SnykCon 2021 : récap #2 : sécurité de la chaîne d’approvisionnement, avenir de la cybersécurité, automatisation et bien plus encore

Quelle semaine ! Ou plutôt, quels trois jours ! J’ai encore du mal à croire que nous ayons réussi à réunir autant de contenu passionnant sur la sécurité des développeurs à SnykCon 2021. Entre les conférences d’experts, les discussions enrichissantes et les ateliers interactifs, je pense que nous avons vraiment tenu notre promesse : aider chacun à développer en toute sécurité.

Si vous avez participé à SnykCon, merci ! Nous espérons que vous avez apprécié l’événement et trouvé le contenu aussi utile et concret que nous l’espérions. Si vous n’avez pas pu y assister, les conférences sont déjà disponibles sur notre page SnykCon, où vous pourrez les regarder quand vous le souhaitez.

Comme hier, revenons sur les temps forts de la journée !

Les partenaires de Snyk Impact : Career Village et The AI Education Project

Hier, nous avons annoncé le lancement de Snyk Impact lors de la keynote de SnykCon. Aujourd’hui, Dipti Salopek (cheffe de cabinet chez Snyk) a expliqué plus en détail comment Snyk agit pour la société et collabore avec Fast Forward afin de maximiser son impact. Elle a ensuite donné la parole à deux leaders inspirants, anciens participants de Fast Forward : Jared Chung, fondateur et directeur exécutif de Career Village, et Ora Tanner, cofondatrice et directrice de l’apprentissage de The AI Education Foundation.

Career Village est une association à but non lucratif qui met en relation des jeunes sous-représentés avec des mentors professionnels. Cette formidable plateforme permet à des mentors bénévoles de guider des jeunes qui ne savent pas forcément vers qui se tourner pour obtenir des conseils sur leur carrière. « Pour beaucoup de nos élèves, c’est la première fois qu’ils ont une véritable conversation avec un adulte au sujet des carrières. C’est une expérience qui peut changer leur vie, car en répondant à leurs questions, vous leur montrez que vous les prenez au sérieux. Vous leur faites comprendre que quelqu’un croit en eux et prend leurs objectifs au sérieux. C’est incroyablement valorisant pour un jeune », a déclaré Chung.

The AI Education Foundation (AIEDU) est une association à but non lucratif créée pour « donner aux élèves — en particulier à ceux qui sont touchés de manière disproportionnée par l’IA et l’automatisation — les connaissances conceptuelles et les compétences dont ils ont besoin pour s’épanouir en tant que futurs travailleurs, créateurs, consommateurs et citoyens ». L’IA va transformer le marché du travail, et AIEDU veille à ce que les jeunes concernés par ces évolutions puissent accéder à la formation nécessaire pour garder une longueur d’avance. « Nous avons créé un programme numérique pour transmettre aux élèves les connaissances et les compétences dont ils auront besoin pour s’épanouir dans une société où l’IA et l’automatisation occupent une place croissante dans tous les secteurs », a expliqué Tanner.

Et encore plus de sessions

Comprendre la sécurité de la chaîne d’approvisionnement logicielle pour les développeurs

Alors que les attaques très médiatisées contre la chaîne d’approvisionnement font régulièrement la une de l’actualité, la première conférence de la journée tombait à point nommé. Justin Cormack, directeur technique de Docker, a parlé de la chaîne d’approvisionnement logicielle et de son importance croissante dans les environnements cloud natifs. Il a également expliqué les risques de sécurité et présenté quelques moyens de s’en protéger.

La chaîne d’approvisionnement logicielle est un élément essentiel des applications cloud natives, mais elle devient aussi la partie la plus vulnérable des logiciels modernes. Les vulnérabilités dans les dépendances représentant l’un des principaux risques liés à la chaîne d’approvisionnement, Cormack estime que la sécurité des bibliothèques open source relève de la responsabilité de tous, et pas seulement des responsables des projets. « Le chemin qui mène de votre code à la production est exposé à toutes sortes de problèmes de sécurité, a déclaré Cormack. Si vous êtes un pirate, il est souvent plus facile d’attaquer en amont que de s’en prendre directement au code en production. »

L’avenir de la cybersécurité vu par un hacker bienveillant

Keren Elazari, analyste en sécurité qui se décrit comme une hacker bienveillante, a évoqué ce à quoi pourrait ressembler la cybersécurité dans un avenir proche. Au cours de sa conférence, elle a abordé plusieurs piratages majeurs et technologies de piratage des 18 derniers mois, notamment le rançongiciel Ryuk, les attaques de la chaîne d’approvisionnement Jxplorer et l’attaque SolarWinds.

