Pourquoi les injections SQL sont les cafards du monde de l'AppSec (et comment les RSSI peuvent les éradiquer une fois pour toutes)

Il existe une théorie bien connue selon laquelle les cafards peuvent survivre à n'importe quoi, même à une explosion nucléaire. Bien que cette théorie ne soit vraie que jusqu'à un certain point, leur simple composition corporelle les rend extrêmement résistantes pour leur taille et difficiles à éradiquer dans la plupart des conditions.

J'ai réfléchi... si les cafards avaient un équivalent dans le monde numérique, il s'agirait des vulnérabilités de code par injection SQL (SQLi). Il s'agit d'une vulnérabilité connue depuis plus de vingt ans, et pourtant les organisations en sont victimes à maintes reprises. L'attaque généralisée et coûteuse contre Target était le résultat d'une injection SQL, de même qu'un piratage électoral dans l'Illinois au cours duquel 200 000 dossiers d'électeurs ont été exposés, ce qui a incité le FBI à recommander à tous les administrateurs informatiques de travailler rapidement au renforcement de leurs pratiques en matière de sécurité.

Le rapport Hacker Intelligence Initiative d'Imperva a révélé qu'entre 2005 et 2011, les attaques SQLi ont été utilisées dans 83 % de toutes les violations de données signalées. Aujourd'hui, les vulnérabilités par injection restent la première menace du Top 10 de l'OWASP. Elles sont relativement simples, mais elles ne veulent pas mourir.

Il semble ridicule que cette même vulnérabilité apparaisse encore dans un nombre important d'analyses de sécurité d'applications. Nous savons comment elle fonctionne et nous savons comment l'arrêter. Comment cela est-il possible ? La vérité, c'est que la sécurité de nos logiciels peut encore être largement améliorée.

Le rapport State of Software Security Report de Veracode - basé sur 400 000 scans d'applications en 2017 " a révélé une statistique alarmante : seulement 30 % des applications ont passé la politique Top 10 de l'OWASP. Il s'agit d'un thème constant au cours des cinq dernières années, les injections SQL apparaissant dans près d'une application nouvellement analysée sur trois. C'est la preuve d'un problème endémique ; nous n'apprenons pas de nos erreurs, et les RSSI semblent être confrontés à une bataille difficile pour se procurer suffisamment de talents en matière de sécurité. En règle générale, le rapport entre les spécialistes de la sécurité applicative et les développeurs est insuffisant (1:100).

Pourquoi la sécurité des logiciels est-elle sous assistance respiratoire ?

Ce n'est un secret pour personne que les spécialistes de la sécurité sont rares, mais nous devons également prêter attention au fait que les développeurs ne corrigent pas les problèmes au fur et à mesure qu'ils surviennent, et qu'ils sont manifestement mal équipés pour ne pas introduire de vulnérabilités en premier lieu. Le même rapport de Veracode révèle qu'il n'existe des mesures d'atténuation documentées que pour 14,4 % de toutes les vulnérabilités liées au développement. En d'autres termes, la plupart des vulnérabilités ont été soumises sans mesures d'atténuation. Moins d'un tiers des vulnérabilités ont été résolues dans les 90 premiers jours, et 42 % des vulnérabilités n'ont jamais été résolues au cours de la période de développement.

Je m'entretiens en permanence avec des professionnels de la sécurité, des RSSI et des PDG et, de manière anecdotique, je me suis rendu compte que de nombreuses entreprises sont tellement frustrées par le nombre de vulnérabilités trouvées qui ne peuvent pas être atténuées (en plus du fléau connu sous le nom de faux positifs), qu'elles cessent complètement de les rechercher, croisent les doigts et espèrent que tout ira pour le mieux.

Pourquoi les professionnels de l'AppSec laissent-ils faire ?

Ne vous y trompez pas : Les personnes chargées de l'AppSec sont douloureusement conscientes des problèmes dans le code. Après tout, c'est l'une de leurs principales compétences qui fait d'eux une ressource si précieuse pour l'équipe. Cependant, ils sont souvent paralysés par plusieurs facteurs.

