Coders Conquer Security OWASP Top 10 API Series - Journalisation et surveillance insuffisantes

L'insuffisance de la journalisation et de la surveillance résulte principalement de l'échec d'un plan de cybersécurité concernant la journalisation de toutes les tentatives d'authentification échouées, des accès refusés et des erreurs de validation d'entrée. Elle peut se produire à d'autres endroits de l'environnement de production, mais elle est surtout associée à l'incapacité d'arrêter les tentatives de connexion non valides.

Il s'agit d'une vulnérabilité dangereuse car elle signifie que les équipes de cybersécurité ne répondront pas aux attaques parce qu'elles n'en ont pas connaissance. Cela donne un avantage considérable aux attaquants, qui peuvent ainsi passer inaperçus pendant qu'ils tentent de pénétrer plus avant dans un système ou d'améliorer leurs informations d'identification. En fait, sans une journalisation et une surveillance appropriées, il devient très difficile, voire impossible, de détecter et d'arrêter les attaques avant qu'elles ne fassent des dégâts importants.

Vous êtes prêt à tester vos compétences en relevant un défi dès maintenant ? Jetez un coup d'œil à ce qui suit :

Comment les attaquants exploitent-ils les lacunes en matière de journalisation et de surveillance ?

Toute API est vulnérable à une journalisation et une surveillance insuffisantes si le niveau de journalisation n'est pas défini correctement, s'il est trop bas, si les messages d'erreur ne sont pas suffisamment détaillés ou si aucune fonction de journalisation n'est présente.

Un exemple intéressant serait celui d'un pirate qui obtiendrait une liste importante de noms d'utilisateurs compromis pour un site web ou un service. En expérimentant, il pourrait découvrir qu'il faut trois tentatives de connexion infructueuses avant que le système ne soit verrouillé et que le personnel chargé de la cybersécurité ne soit averti.

Armés de ces informations, au lieu d'essayer de forcer des comptes individuels, ils pourraient écrire un script pour essayer de se connecter sous chaque nom de leur liste compromise en utilisant des mots de passe communs comme "123456" ou "password". L'astuce consiste à n'essayer chaque nom d'utilisateur qu'une fois, voire deux, afin de rester en dessous du seuil de verrouillage et d'alerte. S'ils ont de la chance, ils compromettront au moins quelques mots de passe dès le départ. Ensuite, ils attendent simplement un jour que le compteur de connexions se réinitialise et recommencent le processus en utilisant des mots de passe différents comme "qwerty" ou "god". Si les administrateurs ne détectent jamais ce qu'ils font, les attaquants peuvent parcourir la liste plusieurs fois et finir par compromettre la plupart des comptes dont les mots de passe sont faibles.

C'est ce qui s'est passé dans l'exemple fourni par l'OWASP, où une plateforme de partage de vidéos a été attaquée au moyen d'un bourrage d'informations d'identification qui a exploité une vulnérabilité insuffisante en matière de journalisation et de surveillance. Jusqu'à ce que l'entreprise commence à recevoir des plaintes d'utilisateurs, elle n'avait aucune idée de l'existence de cette attaque. Elle a fini par trouver des preuves dans les journaux de l'API et a dû envoyer une notification de changement forcé de mot de passe à tous ses utilisateurs, ainsi que signaler l'attaque aux autorités réglementaires.  

Élimination de la vulnérabilité liée à l'insuffisance de la journalisation et de la surveillance

L'automatisation et la surveillance constante peuvent contribuer à mettre fin à cette vulnérabilité. Pour commencer, toutes les tentatives d'authentification qui échouent doivent être enregistrées. Ce journal doit être mis dans un format lisible par une machine, comme STIX et TAXII, afin qu'il puisse être intégré dans un système de gestion des informations et des événements de sécurité (SIEM) formé à la recherche d'attaques, quels que soient les seuils utilisés.

Vous devez également protéger vos fichiers journaux. Considérez-les comme des informations sensibles et protégez-les contre la suppression ou la modification par des pirates. Une bonne politique consiste à sauvegarder les fichiers journaux et à les crypter.

Enfin, créez des tableaux de bord et des alertes personnalisés afin de détecter toute activité suspecte et d'y répondre le plus rapidement possible. Si vous éliminez le temps qu'un attaquant passe avec le système, vous supprimez sa capacité à utiliser des techniques d'attaque lentes et faibles pour ne pas être détecté.

Consultez les pages du Secure Code Warrior pour en savoir plus sur cette vulnérabilité et sur la manière de protéger votre organisation et vos clients des ravages causés par d'autres failles de sécurité. Vous pouvez également essayer une démo de la plateforme de formation Secure Code Warrior pour maintenir vos compétences en cybersécurité à jour.