Menaces automatisées de l’OWASP contre les applications web

Ce projet de l’OWASP vise à identifier les menaces automatisées ciblant les applications web et à recommander des mesures de sécurité ainsi que des bonnes pratiques pour atténuer les risques associés.

Découvrez comment F5 résout ce problème

Les menaces automatisées désignent les attaques malveillantes menées par des bots, des scripts ou des boîtes à outils de piratage, plutôt que par des personnes interagissant manuellement avec l’application web. Ces menaces peuvent exploiter les vulnérabilités inhérentes aux applications web et aux API, entraînant des failles de sécurité, des vols de données, des prises de contrôle de comptes, des fraudes et d’autres conséquences préjudiciables.

L’objectif de l’OWASP (Open Worldwide Application Security Project), à travers son projet Automated Threats to Web Applications Project, est de fournir une compréhension complète et normalisée des différentes menaces automatisées auxquelles les applications web sont couramment confrontées. Ces attaques automatisées ciblent de plus en plus les applications mobiles et les API. Le projet rassemble des travaux de recherche et des analyses portant sur des attaques automatisées réelles contre des applications web afin de produire une documentation permettant aux exploitants de se défendre contre ces menaces.

Que sont les menaces automatisées ?

Les menaces automatisées désignent des attaques malveillantes menées par des bots, des scripts ou des boîtes à outils de piratage, plutôt que par des personnes interagissant manuellement avec l’application web. Ces menaces peuvent exploiter les vulnérabilités inhérentes aux applications web et aux API, entraînant des failles de sécurité, des vols de données, des prises de contrôle de comptes, des fraudes et d’autres conséquences préjudiciables.

Bien que la présence d’un panier dans votre application ne constitue pas une vulnérabilité en soi, la logique métier permettant d’ajouter des articles au panier peut également être ciblée et manipulée par des systèmes automatisés, entraînant une accumulation abusive de stocks.

Le projet a créé un catalogue, ou une taxonomie, des différentes menaces automatisées ciblant les applications web. En identifiant et en classant ces menaces, les développeurs, les professionnels de la sécurité et les organisations peuvent mieux comprendre les risques auxquels ils sont confrontés et leur impact potentiel sur leurs systèmes. Pour chaque menace automatisée, le projet recommande également des contre-mesures efficaces et des bonnes pratiques afin d’atténuer les risques. En sensibilisant à ces menaces, l’OWASP vise à encourager l’adoption de mesures de sécurité proactives et à améliorer le niveau global de sécurité des applications web.

Étant donné que de nombreuses menaces automatisées reposent sur des bots, il est utile de faire la distinction entre la gestion des bots et leur neutralisation. La gestion des bots désigne les stratégies et les pratiques utilisées pour gérer les bots qui interagissent avec les applications web. Son objectif n’est pas seulement de bloquer ou de neutraliser les bots, mais aussi de distinguer le trafic légitime généré par des bots (par exemple, les robots d’indexation des moteurs de recherche) des bots malveillants. La neutralisation des bots vise spécifiquement à réduire ou à éliminer l’impact des bots malveillants sur les applications web. Elle consiste à mettre en œuvre des mesures défensives afin d’empêcher les bots de mener à bien des actions nuisibles ou des attaques susceptibles d’entraîner une prise de contrôle de compte (ATO) et des fraudes.

La liste OWASP des menaces automatisées visant les applications web

Voici la liste des menaces automatisées identifiées et répertoriées par le projet OWASP Automated Threats to Web Applications.

