Dans un monde parfaitement équilibré, la disponibilité et la sécurité seraient sur un pied d’égalité. Les utilisateurs d’applications sont certainement tout aussi soucieux de la sécurité de leurs données que de pouvoir y accéder.
Comme nous ne le savons que trop bien, notre monde est loin d’être parfaitement équilibré. Les utilisateurs sont tout aussi susceptibles — voire davantage — de supprimer une application et de délaisser une marque en raison de problèmes de disponibilité et de performances qu’à la suite d’une violation de données.
Oh, ils continuent de faire grand bruit lorsqu’une faille se produit. Mais en général, cela coûte de l’argent à l’entreprise plutôt que des utilisateurs fidèles.
Cette dichotomie se reflète dans les priorités que nous ont indiquées les professionnels de la sécurité dans le Rapport 2018 de F5 Labs sur la protection des applications. Pour les RSSI, la principale préoccupation n’est pas, contrairement à ce que leur fonction pourrait laisser penser, la sécurité. Dans une précédente étude consacrée aux RSSI, « L’évolution du rôle des RSSI et leur importance pour l’entreprise », la majorité des RSSI ont déclaré que leur principale préoccupation était la disponibilité et que la prévention des interruptions de service des applications constituait la mission première de leur organisation.
Cela ressort également de notre prochain rapport sur l’état de l’automatisation des réseaux. Lorsqu’on leur a demandé quels indicateurs étaient utilisés pour mesurer la réussite individuelle et collective, la « disponibilité du réseau » est arrivée en tête pour 59 % des professionnels de la sécurité, suivie de près par la « disponibilité des applications », citée par près de la moitié (49 %) des répondants du secteur de la sécurité.
La notion de disponibilité englobe également les performances. La vitesse est considérée comme une composante de la disponibilité, et la sécurité est souvent sacrifiée lorsqu’il s’agit de détecter les attaques qui aboutissent. L’inspection des données, essentielle pour détecter les codes et données malveillants, étant coûteuse et génératrice de latence, elle est souvent perçue comme contre-productive.
L’accent mis sur la disponibilité constitue un atout pour les attaquants. Conscient que leurs cibles accordent la priorité à la disponibilité, le rapport de F5 Labs indique : « les attaquants planifient également des attaques DDoS pour faire diversion et dissimuler des vols de données et des fraudes perpétrés simultanément pendant que les administrateurs ont l’attention détournée ». Cette technique, appelée « écran de fumée », n’a rien de nouveau. Comme nous l’indiquions en 2017, les organisations sont de plus en plus souvent la cible d’attaques DDoS volumétriques visant à masquer les véritables intentions des attaquants.
Et ce sont les consommateurs qui en font les frais.
La disponibilité comme diversion
De plus en plus, les attaquants détournent notre attention en exploitant l’importance que nous accordons à la disponibilité. Cette évolution est préoccupante, car ils intensifient leurs tactiques et mobilisent tous les outils à leur disposition pour se frayer un chemin à travers les réseaux, les infrastructures et les applications jusqu’au trésor qui se trouve derrière leurs portes : les données. Le fait est que les attaquants ne se servent plus uniquement des utilisateurs et des systèmes qui les séparent de leur objectif. Aujourd’hui, ils exploitent également les données elles-mêmes.
Dans le rapport 2018 sur la protection des applications de F5 Labs, les chercheurs ont analysé des données sur les violations et les attaques provenant de diverses sources. Les résultats n’étaient pas vraiment surprenants, mais ils sont préoccupants.
Au premier trimestre 2018, 70 % des violations de données analysées avaient pour cause première des attaques par injection web. Cela n’a rien de surprenant si vous avez suivi jusqu’ici. Au cours de la dernière décennie, 23 % de l’ensemble des violations de données indiquent que le vecteur d’attaque initial était une injection SQL. Cette technique est si répandue qu’elle figurait en tête du Top 10 de l’OWASP en 2017.
En fait, près de la moitié (46 %) des attaques visant les applications web basées sur PHP reposaient sur des injections. Les professionnels de la sécurité doivent garder à l’esprit que PHP est omniprésent. Builtwith.com, qui recense les technologies utilisées pour créer les applications qui composent Internet, indique que 43 % des sites web figurant parmi le million le plus consulté sont développés en PHP. Les États-Unis hébergent près de dix-huit millions de sites de ce type, et près de la moitié (47 %) des dix mille sites les plus consultés utilisent ce langage.
