Blog

Pourquoi les injections SQL sont les cafards du monde de l'AppSec (et comment les RSSI peuvent les éradiquer une fois pour toutes)

Matias Madou, Ph.D.
Publié le 26 septembre 2018

Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire. Bien que cette théorie ne soit vraie que jusqu'à un certain point, leur simple composition corporelle les rend extrêmement résistantes pour leur taille et difficiles à éradiquer dans la plupart des conditions.

J'ai réfléchi... si les cafards avaient un équivalent dans le monde numérique, il s'agirait des vulnérabilités de code par injection SQL (SQLi). Il s'agit d'une vulnérabilité connue depuis plus de vingt ans, et pourtant les organisations en sont victimes à maintes reprises. L'attaque généralisée et coûteuse contre Target était le résultat d'une injection SQL, de même qu'un piratage électoral dans l'Illinois au cours duquel 200 000 dossiers d'électeurs ont été exposés, ce qui a incité le FBI à recommander à tous les administrateurs informatiques de travailler rapidement au renforcement de leurs pratiques en matière de sécurité.

Le rapport Hacker Intelligence Initiative d'Imperva a révélé qu'entre 2005 et 2011, les attaques SQLi ont été utilisées dans 83 % de toutes les violations de données signalées. Aujourd'hui, les vulnérabilités par injection restent la première menace du Top 10 de l'OWASP. Elles sont relativement simples, mais elles ne veulent pas mourir.

Il semble ridicule que cette même vulnérabilité apparaisse encore dans un nombre important d'analyses de sécurité d'applications. Nous savons comment elle fonctionne et nous savons comment l'arrêter. Comment cela est-il possible ? La vérité, c'est que la sécurité de nos logiciels peut encore être largement améliorée.

Le rapport State of Software Security Report de Veracode - basé sur 400 000 scans d'applications en 2017 " a révélé une statistique alarmante : seulement 30 % des applications ont passé la politique Top 10 de l'OWASP. Il s'agit d'un thème constant au cours des cinq dernières années, les injections SQL apparaissant dans près d'une application nouvellement analysée sur trois. C'est la preuve d'un problème endémique ; nous n'apprenons pas de nos erreurs, et les RSSI semblent être confrontés à une bataille difficile pour se procurer suffisamment de talents en matière de sécurité. En règle générale, le rapport entre les spécialistes de la sécurité applicative et les développeurs est insuffisant (1:100).

Pourquoi la sécurité des logiciels est-elle sous assistance respiratoire ?

Ce n'est un secret pour personne que les spécialistes de la sécurité sont rares, mais nous devons également prêter attention au fait que les développeurs ne corrigent pas les problèmes au fur et à mesure qu'ils surviennent, et qu'ils sont manifestement mal équipés pour ne pas introduire de vulnérabilités en premier lieu. Le même rapport de Veracode révèle qu'il n'existe des mesures d'atténuation documentées que pour 14,4 % de toutes les vulnérabilités liées au développement. En d'autres termes, la plupart des vulnérabilités ont été soumises sans mesures d'atténuation. Moins d'un tiers des vulnérabilités ont été résolues dans les 90 premiers jours, et 42 % des vulnérabilités n'ont jamais été résolues au cours de la période de développement.

Je m'entretiens en permanence avec des professionnels de la sécurité, des RSSI et des PDG et, de manière anecdotique, je me suis rendu compte que de nombreuses entreprises sont tellement frustrées par le nombre de vulnérabilités trouvées qui ne peuvent pas être atténuées (en plus du fléau connu sous le nom de faux positifs), qu'elles cessent complètement de les rechercher, croisent les doigts et espèrent que tout ira pour le mieux.

Pourquoi les professionnels de l'AppSec laissent-ils faire ?

Ne vous y trompez pas : Les personnes chargées de l'AppSec sont douloureusement conscientes des problèmes dans le code. Après tout, c'est l'une de leurs principales compétences qui fait d'eux une ressource si précieuse pour l'équipe. Cependant, ils sont souvent paralysés par plusieurs facteurs.

