Pourquoi les injections SQL sont les cafards du monde de l'AppSec (et comment les RSSI peuvent les éradiquer une fois pour toutes)
Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire. Bien que cette théorie ne soit vraie que jusqu'à un certain point, leur simple composition corporelle les rend extrêmement résistantes pour leur taille et difficiles à éradiquer dans la plupart des conditions.
J'ai réfléchi... si les cafards avaient un équivalent dans le monde numérique, il s'agirait des vulnérabilités de code par injection SQL (SQLi). Il s'agit d'une vulnérabilité connue depuis plus de vingt ans, et pourtant les organisations en sont victimes à maintes reprises. L'attaque généralisée et coûteuse contre Target était le résultat d'une injection SQL, de même qu'un piratage électoral dans l'Illinois au cours duquel 200 000 dossiers d'électeurs ont été exposés, ce qui a incité le FBI à recommander à tous les administrateurs informatiques de travailler rapidement au renforcement de leurs pratiques en matière de sécurité.
Le rapport Hacker Intelligence Initiative d'Imperva a révélé qu'entre 2005 et 2011, les attaques SQLi ont été utilisées dans 83 % de toutes les violations de données signalées. Aujourd'hui, les vulnérabilités par injection restent la première menace du Top 10 de l'OWASP. Elles sont relativement simples, mais elles ne veulent pas mourir.
Il semble ridicule que cette même vulnérabilité apparaisse encore dans un nombre important d'analyses de sécurité d'applications. Nous savons comment elle fonctionne et nous savons comment l'arrêter. Comment cela est-il possible ? La vérité, c'est que la sécurité de nos logiciels peut encore être largement améliorée.
Le rapport State of Software Security Report de Veracode - basé sur 400 000 scans d'applications en 2017 " a révélé une statistique alarmante : seulement 30 % des applications ont passé la politique Top 10 de l'OWASP. Il s'agit d'un thème constant au cours des cinq dernières années, les injections SQL apparaissant dans près d'une application nouvellement analysée sur trois. C'est la preuve d'un problème endémique ; nous n'apprenons pas de nos erreurs, et les RSSI semblent être confrontés à une bataille difficile pour se procurer suffisamment de talents en matière de sécurité. En règle générale, le rapport entre les spécialistes de la sécurité applicative et les développeurs est insuffisant (1:100).
Pourquoi la sécurité des logiciels est-elle sous assistance respiratoire ?
Ce n'est un secret pour personne que les spécialistes de la sécurité sont rares, mais nous devons également prêter attention au fait que les développeurs ne corrigent pas les problèmes au fur et à mesure qu'ils surviennent, et qu'ils sont manifestement mal équipés pour ne pas introduire de vulnérabilités en premier lieu. Le même rapport de Veracode révèle qu'il n'existe des mesures d'atténuation documentées que pour 14,4 % de toutes les vulnérabilités liées au développement. En d'autres termes, la plupart des vulnérabilités ont été soumises sans mesures d'atténuation. Moins d'un tiers des vulnérabilités ont été résolues dans les 90 premiers jours, et 42 % des vulnérabilités n'ont jamais été résolues au cours de la période de développement.
Je m'entretiens en permanence avec des professionnels de la sécurité, des RSSI et des PDG et, de manière anecdotique, je me suis rendu compte que de nombreuses entreprises sont tellement frustrées par le nombre de vulnérabilités trouvées qui ne peuvent pas être atténuées (en plus du fléau connu sous le nom de faux positifs), qu'elles cessent complètement de les rechercher, croisent les doigts et espèrent que tout ira pour le mieux.
Pourquoi les professionnels de l'AppSec laissent-ils faire ?
Ne vous y trompez pas : Les personnes chargées de l'AppSec sont douloureusement conscientes des problèmes dans le code. Après tout, c'est l'une de leurs principales compétences qui fait d'eux une ressource si précieuse pour l'équipe. Cependant, ils sont souvent paralysés par plusieurs facteurs.
