Comment garantir la disponibilité, l’intégrité et la confidentialité de vos applications

F5

7 MIN DE LECTURE

Au cours des quatre dernières décennies, les logiciels ont évolué. À l’époque des ordinateurs centraux, les utilisateurs accédaient à des programmes stockés de manière centralisée sur de grands systèmes multi-utilisateurs. Dans les années 1990, en revanche, une application classique était fournie sur un disque en plastique, emballé sous film rétractable dans une boîte en carton. Elle était installée localement et rarement mise à jour.

À certains égards, nous sommes revenus à notre point de départ : les applications sont de nouveau de plus en plus souvent fournies via un réseau, tandis que les développeurs d’applications participent davantage aux opérations et à la sécurisation des applications qu’ils développent eux-mêmes. Dans ce monde où les applications sont proposées en tant que services disponibles en permanence, les vulnérabilités logicielles peuvent être rapidement exploitées et de simples attaques DDoS peuvent interrompre le service.

Pour les entreprises qui développent leurs propres applications, les programmeurs doivent produire des logiciels dans le cadre d’un cycle de vie de développement logiciel sécurisé de bout en bout (SDLC). Cela implique de s’attacher à réduire la surface d’attaque des logiciels, à éliminer les vulnérabilités et à former les développeurs afin qu’ils conçoivent et programment de manière plus sécurisée.

Application des contrôles d’accès et des principes fondamentaux de sécurité

Dans le même temps, les entreprises doivent également considérer les applications cloud comme des technologies opérationnelles qui doivent être gérées de manière sécurisée. Parce qu’elles sont toujours connectées, les applications cloud peuvent facilement être prises pour cible, d’où l’importance cruciale d’identifier et de corriger rapidement les vulnérabilités. Pour garder une longueur d’avance sur les menaces, les entreprises doivent mettre en place un processus de gestion des vulnérabilités permettant de les identifier et de les hiérarchiser, ainsi que d’automatiser rapidement leur correction à l’aide d’un pare-feu d’applications web (WAF). Un WAF est un dispositif essentiel de sécurité web qui peut faire gagner du temps à une entreprise en bloquant une attaque pendant que l’équipe de développement s’emploie à corriger le code.

Au-delà des considérations habituelles sur la gestion des vulnérabilités liées à la sécurité des applications, quels autres aspects devez-vous prendre en compte ? Commencez par mettre en place un contrôle d’accès adapté. Le cadre d’authentification, d’autorisation et de traçabilité (AAA) constitue un guide essentiel pour imposer par défaut une authentification forte, à l’aide de fonctionnalités telles que l’authentification unique (SSO) et l’authentification multifacteur. En outre, l’attribution des autorisations selon un contrôle d’accès robuste basé sur les rôles (RBAC), comprenant au moins trois rôles (par exemple, utilisateur sans privilèges, utilisateur privilégié et administrateur), contribue à réduire les incidents involontaires. Enfin, si un incident survient, une journalisation appropriée des événements vous permettra d’obtenir les informations clés nécessaires à sa résolution, notamment le compte utilisé et le système dont il provenait.

En complément du cadre AAA, l’analyse de la sécurité des applications sous l’angle des principes de sécurité CIA — confidentialité, intégrité et disponibilité — peut mettre en évidence des mesures supplémentaires que les entreprises devraient prendre pour protéger leurs applications et assurer la continuité des services.

1. Disponibilité — Maintenir l’application opérationnelle

Alors que les employés dépendent de plus en plus des applications cloud, la disponibilité des services cloud est devenue essentielle au bon fonctionnement des entreprises. Autrefois simplement gênantes, les attaques DDoS sont désormais bien plus susceptibles de perturber leurs activités.

