Il n’est guère surprenant que la sécurité de la chaîne d’approvisionnement logicielle soit aujourd’hui menacée. Tout d’abord, log4j a fait la une de l’actualité, poussant tout le monde à s’empresser d’atténuer cette vulnérabilité particulièrement répandue et problématique au sein de la chaîne d’approvisionnement logicielle.
Plus récemment, Spring4Shell est apparue sur notre radar, une nouvelle vulnérabilité introduite par un framework qui sème le chaos dans les entreprises contraintes de faire face à cette menace.
Il était donc plutôt réjouissant de voir GitHub proposer de nouvelles fonctionnalités visant à renforcer la sécurité de la chaîne d’approvisionnement logicielle. Cela l’était d’autant plus après avoir pris connaissance du dernier rapport de Sonatype sur l’état de la chaîne d’approvisionnement logicielle, qui présente des statistiques de nature à inquiéter tout professionnel des technologies soucieux de la sécurité, quel que soit son rôle. À retenir :
- Il existe désormais 37 millions de versions de composants open source
- 29 % des projets populaires contiennent au moins une vulnérabilité de sécurité connue
- Augmentation de 650 % sur un an des cyberattaques visant les fournisseurs de logiciels open source
Ces conclusions sont particulièrement préoccupantes, car le rapport a établi qu’« une application moderne contient en moyenne 128 dépendances open source ».
Bon, vous savez que je ne suis pas fan de calculs, mais faisons-en quand même.
Dans le rapport « État de la stratégie applicative 2022 », nous trouvons plusieurs statistiques dignes d’intérêt :
- Les applications modernes (natives pour les conteneurs et mobiles) représentent en moyenne 33 % du portefeuille d’applications de l’entreprise
- Les entreprises de tous les secteurs disposent en moyenne d’un portefeuille d’environ 200 applications
Ainsi, 33 % de 200 signifie qu’une entreprise type possède en moyenne 66 applications modernes dans son portefeuille. Si l’on se base sur la moyenne de dépendances open source établie par Sonatype, une entreprise moyenne pourrait donc devoir assurer la sécurité de 8 448 dépendances open source différentes. Il existe toutefois très certainement des dépendances communes à plusieurs applications. Les applications natives pour conteneurs partagent presque toujours le même environnement d’orchestration de conteneurs (Kubernetes domine actuellement le marché des COE). La charge est donc en réalité moins importante en ce qui concerne le nombre de dépendances distinctes, mais chaque instance doit néanmoins être mise à jour en cas de vulnérabilité.
Sans nous lancer dans d’autres calculs, convenons simplement que la sécurisation de la chaîne d’approvisionnement logicielle représente aujourd’hui une tâche considérable, compte tenu de la taille des portefeuilles d’applications et de l’intégration de dépendances open source.
La nouvelle fonctionnalité de GitHub contribue à résoudre ce problème en « détectant et en bloquant les vulnérabilités qui ne sont actuellement affichées que dans le diff enrichi d’une pull request ». Autrement dit, elle s’intègre au pipeline CI/CD et recherche en temps réel les vulnérabilités connues.
Très bien. Cette fonctionnalité n’a rien d’inhabituel. Depuis des années, le DevSecOps encourage ce type d’approche de sécurité « shift left ». La plupart des pipelines CI/CD, quels que soient les outils utilisés, sont capables d’effectuer des analyses de sécurité du code. Cependant, tous ne permettent pas de rechercher les vulnérabilités connues susceptibles d’être profondément enfouies dans les dépendances ou de résulter d’une erreur de logique plus difficile à détecter.
Bien entendu, vous devez intégrer autant de contrôles de sécurité que possible dans le pipeline CI/CD afin d’éliminer les vulnérabilités et les erreurs qui pourraient vous causer des ennuis par la suite. Mais ce n’est pas pour cela que nous nous sommes livrés à cet exercice.
SRE, logiciels et sécurité de la chaîne d’approvisionnement
Si j’attire l’attention sur le problème que pose la chaîne d’approvisionnement logicielle actuelle, c’est parce que la situation ne fera qu’empirer à mesure que les organisations moderniseront leurs opérations en adoptant des approches SRE. En effet, les pratiques SRE reposent fondamentalement sur l’automatisation, laquelle dépend, comme vous le savez certainement, de logiciels et de scripts dont beaucoup sont — tenez-vous bien — open source.