Selon Elazari, nous avons besoin de davantage de héros hackers au sein d’un « système immunitaire numérique » qui protège le monde. Elle estime également que le passage au télétravail a fait des employés à distance la première ligne de défense contre les cybermenaces. « Pour beaucoup de personnes, les décisions de sécurité qu’elles prennent au quotidien ont un impact sur la sécurité de toute l’organisation, a expliqué Elazari. On dit souvent que les personnes de l’autre côté sont le maillon faible de la chaîne de sécurité, mais je pense qu’il faut plutôt les considérer comme la première ligne de défense. »

Créer un programme AppSec de zéro

La session suivante était une table ronde sur les défis liés à la création d’un programme AppSec à partir de zéro. Animée par Lindsey Serrafin, vice-présidente de la réussite client chez Snyk, elle réunissait Gagan Bhatia, responsable de la distribution de la cybersécurité chez 10x Banking, Nicholas Vinson,responsable DevSecOps chez Pearson, et Stephan Steglich, chef de produit sécurité des applications chez Sky Betting & Gaming.

Selon Vinson, la sécurité était autrefois très cloisonnée, avec peu de collaboration entre les équipes de sécurité, de gestion des risques et de développement. « Nous avons cherché à collaborer avec ces équipes pour définir des exigences qui privilégient les développeurs et trouver des solutions adaptées à notre pile technologique et à nos pratiques d’ingénierie. Nous avons également travaillé avec elles pour intégrer la sécurité aux activités courantes de développement. »

Bhatia a confirmé que décloisonner les équipes reste un défi classique dans le secteur. Selon lui, la clé consiste à trouver les bons outils pour les développeurs et à privilégier leur expérience. « Nous parlons de l’expérience client, mais il y a un autre aspect auquel nous devons toujours penser : comment fournir aux développeurs les outils ou les conseils nécessaires pour faire leur travail ? »

Enfin, Steglich a souligné l’importance d’une amélioration continue et progressive. « Avec des indicateurs, on peut raconter n’importe quoi si on les présente de la bonne façon pour atteindre ses objectifs. Réfléchissez donc soigneusement aux indicateurs que vous publiez. »

La sécurité, c’est comme se mettre à cuisiner. Vous ne préparerez pas un plat digne des plus grands chefs dès la première fois, mais l’important, c’est de vous lancer.

Mais à quoi sert cette histoire de signature ?

Rachid Zarouali, architecte cloud chez sevensphere, a expliqué l’importance de signer et d’analyser les images Docker pour assurer une sécurité complète des conteneurs. La signature d’image permet d’en vérifier l’intégrité et de s’assurer qu’elles n’ont pas été altérées.

Si la signature des images est essentielle, Zarouali a également expliqué qu’elle est encore plus efficace lorsqu’elle est associée à l’analyse des vulnérabilités. En effet, des images signées peuvent tout de même contenir des vulnérabilités qui présentent des risques de sécurité. « La signature d’image peut renforcer la sécurité de vos images en les protégeant contre les falsifications, les attaques de l’homme du milieu et les attaques par rejeu, a déclaré Zarouali. Comme vous l’avez vu dans cette courte démonstration, les mécanismes de signature et de validation sont également assez faciles à mettre en œuvre. »

Pirater votre infrastructure depuis l’extérieur en exploitant les attaques par confusion de dépendances npm

Liran Tal, directeur de la sensibilisation des développeurs chez Snyk, a montré qu’il n’est pas nécessaire d’utiliser la Force pour détruire l’Étoile de la Mort : il suffit de recourir à la confusion de dépendances. Tal a expliqué le fonctionnement de cette attaque, son efficacité et les moyens de s’en protéger. Une conférence formidable, riche en conseils pratiques pour atténuer les attaques par confusion de dépendances et empêcher votre logiciel de basculer du côté obscur !

Automatiser les approbations de licences open source

La plupart des développeurs connaissent l’open source, mais ne se rendent pas compte des enjeux de conformité liés aux licences qui accompagnent souvent l’utilisation du code. Sam Hodgkinson et Ben Davies, tous deux ingénieurs logiciel chez Citrix, ont expliqué comment ils ont pu faire passer le délai d’approbation des licences open source de deux semaines à quelques secondes grâce à Snyk. La mise en œuvre de la gestion de la conformité des licences de Snyk Open Source a permis de répondre au besoin d’un processus automatisé, conforme au cadre juridique de l’entreprise, pour approuver rapidement les demandes liées à l’open source pendant le développement.

