Le présent et l’avenir de la protection des applications
Présentation
Dans le monde actuel centré sur les applications, il existe véritablement une application pour tout. Les organisations proposent à leurs employés et à leurs clients des applications leur donnant accès à des données afin d’accroître leur productivité, de répondre aux besoins de l’entreprise et, à terme, de bénéficier d’un avantage concurrentiel. Mais à mesure qu’elles mettent toujours plus de données sensibles à disposition par l’intermédiaire d’applications, elles s’exposent également à des risques croissants. En effet, les utilisateurs d’aujourd’hui se trouvent partout, souvent en dehors du réseau de l’entreprise, et les applications dont ils dépendent peuvent être hébergées n’importe où, des centres de données privés au cloud public. L’organisation dispose donc de moins de visibilité et de contrôle. Il n’est pas surprenant que les cybercriminels profitent de cette exposition en ciblant ces applications, qui échappent en grande partie aux protections de sécurité traditionnelles telles que les pare-feu, les logiciels antivirus et le chiffrement TLS/SSL.
Qu’il s’agisse d’une attaque volumétrique par déni de service (DoS), d’un logiciel malveillant ciblant les navigateurs ou d’une menace persistante avancée, les attaques visant aujourd’hui les applications sont en réalité des tentatives visant à obtenir ou à compromettre les données de l’entreprise. Alors qu’une part croissante des données transite sous forme chiffrée, la majorité des outils de sécurité actuels fonctionnent à l’aveugle, incapables de déchiffrer ces données pour vérifier qu’elles ne sont pas malveillantes.
Traditionnellement, l’approche de la sécurité des applications s’est concentrée sur le cycle de vie du développement logiciel (SDLC), afin de veiller à ce que les développeurs suivent les bonnes pratiques en matière de codage sécurisé. Si la sécurité du code reste un élément essentiel de la stratégie globale de sécurité, elle ne suffit pas à elle seule. Le périmètre de sécurité traditionnel continue de s’estomper à mesure qu’un nombre croissant de terminaux et de réseaux se retrouvent en dehors des infrastructures réseau classiques des entreprises, tandis que les risques pesant sur les applications et les données sensibles de l’entreprise ne cessent d’évoluer.
Les mesures de sécurité doivent être renforcées afin de garantir la protection des applications où qu’elles se trouvent. Aujourd’hui, la grande majorité des attaques ciblent la couche applicative, mais les entreprises n’investissent pas suffisamment dans la sécurité à ce niveau. Il est temps pour les organisations de prendre acte d’une nouvelle réalité : la sécurité doit davantage se concentrer sur les applications.
Une approche de la sécurité des applications fondée sur les risques
Envisager la sécurité des applications sous cet angle fondé sur les risques permet aux organisations de se concentrer sur les défaillances des composants et de garantir une protection optimale des données, qui constituent la cible ultime de la plupart des attaques. En analysant tous les composants d’une application, les organisations peuvent élaborer une stratégie offrant à l’ensemble de l’application la sécurité la plus robuste et la mieux adaptée. En effet, compromettre un seul composant d’une application ou du réseau qui l’achemine — qu’il s’agisse d’une vulnérabilité du code, de la disponibilité du réseau ou du DNS — met en danger l’intégralité de l’application ainsi que les données qu’elle contient.
Composants essentiels de la sécurité des applications
Il est essentiel que les organisations déploient l’ensemble de contrôles de sécurité des applications le plus robuste possible afin de réduire le risque que des données sensibles soient compromises par une attaque au niveau applicatif. Les principaux éléments d’une posture de sécurité proactive et fondée sur une défense en profondeur du périmètre applicatif comprennent les tests de sécurité des applications, les services de pare-feu, les contrôles d’accès et des protections spécifiques contre différents types de menaces.
Tests de sécurité des applications
La sécurité logicielle reste l’un des piliers d’une stratégie globale de protection des applications. Les organisations doivent veiller à ce que les nouveaux sites web et logiciels soient développés de manière sécurisée, mais elles doivent également remédier aux innombrables vulnérabilités déjà présentes dans les sites existants, conçus sans cycle de développement logiciel sécurisé. Il est important de garder à l’esprit que la détection et la correction des vulnérabilités ne sont pas un exercice théorique : l’objectif est d’empêcher un attaquant doué de discernement de pénétrer dans les systèmes de l’entreprise et d’accéder aux données qu’ils protègent. Toutefois, sans une vision claire des adversaires et de leurs tactiques, les professionnels de la sécurité auront du mal à élaborer des stratégies efficaces pour les contrer. À l’avenir, il sera impératif qu’un plus grand nombre de personnes travaillant au sein de la communauté de la sécurité comprennent mieux les logiciels — et leur sécurité.