Par exemple, un responsable AppSec trouvera un problème et demandera au développeur : "Pouvez-vous corriger le code ?". La réponse à cette question importante diffère d'une organisation à l'autre, mais en général, le développeur est tellement sollicité pour respecter des sprints stricts de livraison de fonctionnalités qu'il n'a tout simplement pas le temps de résoudre ces problèmes, ni d'outils décents pour l'aider. Les professionnels de l'AppSec eux-mêmes peuvent être en mesure d'identifier les vulnérabilités, mais ils n'ont souvent pas les compétences et/ou l'accès nécessaires pour y remédier sur-le-champ.

Nous devons également nous rendre compte que pour chaque problème, il faut trouver une solution, la mettre en œuvre et la tester. Pour le moindre problème découvert dans le code, le temps nécessaire à la correction, sans parler des ressources requises, est immense. Il existe plus de 700 vulnérabilités qui peuvent être introduites dans les logiciels, et il est tout simplement impossible pour une seule personne d'être en mesure de se défendre contre toutes ces vulnérabilités. C'est pour cette raison que la plupart des entreprises se contentent de suivre le Top 10 de l'OWASP. Pendant ce temps, les développeurs continuent à créer des fonctionnalités et, à leur tour, à introduire des vulnérabilités dans le code qu'ils écrivent.

Quelle est la solution ?

Le fait est que nous ne donnons pas à nos développeurs les outils et la formation nécessaires pour qu'ils réussissent à coder en toute sécurité. Aucune réglementation n'oblige les organisations à s'assurer que les développeurs possèdent des compétences adéquates en matière de sécurité, et il est triste de constater que la plupart des universités et des stages ne préparent pas non plus les jeunes développeurs à coder de manière sécurisée.

Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.  

Nous devons prendre le temps de former les développeurs à l'écriture de codes sécurisés. Cependant, dans le monde d'aujourd'hui, où le développement de logiciels se fait à un rythme rapide et où les bons développeurs et les professionnels de la sécurité sont rares, cela ne semble jamais être une priorité. Il est temps de changer la donne.

Le Forum économique mondial a récemment titré : "Il ne peut y avoir d'économie numérique sans sécurité" : "Il ne peut y avoir d'économie numérique sans sécurité", et le contenu qui l'accompagne fait valoir la nécessité d'intégrer la sécurité au cœur de toute stratégie de transformation numérique. "La sécurité est ce qui protège les entreprises, leur permettant d'innover et de créer de nouveaux produits et services. Au-delà d'un rôle défensif, la sécurité offre aux entreprises un avantage stratégique en termes de croissance".

L'amélioration des compétences et des résultats en matière de codage sécurisé ajoutera une puissante couche de cyberprotection pour les organisations, en les aidant à créer un code meilleur et plus rapide. Les développeurs n'ont pas besoin de devenir des experts en sécurité, mais ils doivent être responsabilisés de manière positive et pratique pour être la première ligne de défense contre les cyberattaques. Les développeurs peuvent être les prochains héros de la sécurité et de l'innovation. Ce sont des personnes très intelligentes, qui savent résoudre les problèmes de manière créative et qui sont généralement désireuses d'améliorer leurs compétences. Misez sur leurs atouts en leur offrant la formation spécialisée qu'ils méritent et engagez-vous à appliquer des normes plus strictes en matière de sécurité des logiciels. Lisez notre livre blanc pour en savoir plus.

Lorsque quelqu'un souhaite piloter un avion, il est soumis à un processus très rigoureux qui prévoit une formation, une expérience pratique, des contrôles médicaux, des connaissances en matière de sécurité et des examens avant qu'il ne soit en mesure de voler. Personne n'oserait imaginer qu'on le laisse voler dans le ciel sans une telle préparation et une telle validation de ses compétences.