Vulnérabilités des applications : éviter les failles de code et les risques de sécurité

Qu’est-ce qu’une vulnérabilité applicative ?

En 2020, le coût moyen d’une violation de données s’élevait à 3,86 millions de dollars, et 82 % des vulnérabilités connues se trouvaient dans le code des applications. Les bonnes pratiques de programmation sécurisée, associées à des solutions de sécurité des applications, peuvent contribuer à réduire le risque de vulnérabilité dans le code de votre application.

Sécurité logicielle et sécurité des applications

La sécurité logicielle vise à protéger la logique de programmation fondamentale des logiciels sous-jacents. Contrairement à la sécurité des applications, elle se concentre sur les premières étapes du cycle de vie du développement logiciel (SDLC) et sur le code sous-jacent d’une application.

Une fois le logiciel devenu un artefact déployable, tel qu’un fichier JAR ou une image de conteneur, il entre dans le champ de la sécurité des applications. À ces étapes du SDLC, il ne s’agit plus seulement de sécuriser le logiciel. Il faut aussi prendre en compte divers systèmes interconnectés, infrastructures et chemins réseau nécessaires au déploiement du logiciel en production. Le personnel axé sur les opérations, comme les ingénieurs DevOps, joue le plus souvent un rôle plus actif dans la sécurisation de l’application.

Investir dans les premières étapes du SDLC porte ses fruits en matière de sécurité des applications. Il est beaucoup plus facile de sécuriser une application qui comporte moins de défauts et de vulnérabilités. Les vulnérabilités du code obligent les équipes opérationnelles et les ingénieurs en sécurité à réagir sur la défensive, au lieu de traiter ces problèmes de manière proactive dès le départ.

L’importance de la sécurité des applications

La sécurité des applications nécessite une approche proactive à chaque cycle de build et de release, et repose souvent sur l’automatisation pour détecter les menaces. Les ingénieurs DevOps s’appuient souvent sur les bonnes pratiques de sécurité des applications, en utilisant différents outils et méthodes à chaque étape du cycle de build, de test et de release.

À mesure que les processus CI/CD se généralisent au sein des organisations, la demande de solutions de sécurité des applications augmente. En effet, le rapport État de la sécurité des applications cloud native de 2021 montre comment l’adoption du cloud native transforme la façon dont les organisations se défendent contre les vulnérabilités des applications. Les erreurs de configuration et les vulnérabilités de sécurité connues et non corrigées étaient à l’origine du plus grand nombre d’incidents de sécurité. Ces problèmes peuvent tous être évités avec la bonne stratégie de sécurité des applications.

Heureusement, les outils de sécurité des applications peuvent rechercher les vulnérabilités connues et classer les résultats, réduisant ainsi le recours au travail manuel des développeurs. Ils permettent de repérer les tendances et les schémas, et d’aider les développeurs à détecter les erreurs de code pendant les phases de build et de release du SDLC.

Face à l’apparition constante de nouvelles vulnérabilités et au temps considérable que demandent les revues de code manuelles et autres méthodes de test traditionnelles, les outils de sécurité automatisés peuvent offrir de nombreux avantages.

Les 10 principales vulnérabilités des applications

Comprendre la liste des 10 principaux risques de l’OWASP peut aider les équipes de développement à réduire le risque de vulnérabilité des applications. La dernière liste des 10 principaux risques de l’OWASP a été publiée en 2021.

Voici les 10 principales vulnérabilités des applications selon la liste de 2017 :

1. Injection : Les vulnérabilités par injection peuvent survenir lorsqu’une requête ou une commande sert à transmettre des données non fiables à l’interpréteur, par injection SQL, OS, NoSQL ou LDAP. Les données malveillantes injectées par ce vecteur d’attaque trompent l’interpréteur et l’amènent à faire exécuter à l’application des opérations pour lesquelles elle n’a pas été conçue.

2. Défaillance de l’authentification : Lorsque les applications exécutent incorrectement des fonctions liées à la gestion des sessions ou à l’authentification des utilisateurs, des intrus peuvent compromettre des mots de passe, des clés de sécurité ou des jetons de session, et usurper temporairement ou définitivement l’identité et les autorisations d’autres utilisateurs.

3. Exposition de données sensibles : Sans mesures essentielles de protection des données, notamment le chiffrement des données en transit ou au repos, les attaquants peuvent consulter, voler ou modifier des données sensibles ou des informations permettant d’identifier une personne (PII), telles que des identifiants, des numéros de carte bancaire ou de sécurité sociale et des informations médicales. Les données non chiffrées sont des cibles de choix pour des attaques dommageables liées au vol d’identité, à la fraude et à l’espionnage industriel, pour ne citer que quelques exemples de vulnérabilités de sécurité.

4. Entités externes XML (XXE) : Dans les applications Web qui analysent des entrées XML, un analyseur XML mal configuré peut être piégé et envoyer des données sensibles à une entité externe non autorisée, par exemple une unité de stockage comme un disque dur. Les pirates utilisent les attaques XXE pour consulter des informations critiques, divulguer des fichiers et partages de fichiers internes, analyser des ports internes, exécuter du code à distance et lancer des attaques par déni de service (DoS).