Agrégation de comptes. L’objectif de ces attaques est de collecter les identifiants de comptes utilisateurs sur plusieurs sites ou plateformes, souvent à des fins malveillantes telles que l’usurpation d’identité, la fraude financière ou l’accès non autorisé à des informations sensibles. Les attaques par agrégation de comptes sont menées à l’aide de robots ou de scripts automatisés qui imitent les interactions humaines avec différents services ou applications web.
Création de comptes. Ces attaques impliquent que des acteurs malveillants utilisent des scripts automatisés ou des bots pour créer un grand nombre de faux comptes utilisateur sur une plateforme ou un site web. Les attaquants peuvent utiliser ces faux comptes pour inonder la plateforme de contenus indésirables, de publicités ou de liens malveillants, perturbant et gênant ainsi les utilisateurs légitimes. Les faux comptes peuvent également servir à manipuler l’opinion publique et les avis ou évaluations sur un site web ou une application, ou à usurper l’identité d’utilisateurs réels ou de personnalités publiques afin de diffuser de fausses informations ou de nuire à leur réputation. Cette menace peut également entraîner une fraude à l’ouverture de nouveaux comptes, aussi appelée fraude interne, et a des répercussions sur l’ensemble du monde numérique.
Fraude publicitaire. Également appelée fraude au clic, cette menace consiste à recourir à des pratiques trompeuses pour falsifier le nombre d’interactions avec des publicités en ligne, telles que les clics ou les impressions. Ces actions frauduleuses sont généralement réalisées à l’aide de bots ou de scripts automatisés et visent à générer des revenus pour les fraudeurs ou à manipuler les indicateurs de performance publicitaire.
Contournement des CAPTCHA. Cette menace recourt à des techniques automatisées pour contourner les tests CAPTCHA et constitue une préoccupation majeure pour la sécurité des applications web, car elle permet aux acteurs malveillants de contourner une protection courante contre les bots. Le CAPTCHA (test de Turing public entièrement automatisé visant à distinguer les ordinateurs des humains) est un dispositif de sécurité permettant de différencier les utilisateurs humains des bots ou scripts automatisés. Les attaquants peuvent utiliser des logiciels de reconnaissance d’images pour résoudre les CAPTCHA visuels et déployer des algorithmes d’apprentissage automatique pour résoudre les CAPTCHA audio et les CAPTCHA sous forme de casse-tête. Dans certains cas, ils font appel à des personnes chargées de résoudre les CAPTCHA qui les résolvent manuellement en temps réel. Bien qu’il s’agisse d’un dispositif de sécurité couramment utilisé, le CAPTCHA peut être contourné et complique le parcours des utilisateurs légitimes, ce qui peut entraîner l’abandon de transactions et une perte de revenus.
Craquage de cartes. Il s’agit d’un type de cybercriminalité automatisée qui consiste à deviner ou à contourner les dispositifs de sécurité d’une carte de paiement, tels que le numéro de carte, la date d’expiration et le cryptogramme visuel (CVV/CVC). Le craquage de cartes repose généralement sur des attaques par force brute, au cours desquelles des bots ou des scripts automatisés testent systématiquement de nombreuses combinaisons de données de carte jusqu’à en trouver une correspondant à une carte valide. Une fois les données d’une carte valide identifiées, elles peuvent être utilisées pour diverses activités illégales, telles que des achats non autorisés ou des fraudes financières. L’attaquant peut prendre quelques cartes-cadeaux physiques non créditées dans un magasin physique afin de déterminer si l’émetteur des cartes-cadeaux utilise des séquences de numérotation.
Carding. Cette forme de cybercriminalité automatisée consiste à utiliser sans autorisation des données de cartes de paiement volées afin d’effectuer des transactions ou des achats frauduleux. Les cybercriminels utilisent des bots ou des scripts automatisés pour tester les données de cartes de crédit ou de débit volées sur différents sites web ou applications afin de repérer ceux qui les acceptent. Une fois les cibles vulnérables identifiées, les bots automatisés utilisent les données de cartes volées pour effectuer des achats frauduleux, souvent de biens de grande valeur ou de services numériques, ou pour transférer le solde disponible vers d’autres comptes.
Conversion en liquidités. Il s’agit de convertir des actifs illiquides ou de la monnaie virtuelle en fonds utilisables dans le monde réel ou en biens matériels. Cette menace survient souvent à la suite d’attaques réussies ayant entraîné le vol d’actifs de valeur sur des plateformes ou des comptes en ligne. Lorsque des attaquants prennent le contrôle de comptes d’utilisateurs sur des applications web ou des plateformes en ligne, ils peuvent les utiliser pour convertir en liquidités les actifs de leurs propriétaires, tels que des cartes-cadeaux, des points de fidélité ou de la monnaie virtuelle. Les bots sont souvent utilisés pour faciliter cette conversion, car ils permettent aux cybercriminels de mener ces activités frauduleuses à grande échelle et de manière efficace.
