Bénéficiez de toutes les fonctionnalités d’un CDN moderne : une scalabilité transparente, une sécurité intégrée, un contrôle par programmation et une visibilité totale.
Qu’est-ce qu’une vulnérabilité d’application ?
Une vulnérabilité d’application désigne une faiblesse ou une faille dans la conception ou le code d’une application. Cette faille peut être exploitée par des hackers afin d’accéder à l’application ou de compromettre sa sécurité.
Comment les vulnérabilités des application se produisent-elles ?
Les vulnérabilités des applications surviennent pour diverses raisons. Les causes les plus courantes d’une vulnérabilité d’application sont :
Logiciel non corrigé : Souvent, les organisations ne corrigent pas les vulnérabilités connues des logiciels ou du matériel. Parfois, des contraintes de ressources font que les organisations mettent trop de temps à corriger les vulnérabilités, ou ne les priorisent pas du tout. Les organisations qui achètent des logiciels ou du matériel auprès d’un fournisseur tiers mettent là encore trop de temps, ou n’appliquent pas les correctifs (corrections connues) publiés par le fournisseur. Le fait de ne pas corriger les vulnérabilités en temps voulu laisse un point d’accès facile aux applications et aux systèmes, ce qui signifie que des acteurs malveillants peuvent obtenir un accès non autorisé, voler des données, ou compromettre les opérations.
Mauvaises pratiques de sécurité : Des pratiques, des outils, et des ressources de sécurité inadéquats sont une cause fréquente des vulnérabilités des applications. Du point de vue des ressources, les organisations qui disposent de trop peu d’experts en sécurité, ou de personnel non formé incapable d’identifier et d’atténuer efficacement les vulnérabilités, présentent le risque de vulnérabilités non identifiées ou non corrigées. De mauvais outils ou de mauvaises pratiques de test de sécurité des applications (AppSec) peuvent également laisser une faille dans le programme de sécurité d’une organisation. Même les entreprises qui disposent de ressources et d’outils ont toujours besoin d’un programme de sécurité robuste (un plan, des politiques, des responsabilités et une stratégie), afin de minimiser efficacement les vulnérabilités de sécurité et les risques.
Erreurs de codage. Souvent, des erreurs involontaires sont commises au cours du cycle de vie de développement du logiciel (cycle de vie de développement du logiciel). Les développeurs peuvent faire des erreurs ou créer un logiciel de telle sorte qu’il soit vulnérable à un exploiter. L’utilisation de code tiers ou de code open source sans tests adéquats peut également introduire des vulnérabilités dans l’application. Les organisations qui n’adoptent pas les outils et les pratiques d’AppSec tout au long du cycle de vie de développement du logiciel risquent de laisser passer des logiciels non sécurisés. Les outils AppSec qui analysent le code pendant qu’il est écrit + un état d’esprit où la sécurité fait partie de la culture peuvent aider à minimiser ce risque.
Top 10 des exemples de vulnérabilités des applications
Il existe de nombreux types différents de vulnérabilités des applications. Pour aider les équipe de sécurité à hiérarchiser celles qui sont les plus répandues et les plus préoccupantes lorsqu’elles ne sont pas traitées de manière adéquate, l’Open Web Application Security Project (OWASP), alias L’Open Web Application Security Project (OWASP), une organisation à but non lucratif ayant pour objectif d’améliorer la sécurité des logiciels, a été créé. L’Open Web Application Security Project (OWASP) a créé une liste, appelée Top 10 de l’OWASP, pour décrire les 10 principales vulnérabilités que les organisations devraient prendre en compte, et la manière de les atténuer.
Parmi ceux figurant dans le Top 10 de l’OWASP, on trouve :
Contrôle d’accès défaillant: le contrôle d’accès applique une politique telle que les utilisateurs ne peuvent pas agir en dehors des autorisations qui leur sont accordées. Les défaillances entraînent généralement la divulgation non autorisée d’informations, la modification, ou la destruction de toutes les données, ou l’exécution d’une fonction commerciale en dehors des limites de l’utilisateur.
