Protéger le parcours de données de votre organisation

Partout dans le monde, les entreprises de toutes tailles et de tous secteurs subissent une forme ou une autre de transformation informatique. En fait, les sociétés ont accéléré la numérisation de leurs opérations internes et externes de trois à quatre ans depuis qu'une pandémie a bouleversé le monde. Si le COVID-19 peut être considéré comme un accélérateur majeur de ce changement, les dirigeants organisationnels reconnaissent également l'importance stratégique d'intégrer la technologie dans l'ensemble de leurs activités.

Un écosystème complexe

Pour beaucoup, la transformation sera motivée par l'adoption de logiciels tiers commerciaux prêts à l'emploi déployés en interne, d'applications SaaS (Software as a Service) hébergeant des données sensibles, et de bibliothèques open source tierces utilisées pour construire des logiciels. Si l'introduction de technologies modernes est le signe d'un progrès nécessaire, les entreprises ne doivent pas négliger les risques de sécurité potentiels qui accompagnent toute cette innovation. La prédominance des chaînes d'approvisionnement logicielles exposera les entreprises impréparées de manière nouvelle et complexe, repoussant les limites des défenses de sécurité traditionnelles.

Les chaînes d'approvisionnement logicielles vulnérables ont même attiré l'attention du gouvernement américain, confirmant l'urgence de ce risque croissant en cybersécurité. En mai, les dirigeants gouvernementaux ont fait un premier pas vers une approche proactive des menaces potentielles qui se cachent dans un écosystème croissant de dépendances tierces. Le décret 14028 décrit un plan appelant le gouvernement à « faire des changements audacieux et des investissements significatifs afin de défendre les institutions vitales qui sous-tendent le mode de vie américain ». Le décret met l'accent sur la sécurité des « logiciels critiques », qui, note le gouvernement, « manquent de transparence, d'une attention suffisante à la capacité du logiciel à résister aux attaques, et de contrôles adéquats pour prévenir la falsification par des acteurs malveillants ».

Le National Institute of Standards and Technology (NIST) a défini les mesures de sécurité pour protéger les logiciels critiques, en mettant l'accent sur les défenses nécessaires pour protéger les données, et pas seulement les systèmes et le réseau qui les entourent. Cette approche, qui se concentre sur la protection des données et de tous les chemins y menant, reconnaît le problème insoluble des applications et bibliothèques logicielles tierces qui ont un accès direct aux données sensibles. Comme en témoignent les attaques réussies menées au cours des derniers mois, les organisations d'entreprise doivent tenir compte du fournisseur de leur fournisseur ou des logiciels tiers qui sous-tendent leurs applications et interfaces si nous voulons véritablement atténuer la menace des attaques sur la chaîne d'approvisionnement logicielle.

S'attaquer au problème de front

Historiquement, les entreprises se sont concentrées sur le risque introduit par leur ensemble immédiat de fournisseurs et les logiciels critiques dont elles dépendent. Cette posture n'est plus suffisante, car la transformation informatique repousse les limites du réseau traditionnel et rend les contrôles hérités moins efficaces.

Si une entreprise peut avoir les bons contrôles de sécurité en place, cela ne signifie pas que ses fournisseurs tout au long de la chaîne d'approvisionnement logicielle en font autant. La stratégie de sécurité ne peut plus reposer sur la confiance accordée à tout ce qui provient de l'écosystème, même de la part de partenaires et fournisseurs. L'expansion de la chaîne d'approvisionnement logicielle, ainsi que la complexité des applications modernes, signifie que les vulnérabilités seront introduites à une vitesse accrue. Pour faire face à l'ampleur croissante des attaques au sein du cycle de vie de développement logiciel, les organisations doivent adopter un modèle de menace qui inclut toutes les parties de la chaîne d'approvisionnement, y compris le code de n-ième niveau.

Les applications modernes sont alimentées par un écosystème complexe d'interfaces de programmation d'applications (API), de microservices et de fonctions serverless. Avec des charges de travail plus éphémères et des architectures distribuées, il n'y a pas de solution miracle pour l'analyse logicielle en pré-production. Même dans le cycle de vie de développement logiciel (SDLC) le plus rigoureux, la complexité du développement signifie que des vulnérabilités seront introduites. C'est encore pourquoi la protection de tous les chemins vers les données doit être la stratégie fondamentale des organisations.

La protection des applications à l'exécution

Comme en témoignent les attaques antérieures sur la chaîne d'approvisionnement logicielle, les acteurs malveillants manœuvrent furtivement au sein de la chaîne d'approvisionnement en exploitant la vulnérabilité d'une connexion logicielle tierce, l'utilisant pour se déplacer latéralement et finalement accéder aux données de la cible.

La sécurité des applications web doit évoluer et se concentrer davantage sur l'identification du comportement des applications à l'exécution, comme le fait que du code tiers soit responsable d'actions indésirables. Ce n'est qu'en bloquant les comportements inattendus qu'on peut prévenir les nouveaux comportements d'attaque. Cela sera crucial à mesure que l'informatique d'entreprise évolue vers des environnements d'applications modernes et diversifiés.

Les outils d'analyse d'applications sont excellents, mais peu susceptibles d'identifier les logiciels tiers compromis intégrés dans les applications. Les outils périmétriques peuvent être trompés par un trafic apparemment anodin provenant d'applications jusqu'à ce que les signatures soient publiées. Enfin, si de nombreuses entreprises déploient la sécurité des terminaux, cette technologie est souvent aveugle aux attaques d'applications, car elles n'ont rarement besoin de toucher les appareils des utilisateurs dans les premiers stades.

Au lieu de cela, les entreprises doivent déployer la protection d'application à l'exécution (RASP) pour détecter et prévenir les attaques en temps réel et depuis l'intérieur d'une application. Cette technologie, recommandée dans la révision 5 de NIST SP 800-53, peut identifier les attaques jusqu'à une ligne de code exacte et arrêter automatiquement l'exploitation d'une vulnérabilité, donnant aux organisations le temps nécessaire pour corriger les vulnérabilités selon leur propre calendrier.

Pour permettre l'innovation et maintenir un avantage concurrentiel, les organisations devront moderniser leurs opérations. Une grande partie de cette transformation dépendra d'applications et de services tiers.

Cependant, les vulnérabilités logicielles et d'applications sont des problèmes de sécurité fondamentaux, et les entreprises doivent en prendre note. En tant que telles, elles devraient mettre l'accent sur leurs défenses, en particulier les API qui sous-tendent leur transformation numérique.

Avec des attaquants trouvant des moyens furtifs d'éviter les défenses et d'accéder aux données sous-jacentes, il est essentiel que les bons contrôles soient en place et que les outils appropriés soient utilisés pour véritablement protéger les données et tous les chemins y menant.

Peter Klimek est directeur de la technologie, Bureau du CTO, chez Imperva.