Craquage d’identifiants. Cette menace est un type d’attaque par force brute qui cible les mécanismes de connexion des applications web, tels que les pages de connexion, les portails de comptes utilisateurs ou les API d’authentification. L’attaquant utilise des outils automatisés pour tester systématiquement des combinaisons courantes de noms d’utilisateur et de mots de passe jusqu’à en trouver une qui fonctionne et lui permet d’accéder sans autorisation aux comptes utilisateurs. Il peut alors mener des activités malveillantes, telles que l’usurpation d’identité, la fraude financière ou d’autres actions non autorisées.
Bourrage d’identifiants. Le bourrage d’identifiants, l’une des menaces les plus courantes visant les applications web, se produit lorsque des cybercriminels se procurent des listes de paires nom d’utilisateur/mot de passe, souvent achetées sur le dark web, et tentent de les utiliser pour accéder à d’autres comptes protégés par une connexion. Comme de nombreuses personnes réutilisent leurs noms d’utilisateur et mots de passe, ces attaques (également appelées prises de contrôle de compte) peuvent être particulièrement efficaces, permettant aux criminels de prendre le contrôle des comptes d’utilisateurs afin de voler des actifs ou de commettre des fraudes au préjudice de tiers.
Déni de stock. Cette attaque consiste, pour les attaquants, à rendre indisponibles des produits vendus en ligne en utilisant des bots pour ajouter un grand nombre d’articles à un panier, sans aller jusqu’au paiement pour les acheter. Les autres clients ne peuvent alors plus acheter ces produits, car le système les considère comme étant en rupture de stock, tandis que le vendeur est privé de la vente puisque l’achat n’est jamais finalisé. Une variante de cette menace automatisée consiste à utiliser des bots pour effectuer des réservations ou poser des options sur des chambres d’hôtel, des tables de restaurant ou des sièges d’avion sans procéder au paiement.
Déni de service (DoS) et déni de service distribué (DDoS). Ces attaques sont des tentatives malveillantes visant à perturber le fonctionnement normal d’un système ou d’un réseau cible afin de le rendre indisponible pour les utilisateurs légitimes. Lors d’une attaque DDoS, l’attaquant submerge la cible avec un volume massif de trafic ou de requêtes sollicitant ses ressources, ce qui entraîne une surcharge des serveurs et rend le service inaccessible. Ces attaques peuvent être menées de différentes manières, notamment en inondant la cible de paquets ou en envoyant des requêtes spécialement conçues. Les attaques DoS et DDoS sont similaires, mais une attaque DDoS fait intervenir plusieurs sources, généralement coordonnées au moyen de botnets, c’est-à-dire des réseaux d’ordinateurs ou d’appareils compromis sous le contrôle de l’attaquant. Celui-ci coordonne ces différentes sources afin qu’elles lancent simultanément l’attaque contre la cible. En exploitant les ressources combinées du botnet, l’attaquant peut générer un volume massif de trafic ou de requêtes, dépassant ainsi les capacités du système cible et provoquant un déni de service. Ces attaques peuvent saturer les tables d’état des pare-feu, les ressources du processeur et la bande passante de l’infrastructure. Une attaque DoS peut être exécutée au moyen d’une seule requête soigneusement conçue et adressée à une application web, par exemple une requête SQL complexe entraînant une forte utilisation du processeur et une dégradation des performances.
Accélération abusive. Cette menace consiste à utiliser des bots ou des scripts automatisés pour exécuter rapidement une série de processus applicatifs en contournant les restrictions ou les contrôles habituels. En automatisant ces processus, les attaquants ou les utilisateurs malveillants peuvent obtenir un avantage déloyal sur les autres utilisateurs légitimes. Cette pratique est souvent associée à la tromperie et peut entraîner des pertes pour d’autres parties.
Prise d’empreinte. Les acteurs malveillants utilisent la prise d’empreinte comme technique de collecte d’informations afin de recueillir et d’analyser les caractéristiques ou attributs uniques du navigateur web ou de l’appareil d’un utilisateur, dans le but de créer une « empreinte » distinctive. Ils peuvent ainsi identifier et suivre des utilisateurs individuels sur différents sites web et plateformes en ligne, ou établir le profil d’une application en vue de l’attaquer ultérieurement.
