Les logiciels malveillants mobiles et autres activités malveillantes continuent de menacer les utilisateurs lorsqu’ils font des achats, effectuent des opérations bancaires, consultent leurs données de santé et bien plus encore, le tout depuis leur téléphone. Si l’utilisateur final a un rôle à jouer pour éviter d’être victime d’une attaque, il incombe en définitive aux fournisseurs d’applications — équipe produit, équipe des opérations et équipes chargées de la confidentialité et de la sécurité — de garantir la sécurité de l’environnement mobile. Les données sensibles qui transitent par ces applications mobiles doivent également être protégées de tout accès non autorisé et des regards indiscrets.
Les risques liés aux appareils mobiles sont légèrement différents
Alors que les organisations ont accru leurs investissements dans la protection du cloud, des réseaux et des applications web, nombre d’entre elles continuent de traiter les applications mobiles de la même manière que les terminaux traditionnels, tels que les ordinateurs de bureau et portables, qu’ils appartiennent à l’entreprise ou soient utilisés dans le cadre d’une politique BYOD.
Cependant, l’environnement mobile peut présenter des défis spécifiques qui exposent ces systèmes à des compromissions. Par exemple, les attaquants ont souvent recours aux méthodes suivantes pour compromettre un appareil, voler des données, obtenir un accès privilégié et détourner l’application de son usage prévu :
- Reconditionnement d’applications mobiles
- Injection de logiciels malveillants
- Détournement des frameworks de hooking
- Réalisation d’attaques par superposition
Une fois qu’un acteur malveillant a pris le contrôle d’une application mobile, il peut rebondir depuis celle-ci pour lancer des attaques automatisées contre les applications côté serveur. Il peut alors mener diverses attaques à l’aide de bots malveillants, telles que le bourrage d’identifiants, la prise de contrôle de comptes, l’extraction de données, et bien plus encore.
L’objectif principal de tout programme de sécurité est de protéger l’environnement contre toute compromission, mais cet objectif final est souvent motivé en premier lieu par la nécessité de respecter des normes de conformité, telles que les suivantes :
- Confidentialité : RGPD, CCPA
- Paiements : EMVCo SBMP, PCI-DSS et PSD2
- Dossiers médicaux : HIPAA
C’est pourquoi des experts de Google Cloud et de F5 se sont réunis pour organiser un webinaire afin d’aborder ces défis et de proposer une voie à suivre permettant aux équipes d’ingénierie cloud, aux développeurs d’applications, aux équipes d’exploitation et aux professionnels de la sécurité de collaborer pour garantir une gestion adéquate de la sécurité des applications mobiles dans l’ensemble de leurs programmes DevSecOps.
Dans ce contexte global, il est notamment essentiel de choisir une infrastructure adaptée, capable de répondre aux exigences des applications mobiles modernes et adaptatives d’aujourd’hui, tout en offrant de manière transparente sécurité et confidentialité aux utilisateurs finaux, sans nuire à leur expérience. Il est tout aussi important de protéger le processus de livraison du pipeline CI/CD contre les perturbations et les retards.
La diversité des points de vue compte
Lors du webinaire, Jess Steinbach, modératrice chez ActualTech Media, a présenté plusieurs scénarios à Joshua Haslett, responsable des partenariats technologiques stratégiques chez Google Cloud, et à Peter Zavlaris, évangéliste en cybersécurité chez F5.
Direction d’entreprise
Ce n’est pas parce qu’une organisation respecte une ou plusieurs réglementations ou normes que les risques et les implications juridiques liés à ses applications mobiles disparaissent. De même, le profil de risque des applications mobiles doit être envisagé différemment de celui des applications web traditionnelles, tout en étant intégré dans une vision globale des risques.
Le panel a également examiné comment les dirigeants d’entreprise pourraient s’impliquer davantage afin d’évaluer et de quantifier l’évolution du risque pour l’entreprise lorsqu’une application mobile est susceptible d’être prise en main par des acteurs malveillants.
Opérations informatiques et de sécurité
Les équipes informatiques et de sécurité ont l’occasion de collaborer afin de mieux anticiper certains des changements qu’elles devront apporter à leur infrastructure pour intégrer efficacement la sécurité des applications mobiles à leur cycle de développement et de livraison.
Bien entendu, l’objectif est d’y parvenir sans incidence majeure sur les outils, la livraison, la structure des équipes ou les opérations. Les intervenants ont abordé l’utilisation de technologies low-code pour déployer et configurer la sécurité des applications mobiles, ainsi que la manière dont les conclusions de précédents tests d’intrusion ou audits peuvent les aider à définir la stratégie, la planification et la communication nécessaires à la mise en place d’un programme AppSec plus robuste intégrant leurs applications mobiles.
Ingénierie et opérations de développement
Pour aider ce groupe à mieux comprendre comment les applications mobiles qu’il développe peuvent être compromises, les intervenants ont expliqué le fonctionnement des attaques par reconditionnement et par hooking d’applications, tout en partageant leur expérience du terrain sur la manière dont les équipes d’ingénierie et d’exploitation peuvent coordonner leurs efforts afin de mieux protéger leurs applications contre ces menaces.
Sur une note plus positive, les intervenants ont également expliqué comment les équipes d’ingénierie peuvent tirer des avantages insoupçonnés de leur pipeline CI/CD en ayant une vision claire des risques de sécurité liés à leurs applications mobiles et un plan pour y remédier. La sécurité ne se limite pas toujours à atténuer les risques : dans ce cas, elle peut aussi améliorer les processus et les résultats.
Des exemples concrets illustrent l’importance de passer à l’action
Le groupe a également évoqué plusieurs exemples concrets afin de montrer la nécessité d’intégrer le mobile au processus global de CI/CD et de DevSecOps :
- Maintien de la conformité : les équipes peuvent satisfaire aux exigences réglementaires telles que le RGPD et la loi HIPAA, avec peu ou pas d’incidence sur la livraison et la maintenance des applications mobiles.
- Opérations rationalisées : les équipes informatiques peuvent mieux faire face à l’augmentation des menaces mobiles sans s’épuiser, en appliquant les bonnes pratiques de communication entre elles et avec l’équipe de direction.
- Défense contre les menaces au sein de l’application : une équipe DevOps peut surveiller et évaluer en continu la posture AppSec afin de protéger efficacement son application contre les menaces qui la ciblent lors de son exécution, tout en échangeant des informations critiques avec l’équipe SecOps pour apporter la meilleure réponse possible.
Mettez fin à la folie des attaques mobiles
Si vous souhaitez savoir comment votre programme de sécurité des applications mobiles se mesure aux menaces en temps réel qui ciblent ces systèmes lors de leur exécution, regardez à la demande le webinaire « Empêchez les acteurs malveillants d’attaquer vos applications mobiles ».
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.