Par exemple, un responsable AppSec trouvera un problème et demandera au développeur : "Pouvez-vous corriger le code ?". La réponse à cette question importante diffère d'une organisation à l'autre, mais en général, le développeur est tellement sollicité pour respecter des sprints stricts de livraison de fonctionnalités qu'il n'a tout simplement pas le temps de résoudre ces problèmes, ni d'outils décents pour l'aider. Les professionnels de l'AppSec eux-mêmes peuvent être en mesure d'identifier les vulnérabilités, mais ils n'ont souvent pas les compétences et/ou l'accès nécessaires pour y remédier sur-le-champ.

Nous devons également nous rendre compte que pour chaque problème, il faut trouver une solution, la mettre en œuvre et la tester. Pour le moindre problème découvert dans le code, le temps nécessaire à la correction, sans parler des ressources requises, est immense. Il existe plus de 700 vulnérabilités qui peuvent être introduites dans les logiciels, et il est tout simplement impossible pour une seule personne d'être en mesure de se défendre contre toutes ces vulnérabilités. C'est pour cette raison que la plupart des entreprises se contentent de suivre le Top 10 de l'OWASP. Pendant ce temps, les développeurs continuent à créer des fonctionnalités et, à leur tour, à introduire des vulnérabilités dans le code qu'ils écrivent.

Quelle est la solution ?

Le fait est que nous ne donnons pas à nos développeurs les outils et la formation nécessaires pour qu'ils réussissent à coder en toute sécurité. Aucune réglementation n'oblige les organisations à s'assurer que les développeurs possèdent des compétences adéquates en matière de sécurité, et il est triste de constater que la plupart des universités et des stages ne préparent pas non plus les jeunes développeurs à coder de manière sécurisée.

Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.  

Nous devons prendre le temps de former les développeurs à l'écriture de codes sécurisés. Cependant, dans le monde d'aujourd'hui, où le développement de logiciels se fait à un rythme rapide et où les bons développeurs et les professionnels de la sécurité sont rares, cela ne semble jamais être une priorité. Il est temps de changer la donne.

Le Forum économique mondial a récemment titré : "Il ne peut y avoir d'économie numérique sans sécurité" : "Il ne peut y avoir d'économie numérique sans sécurité", et le contenu qui l'accompagne fait valoir la nécessité d'intégrer la sécurité au cœur de toute stratégie de transformation numérique. "La sécurité est ce qui protège les entreprises, leur permettant d'innover et de créer de nouveaux produits et services. Au-delà d'un rôle défensif, la sécurité offre aux entreprises un avantage stratégique en termes de croissance".

L'amélioration des compétences et des résultats en matière de codage sécurisé ajoutera une puissante couche de cyberprotection pour les organisations, en les aidant à créer un code meilleur et plus rapide. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent être responsabilisés de manière positive et pratique pour être la première ligne de défense contre les cyberattaques. Les développeurs peuvent être les prochains héros de la sécurité et de l'innovation. Ce sont des personnes très intelligentes, qui savent résoudre les problèmes de manière créative et qui sont généralement désireuses d'améliorer leurs compétences. Misez sur leurs atouts en leur offrant la formation spécialisée qu'ils méritent et engagez-vous à appliquer des normes plus strictes en matière de sécurité des logiciels. Lisez notre livre blanc pour en savoir plus.

Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Voir la ressource
Voir la ressource

Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire.

Vous souhaitez en savoir plus ?

Matias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.

Réservez une démonstration
Partager sur :
Auteur
Matias Madou, Ph.D.
Publié le 26 septembre 2018

Matias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.

Matias est un chercheur et un développeur qui possède plus de 15 ans d'expérience pratique dans le domaine de la sécurité des logiciels. Il a développé des solutions pour des entreprises telles que Fortify Software et sa propre entreprise Sensei Security. Au cours de sa carrière, Matias a dirigé de nombreux projets de recherche sur la sécurité des applications qui ont débouché sur des produits commerciaux et peut se targuer d'avoir déposé plus de 10 brevets. Lorsqu'il n'est pas à son bureau, Matias a été instructeur pour des formations avancées en matière de sécurité des applications ( courses ) et intervient régulièrement lors de conférences mondiales telles que RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec et BruCon.

