Coders Conquer Security OWASP Top 10 API Series - Journalisation et surveillance insuffisantes

La faille liée à une journalisation et une surveillance insuffisantes résulte généralement d'une stratégie de cybersécurité défaillante concernant l'enregistrement des tentatives d'authentification échouées, des accès refusés et des erreurs de validation des entrées. Elle peut survenir à d'autres étapes de l'environnement de production, mais elle est principalement associée à l'incapacité d'intercepter les tentatives de connexion invalides.

Il s'agit d'une vulnérabilité dangereuse, car elle signifie que les équipes de cybersécurité ne réagiront pas aux attaques, faute d'en être informées. Cela confère un avantage majeur aux attaquants, leur permettant de rester inaperçus pendant qu'ils tentent de pénétrer davantage dans un système ou d'élever leurs privilèges. En réalité, sans une journalisation et une surveillance adéquates, il devient très difficile, voire impossible, de détecter et d'arrêter les attaques avant qu'elles ne causent des dommages importants.

Prêt à tester vos compétences avec un défi dès maintenant ? Jetez un œil à ceci :

Comment les attaquants exploitent-ils une journalisation et une surveillance insuffisantes ?

Toute API est vulnérable à une journalisation et une surveillance insuffisantes si le niveau de journalisation n'est pas correctement configuré, s'il est trop bas, si les messages d'erreur manquent de précision ou si aucune fonction de journalisation n'est présente.

Un exemple intéressant serait celui d'un pirate informatique ayant obtenu une vaste liste de noms d'utilisateurs compromis pour un site web ou un service. Par expérimentation, il pourrait découvrir qu'il faut trois tentatives de connexion infructueuses avant que le compte ne soit verrouillé et que le personnel de cybersécurité ne soit alerté.

Armé de cette information, au lieu de tenter une attaque par force brute sur des comptes isolés, il pourrait créer un script pour essayer de se connecter avec chaque nom de sa liste en utilisant des mots de passe courants comme « 123456 » ou « password ». L'astuce consiste à ne tester chaque nom d'utilisateur qu'une ou deux fois, restant ainsi sous le seuil de verrouillage et d'alerte. Avec un peu de chance, il compromettra quelques mots de passe dès le départ. Ensuite, il attend simplement que le compteur de tentatives se réinitialise le lendemain pour recommencer avec d'autres mots de passe comme « qwerty » ou « god ». Si les administrateurs ne détectent jamais ses agissements, les attaquants peuvent parcourir la liste à plusieurs reprises et finir par compromettre la plupart des comptes utilisant des mots de passe faibles.

C'est ce qui s'est produit dans l'exemple fourni par l'OWASP, où une plateforme de partage de vidéos a été victime d'une attaque par bourrage d'identifiants (credential stuffing) exploitant cette vulnérabilité. Jusqu'à ce que l'entreprise commence à recevoir des plaintes d'utilisateurs, elle ignorait totalement que l'attaque était en cours. Finalement, après avoir trouvé des preuves dans les journaux de l'API, elle a dû notifier tous ses utilisateurs pour qu'ils changent leur mot de passe et signaler l'incident aux autorités de régulation.

Éliminer la vulnérabilité liée à une journalisation et une surveillance insuffisantes

L'automatisation et une surveillance constante peuvent aider à mettre fin à cette vulnérabilité. Pour commencer, toutes les tentatives d'authentification échouées doivent être consignées. Ces journaux doivent être formatés de manière lisible par une machine, comme STIX et TAXII, afin d'être intégrés dans un système de gestion des événements et des informations de sécurité (SIEM) configuré pour détecter les attaques, quels que soient les seuils utilisés.

Vous devez également protéger vos fichiers journaux. Considérez-les comme des informations sensibles et empêchez leur suppression ou leur modification par des attaquants. Une bonne pratique consiste à sauvegarder les fichiers journaux et à les chiffrer.

Enfin, créez des tableaux de bord et des alertes personnalisés afin que toute activité suspecte puisse être détectée et traitée le plus rapidement possible. En réduisant le temps dont dispose un attaquant dans le système, vous neutralisez sa capacité à utiliser des techniques furtives pour rester indétecté.

Consultez les pages du blog Secure Code Warrior pour plus d'informations sur cette vulnérabilité et sur la manière de protéger votre organisation et vos clients contre d'autres failles de sécurité. Vous pouvez également demander une démonstration de la plateforme de formation Secure Code Warrior pour maintenir vos compétences en cybersécurité à jour.