Recommandations :

• Utilisez des services de protection contre les attaques DDoS conçus pour bloquer les attaques à la périphérie du réseau. En cas d’attaque, un tel système peut réellement vous faire économiser de l’argent, car le trafic n’entraînera pas de frais supplémentaires liés à des pics d’utilisation du cloud.
• Mettez en place un processus de gestion des changements. De nombreuses entreprises ont provoqué une interruption de leurs propres services après avoir déployé une mise à jour défectueuse de leur infrastructure.
• Utilisez un WAF ou un dispositif de protection contre les attaques DDoS afin de prévenir les attaques de couche 7 (au niveau applicatif).

2. Intégrité — S’assurer que l’application fonctionne comme prévu

Maintenir les portes numériques ouvertes est la priorité absolue d’une entreprise. Empêcher les personnes malveillantes d’entrer vient ensuite. Les équipes de développement et d’exploitation doivent établir des bases sécurisées pour l’accès à l’ensemble de leurs applications et données, comme indiqué plus haut dans la section consacrée à l’AAA. Elles doivent également gérer le contrôle des changements afin d’éviter que des modifications involontaires n’entraînent un fonctionnement de l’application susceptible de compromettre l’intégrité des données.

Recommandations :

• La mise en œuvre d’outils tels que WebSafe et un pare-feu applicatif web (WAF) limite la capacité des acteurs malveillants à injecter des données nuisibles dans l’application et offre une protection contre un large éventail de menaces, contribuant ainsi à réduire les pertes et l’exposition aux risques.
• Les contrôles applicatifs qui vérifient l’exhaustivité des données constituent également un excellent moyen de détecter la défaillance éventuelle de l’un de vos contrôles en amont.
• Les tests automatisés de la configuration de l’application peuvent rapidement alerter les équipes d’exploitation lorsque des modifications défectueuses sont mises en œuvre.

3. Confidentialité — Protéger les secrets dans le cloud

La confidentialité des données doit être assurée lors de leur collecte, de leur transfert et de leur stockage, qu’elles se trouvent dans le cloud ou sur site, dans votre centre de données. La gestion des vulnérabilités, notamment au moyen d’un WAF, fait partie des principaux contrôles à mettre en place pour empêcher l’exploitation d’une faille applicative de compromettre votre application et la confidentialité des données qu’elle contient. De nos jours, rien ne justifie de ne pas utiliser la technologie TLS pour chiffrer les communications entre l’utilisateur et le serveur d’applications web. Les données conservées dans le cloud ou sur site doivent également être intégralement chiffrées afin d’empêcher tout accès non autorisé.

Recommandations :

• Activez TLS/SSL par défaut. HTTPS partout !
• Chiffrez de manière robuste les données critiques au repos, en particulier les référentiels d’identifiants du back-end. Un simple hachage des mots de passe n’est désormais plus acceptable. Il convient, au minimum, de mettre en œuvre un hachage avec salage, ou tout autre mécanisme de chiffrement plus robuste.
• Mettez en œuvre un programme approfondi de gestion des vulnérabilités afin de détecter et de hiérarchiser les failles. Pour pallier les vulnérabilités entre deux déploiements de correctifs, il est vivement recommandé d’utiliser les fonctionnalités de correctifs virtuels d’un WAF.
• La sécurisation des applications et des infrastructures cloud est complexe, mais les envisager sous l’angle des modèles AAA et CIA permet aux professionnels de la sécurité d’adopter une approche globale de la discipline et de prendre des mesures qui soutiennent une stratégie de sécurité d’ensemble.

Preston Hogue est directeur principal du marketing de la sécurité chez F5 Networks. Il est responsable des campagnes mondiales de sécurité, de la promotion et du leadership éclairé, notamment de la supervision de l’équipe de veille sur les menaces applicatives de F5 Labs. Preston possède plus de 20 ans d’expérience dans le domaine de la sécurité de l’information, notamment dans l’élaboration, la mise en œuvre et la gestion de programmes de sécurité complexes, la conception de dispositifs d’analyse et de gestion des risques, ainsi que la mise en œuvre de programmes visant à répondre aux exigences réglementaires et de conformité.

À propos de l’auteur

F5

Autres articles de F5