Matias est titulaire d'un doctorat en ingénierie informatique de l'Université de Gand, où il a étudié la sécurité des applications par le biais de l'obscurcissement des programmes afin de dissimuler le fonctionnement interne d'une application.

Partager sur :

Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire. Bien que cette théorie ne soit vraie que jusqu'à un certain point, leur simple composition corporelle les rend extrêmement résistantes pour leur taille et difficiles à éradiquer dans la plupart des conditions.

J'ai réfléchi... si les cafards avaient un équivalent dans le monde numérique, il s'agirait des vulnérabilités de code par injection SQL (SQLi). Il s'agit d'une vulnérabilité connue depuis plus de vingt ans, et pourtant les organisations en sont victimes à maintes reprises. L'attaque généralisée et coûteuse contre Target était le résultat d'une injection SQL, de même qu'un piratage électoral dans l'Illinois au cours duquel 200 000 dossiers d'électeurs ont été exposés, ce qui a incité le FBI à recommander à tous les administrateurs informatiques de travailler rapidement au renforcement de leurs pratiques en matière de sécurité.

Le rapport Hacker Intelligence Initiative d'Imperva a révélé qu'entre 2005 et 2011, les attaques SQLi ont été utilisées dans 83 % de toutes les violations de données signalées. Aujourd'hui, les vulnérabilités par injection restent la première menace du Top 10 de l'OWASP. Elles sont relativement simples, mais elles ne veulent pas mourir.

Il semble ridicule que cette même vulnérabilité apparaisse encore dans un nombre important d'analyses de sécurité d'applications. Nous savons comment elle fonctionne et nous savons comment l'arrêter. Comment cela est-il possible ? La vérité, c'est que la sécurité de nos logiciels peut encore être largement améliorée.

Le rapport State of Software Security Report de Veracode - basé sur 400 000 scans d'applications en 2017 " a révélé une statistique alarmante : seulement 30 % des applications ont passé la politique Top 10 de l'OWASP. Il s'agit d'un thème constant au cours des cinq dernières années, les injections SQL apparaissant dans près d'une application nouvellement analysée sur trois. C'est la preuve d'un problème endémique ; nous n'apprenons pas de nos erreurs, et les RSSI semblent être confrontés à une bataille difficile pour se procurer suffisamment de talents en matière de sécurité. En règle générale, le rapport entre les spécialistes de la sécurité applicative et les développeurs est insuffisant (1:100).

Pourquoi la sécurité des logiciels est-elle sous assistance respiratoire ?

Ce n'est un secret pour personne que les spécialistes de la sécurité sont rares, mais nous devons également prêter attention au fait que les développeurs ne corrigent pas les problèmes au fur et à mesure qu'ils surviennent, et qu'ils sont manifestement mal équipés pour ne pas introduire de vulnérabilités en premier lieu. Le même rapport de Veracode révèle qu'il n'existe des mesures d'atténuation documentées que pour 14,4 % de toutes les vulnérabilités liées au développement. En d'autres termes, la plupart des vulnérabilités ont été soumises sans mesures d'atténuation. Moins d'un tiers des vulnérabilités ont été résolues dans les 90 premiers jours, et 42 % des vulnérabilités n'ont jamais été résolues au cours de la période de développement.

Je m'entretiens en permanence avec des professionnels de la sécurité, des RSSI et des PDG et, de manière anecdotique, je me suis rendu compte que de nombreuses entreprises sont tellement frustrées par le nombre de vulnérabilités trouvées qui ne peuvent pas être atténuées (en plus du fléau connu sous le nom de faux positifs), qu'elles cessent complètement de les rechercher, croisent les doigts et espèrent que tout ira pour le mieux.

Pourquoi les professionnels de l'AppSec laissent-ils faire ?