Défaillances cryptographiques: lorsque le processus de chiffrement, destiné à protéger les données, n’est soit pas utilisé du tout, soit mis en œuvre de manière incorrecte, ou repose sur des algorithmes ou des configurations faibles, entraînant l’exposition ou la compromission d’informations sensibles.
Injection: lorsque des données malveillantes sont insérées dans une application pour en altérer le comportement ou obtenir un accès non autorisé.
Conception non sécurisée; risques liés aux défauts de conception et d’architecture. Nécessite l’utilisation de la modélisation des menaces, de modèles de conception sécurisés, et d’architectures de référence pour y remédier.
Mauvaise configuration de sécurité: tout paramétrage incorrect ou sous-optimal sur un système ou une application pouvant entraîner des vulnérabilités.
Composants vulnérables et obsolètes : Vulnérabilités dans les composants existants et obsolètes de vos systèmes. Lorsque vous ne connaissez pas les versions de tous les composants que vous utilisez (côté client comme côté serveur) - cela inclut les composants que vous utilisez directement, ainsi que les dépendances imbriquées - vous vous exposez à des risques. Si le logiciel est vulnérable, n’est plus pris en charge, ou obsolète, il doit être identifié et corrigé.
Défaillances d’identification et d’authentification: vulnérabilités dans la sécurité d’une application liées à la manière dont elle identifie et vérifie les utilisateurs. Ces défaillances peuvent entraîner des accès non autorisés, des failles de données, et plus encore.
Défaillances de l’intégrité des logiciels et des données: ces défaillances se produisent lorsque des organisations font des suppositions concernant les mises à jour logicielles, les données critiques, et les pipelines CI/CD sans vérifier l’intégrité des données.
Échecs du Log et de la surveillance de la sécurité: lorsque les systèmes ne consignent pas et ne surveillent pas adéquatement les événements liés à la sécurité, ils ne fournissent pas suffisamment de données pour identifier les menaces et y répondre.
Falsification de requête côté serveur (SSRF) : des failles SSRF se produisent chaque fois qu’une application web récupère une ressource distante sans valider l’URL fournie par l’utilisateur. Cela permet à un hacker de forcer l’application à envoyer une requête forgée vers une destination inattendue, même lorsqu’elle est protégée par un pare-feu, un VPN, ou un autre type de Liste de contrôle d’accès réseau (ACL).
Quel est l’impact des vulnérabilités des applications
Lorsque des acteurs malveillants exploitent avec succès des vulnérabilités d’application, les conséquences peuvent être dévastatrices ; des pertes financières aux atteintes à la réputation, en passant par les conséquences juridiques, il est essentiel de disposer d’un programme de sécurité robuste.
Les conséquences critiques du fait de laisser des vulnérabilités d’application sans correctif incluent :
Déni de service : Des acteurs malveillants peuvent être en mesure de « mettre à l’arrêt » ou de perturber le fonctionnement d’une application, entraînant un déni de service pour les utilisateur (l’application devient indisponible pour les utilisateur).
Failles de données: l’exploitation réussie d’une vulnérabilité d’application peut entraîner une faille de données, où des acteurs malveillants accèdent à des informations sensibles et les volent ou les compromettent.
Défaillances du système : Les hackers peuvent souvent faire planter les systèmes, les rendant inopérants, et impactant ainsi les Opérations de l’entreprise.
Logiciel malveillant : Lorsque des hackers accèdent à un système ou à une application, ils peuvent injecter un logiciel malveillant dans le système. Cela peut avoir une cascade d’impacts négatifs sur l’application et l’entreprise dans son ensemble.
Quelles sont les bonnes pratiques pour prévenir les vulnérabilités des applications ?