Pour simplifier la gestion des licences open source de plus de 10 000 projets de code, Citrix a créé une API de politiques conforme aux exigences juridiques de l’entreprise. Cette API automatise les décisions d’approbation à partir des données de licence de Snyk Open Source pendant le processus CI/CD. « En utilisant Snyk et en levant enfin certains obstacles techniques, nous avons pu automatiser entièrement ce processus, a expliqué Davies. Nous avons réduit un processus de deux semaines à quelques secondes pour la plupart des décisions de politique. »

Promouvoir l’état d’esprit SRE : instaurer une culture de fiabilité et de responsabilité

Lors de sa session, Cristina Bustamante, ingénieure fondatrice chez Cortex, a parlé du rôle des ingénieurs en fiabilité des sites (SRE) et expliqué pourquoi limiter le code défectueux est bénéfique pour tous, y compris pour les équipes de développement et de sécurité.

Les bugs et les vulnérabilités de sécurité dans le code créent une dette technique susceptible de nuire à la fiabilité et à la sécurité d’une application. En adoptant un état d’esprit SRE, les équipes de développement peuvent toutefois livrer un code plus propre et améliorer durablement la résilience des applications. « On estime que les développeurs consacrent 85 milliards de dollars par an à gérer du code défectueux, a indiqué Bustamante. C’est beaucoup de temps et d’argent qui pourraient servir à développer de nouvelles fonctionnalités pour vos clients. »

Ateliers, présentations produit et démonstrations

Si vous avez lu l’article d’hier, vous attendiez probablement cette section avec impatience toute la journée. La voici donc… la liste des formidables démonstrations que nous avons proposées ces deux derniers jours :

• Comment déployer Snyk avec succès dans votre entreprise

• Vous avez souscrit à un forfait Team : et maintenant ?

• Comment savoir quoi corriger quand on ne peut pas tout corriger ?

• Snyk et AWS : encore plus performants ensemble

• Bien utiliser Snyk avec GitHub

• Bien utiliser Snyk avec GitLab

• Devenir un développeur JavaScript/Node sécurisé

• Devenir un développeur Python sécurisé

• Devenir un développeur Java sécurisé

• Devenir un développeur Go sécurisé

• Présentation du fichier .snyk : définir des politiques au niveau du poste de travail et de la CI

• Bonnes pratiques et conseils avancés pour la CI/CD

• Rester conforme : tirer parti des fonctionnalités de gestion des licences de Snyk pendant le développement

• Sécuriser facilement les conteneurs grâce à la gestion des images de base

• Sécuriser vos déploiements Terraform

• Problèmes de pods : sécuriser une application Kubernetes vulnérable avec Snyk

• Créer des règles personnalisées pour Snyk Infrastructure as Code

• Sécuriser votre code avec Snyk Code en 15 minutes

L’attente en valait la peine, n’est-ce pas ? En plus de ces superbes démonstrations produit, nous avons aussi proposé des présentations passionnantes sur la sécurité des conteneurs, l’analyse de code basée sur le ML, la sécurisation judicieuse des dépendances open source et bien plus encore. Et bien sûr, deux autres ateliers pratiques : Ne vous faites jamais pirater ! Comprendre le Top 10 de l’OWASP, animé par Grant Ongers (directeur technique de Secure Delivery et membre du conseil d’administration mondial de l’OWASP Foundation), et La sécurité IaC de Kubernetes sous forme de jeu, animé par Kim Schlesinger (développeuse évangéliste chez DigitalOcean).

Anecdote : Schlesinger était la seule personne qui ne travaillait pas chez Snyk à proposer plusieurs sessions. Elle a également animé la conférence éclair 3 choses que vous ne savez (probablement) pas sur SSH. Bravo, Kim !

Merci d’avoir suivi SnykCon 2021

Et voilà, SnykCon 2021, c’est terminé ! Les experts du secteur ont proposé des conférences passionnantes et inspirantes qui continuent de faire progresser notre compréhension de la sécurité des applications. Nous espérons que vous avez pu en tirer de nouvelles idées à appliquer à vos propres projets. Et si vous avez manqué certaines conférences — ou souhaitez les revoir — retrouvez-les à la demande sur la page SnykCon.

Développez en toute sécurité !