セキュリティ設定ミスとは| セキュア・コード・ウォリアー

Le terme "mauvaise configuration de sécurité" est un peu un fourre-tout qui englobe les vulnérabilités courantes introduites en raison des paramètres de configuration de l'application, plutôt que d'un mauvais code. Les plus courantes impliquent généralement de simples erreurs qui peuvent avoir de lourdes conséquences pour les organisations qui déploient des applications avec ces configurations erronées.

Parmi les erreurs de configuration les plus courantes en matière de sécurité, citons le fait de ne pas désactiver les processus de débogage des applications avant de les déployer dans l'environnement de production, de ne pas laisser les applications se mettre à jour automatiquement avec les derniers correctifs, d'oublier de désactiver les fonctions par défaut, ainsi qu'une foule d'autres petites choses qui peuvent entraîner de gros problèmes à l'avenir.

La meilleure façon de lutter contre les failles de configuration de la sécurité est de les éliminer de votre réseau avant qu'elles ne soient déployées dans l'environnement de production.

Dans cet épisode, vous apprendrez

• Comment les pirates informatiques trouvent et exploitent les failles de sécurité les plus courantes
• Pourquoi les erreurs de configuration en matière de sécurité peuvent-elles être dangereuses ?
• Politiques et techniques qui peuvent être utilisées pour trouver et corriger les erreurs de configuration de la sécurité.

Comment les attaquants exploitent-ils les failles de sécurité les plus courantes ?

Il existe un grand nombre d'erreurs de configuration en matière de sécurité. Les plus populaires sont bien connues des communautés de hackers et sont presque toujours recherchées lors de la recherche de vulnérabilités. Parmi les erreurs de configuration les plus courantes, on peut citer, entre autres, les suivantes :

• Ne pas désactiver les comptes par défaut dont les mots de passe sont bien connus.
• Laisser les fonctions de débogage activées dans la production qui révèlent les traces de pile ou d'autres messages d'erreur aux utilisateurs.
• Fonctionnalités inutiles ou par défaut laissées activées, telles que des ports, des services, des pages, des comptes ou des privilèges inutiles.
• Ne pas utiliser d'en-têtes de sécurité ou utiliser des valeurs non sécurisées pour ces en-têtes.

Certaines mauvaises configurations sont bien connues et faciles à exploiter. Par exemple, si un mot de passe par défaut est activé, un pirate n'aurait qu'à le saisir avec le nom d'utilisateur par défaut pour obtenir un accès de haut niveau à un système.

D'autres erreurs de configuration nécessitent un peu plus de travail, par exemple lorsque les fonctions de débogage restent activées après le déploiement d'une application. Dans ce cas, un pirate tente de déclencher une erreur et enregistre les informations renvoyées. Armé de ces données, il peut lancer des attaques très ciblées qui peuvent révéler des informations sur le système ou l'emplacement des données qu'il tente de voler.

Pourquoi les erreurs de configuration en matière de sécurité sont-elles si dangereuses ?

En fonction de la mauvaise configuration de sécurité exploitée, les dommages peuvent aller de l'exposition d'informations à la compromission complète d'une application ou d'un serveur. Toute mauvaise configuration de la sécurité constitue une faille dans les défenses que des attaquants compétents peuvent exploiter. Pour certaines vulnérabilités, telles que l'activation des mots de passe par défaut, même un pirate inexpérimenté peut les exploiter. Après tout, il ne faut pas être un génie pour chercher des mots de passe par défaut et les saisir !

Éliminer la menace que représentent les erreurs de configuration en matière de sécurité

La meilleure façon d'éviter les erreurs de configuration en matière de sécurité est de définir des paramètres sécurisés pour toutes les applications et tous les programmes déployés au sein d'une organisation. Il s'agit notamment de désactiver les ports inutiles, de supprimer les programmes et fonctionnalités par défaut qui ne sont pas utilisés par l'application et de désactiver ou de modifier tous les utilisateurs et mots de passe par défaut. Il s'agit également de vérifier et de traiter les erreurs de configuration les plus courantes, par exemple en désactivant systématiquement le mode de débogage d'un logiciel avant qu'il n'atteigne l'environnement de production.

Une fois ces éléments définis, il convient de mettre en place un processus que toutes les applications doivent suivre avant d'être déployées. Idéalement, une personne devrait être chargée de ce processus, dotée de pouvoirs suffisants pour le faire respecter et responsable en cas d'erreur de configuration de la sécurité.

Plus d'informations sur les erreurs de configuration de la sécurité

Pour en savoir plus, vous pouvez consulter la liste OWASP des erreurs de configuration les plus courantes en matière de sécurité. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à une démonstration gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .

Prêt à déjouer une mauvaise configuration de sécurité dès maintenant ? Rendez-vous sur notre plateforme et mettez-vous au défi [Commencez ici]