation et l’accessibilité du code vulnérable. Enfin, Liran Tal a publié l’un de nos aide-mémoire les plus populaires, consacré aux bonnes pratiques de sécurité Angular : il présente six pratiques à suivre lors de la création d’applications Angular.

Merci de nous avoir lus ! Dans le prochain article, nous reviendrons sur les publications du quatrième et dernier trimestre de 2020 !