Ne vous y trompez pas : Les personnes chargées de l'AppSec sont douloureusement conscientes des problèmes dans le code. Après tout, c'est l'une de leurs principales compétences qui fait d'eux une ressource si précieuse pour l'équipe. Cependant, ils sont souvent paralysés par plusieurs facteurs.

Par exemple, un responsable AppSec trouvera un problème et demandera au développeur : "Pouvez-vous corriger le code ?". La réponse à cette question importante diffère d'une organisation à l'autre, mais en général, le développeur est tellement sollicité pour respecter des sprints stricts de livraison de fonctionnalités qu'il n'a tout simplement pas le temps de résoudre ces problèmes, ni d'outils décents pour l'aider. Les professionnels de l'AppSec eux-mêmes peuvent être en mesure d'identifier les vulnérabilités, mais ils n'ont souvent pas les compétences et/ou l'accès nécessaires pour y remédier sur-le-champ.

Nous devons également nous rendre compte que pour chaque problème, il faut trouver une solution, la mettre en œuvre et la tester. Pour le moindre problème découvert dans le code, le temps nécessaire à la correction, sans parler des ressources requises, est immense. Il existe plus de 700 vulnérabilités qui peuvent être introduites dans les logiciels, et il est tout simplement impossible pour une seule personne d'être en mesure de se défendre contre toutes ces vulnérabilités. C'est pour cette raison que la plupart des entreprises se contentent de suivre le Top 10 de l'OWASP. Pendant ce temps, les développeurs continuent à créer des fonctionnalités et, à leur tour, à introduire des vulnérabilités dans le code qu'ils écrivent.

Quelle est la solution ?

Le fait est que nous ne donnons pas à nos développeurs les outils et la formation nécessaires pour qu'ils réussissent à coder en toute sécurité. Aucune réglementation n'oblige les organisations à s'assurer que les développeurs possèdent des compétences adéquates en matière de sécurité, et il est triste de constater que la plupart des universités et des stages ne préparent pas non plus les jeunes développeurs à coder de manière sécurisée.

Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.  

Nous devons prendre le temps de former les développeurs à l'écriture de codes sécurisés. Cependant, dans le monde d'aujourd'hui, où le développement de logiciels se fait à un rythme rapide et où les bons développeurs et les professionnels de la sécurité sont rares, cela ne semble jamais être une priorité. Il est temps de changer la donne.

Le Forum économique mondial a récemment titré : "Il ne peut y avoir d'économie numérique sans sécurité" : "Il ne peut y avoir d'économie numérique sans sécurité", et le contenu qui l'accompagne fait valoir la nécessité d'intégrer la sécurité au cœur de toute stratégie de transformation numérique. "La sécurité est ce qui protège les entreprises, leur permettant d'innover et de créer de nouveaux produits et services. Au-delà d'un rôle défensif, la sécurité offre aux entreprises un avantage stratégique en termes de croissance".

L'amélioration des compétences et des résultats en matière de codage sécurisé ajoutera une puissante couche de cyberprotection pour les organisations, en les aidant à créer un code meilleur et plus rapide. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent être responsabilisés de manière positive et pratique pour être la première ligne de défense contre les cyberattaques. Les développeurs peuvent être les prochains héros de la sécurité et de l'innovation. Ce sont des personnes très intelligentes, qui savent résoudre les problèmes de manière créative et qui sont généralement désireuses d'améliorer leurs compétences. Misez sur leurs atouts en leur offrant la formation spécialisée qu'ils méritent et engagez-vous à appliquer des normes plus strictes en matière de sécurité des logiciels. Lisez notre livre blanc pour en savoir plus.

Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Voir la ressource
Voir la ressource

Remplissez le formulaire ci-dessous pour télécharger le rapport

Nous aimerions que vous nous autorisiez à vous envoyer des informations sur nos produits et/ou sur des sujets liés au codage sécurisé. Nous traiterons toujours vos données personnelles avec le plus grand soin et ne les vendrons jamais à d'autres entreprises à des fins de marketing.

