Triage des vulnérabilités : comme il se doit

Nous savons tous que le déplacement de la sécurité vers la gauche est la bonne approche pour sécuriser nos applications. Nous savons aussi que cela ne suffit pas : les développeurs doivent également être en mesure de prendre en charge la sécurité. Ils ont besoin d’outils qui s’intègrent à leurs méthodes de travail et de conseils et d’un soutien de la part de l’équipe de sécurité. C’est particulièrement vrai pour les vulnérabilités les plus difficiles à traiter : celles qui ne sont pas faciles à corriger, mais trop importantes pour être ignorées.

Le secteur regorge d’outils qui favorisent le déplacement de la sécurité vers la gauche et offrent aux développeurs une meilleure visibilité sur les vulnérabilités qu’ils introduisent (ou pourraient introduire) dans leur code. Pour la plupart, ces outils présentent la priorisation comme la solution idéale, capable de résoudre le problème des retards de traitement des vulnérabilités qui s’accumulent sans fin et submergent les équipes de développement.

Si elle suffit à certaines organisations, une approche axée sur la priorisation a ses limites. Elle ne permet pas de traiter ces vulnérabilités importantes, mais difficiles à corriger. Ce sont précisément ces vulnérabilités qui mettent à l’épreuve le modèle du déplacement de la sécurité vers la gauche. Les équipes les plus chanceuses peuvent compter sur un développeur expérimenté pour sauver la situation, mais, dans la plupart des cas, l’équipe AppSec est appelée à la rescousse. À ce stade, la vulnérabilité est déjà en production.

Il faut une approche différente, qui ne laisse pas les développeurs seuls à cette étape cruciale, qui sache quelles questions poser et où chercher les réponses, et qui soit capable de comprendre pleinement le contexte de l’application et d’évaluer le risque posé par la vulnérabilité. Dans cette session, nous examinerons ce défi particulier et repérerons les lacunes des programmes AppSec qui l’aggravent. Nous présenterons notre approche pour effectuer le triage à grande échelle et proposerons des solutions concrètes. Nous examinerons également une vulnérabilité courante et effectuerons son triage ensemble.