5. Défaillance du contrôle d’accès : Une défaillance du contrôle d’accès peut permettre aux visiteurs d’un site Web d’accéder à des panneaux d’administration, des serveurs, des bases de données et d’autres applications essentielles à l’activité. Cette menace de l’OWASP Top 10 peut servir à rediriger les navigateurs vers d’autres URL ciblées.

6. Erreurs de configuration de sécurité : Selon Gartner, jusqu’à 95 % des violations de sécurité dans le cloud sont dues à des erreurs humaines. Les erreurs de configuration des paramètres de sécurité sont l’une des principales causes de ce chiffre. Parmi les risques de l’OWASP Top 10, cette vulnérabilité est la plus courante.

7. Cross-site scripting (XSS) : Le cross-site scripting est également une vulnérabilité très répandue, qui touche plus de la moitié des applications Web. Elle survient lorsque des scripts JavaScript ou HTML malveillants côté client sont injectés dans une page Web, puis utilisent l’application Web comme vecteur d’attaque pour détourner des sessions utilisateur, défigurer des sites Web ou rediriger la victime vers des sites contrôlés par l’attaquant.

8. Désérialisation non sécurisée : La désérialisation non sécurisée offre aux pirates un vecteur d’attaque généralement utilisé pour l’exécution de code à distance, mais qui peut également servir à mener des attaques par injection, des attaques par rejeu et des attaques reposant sur l’élévation de privilèges.

9. Utilisation de composants présentant des vulnérabilités connues : Les applications Web modernes et distribuées intègrent des composants open source, notamment des bibliothèques et des frameworks. Tout composant présentant une vulnérabilité connue devient un maillon faible susceptible de compromettre la sécurité de l’ensemble de l’application.

10. Journalisation et surveillance insuffisantes : Le délai entre une attaque et sa détection peut atteindre 200 jours, voire davantage. Cette période laisse aux cybercriminels tout le temps nécessaire pour altérer des serveurs, corrompre des bases de données, voler des informations confidentielles et implanter du code malveillant, si la journalisation et la surveillance sont insuffisantes.

Outils de sécurité contre les vulnérabilités des applications

Même si l’objectif est toujours de produire du code sécurisé, certaines vulnérabilités finissent inévitablement par passer entre les mailles du filet. C’est là qu’interviennent des outils comme l’analyse statique de la sécurité des applications (SAST) et l’analyse dynamique de la sécurité des applications (DAST). Vous vous demandez peut-être quelles sont les différences entre le SAST et le DAST, ou comment combiner les deux. Ces deux solutions automatisent les tests pour repérer les points faibles de votre code source, que les acteurs malveillants ne manqueront pas de chercher à exploiter.

• Analyse statique de la sécurité des applications (SAST) : le SAST est une méthode de test structurel qui évalue un large éventail d’entrées statiques, notamment la documentation et le code source des applications. Les outils SAST analysent votre code source et ses dépendances. Pendant l’analyse, l’outil utilise des règles prédéfinies pour détecter les problèmes et les vulnérabilités, et en indique l’emplacement exact.

• Analyse dynamique de la sécurité des applications (DAST) : à l’inverse du SAST, le DAST est une méthode de test en boîte noire qui s’effectue pendant l’exécution de l’application. Ces outils partent du principe que les testeurs ne connaissent pas en détail le fonctionnement interne du système. Les outils DAST analysent le code en cours d’exécution pour détecter les problèmes liés aux requêtes, aux réponses, aux interfaces, aux scripts, aux injections, à l’authentification et aux sessions, à l’aide d’une technique appelée fuzzing.

La meilleure solution consiste à combiner le SAST et le DAST à d’autres approches de sécurité des applications, notamment :

• Analyse de la composition logicielle (SCA) : également appelée analyse de l’origine, cette méthode permet d’analyser tous les composants et bibliothèques open source. Ces outils peuvent détecter les licences logicielles, les dépendances obsolètes et les vulnérabilités connues, puis avertir l’utilisateur de la disponibilité de correctifs ou de mises à jour.

Découvrez-en plus sur le SAST et la SCA et sur la façon de les utiliser pour publier des logiciels sécurisés.

• Analyse interactive de la sécurité des applications (IAST) : ces outils combinent des approches statiques et dynamiques en testant les applications et les flux de données à l’aide de cas de test prédéfinis. Selon les résultats, l’outil peut recommander d’autres cas de test.

• Tests de sécurité des applications en tant que service (ASTaaS) : cette approche consiste à faire appel à une entreprise externe pour effectuer tous les tests de l’application. L’ASTaaS combine généralement des méthodes de sécurité statiques et dynamiques, notamment les tests d’intrusion et l’évaluation des API.

Éviter les vulnérabilités de sécurité des applications

Une stratégie DevSecOps efficace peut contribuer à réduire le risque de vulnérabilité des applications. Dans l’idéal, les développeurs devraient pouvoir intégrer la sécurité à leurs workflows de développement existants, sans friction, et bénéficier du soutien de l’équipe de sécurité. Le recours à des outils de sécurité automatisés peut alléger la charge des développeurs et empêcher les vulnérabilités du code de passer entre les mailles du filet.