Série de vidéos pédagogiques sur tableau lumineux consacrée au Top 10 OWASP 2021

94 % des applications testées présentaient une forme de défaillance du contrôle d’accès. Ces défaillances peuvent entraîner la divulgation, la modification ou la destruction non autorisée de données, ainsi qu’une élévation de privilèges, et conduire à une prise de contrôle de compte (ATO), une violation de données, des amendes et une atteinte à l’image de marque.

Les défaillances cryptographiques, auparavant désignées sous le nom d’« exposition de données sensibles », entraînent la divulgation de données sensibles et le détournement de sessions utilisateur. Malgré l’adoption généralisée de TLS 1.3, des protocoles anciens et vulnérables sont encore activés.

L’injection désigne une vaste catégorie de vecteurs d’attaque dans lesquels des données non fiables modifient l’exécution d’une application. Elle peut entraîner le vol de données, la perte de leur intégrité, un déni de service, voire la compromission totale du système. L’injection n’est plus le risque numéro un, mais elle reste redoutable.

La sécurité doit être intrinsèque aux applications. Une conception sécurisée peut néanmoins présenter des défauts d’implémentation entraînant des vulnérabilités. Une conception non sécurisée ne peut pas être corrigée par une implémentation parfaite.

Les erreurs de configuration de sécurité sont une cause majeure de violations de données dans le cloud. Découvrez les bonnes pratiques à adopter et les erreurs à éviter, alors que le développement d’applications modernes, la réutilisation de logiciels et la multiplication des architectures dans différents clouds accentuent ce risque.

Les failles des logiciels open source sont à l’origine de nombreux incidents de sécurité majeurs. La récente vulnérabilité Log4j2 constitue peut-être à ce jour le risque le plus grave de cette catégorie.

Il est essentiel de vérifier l’identité et de mettre en place des mécanismes robustes d’authentification et de gestion des sessions afin de se prémunir contre l’exploitation abusive de la logique métier. La plupart des attaques visant l’authentification sont liées à l’utilisation persistante des mots de passe. Les identifiants compromis, les botnets et les outils sophistiqués offrent un retour sur investissement attractif pour les attaques automatisées telles que le bourrage d’identifiants.

Cette nouvelle catégorie de risques porte sur les hypothèses formulées au sujet des mises à jour logicielles, des données critiques et des pipelines CI/CD sans en vérifier l’intégrité. L’attaque de la chaîne d’approvisionnement de SolarWinds est l’une des plus dévastatrices que nous ayons observées.

Sans une journalisation et une surveillance adéquates des activités de l’application, les violations de sécurité ne peuvent pas être détectées. Cette lacune affecte directement la visibilité, les alertes en cas d’incident et les analyses forensiques. Plus un attaquant reste longtemps indétecté, plus le risque que le système soit compromis augmente.

Les failles SSRF se produisent lorsqu’une application web récupère une ressource distante sans valider l’URL fournie par l’utilisateur. Des attaquants peuvent contraindre l’application à envoyer une requête vers une destination inattendue, même si celle-ci est protégée par un pare-feu, un VPN ou une autre liste de contrôle d’accès réseau (ACL).