Les scanners de vulnérabilités permettent d’identifier et de corriger les problèmes logiciels, qu’ils soient détectés avant ou après la mise en ligne de nouveaux sites web et de nouvelles applications web. Toutefois, pour bénéficier d’une protection optimale, les entreprises peuvent associer un scanner de vulnérabilités robuste à un pare-feu d’applications web fonctionnant comme proxy complet.
Pare-feu d’application web
Aujourd’hui, un pare-feu d’applications web robuste et agile n’est pas un luxe, mais une nécessité. L’essor des applications web hébergées dans le cloud s’est accompagné d’attaques de sécurité et de risques toujours plus sophistiqués qui menacent les données des entreprises.
Un pare-feu hybride pour applications web peut aider les entreprises à se protéger contre les menaces du Top 10 de l’OWASP, les vulnérabilités applicatives et les attaques zero-day, quel que soit l’emplacement des applications. De solides défenses contre les attaques par déni de service distribué (DDoS) de couche 7, des techniques de détection et d’atténuation, l’application de correctifs virtuels et une visibilité granulaire sur les attaques permettent de contrer même les menaces les plus sophistiquées avant qu’elles n’atteignent les serveurs du réseau. En outre, la capacité à détecter et à bloquer les attaquants avant qu’ils n’accèdent au centre de données d’une entreprise constitue un avantage majeur. Un pare-feu performant pour applications web, capable de mettre fin aux activités malveillantes dès les premières phases d’une attaque potentielle, permet aux organisations de réduire considérablement les risques et d’accroître l’efficacité de leur centre de données en évitant de mobiliser des ressources pour traiter le trafic indésirable.
Les entreprises doivent rechercher un pare-feu d’applications web qui :
- Fournit une défense proactive contre les réseaux d’attaque automatisés.
- S’intègre aux principaux scanners de test dynamique de sécurité des applications (DAST) afin de corriger immédiatement les vulnérabilités.
- Identifie les événements suspects en établissant une corrélation entre les activités malveillantes et les violations.
- Fournit des rapports faciles à lire afin de simplifier la mise en conformité avec les principales normes réglementaires, telles que la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS), la loi HIPAA et la loi Sarbanes-Oxley.
Inspection SSL
Aujourd’hui, le protocole SSL est omniprésent. Les analystes prévoient que le trafic chiffré représentera près de 64 % de l’ensemble du trafic Internet en Amérique du Nord en 2016, contre seulement 29 % en 2015.1 Les entreprises s’empressent de chiffrer la majeure partie de leur trafic, qu’il s’agisse des e-mails, des réseaux sociaux ou encore des vidéos en streaming. Le niveau de sécurité offert par le protocole SSL est séduisant, mais celui-ci est également devenu un vecteur de vulnérabilité, car les cybercriminels l’utilisent pour dissimuler des logiciels malveillants aux dispositifs de sécurité incapables d’analyser le trafic chiffré.
Les solutions de sécurité d’entreprise doivent disposer d’une visibilité sur ce trafic chiffré afin de s’assurer qu’il n’introduit pas de logiciels malveillants dans le réseau. Une façon de lutter contre ces menaces chiffrées consiste à déployer une solution de « sas » SSL, qui repose sur l’installation d’un contrôleur de mise à disposition d’applications (ADC) de part et d’autre de la chaîne de visibilité. L’ADC le plus proche des utilisateurs déchiffre le trafic sortant et transmet les communications déchiffrées aux dispositifs de sécurité. Ces dispositifs, qui peuvent désormais examiner le contenu, appliquent les politiques et les contrôles afin de détecter et de neutraliser les logiciels malveillants. À l’autre extrémité de la chaîne, un autre ADC chiffre de nouveau le trafic à sa sortie du centre de données. Cette solution permet de conserver les dispositifs de sécurité en ligne tout en veillant à ce qu’ils puissent remplir la fonction pour laquelle ils ont été conçus.
Protection contre les attaques DDoS
Aujourd’hui, la plupart des applications reposent sur Internet. Une attaque DDoS volumétrique peut donc paralyser une application, voire la rendre totalement indisponible. Les attaques DDoS gagnent en ampleur et en complexité, menaçant de submerger les ressources internes des entreprises du monde entier. Elles combinent la saturation par un trafic massif à des techniques furtives ciblant les applications, le tout dans le but de perturber le service pour les utilisateurs légitimes.