Cela représente un vaste éventail de cibles parmi lesquelles les attaquants peuvent — et savent — faire leur choix. Selon le rapport, sur plus de 21 000 réseaux distincts ayant fait l’objet d’attaques, 58 % ciblaient des sites basés sur PHP.
Les données sont une cible de plus en plus prisée (et lucrative)
Avant d’incriminer le langage utilisé, il est important de noter que les chercheurs de F5 Labs recommandent également de rester attentif aux attaques par désérialisation. Ces attaques ne sont pas propres à un langage et ciblent les données elles-mêmes. Extrait du rapport :
« La sérialisation se produit lorsque les applications convertissent leurs données dans un format (généralement binaire) afin de les transmettre, le plus souvent d’un serveur à un navigateur web, d’un navigateur web à un serveur ou d’une machine à une autre par l’intermédiaire d’API. »
En intégrant des commandes ou en altérant des paramètres dans le flux de données, les attaques parviennent souvent à pénétrer directement dans l’application sans être filtrées. Les applications — ou composants d’application — qui ne filtrent ni n’assainissent les données peuvent être exposées à des vulnérabilités, comme ce fut le cas avec Apache Struts. Les attaques par désérialisation sont considérées comme une menace suffisamment importante pour qu’OWASP les ait ajoutées à son classement des 10 principales menaces l’année dernière. Étant donné que 148 millions d’Américains et 15,2 millions de citoyens britanniques ont été touchés par une vulnérabilité de ce type, les attaques par désérialisation méritent davantage d’attention qu’elles n’en reçoivent, malgré leur utilisation relativement limitée dans la pratique.
Ce qui est révélateur à propos de ces deux menaces, c’est qu’elles suivent un même fil conducteur : les données ne sont pas fiables non plus. Qu’elles soient modifiées intentionnellement ou qu’elles se greffent sur des requêtes légitimes, les attaques se dissimulent de plus en plus dans le flux de données.
Mais ne nous focalisons pas trop sur l’application et ses données au point d’oublier que le reste de la pile est tout aussi vulnérable et susceptible d’être pris pour cible. Le recours persistant à des protocoles de chiffrement faibles, tels que SSL et TLS 1.0, pourtant obsolètes, est une source de frustration. Ces protocoles ont été abandonnés parce qu’ils présentent de nombreuses failles de sécurité qui facilitent leur exploitation par des attaquants cherchant à obtenir un accès.
Comme le souligne le rapport, « De nouvelles vulnérabilités nommées du protocole TLS sont publiées environ deux fois par an. Toutefois, à l’exception de Heartbleed, la majorité de ces vulnérabilités relèvent de la recherche universitaire et sont rarement exploitées lors d’une véritable violation de données. L’un des cas les plus importants a concerné Community Health Systems (CHS) en 2014. CHS a perdu près de cinq millions de numéros de sécurité sociale lorsqu’un attaquant a exploité la vulnérabilité Heartbleed ».
Menace faible, risque élevé. Personne ne veut être ce cas rare, mais tôt ou tard, cela arrive à quelqu’un.
La sécurité et la disponibilité doivent être placées sur un pied d’égalité
La réalité, c’est que nous entrons dans une ère où il ne suffit plus de ne faire confiance à personne. Nous devons examiner plus en profondeur les différentes couches de la pile afin de détecter les attaques conçues pour neutraliser et contourner les protections mises en place pour sécuriser les applications et les données. Nous devons envisager la protection des applications comme un processus continu qui évalue en permanence l’état de l’ensemble de la pile applicative, du réseau aux services en passant par l’infrastructure. Cela signifie que nous devons accorder autant d’importance à la sécurité de nos données qu’à la rapidité avec laquelle nous les fournissons.
Nous devons garder à l’esprit la règle zéro de la sécurité : ne jamais faire confiance aux entrées utilisateur. Nous devons également nous rappeler que les données font partie de ces entrées. Il faut donc renforcer la sécurité en inspectant les données entrantes et en trouvant des moyens de limiter les éventuelles répercussions sur les performances et la disponibilité.
Cela signifie qu’il faut reconnaître que la disponibilité n’est parfois qu’une diversion et que nous ne pouvons pas nous permettre de tomber dans le piège. La sécurité mérite — et doit avoir — une place à la même table que la disponibilité et les performances. La priorité d’un RSSI doit être la sécurité, et non la disponibilité.
Car si le RSSI ne prend pas la défense de la sécurité, qui le fera ?
Vous trouverez davantage d’informations et d’analyses dans le rapport 2018 de F5 Labs sur la protection des applications, notamment des conseils utiles sur les attaques et les protections qui existent à tous les niveaux de la pile applicative.
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.