Cartographie. Il ne s’agit pas en soi d’une menace automatisée, mais plutôt d’une phase préliminaire d’un processus de piratage ou de reconnaissance. La cartographie consiste à utiliser des bots ou des scripts pour recueillir des informations sur la structure, la configuration et les mécanismes de sécurité d’une application web ciblée, afin de permettre aux attaquants de mieux planifier leurs attaques ultérieures, par exemple en lançant des exploits ciblés pour obtenir un accès non autorisé ou exploiter des vulnérabilités spécifiques.
Le scalping ou l’accaparement de stocks. Il s’agit d’une forme d’automatisation des achats dans laquelle des attaquants utilisent des bots pour acheter de grandes quantités de biens ou de services disponibles en quantité limitée dès leur mise en vente en ligne (par exemple, des billets de concert ou des baskets en édition limitée). En finalisant instantanément le processus de commande, les cybercriminels prennent le contrôle d’une grande partie de ces stocks précieux, qui sont généralement revendus sur des marchés secondaires avec une marge importante, entraînant une pénurie artificielle, une indisponibilité des stocks et la frustration des consommateurs.
Extraction de données. Bien qu’elle ne soit pas intrinsèquement malveillante, l’extraction de données est un processus automatisé qui consiste à extraire des données de sites web ou d’applications web. Elle devient une menace automatisée lorsqu’elle est utilisée à des fins non autorisées ou malveillantes, par exemple lorsque des bots collectent le contenu d’un site web cible afin de l’analyser, de le réutiliser ou de manipuler les prix, en particulier sur les marchés concurrentiels. L’extraction de données peut également nuire aux performances du site et empêcher les utilisateurs légitimes d’y accéder.
Falsification des métriques. Ce phénomène se produit lorsque des acteurs malveillants cliquent, effectuent des requêtes ou soumettent du contenu de manière répétée sur une application web, afin d’influencer délibérément des métriques propres à l’application, telles que le nombre de vues, les mentions « J’aime », les impressions, les résultats de sondages, la fréquence ou les taux. Cette falsification peut être réalisée à l’aide de robots automatisés qui imitent le comportement humain afin de générer des interactions artificielles avec l’application web. Elle vise à manipuler et à fausser les données produites par les métriques de l’application, ce qui entraîne des résultats inexacts ou trompeurs.
Enchère de dernière seconde. Il s’agit d’un type d’activité malveillante qui consiste à utiliser des bots ou des scripts automatisés pour obtenir un avantage concurrentiel dans le cadre d’enchères, de ventes ou de systèmes de réservation en ligne. L’expression « enchère de dernière seconde » est couramment employée dans le contexte d’événements chronométrés ou d’articles disponibles en quantité limitée, où la rapidité et la précision du timing jouent un rôle crucial, ne laissant pas suffisamment de temps à un autre utilisateur pour enchérir ou faire une offre. Cette pratique permet aux attaquants de bénéficier d’un avantage concurrentiel sur les utilisateurs humains qui participent manuellement à l’événement, car les bots peuvent exécuter des actions plus rapidement et avec davantage de précision.
Spam. Il s’agit de contenus malveillants ou d’informations douteuses diffusés par des bots et apparaissant dans des contenus publics ou privés, des bases de données ou des messages d’utilisateurs sur des applications web. Ces contenus malveillants peuvent inclure des logiciels malveillants, des fenêtres contextuelles IFRAME, des photographies, des vidéos, des publicités ainsi que du code de suivi ou de surveillance. Les attaquants utilisent également le spam pour publier de faux commentaires sur des forums et d’autres applications de messagerie afin de falsifier des informations ou de diffuser des logiciels malveillants.
Craquage de jetons. Cette attaque automatisée consiste, pour des cybercriminels, à tester en masse des numéros de coupons, des codes de bons d’achat et des jetons de réduction. L’avantage obtenu peut prendre la forme d’une remise, d’une somme d’argent, d’un crédit ou de l’accès à une offre spéciale.
Analyse des vulnérabilités. Cette menace consiste à utiliser des outils ou des scripts automatisés pour détecter et exploiter les vulnérabilités des applications web. Contrairement à l’analyse légitime des vulnérabilités, qui vise à repérer les faiblesses afin d’améliorer la sécurité, l’analyse des vulnérabilités en tant que menace automatisée est menée dans l’intention malveillante de compromettre la sécurité de l’application. Les cybercriminels utilisent des outils ou des scripts d’analyse automatisés pour examiner systématiquement les applications accessibles sur Internet, généralement dès qu’une vulnérabilité est divulguée. Une fois les vulnérabilités détectées, ils tentent de les exploiter afin d’obtenir un accès non autorisé à l’application, aux données sensibles ou à l’infrastructure serveur sous-jacente.