Par exemple, un responsable AppSec trouvera un problème et demandera au développeur : "Pouvez-vous corriger le code ?". La réponse à cette question importante diffère d'une organisation à l'autre, mais en général, le développeur est tellement sollicité pour respecter des sprints stricts de livraison de fonctionnalités qu'il n'a tout simplement pas le temps de résoudre ces problèmes, ni d'outils décents pour l'aider. Les professionnels de l'AppSec eux-mêmes peuvent être en mesure d'identifier les vulnérabilités, mais ils n'ont souvent pas les compétences et/ou l'accès nécessaires pour y remédier sur-le-champ.
Nous devons également nous rendre compte que pour chaque problème, il faut trouver une solution, la mettre en œuvre et la tester. Pour le moindre problème découvert dans le code, le temps nécessaire à la correction, sans parler des ressources requises, est immense. Il existe plus de 700 vulnérabilités qui peuvent être introduites dans les logiciels, et il est tout simplement impossible pour une seule personne d'être en mesure de se défendre contre toutes ces vulnérabilités. C'est pour cette raison que la plupart des entreprises se contentent de suivre le Top 10 de l'OWASP. Pendant ce temps, les développeurs continuent à créer des fonctionnalités et, à leur tour, à introduire des vulnérabilités dans le code qu'ils écrivent.
Quelle est la solution ?
Le fait est que nous ne donnons pas à nos développeurs les outils et la formation nécessaires pour qu'ils réussissent à coder en toute sécurité. Aucune réglementation n'oblige les organisations à s'assurer que les développeurs possèdent des compétences adéquates en matière de sécurité, et il est triste de constater que la plupart des universités et des stages ne préparent pas non plus les jeunes développeurs à coder de manière sécurisée.
Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Nous devons prendre le temps de former les développeurs à l'écriture de codes sécurisés. Cependant, dans le monde d'aujourd'hui, où le développement de logiciels se fait à un rythme rapide et où les bons développeurs et les professionnels de la sécurité sont rares, cela ne semble jamais être une priorité. Il est temps de changer la donne.
Le Forum économique mondial a récemment titré : "Il ne peut y avoir d'économie numérique sans sécurité" : "Il ne peut y avoir d'économie numérique sans sécurité", et le contenu qui l'accompagne fait valoir la nécessité d'intégrer la sécurité au cœur de toute stratégie de transformation numérique. "La sécurité est ce qui protège les entreprises, leur permettant d'innover et de créer de nouveaux produits et services. Au-delà d'un rôle défensif, la sécurité offre aux entreprises un avantage stratégique en termes de croissance".
L'amélioration des compétences et des résultats en matière de codage sécurisé ajoutera une puissante couche de cyberprotection pour les organisations, en les aidant à créer un code meilleur et plus rapide. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent être responsabilisés de manière positive et pratique pour être la première ligne de défense contre les cyberattaques. Les développeurs peuvent être les prochains héros de la sécurité et de l'innovation. Ce sont des personnes très intelligentes, qui savent résoudre les problèmes de manière créative et qui sont généralement désireuses d'améliorer leurs compétences. Misez sur leurs atouts en leur offrant la formation spécialisée qu'ils méritent et engagez-vous à appliquer des normes plus strictes en matière de sécurité des logiciels. Lisez notre livre blanc pour en savoir plus.
Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire.
Matias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationMatias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.
Matias est un chercheur et un développeur qui possède plus de 15 ans d'expérience pratique dans le domaine de la sécurité des logiciels. Il a développé des solutions pour des entreprises telles que Fortify Software et sa propre entreprise Sensei Security. Au cours de sa carrière, Matias a dirigé de nombreux projets de recherche sur la sécurité des applications qui ont débouché sur des produits commerciaux et peut se targuer d'avoir déposé plus de 10 brevets. Lorsqu'il n'est pas à son bureau, Matias a été instructeur pour des formations avancées en matière de sécurité des applications ( courses ) et intervient régulièrement lors de conférences mondiales telles que RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec et BruCon.
Matias est titulaire d'un doctorat en ingénierie informatique de l'Université de Gand, où il a étudié la sécurité des applications par le biais de l'obscurcissement des programmes afin de dissimuler le fonctionnement interne d'une application.
Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire. Bien que cette théorie ne soit vraie que jusqu'à un certain point, leur simple composition corporelle les rend extrêmement résistantes pour leur taille et difficiles à éradiquer dans la plupart des conditions.
J'ai réfléchi... si les cafards avaient un équivalent dans le monde numérique, il s'agirait des vulnérabilités de code par injection SQL (SQLi). Il s'agit d'une vulnérabilité connue depuis plus de vingt ans, et pourtant les organisations en sont victimes à maintes reprises. L'attaque généralisée et coûteuse contre Target était le résultat d'une injection SQL, de même qu'un piratage électoral dans l'Illinois au cours duquel 200 000 dossiers d'électeurs ont été exposés, ce qui a incité le FBI à recommander à tous les administrateurs informatiques de travailler rapidement au renforcement de leurs pratiques en matière de sécurité.
Le rapport Hacker Intelligence Initiative d'Imperva a révélé qu'entre 2005 et 2011, les attaques SQLi ont été utilisées dans 83 % de toutes les violations de données signalées. Aujourd'hui, les vulnérabilités par injection restent la première menace du Top 10 de l'OWASP. Elles sont relativement simples, mais elles ne veulent pas mourir.
Il semble ridicule que cette même vulnérabilité apparaisse encore dans un nombre important d'analyses de sécurité d'applications. Nous savons comment elle fonctionne et nous savons comment l'arrêter. Comment cela est-il possible ? La vérité, c'est que la sécurité de nos logiciels peut encore être largement améliorée.
Le rapport State of Software Security Report de Veracode - basé sur 400 000 scans d'applications en 2017 " a révélé une statistique alarmante : seulement 30 % des applications ont passé la politique Top 10 de l'OWASP. Il s'agit d'un thème constant au cours des cinq dernières années, les injections SQL apparaissant dans près d'une application nouvellement analysée sur trois. C'est la preuve d'un problème endémique ; nous n'apprenons pas de nos erreurs, et les RSSI semblent être confrontés à une bataille difficile pour se procurer suffisamment de talents en matière de sécurité. En règle générale, le rapport entre les spécialistes de la sécurité applicative et les développeurs est insuffisant (1:100).
Pourquoi la sécurité des logiciels est-elle sous assistance respiratoire ?
Ce n'est un secret pour personne que les spécialistes de la sécurité sont rares, mais nous devons également prêter attention au fait que les développeurs ne corrigent pas les problèmes au fur et à mesure qu'ils surviennent, et qu'ils sont manifestement mal équipés pour ne pas introduire de vulnérabilités en premier lieu. Le même rapport de Veracode révèle qu'il n'existe des mesures d'atténuation documentées que pour 14,4 % de toutes les vulnérabilités liées au développement. En d'autres termes, la plupart des vulnérabilités ont été soumises sans mesures d'atténuation. Moins d'un tiers des vulnérabilités ont été résolues dans les 90 premiers jours, et 42 % des vulnérabilités n'ont jamais été résolues au cours de la période de développement.
Je m'entretiens en permanence avec des professionnels de la sécurité, des RSSI et des PDG et, de manière anecdotique, je me suis rendu compte que de nombreuses entreprises sont tellement frustrées par le nombre de vulnérabilités trouvées qui ne peuvent pas être atténuées (en plus du fléau connu sous le nom de faux positifs), qu'elles cessent complètement de les rechercher, croisent les doigts et espèrent que tout ira pour le mieux.
Pourquoi les professionnels de l'AppSec laissent-ils faire ?
Ne vous y trompez pas : Les personnes chargées de l'AppSec sont douloureusement conscientes des problèmes dans le code. Après tout, c'est l'une de leurs principales compétences qui fait d'eux une ressource si précieuse pour l'équipe. Cependant, ils sont souvent paralysés par plusieurs facteurs.
Par exemple, un responsable AppSec trouvera un problème et demandera au développeur : "Pouvez-vous corriger le code ?". La réponse à cette question importante diffère d'une organisation à l'autre, mais en général, le développeur est tellement sollicité pour respecter des sprints stricts de livraison de fonctionnalités qu'il n'a tout simplement pas le temps de résoudre ces problèmes, ni d'outils décents pour l'aider. Les professionnels de l'AppSec eux-mêmes peuvent être en mesure d'identifier les vulnérabilités, mais ils n'ont souvent pas les compétences et/ou l'accès nécessaires pour y remédier sur-le-champ.