Soumettre
Pour soumettre le formulaire, veuillez activer les cookies "Analytics". N'hésitez pas à les désactiver à nouveau une fois que vous aurez terminé.

Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire. Bien que cette théorie ne soit vraie que jusqu'à un certain point, leur simple composition corporelle les rend extrêmement résistantes pour leur taille et difficiles à éradiquer dans la plupart des conditions.

J'ai réfléchi... si les cafards avaient un équivalent dans le monde numérique, il s'agirait des vulnérabilités de code par injection SQL (SQLi). Il s'agit d'une vulnérabilité connue depuis plus de vingt ans, et pourtant les organisations en sont victimes à maintes reprises. L'attaque généralisée et coûteuse contre Target était le résultat d'une injection SQL, de même qu'un piratage électoral dans l'Illinois au cours duquel 200 000 dossiers d'électeurs ont été exposés, ce qui a incité le FBI à recommander à tous les administrateurs informatiques de travailler rapidement au renforcement de leurs pratiques en matière de sécurité.

Le rapport Hacker Intelligence Initiative d'Imperva a révélé qu'entre 2005 et 2011, les attaques SQLi ont été utilisées dans 83 % de toutes les violations de données signalées. Aujourd'hui, les vulnérabilités par injection restent la première menace du Top 10 de l'OWASP. Elles sont relativement simples, mais elles ne veulent pas mourir.

Il semble ridicule que cette même vulnérabilité apparaisse encore dans un nombre important d'analyses de sécurité d'applications. Nous savons comment elle fonctionne et nous savons comment l'arrêter. Comment cela est-il possible ? La vérité, c'est que la sécurité de nos logiciels peut encore être largement améliorée.

Le rapport State of Software Security Report de Veracode - basé sur 400 000 scans d'applications en 2017 " a révélé une statistique alarmante : seulement 30 % des applications ont passé la politique Top 10 de l'OWASP. Il s'agit d'un thème constant au cours des cinq dernières années, les injections SQL apparaissant dans près d'une application nouvellement analysée sur trois. C'est la preuve d'un problème endémique ; nous n'apprenons pas de nos erreurs, et les RSSI semblent être confrontés à une bataille difficile pour se procurer suffisamment de talents en matière de sécurité. En règle générale, le rapport entre les spécialistes de la sécurité applicative et les développeurs est insuffisant (1:100).

Pourquoi la sécurité des logiciels est-elle sous assistance respiratoire ?

Ce n'est un secret pour personne que les spécialistes de la sécurité sont rares, mais nous devons également prêter attention au fait que les développeurs ne corrigent pas les problèmes au fur et à mesure qu'ils surviennent, et qu'ils sont manifestement mal équipés pour ne pas introduire de vulnérabilités en premier lieu. Le même rapport de Veracode révèle qu'il n'existe des mesures d'atténuation documentées que pour 14,4 % de toutes les vulnérabilités liées au développement. En d'autres termes, la plupart des vulnérabilités ont été soumises sans mesures d'atténuation. Moins d'un tiers des vulnérabilités ont été résolues dans les 90 premiers jours, et 42 % des vulnérabilités n'ont jamais été résolues au cours de la période de développement.

Je m'entretiens en permanence avec des professionnels de la sécurité, des RSSI et des PDG et, de manière anecdotique, je me suis rendu compte que de nombreuses entreprises sont tellement frustrées par le nombre de vulnérabilités trouvées qui ne peuvent pas être atténuées (en plus du fléau connu sous le nom de faux positifs), qu'elles cessent complètement de les rechercher, croisent les doigts et espèrent que tout ira pour le mieux.

Pourquoi les professionnels de l'AppSec laissent-ils faire ?

Ne vous y trompez pas : Les personnes chargées de l'AppSec sont douloureusement conscientes des problèmes dans le code. Après tout, c'est l'une de leurs principales compétences qui fait d'eux une ressource si précieuse pour l'équipe. Cependant, ils sont souvent paralysés par plusieurs facteurs.