En fait, il n’est guère surprenant d’apprendre qu’un grand nombre des outils open source utilisés par les équipes DevOps le seront également par les SRE. Pour simplifier les rôles et leur relation, on pourrait dire que les SRE appliquent le DevOps à la production. Alors que les spécialistes DevOps se concentrent généralement sur le pipeline de compilation et de publication des logiciels, les SRE se consacrent au pipeline d’exploitation des logiciels. Cela englobe non seulement les applications, mais aussi les services de sécurité et de mise à disposition des applications, ainsi que les plateformes et les environnements (cœur de réseau, cloud et périphérie, par exemple). Le périmètre d’intervention des SRE couvre l’ensemble de la pile informatique, ce qui complique considérablement leur tâche lorsqu’il s’agit de sécuriser la chaîne d’approvisionnement logicielle.
Il va sans dire que la sécurité de la chaîne d’approvisionnement logicielle doit être une préoccupation pour toutes les organisations, car elle concerne l’ensemble du cycle de vie des applications, du développement à l’exploitation, en passant par la compilation, la publication et le déploiement.
Et cela devrait préoccuper les organisations qui espèrent mener à bien leur transformation numérique. Un changement majeur se profile pour les entreprises du monde entier, et il touche au cœur même de l’organisation : l’architecture d’entreprise.
La plupart des architectures d’entreprise ont été mises en place il y a plusieurs décennies, sur la base de cadres conçus selon le principe que les ressources étaient fixes et rigides, et que le centre de données constituait le cœur de l’univers de l’entreprise.
Tout cela n’est plus vrai et, même si ça l’était, l’entreprise a elle aussi changé. Elle est désormais de plus en plus numérique, et une entreprise numérique reposant sur des processus pilotés par les données ne peut pas être représentée de manière adéquate par une architecture conçue pour représenter une entreprise physique reposant sur des processus pilotés par l’humain. L’architecture d’entreprise doit être modernisée et, dans le cadre de cette modernisation, de nouveaux domaines doivent être intégrés, comme celui des opérations SRE.
Et c’est bien ce qu’elles font. Notre étude menée cette année révèle que 37 % des organisations ont déjà adopté les opérations SRE pour moderniser leurs applications et leurs opérations, tandis que 40 % supplémentaires prévoient de le faire au cours des 12 prochains mois. Cela implique des outils et des scripts, des logiciels et des données, ainsi que tout un ensemble de technologies destinées à accompagner ce nouveau rôle au sein de l’organisation.
Les logiciels, les scripts et les piles technologiques s’accompagnent de chaînes d’approvisionnement et d’enjeux de sécurité. Et s’il y a bien une leçon tirée du DevOps que vous ne pouvez ignorer lorsque vous modernisez les opérations, c’est que les pratiques SRE engendreront en grande partie la même dette technique et les mêmes défis de sécurité.
La bonne nouvelle, c’est que, contrairement au DevOps et aux processus de build, les opérations SRE constitueront une nouvelle pratique pour les organisations. Or, instaurer de nouvelles pratiques implique d’adopter de nouveaux modes de fonctionnement, notamment en intégrant la sécurité dès le départ.
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
Pourquoi devriez-vous vous intéresser à WebAssembly ?
WebAssembly (Wasm) est un jeu d’instructions binaires portable, rapide et sécurisé, qui permet d’exécuter des applications hautes performances sur n’importe quelle plateforme.
Trois choses à savoir sur les applications d’IA
Les applications d’IA sont des applications modernes, mais elles présentent certaines particularités. Découvrez les points essentiels à connaître sur les applications basées sur l’IA.
État des lieux de la stratégie applicative 2022 : il est temps de moderniser les opérations
Il est devenu évident que, pour maintenir la dynamique de leur transformation numérique, les organisations doivent recentrer leurs efforts sur les fonctions métier. Si les expériences destinées aux clients restent prioritaires, il est également indispensable de permettre la numérisation de fonctions telles que les services juridiques, les ressources humaines et la finance. Les DSI prennent donc les commandes, tandis que la transformation numérique passe de la modernisation des applications à celle des opérations.
Clouds multiples ou multicloud : faciliter la transition
La gestion et la sécurisation des charges de travail deviennent complexes à mesure que les entreprises adoptent une stratégie de cloud connecté. Découvrez comment F5 répond au besoin d’une nouvelle approche de la mise en réseau multicloud.
L’expérience client dépend de la visibilité
Une enquête menée par Dimensional Research auprès de plus de 3 000 utilisateurs d’applications mobiles a confirmé ce que beaucoup d’entre nous pensent des attentes actuelles des clients.
Transformation numérique et explosion du portefeuille d’applications
La transformation numérique stimule la croissance des portefeuilles d’applications et modifie la manière dont celles-ci sont développées, déployées, intégrées et, en définitive, utilisées.