Nous devons également nous rendre compte que pour chaque problème, il faut trouver une solution, la mettre en œuvre et la tester. Pour le moindre problème découvert dans le code, le temps nécessaire à la correction, sans parler des ressources requises, est immense. Il existe plus de 700 vulnérabilités qui peuvent être introduites dans les logiciels, et il est tout simplement impossible pour une seule personne d'être en mesure de se défendre contre toutes ces vulnérabilités. C'est pour cette raison que la plupart des entreprises se contentent de suivre le Top 10 de l'OWASP. Pendant ce temps, les développeurs continuent à créer des fonctionnalités et, à leur tour, à introduire des vulnérabilités dans le code qu'ils écrivent.
Quelle est la solution ?
Le fait est que nous ne donnons pas à nos développeurs les outils et la formation nécessaires pour qu'ils réussissent à coder en toute sécurité. Aucune réglementation n'oblige les organisations à s'assurer que les développeurs possèdent des compétences adéquates en matière de sécurité, et il est triste de constater que la plupart des universités et des stages ne préparent pas non plus les jeunes développeurs à coder de manière sécurisée.
Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Nous devons prendre le temps de former les développeurs à l'écriture de codes sécurisés. Cependant, dans le monde d'aujourd'hui, où le développement de logiciels se fait à un rythme rapide et où les bons développeurs et les professionnels de la sécurité sont rares, cela ne semble jamais être une priorité. Il est temps de changer la donne.
Le Forum économique mondial a récemment titré : "Il ne peut y avoir d'économie numérique sans sécurité" : "Il ne peut y avoir d'économie numérique sans sécurité", et le contenu qui l'accompagne fait valoir la nécessité d'intégrer la sécurité au cœur de toute stratégie de transformation numérique. "La sécurité est ce qui protège les entreprises, leur permettant d'innover et de créer de nouveaux produits et services. Au-delà d'un rôle défensif, la sécurité offre aux entreprises un avantage stratégique en termes de croissance".
L'amélioration des compétences et des résultats en matière de codage sécurisé ajoutera une puissante couche de cyberprotection pour les organisations, en les aidant à créer un code meilleur et plus rapide. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent être responsabilisés de manière positive et pratique pour être la première ligne de défense contre les cyberattaques. Les développeurs peuvent être les prochains héros de la sécurité et de l'innovation. Ce sont des personnes très intelligentes, qui savent résoudre les problèmes de manière créative et qui sont généralement désireuses d'améliorer leurs compétences. Misez sur leurs atouts en leur offrant la formation spécialisée qu'ils méritent et engagez-vous à appliquer des normes plus strictes en matière de sécurité des logiciels. Lisez notre livre blanc pour en savoir plus.
Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire. Bien que cette théorie ne soit vraie que jusqu'à un certain point, leur simple composition corporelle les rend extrêmement résistantes pour leur taille et difficiles à éradiquer dans la plupart des conditions.
J'ai réfléchi... si les cafards avaient un équivalent dans le monde numérique, il s'agirait des vulnérabilités de code par injection SQL (SQLi). Il s'agit d'une vulnérabilité connue depuis plus de vingt ans, et pourtant les organisations en sont victimes à maintes reprises. L'attaque généralisée et coûteuse contre Target était le résultat d'une injection SQL, de même qu'un piratage électoral dans l'Illinois au cours duquel 200 000 dossiers d'électeurs ont été exposés, ce qui a incité le FBI à recommander à tous les administrateurs informatiques de travailler rapidement au renforcement de leurs pratiques en matière de sécurité.
Le rapport Hacker Intelligence Initiative d'Imperva a révélé qu'entre 2005 et 2011, les attaques SQLi ont été utilisées dans 83 % de toutes les violations de données signalées. Aujourd'hui, les vulnérabilités par injection restent la première menace du Top 10 de l'OWASP. Elles sont relativement simples, mais elles ne veulent pas mourir.