Par exemple, un responsable AppSec trouvera un problème et demandera au développeur : "Pouvez-vous corriger le code ?". La réponse à cette question importante diffère d'une organisation à l'autre, mais en général, le développeur est tellement sollicité pour respecter des sprints stricts de livraison de fonctionnalités qu'il n'a tout simplement pas le temps de résoudre ces problèmes, ni d'outils décents pour l'aider. Les professionnels de l'AppSec eux-mêmes peuvent être en mesure d'identifier les vulnérabilités, mais ils n'ont souvent pas les compétences et/ou l'accès nécessaires pour y remédier sur-le-champ.

Nous devons également nous rendre compte que pour chaque problème, il faut trouver une solution, la mettre en œuvre et la tester. Pour le moindre problème découvert dans le code, le temps nécessaire à la correction, sans parler des ressources requises, est immense. Il existe plus de 700 vulnérabilités qui peuvent être introduites dans les logiciels, et il est tout simplement impossible pour une seule personne d'être en mesure de se défendre contre toutes ces vulnérabilités. C'est pour cette raison que la plupart des entreprises se contentent de suivre le Top 10 de l'OWASP. Pendant ce temps, les développeurs continuent à créer des fonctionnalités et, à leur tour, à introduire des vulnérabilités dans le code qu'ils écrivent.

Quelle est la solution ?

Le fait est que nous ne donnons pas à nos développeurs les outils et la formation nécessaires pour qu'ils réussissent à coder en toute sécurité. Aucune réglementation n'oblige les organisations à s'assurer que les développeurs possèdent des compétences adéquates en matière de sécurité, et il est triste de constater que la plupart des universités et des stages ne préparent pas non plus les jeunes développeurs à coder de manière sécurisée.

Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.  

Nous devons prendre le temps de former les développeurs à l'écriture de codes sécurisés. Cependant, dans le monde d'aujourd'hui, où le développement de logiciels se fait à un rythme rapide et où les bons développeurs et les professionnels de la sécurité sont rares, cela ne semble jamais être une priorité. Il est temps de changer la donne.

Le Forum économique mondial a récemment titré : "Il ne peut y avoir d'économie numérique sans sécurité" : "Il ne peut y avoir d'économie numérique sans sécurité", et le contenu qui l'accompagne fait valoir la nécessité d'intégrer la sécurité au cœur de toute stratégie de transformation numérique. "La sécurité est ce qui protège les entreprises, leur permettant d'innover et de créer de nouveaux produits et services. Au-delà d'un rôle défensif, la sécurité offre aux entreprises un avantage stratégique en termes de croissance".

L'amélioration des compétences et des résultats en matière de codage sécurisé ajoutera une puissante couche de cyberprotection pour les organisations, en les aidant à créer un code meilleur et plus rapide. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent être responsabilisés de manière positive et pratique pour être la première ligne de défense contre les cyberattaques. Les développeurs peuvent être les prochains héros de la sécurité et de l'innovation. Ce sont des personnes très intelligentes, qui savent résoudre les problèmes de manière créative et qui sont généralement désireuses d'améliorer leurs compétences. Misez sur leurs atouts en leur offrant la formation spécialisée qu'ils méritent et engagez-vous à appliquer des normes plus strictes en matière de sécurité des logiciels. Lisez notre livre blanc pour en savoir plus.

Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Accès aux ressources

Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.

Voir le rapportRéservez une démonstration
Télécharger le PDF
Voir la ressource
Partager sur :
Vous souhaitez en savoir plus ?

Partager sur :
Auteur
Matias Madou, Ph.D.
Publié le 26 septembre 2018

Matias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.

Matias est un chercheur et un développeur qui possède plus de 15 ans d'expérience pratique dans le domaine de la sécurité des logiciels. Il a développé des solutions pour des entreprises telles que Fortify Software et sa propre entreprise Sensei Security. Au cours de sa carrière, Matias a dirigé de nombreux projets de recherche sur la sécurité des applications qui ont débouché sur des produits commerciaux et peut se targuer d'avoir déposé plus de 10 brevets. Lorsqu'il n'est pas à son bureau, Matias a été instructeur pour des formations avancées en matière de sécurité des applications ( courses ) et intervient régulièrement lors de conférences mondiales telles que RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec et BruCon.