Il n’existe pas de solution rapide pour prévenir et corriger les vulnérabilités des applications au sein de votre organisation. La meilleure approche consiste à mettre en œuvre ce qui suit ;
Une suite complète de solutions de test et d’outils AppSec pour traiter différents types de vulnérabilités, et une approche de la sécurité à plusieurs couches. Les considérations Basic en matière d’outils de sécurité devraient inclure :
SAST (tests statiques de sécurité des applications) : Analyse le code source d’une application afin d’identifier les vulnérabilités et les problèmes de conformité pendant le développement.
DAST (tests dynamiques de sécurité des applications) : Simule des attaques sur une application en cours d’exécution afin d’identifier les vulnérabilités. Il identifie les problèmes de durée d’exécution (ceux qui surviennent lorsque le système est en cours d’exécution).
IAST (Interactive Application Security Testing) : Combine les techniques SAST et DAST pour analyser la sécurité d’une application en temps réel.
RASP (Runtime Application Self-Protection) : Surveille et protège les applications contre les attaques pendant la durée d’exécution.
SCA (analyse de la composition logicielle) : Analyse les dépendances d’une application afin de détecter les vulnérabilités dans les bibliothèques tierces. Cela vous permet de savoir si l’application contient du code non sécurisé provenant d’un fournisseur ou d’un dépôt open source, ainsi que d’éventuels problèmes de licence.
CNAPP (plateformes de protection des applications cloud-native) : Fournit une sécurité pour les applications exécutées dans des environnements cloud.
WAST (tests de sécurité des applications web) : Se concentre spécifiquement sur la sécurité des applications web.
Tests de sécurité des applications mobiles (MAST) : se concentre sur la sécurité des applications mobiles.
Analyse de la sécurité des bases de données : Identifie les vulnérabilités et les erreurs de configuration dans les systèmes de base de données.
Application web pare-feu (WAF) : Protégez les applications web contre le trafic malveillant.
CSPM (Cloud Security Posture Management) : Aide les organisations à évaluer et à améliorer leur posture de sécurité cloud.
Un état d’esprit axé sur une culture de la sécurité : chacun doit assumer la responsabilité de la sécurité. Des développeurs qui veillent à ne pas livrer de code non sécurisé, aux équipes Dev et de sécurité qui prennent toutes les mesures de sécurité nécessaires.
Adoptez une stratégie DevSecOps: en substance, DevSecOps consiste à intégrer les tests et les activités de sécurité tout au long du cycle de développement, à tester tôt et souvent, ou à « déplacer la sécurité vers la gauche » afin qu’elle soit prise en compte du début à la fin lors du développement de logiciel. Les outils doivent également être automatisés et sans friction, s’intégrer aux flux de travail existants, et ne pas nécessiter beaucoup de réglages ou de gestion manuels.
Itération constante et améliorations : les organisations devraient s’efforcer d’obtenir des évaluations des vulnérabilités, ou des évaluations globales du programme de sécurité, afin de déterminer les domaines à améliorer.
Comment Fastly peut aider
Il n’existe pas de solution miracle unique pour protéger votre application web contre les menaces du Top 10 de l’OWASP. Vous devrez vous assurer que la sécurité est prise en compte dans le code, dans la configuration de l’infrastructure, et dans les composants tiers que vous utilisez.
Cela dit, un pare-feu d'application web peut grandement simplifier la sécurisation de votre application web. La définition d’un WAF par Open Web Application Security Project (OWASP)
met en évidence les cas d’utilisation courants de l’atténuation d’attaques comme les XSS et les injections SQL.
Alors, comment exactement un WAF peut-il vous aider dans ces cas ? Les WAF correctement configurés peuvent détecter et bloquer des requêtes potentiellement malveillantes. En utilisant une combinaison de détections par défaut, ainsi que de fonctionnalité personnalisables dans des solutions comme
Le Next-Gen WAF de Fastly, et l’exploitation des capacités de notre plateforme Edge Cloud, vous permettent d’obtenir une solide couverture du Top 10 de l’OWASP.
Pour obtenir des conseils plus détaillés et des exemples concrets de résolution des menaces Open Web Application Security Project (OWASP) avec Fastly, vous pouvez consulter notre livre blanc.