Il semble ridicule que cette même vulnérabilité apparaisse encore dans un nombre important d'analyses de sécurité d'applications. Nous savons comment elle fonctionne et nous savons comment l'arrêter. Comment cela est-il possible ? La vérité, c'est que la sécurité de nos logiciels peut encore être largement améliorée.
Le rapport State of Software Security Report de Veracode - basé sur 400 000 scans d'applications en 2017 " a révélé une statistique alarmante : seulement 30 % des applications ont passé la politique Top 10 de l'OWASP. Il s'agit d'un thème constant au cours des cinq dernières années, les injections SQL apparaissant dans près d'une application nouvellement analysée sur trois. C'est la preuve d'un problème endémique ; nous n'apprenons pas de nos erreurs, et les RSSI semblent être confrontés à une bataille difficile pour se procurer suffisamment de talents en matière de sécurité. En règle générale, le rapport entre les spécialistes de la sécurité applicative et les développeurs est insuffisant (1:100).
Pourquoi la sécurité des logiciels est-elle sous assistance respiratoire ?
Ce n'est un secret pour personne que les spécialistes de la sécurité sont rares, mais nous devons également prêter attention au fait que les développeurs ne corrigent pas les problèmes au fur et à mesure qu'ils surviennent, et qu'ils sont manifestement mal équipés pour ne pas introduire de vulnérabilités en premier lieu. Le même rapport de Veracode révèle qu'il n'existe des mesures d'atténuation documentées que pour 14,4 % de toutes les vulnérabilités liées au développement. En d'autres termes, la plupart des vulnérabilités ont été soumises sans mesures d'atténuation. Moins d'un tiers des vulnérabilités ont été résolues dans les 90 premiers jours, et 42 % des vulnérabilités n'ont jamais été résolues au cours de la période de développement.
Je m'entretiens en permanence avec des professionnels de la sécurité, des RSSI et des PDG et, de manière anecdotique, je me suis rendu compte que de nombreuses entreprises sont tellement frustrées par le nombre de vulnérabilités trouvées qui ne peuvent pas être atténuées (en plus du fléau connu sous le nom de faux positifs), qu'elles cessent complètement de les rechercher, croisent les doigts et espèrent que tout ira pour le mieux.
Pourquoi les professionnels de l'AppSec laissent-ils faire ?
Ne vous y trompez pas : Les personnes chargées de l'AppSec sont douloureusement conscientes des problèmes dans le code. Après tout, c'est l'une de leurs principales compétences qui fait d'eux une ressource si précieuse pour l'équipe. Cependant, ils sont souvent paralysés par plusieurs facteurs.
Par exemple, un responsable AppSec trouvera un problème et demandera au développeur : "Pouvez-vous corriger le code ?". La réponse à cette question importante diffère d'une organisation à l'autre, mais en général, le développeur est tellement sollicité pour respecter des sprints stricts de livraison de fonctionnalités qu'il n'a tout simplement pas le temps de résoudre ces problèmes, ni d'outils décents pour l'aider. Les professionnels de l'AppSec eux-mêmes peuvent être en mesure d'identifier les vulnérabilités, mais ils n'ont souvent pas les compétences et/ou l'accès nécessaires pour y remédier sur-le-champ.
Nous devons également nous rendre compte que pour chaque problème, il faut trouver une solution, la mettre en œuvre et la tester. Pour le moindre problème découvert dans le code, le temps nécessaire à la correction, sans parler des ressources requises, est immense. Il existe plus de 700 vulnérabilités qui peuvent être introduites dans les logiciels, et il est tout simplement impossible pour une seule personne d'être en mesure de se défendre contre toutes ces vulnérabilités. C'est pour cette raison que la plupart des entreprises se contentent de suivre le Top 10 de l'OWASP. Pendant ce temps, les développeurs continuent à créer des fonctionnalités et, à leur tour, à introduire des vulnérabilités dans le code qu'ils écrivent.
Quelle est la solution ?
Le fait est que nous ne donnons pas à nos développeurs les outils et la formation nécessaires pour qu'ils réussissent à coder en toute sécurité. Aucune réglementation n'oblige les organisations à s'assurer que les développeurs possèdent des compétences adéquates en matière de sécurité, et il est triste de constater que la plupart des universités et des stages ne préparent pas non plus les jeunes développeurs à coder de manière sécurisée.
Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Nous devons prendre le temps de former les développeurs à l'écriture de codes sécurisés. Cependant, dans le monde d'aujourd'hui, où le développement de logiciels se fait à un rythme rapide et où les bons développeurs et les professionnels de la sécurité sont rares, cela ne semble jamais être une priorité. Il est temps de changer la donne.
Le Forum économique mondial a récemment titré : "Il ne peut y avoir d'économie numérique sans sécurité" : "Il ne peut y avoir d'économie numérique sans sécurité", et le contenu qui l'accompagne fait valoir la nécessité d'intégrer la sécurité au cœur de toute stratégie de transformation numérique. "La sécurité est ce qui protège les entreprises, leur permettant d'innover et de créer de nouveaux produits et services. Au-delà d'un rôle défensif, la sécurité offre aux entreprises un avantage stratégique en termes de croissance".
L'amélioration des compétences et des résultats en matière de codage sécurisé ajoutera une puissante couche de cyberprotection pour les organisations, en les aidant à créer un code meilleur et plus rapide. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent être responsabilisés de manière positive et pratique pour être la première ligne de défense contre les cyberattaques. Les développeurs peuvent être les prochains héros de la sécurité et de l'innovation. Ce sont des personnes très intelligentes, qui savent résoudre les problèmes de manière créative et qui sont généralement désireuses d'améliorer leurs compétences. Misez sur leurs atouts en leur offrant la formation spécialisée qu'ils méritent et engagez-vous à appliquer des normes plus strictes en matière de sécurité des logiciels. Lisez notre livre blanc pour en savoir plus.
Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Voir le rapportRéservez une démonstrationMatias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.
Matias est un chercheur et un développeur qui possède plus de 15 ans d'expérience pratique dans le domaine de la sécurité des logiciels. Il a développé des solutions pour des entreprises telles que Fortify Software et sa propre entreprise Sensei Security. Au cours de sa carrière, Matias a dirigé de nombreux projets de recherche sur la sécurité des applications qui ont débouché sur des produits commerciaux et peut se targuer d'avoir déposé plus de 10 brevets. Lorsqu'il n'est pas à son bureau, Matias a été instructeur pour des formations avancées en matière de sécurité des applications ( courses ) et intervient régulièrement lors de conférences mondiales telles que RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec et BruCon.
Matias est titulaire d'un doctorat en ingénierie informatique de l'Université de Gand, où il a étudié la sécurité des applications par le biais de l'obscurcissement des programmes afin de dissimuler le fonctionnement interne d'une application.
Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire. Bien que cette théorie ne soit vraie que jusqu'à un certain point, leur simple composition corporelle les rend extrêmement résistantes pour leur taille et difficiles à éradiquer dans la plupart des conditions.
J'ai réfléchi... si les cafards avaient un équivalent dans le monde numérique, il s'agirait des vulnérabilités de code par injection SQL (SQLi). Il s'agit d'une vulnérabilité connue depuis plus de vingt ans, et pourtant les organisations en sont victimes à maintes reprises. L'attaque généralisée et coûteuse contre Target était le résultat d'une injection SQL, de même qu'un piratage électoral dans l'Illinois au cours duquel 200 000 dossiers d'électeurs ont été exposés, ce qui a incité le FBI à recommander à tous les administrateurs informatiques de travailler rapidement au renforcement de leurs pratiques en matière de sécurité.
Le rapport Hacker Intelligence Initiative d'Imperva a révélé qu'entre 2005 et 2011, les attaques SQLi ont été utilisées dans 83 % de toutes les violations de données signalées. Aujourd'hui, les vulnérabilités par injection restent la première menace du Top 10 de l'OWASP. Elles sont relativement simples, mais elles ne veulent pas mourir.
Il semble ridicule que cette même vulnérabilité apparaisse encore dans un nombre important d'analyses de sécurité d'applications. Nous savons comment elle fonctionne et nous savons comment l'arrêter. Comment cela est-il possible ? La vérité, c'est que la sécurité de nos logiciels peut encore être largement améliorée.