Matias est titulaire d'un doctorat en ingénierie informatique de l'Université de Gand, où il a étudié la sécurité des applications par le biais de l'obscurcissement des programmes afin de dissimuler le fonctionnement interne d'une application.

Partager sur :

Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire. Bien que cette théorie ne soit vraie que jusqu'à un certain point, leur simple composition corporelle les rend extrêmement résistantes pour leur taille et difficiles à éradiquer dans la plupart des conditions.

J'ai réfléchi... si les cafards avaient un équivalent dans le monde numérique, il s'agirait des vulnérabilités de code par injection SQL (SQLi). Il s'agit d'une vulnérabilité connue depuis plus de vingt ans, et pourtant les organisations en sont victimes à maintes reprises. L'attaque généralisée et coûteuse contre Target était le résultat d'une injection SQL, de même qu'un piratage électoral dans l'Illinois au cours duquel 200 000 dossiers d'électeurs ont été exposés, ce qui a incité le FBI à recommander à tous les administrateurs informatiques de travailler rapidement au renforcement de leurs pratiques en matière de sécurité.

Le rapport Hacker Intelligence Initiative d'Imperva a révélé qu'entre 2005 et 2011, les attaques SQLi ont été utilisées dans 83 % de toutes les violations de données signalées. Aujourd'hui, les vulnérabilités par injection restent la première menace du Top 10 de l'OWASP. Elles sont relativement simples, mais elles ne veulent pas mourir.

Il semble ridicule que cette même vulnérabilité apparaisse encore dans un nombre important d'analyses de sécurité d'applications. Nous savons comment elle fonctionne et nous savons comment l'arrêter. Comment cela est-il possible ? La vérité, c'est que la sécurité de nos logiciels peut encore être largement améliorée.

Le rapport State of Software Security Report de Veracode - basé sur 400 000 scans d'applications en 2017 " a révélé une statistique alarmante : seulement 30 % des applications ont passé la politique Top 10 de l'OWASP. Il s'agit d'un thème constant au cours des cinq dernières années, les injections SQL apparaissant dans près d'une application nouvellement analysée sur trois. C'est la preuve d'un problème endémique ; nous n'apprenons pas de nos erreurs, et les RSSI semblent être confrontés à une bataille difficile pour se procurer suffisamment de talents en matière de sécurité. En règle générale, le rapport entre les spécialistes de la sécurité applicative et les développeurs est insuffisant (1:100).

Pourquoi la sécurité des logiciels est-elle sous assistance respiratoire ?

Ce n'est un secret pour personne que les spécialistes de la sécurité sont rares, mais nous devons également prêter attention au fait que les développeurs ne corrigent pas les problèmes au fur et à mesure qu'ils surviennent, et qu'ils sont manifestement mal équipés pour ne pas introduire de vulnérabilités en premier lieu. Le même rapport de Veracode révèle qu'il n'existe des mesures d'atténuation documentées que pour 14,4 % de toutes les vulnérabilités liées au développement. En d'autres termes, la plupart des vulnérabilités ont été soumises sans mesures d'atténuation. Moins d'un tiers des vulnérabilités ont été résolues dans les 90 premiers jours, et 42 % des vulnérabilités n'ont jamais été résolues au cours de la période de développement.

Je m'entretiens en permanence avec des professionnels de la sécurité, des RSSI et des PDG et, de manière anecdotique, je me suis rendu compte que de nombreuses entreprises sont tellement frustrées par le nombre de vulnérabilités trouvées qui ne peuvent pas être atténuées (en plus du fléau connu sous le nom de faux positifs), qu'elles cessent complètement de les rechercher, croisent les doigts et espèrent que tout ira pour le mieux.

Pourquoi les professionnels de l'AppSec laissent-ils faire ?