Plaidoyer en faveur de contrôles de sécurité intégrés

F5 répond aux risques de sécurité de l’OWASP

F5 soutient la fondation OWASP et son engagement en faveur de l’amélioration de la sécurité des logiciels et de la sensibilisation aux risques et vulnérabilités liés à la sécurité des applications web, à plusieurs niveaux. En effet, certains risques de sécurité sont communs aux applications web et aux API et doivent être pris en compte lors de la mise en œuvre de solutions de sécurité. Par exemple :

Contrôles d’authentification et d’autorisation insuffisants
Mauvaise configuration
Abus de la logique métier (bourrage d’identifiants, prise de contrôle de compte)
Falsification de requête côté serveur (SSRF).

F5 propose des solutions pour faire face aux risques décrits dans le projet Automated Threats to Web Applications de l’OWASP.F5 Distributed Cloud Bot Defense prévient la fraude et les abus susceptibles de contourner les solutions existantes de gestion des bots, et fournit une surveillance et des renseignements en temps réel ainsi qu’une analyse rétrospective basée sur le machine learning afin de protéger les entreprises contre les attaques automatisées, sans créer de friction pour les utilisateurs ni perturber l’expérience client. Distributed Cloud Bot Defense reste efficace quelle que soit la manière dont les attaquants adaptent leurs outils, que les attaques passent des applications web aux API ou qu’elles tentent de contourner les défenses contre l’automatisation en falsifiant les données de télémétrie ou en faisant appel à des personnes pour résoudre les CAPTCHA. Les solutions F5 Bot Management offrent des points d’insertion flexibles à partir de proxys d’applications, de plateformes et de réseaux de diffusion de contenu (CDN).

Solutions F5 Web Application Firewall bloquent et atténuent également un large éventail de risques recensés dans l’OWASP Top 10, une liste largement reconnue des risques de sécurité les plus critiques pour les applications web. Les solutions WAF de F5 combinent des protections basées sur les signatures et les comportements, notamment les renseignements sur les menaces de F5 Labs et une sécurité fondée sur le machine learning, afin de suivre l’évolution des menaces émergentes. Elles réduisent la charge et la complexité liées à la sécurisation cohérente des applications dans les environnements cloud, sur site et en périphérie, tout en simplifiant la gestion grâce à une infrastructure SaaS centralisée. Les WAF de F5 rationalisent également la sécurité des applications en intégrant des protections aux frameworks de développement et aux pipelines CI/CD, avec des fonctionnalités de sécurité essentielles, une orchestration centralisée et une supervision depuis un tableau de bord unique offrant une vue à 360 degrés des performances des applications et des événements de sécurité dans l’ensemble des applications distribuées. Un WAF intégré à une solution spécialisée de défense contre les bots constitue une solution robuste pour atténuer les principaux risques de sécurité, notamment l’exploitation des vulnérabilités et les menaces automatisées.

F5 répond aux risques recensés dans le Top 10 de l’OWASP sur la sécurité des API grâce à des solutions qui protègent contre l’élargissement de la surface d’attaque et les menaces émergentes à mesure que les applications évoluent et que les déploiements d’API se multiplient. Les solutions F5 de protection des applications web et des API (WAAP) défendent l’ensemble de la surface d’attaque des applications modernes grâce à des protections complètes comprenant un WAF, la sécurité des API, l’atténuation des attaques DDoS des couches 3 à 7 et une protection contre les bots pour contrer les menaces automatisées et les fraudes qui en résultent. La plateforme distribuée facilite le déploiement de politiques cohérentes et l’adaptation de la sécurité à l’échelle de l’ensemble de votre parc d’applications et d’API, quel que soit leur environnement d’hébergement, tout en intégrant les protections au cycle de vie des API et aux écosystèmes de sécurité au sens large.

F5 propose également une protection DDoS multiniveau pour une sécurité en ligne avancée, sous la forme d’un service managé d’atténuation fourni dans le cloud, qui détecte et atténue en temps réel les attaques à grande échelle ciblant le réseau, les protocoles et les applications. Ces mêmes protections sont également disponibles sous forme de solutions matérielles et logicielles sur site, ainsi que de solutions hybrides. F5 Distributed Cloud DDoS Mitigation protège contre les attaques volumétriques et propres aux applications de couches 3 et 4, ainsi que contre les attaques avancées de couche 7, avant qu’elles n’atteignent votre infrastructure réseau et vos applications.

Pour en savoir plus sur la manière dont les composants de la plateforme F5 ADSP protègent contre les risques de sécurité de l’OWASP, veuillez consulter les ressources suivantes :

Contenu associé