Le rapport State of Software Security Report de Veracode - basé sur 400 000 scans d'applications en 2017 " a révélé une statistique alarmante : seulement 30 % des applications ont passé la politique Top 10 de l'OWASP. Il s'agit d'un thème constant au cours des cinq dernières années, les injections SQL apparaissant dans près d'une application nouvellement analysée sur trois. C'est la preuve d'un problème endémique ; nous n'apprenons pas de nos erreurs, et les RSSI semblent être confrontés à une bataille difficile pour se procurer suffisamment de talents en matière de sécurité. En règle générale, le rapport entre les spécialistes de la sécurité applicative et les développeurs est insuffisant (1:100).
Pourquoi la sécurité des logiciels est-elle sous assistance respiratoire ?
Ce n'est un secret pour personne que les spécialistes de la sécurité sont rares, mais nous devons également prêter attention au fait que les développeurs ne corrigent pas les problèmes au fur et à mesure qu'ils surviennent, et qu'ils sont manifestement mal équipés pour ne pas introduire de vulnérabilités en premier lieu. Le même rapport de Veracode révèle qu'il n'existe des mesures d'atténuation documentées que pour 14,4 % de toutes les vulnérabilités liées au développement. En d'autres termes, la plupart des vulnérabilités ont été soumises sans mesures d'atténuation. Moins d'un tiers des vulnérabilités ont été résolues dans les 90 premiers jours, et 42 % des vulnérabilités n'ont jamais été résolues au cours de la période de développement.
Je m'entretiens en permanence avec des professionnels de la sécurité, des RSSI et des PDG et, de manière anecdotique, je me suis rendu compte que de nombreuses entreprises sont tellement frustrées par le nombre de vulnérabilités trouvées qui ne peuvent pas être atténuées (en plus du fléau connu sous le nom de faux positifs), qu'elles cessent complètement de les rechercher, croisent les doigts et espèrent que tout ira pour le mieux.
Pourquoi les professionnels de l'AppSec laissent-ils faire ?
Ne vous y trompez pas : Les personnes chargées de l'AppSec sont douloureusement conscientes des problèmes dans le code. Après tout, c'est l'une de leurs principales compétences qui fait d'eux une ressource si précieuse pour l'équipe. Cependant, ils sont souvent paralysés par plusieurs facteurs.
Par exemple, un responsable AppSec trouvera un problème et demandera au développeur : "Pouvez-vous corriger le code ?". La réponse à cette question importante diffère d'une organisation à l'autre, mais en général, le développeur est tellement sollicité pour respecter des sprints stricts de livraison de fonctionnalités qu'il n'a tout simplement pas le temps de résoudre ces problèmes, ni d'outils décents pour l'aider. Les professionnels de l'AppSec eux-mêmes peuvent être en mesure d'identifier les vulnérabilités, mais ils n'ont souvent pas les compétences et/ou l'accès nécessaires pour y remédier sur-le-champ.
Nous devons également nous rendre compte que pour chaque problème, il faut trouver une solution, la mettre en œuvre et la tester. Pour le moindre problème découvert dans le code, le temps nécessaire à la correction, sans parler des ressources requises, est immense. Il existe plus de 700 vulnérabilités qui peuvent être introduites dans les logiciels, et il est tout simplement impossible pour une seule personne d'être en mesure de se défendre contre toutes ces vulnérabilités. C'est pour cette raison que la plupart des entreprises se contentent de suivre le Top 10 de l'OWASP. Pendant ce temps, les développeurs continuent à créer des fonctionnalités et, à leur tour, à introduire des vulnérabilités dans le code qu'ils écrivent.
Quelle est la solution ?
Le fait est que nous ne donnons pas à nos développeurs les outils et la formation nécessaires pour qu'ils réussissent à coder en toute sécurité. Aucune réglementation n'oblige les organisations à s'assurer que les développeurs possèdent des compétences adéquates en matière de sécurité, et il est triste de constater que la plupart des universités et des stages ne préparent pas non plus les jeunes développeurs à coder de manière sécurisée.
Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Nous devons prendre le temps de former les développeurs à l'écriture de codes sécurisés. Cependant, dans le monde d'aujourd'hui, où le développement de logiciels se fait à un rythme rapide et où les bons développeurs et les professionnels de la sécurité sont rares, cela ne semble jamais être une priorité. Il est temps de changer la donne.
Le Forum économique mondial a récemment titré : "Il ne peut y avoir d'économie numérique sans sécurité" : "Il ne peut y avoir d'économie numérique sans sécurité", et le contenu qui l'accompagne fait valoir la nécessité d'intégrer la sécurité au cœur de toute stratégie de transformation numérique. "La sécurité est ce qui protège les entreprises, leur permettant d'innover et de créer de nouveaux produits et services. Au-delà d'un rôle défensif, la sécurité offre aux entreprises un avantage stratégique en termes de croissance".
L'amélioration des compétences et des résultats en matière de codage sécurisé ajoutera une puissante couche de cyberprotection pour les organisations, en les aidant à créer un code meilleur et plus rapide. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent être responsabilisés de manière positive et pratique pour être la première ligne de défense contre les cyberattaques. Les développeurs peuvent être les prochains héros de la sécurité et de l'innovation. Ce sont des personnes très intelligentes, qui savent résoudre les problèmes de manière créative et qui sont généralement désireuses d'améliorer leurs compétences. Misez sur leurs atouts en leur offrant la formation spécialisée qu'ils méritent et engagez-vous à appliquer des normes plus strictes en matière de sécurité des logiciels. Lisez notre livre blanc pour en savoir plus.
Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.
Table des matières
Matias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationTéléchargerRessources pour vous aider à démarrer
Évaluation comparative des compétences en matière de sécurité : Rationalisation de la conception sécurisée dans l'entreprise
Le mouvement "Secure-by-Design" (conception sécurisée) est l'avenir du développement de logiciels sécurisés. Découvrez les éléments clés que les entreprises doivent garder à l'esprit lorsqu'elles envisagent une initiative de conception sécurisée.
DigitalOcean réduit sa dette de sécurité avec Secure Code Warrior
L'utilisation par DigitalOcean de la formation Secure Code Warrior a considérablement réduit la dette de sécurité, permettant aux équipes de se concentrer davantage sur l'innovation et la productivité. L'amélioration de la sécurité a renforcé la qualité des produits et l'avantage concurrentiel de l'entreprise. À l'avenir, le score de confiance SCW les aidera à améliorer leurs pratiques de sécurité et à continuer à stimuler l'innovation.
Ressources pour vous aider à démarrer
La note de confiance révèle la valeur des initiatives d'amélioration de la sécurité par la conception
Nos recherches ont montré que la formation au code sécurisé fonctionne. Le Trust Score, qui utilise un algorithme s'appuyant sur plus de 20 millions de points de données d'apprentissage issus du travail de plus de 250 000 apprenants dans plus de 600 organisations, révèle son efficacité à réduire les vulnérabilités et la manière de rendre l'initiative encore plus efficace.
Sécurité réactive contre sécurité préventive : La prévention est un meilleur remède
L'idée d'apporter une sécurité préventive aux codes et systèmes existants en même temps qu'aux applications plus récentes peut sembler décourageante, mais une approche "Secure-by-Design", mise en œuvre en améliorant les compétences des développeurs, permet d'appliquer les meilleures pratiques de sécurité à ces systèmes. C'est la meilleure chance qu'ont de nombreuses organisations d'améliorer leur sécurité.
Les avantages de l'évaluation des compétences des développeurs en matière de sécurité
L'importance croissante accordée au code sécurisé et aux principes de conception sécurisée exige que les développeurs soient formés à la cybersécurité dès le début du cycle de développement durable, et que des outils tels que le Trust Score de Secure Code Warriorles aident à mesurer et à améliorer leurs progrès.
Assurer le succès des initiatives de conception sécurisée de l'entreprise
Notre dernier document de recherche, Benchmarking Security Skills : Streamlining Secure-by-Design in the Enterprise est le résultat d'une analyse approfondie d'initiatives réelles de conception sécurisée au niveau de l'entreprise, et de l'élaboration d'approches de meilleures pratiques basées sur des conclusions fondées sur des données.