Les organisations doivent veiller à mettre en place une stratégie robuste de protection contre les attaques DDoS afin de garantir la disponibilité de leurs applications critiques. Privilégiez des solutions offrant une protection complète et multicouche, des couches L3 à L7, et capables de bloquer les attaques DDoS dans le cloud avant qu’elles n’atteignent le réseau et le centre de données.
Sécurité DNS
Bien qu’elle ne relève pas de la conception traditionnelle de la sécurité des applications axée sur le codage sécurisé, la stratégie DNS d’une entreprise joue un rôle majeur dans la sécurité et la disponibilité de ses applications. Le DNS constitue l’épine dorsale d’Internet, mais aussi l’un des points les plus vulnérables du réseau d’une organisation. Les organisations doivent se protéger contre une variété toujours croissante d’attaques DNS, notamment les inondations de requêtes par amplification DNS, les attaques par dictionnaire et l’empoisonnement DNS.
Une entreprise peut garantir à ses clients — et à ses employés — l’accès aux services web, applicatifs et de bases de données critiques dès qu’ils en ont besoin grâce à une solution qui gère intelligemment le trafic mondial, atténue les menaces complexes en bloquant l’accès aux domaines IP malveillants et s’intègre de manière transparente aux fournisseurs tiers pour le déploiement, la gestion centralisée et la gestion sécurisée des clés DNSSEC. Certaines solutions fournissent un DNS haute performance capable d’évoluer rapidement afin de mieux absorber les attaques DDoS.
Détection de la fraude sur le Web
Il y a cinquante ans, pour braquer une banque, il fallait se rendre sur place. Aujourd’hui, il est possible de le faire à 8 000 kilomètres de distance. Du fait de la dimension mondiale d’Internet, toutes les cibles sont à égale portée des cybercriminels, et les établissements financiers comptent parmi les cibles les plus lucratives en ligne. Pour lutter efficacement contre les risques de fraude, les organisations qui proposent des services financiers sur Internet doivent protéger leurs activités en combinant plusieurs technologies de sécurité.
Envisagez une solution qui contribue à vous protéger contre tout un éventail de vecteurs de menace liés à la fraude, en empêchant les attaquants d’usurper, de désactiver ou de contourner de toute autre manière les contrôles de sécurité. Les organisations peuvent ainsi réduire le risque de pertes financières et de propriété intellectuelle, tout en bénéficiant d’une protection proactive contre les nouvelles menaces web et la fraude.
Contrôles d’accès
Certain des failles de sécurité les plus récentes et les plus préjudiciables ont été causées par la compromission d’identifiants d’utilisateurs et d’administrateurs. Ces failles auraient pu être déjouées en authentifiant et en autorisant les bonnes personnes à accéder aux bonnes informations, et en garantissant une connexion sécurisée aux applications grâce à des technologies d’authentification unique et multifacteur. En outre, la centralisation des contrôles des identités et des accès au niveau de l’entreprise permet d’assurer une authentification sécurisée entre le réseau de l’entreprise et les applications hébergées dans le cloud ou proposées sous forme de logiciel en tant que service (SaaS).
Conclusion : l’avenir de la protection des applications
La protection des applications est extrêmement complexe et, avec la croissance exponentielle de l’Internet des objets et des applications qui l’accompagnent, les difficultés ne font que s’accentuer. En 2010, il existait 200 millions d’applications web ; aujourd’hui, elles sont près d’un milliard.2 (https://www.f5.com/resources/white-papers/the-present-and-future-of-application-protection#footnote02) En 2020, ce chiffre pourrait facilement atteindre cinq milliards. Toutes ces applications constituent des vecteurs de vulnérabilité, et nombre d’entre elles contiennent des données critiques susceptibles d’être ciblées par des attaquants.
En enrichissant leurs portefeuilles de sécurité existants avec des solutions et des services axés sur la couche applicative, les organisations peuvent mieux protéger les applications susceptibles d’exposer leurs données sensibles. Il est essentiel de garantir la protection des applications, quel que soit l’endroit où elles résident, car les enjeux sont considérables.
Il est temps d’élargir la vision de la sécurité des applications afin que les organisations soient mieux à même de sécuriser efficacement tous les composants de leurs applications critiques, de préserver leurs données et de protéger leurs activités.
PUBLIÉ LE 24 FÉVRIER 2016