Ne vous y trompez pas : Les personnes chargées de l'AppSec sont douloureusement conscientes des problèmes dans le code. Après tout, c'est l'une de leurs principales compétences qui fait d'eux une ressource si précieuse pour l'équipe. Cependant, ils sont souvent paralysés par plusieurs facteurs.

Par exemple, un responsable AppSec trouvera un problème et demandera au développeur : "Pouvez-vous corriger le code ?". La réponse à cette question importante diffère d'une organisation à l'autre, mais en général, le développeur est tellement sollicité pour respecter des sprints stricts de livraison de fonctionnalités qu'il n'a tout simplement pas le temps de résoudre ces problèmes, ni d'outils décents pour l'aider. Les professionnels de l'AppSec eux-mêmes peuvent être en mesure d'identifier les vulnérabilités, mais ils n'ont souvent pas les compétences et/ou l'accès nécessaires pour y remédier sur-le-champ.

Nous devons également nous rendre compte que pour chaque problème, il faut trouver une solution, la mettre en œuvre et la tester. Pour le moindre problème découvert dans le code, le temps nécessaire à la correction, sans parler des ressources requises, est immense. Il existe plus de 700 vulnérabilités qui peuvent être introduites dans les logiciels, et il est tout simplement impossible pour une seule personne d'être en mesure de se défendre contre toutes ces vulnérabilités. C'est pour cette raison que la plupart des entreprises se contentent de suivre le Top 10 de l'OWASP. Pendant ce temps, les développeurs continuent à créer des fonctionnalités et, à leur tour, à introduire des vulnérabilités dans le code qu'ils écrivent.

Quelle est la solution ?

Le fait est que nous ne donnons pas à nos développeurs les outils et la formation nécessaires pour qu'ils réussissent à coder en toute sécurité. Aucune réglementation n'oblige les organisations à s'assurer que les développeurs possèdent des compétences adéquates en matière de sécurité, et il est triste de constater que la plupart des universités et des stages ne préparent pas non plus les jeunes développeurs à coder de manière sécurisée.

Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.  

Nous devons prendre le temps de former les développeurs à l'écriture de codes sécurisés. Cependant, dans le monde d'aujourd'hui, où le développement de logiciels se fait à un rythme rapide et où les bons développeurs et les professionnels de la sécurité sont rares, cela ne semble jamais être une priorité. Il est temps de changer la donne.

Le Forum économique mondial a récemment titré : "Il ne peut y avoir d'économie numérique sans sécurité" : "Il ne peut y avoir d'économie numérique sans sécurité", et le contenu qui l'accompagne fait valoir la nécessité d'intégrer la sécurité au cœur de toute stratégie de transformation numérique. "La sécurité est ce qui protège les entreprises, leur permettant d'innover et de créer de nouveaux produits et services. Au-delà d'un rôle défensif, la sécurité offre aux entreprises un avantage stratégique en termes de croissance".

L'amélioration des compétences et des résultats en matière de codage sécurisé ajoutera une puissante couche de cyberprotection pour les organisations, en les aidant à créer un code meilleur et plus rapide. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent être responsabilisés de manière positive et pratique pour être la première ligne de défense contre les cyberattaques. Les développeurs peuvent être les prochains héros de la sécurité et de l'innovation. Ce sont des personnes très intelligentes, qui savent résoudre les problèmes de manière créative et qui sont généralement désireuses d'améliorer leurs compétences. Misez sur leurs atouts en leur offrant la formation spécialisée qu'ils méritent et engagez-vous à appliquer des normes plus strictes en matière de sécurité des logiciels. Lisez notre livre blanc pour en savoir plus.

Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.

Table des matières

Télécharger le PDF
Voir la ressource
Vous souhaitez en savoir plus ?

Matias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.

Réservez une démonstrationTélécharger
Partager sur :
Centre de ressources

Ressources pour vous aider à démarrer

Plus d'articles
Centre de ressources

Ressources pour vous aider à démarrer

Plus d'articles