Analyse du secteur de la cybersécurité : une autre vulnérabilité récurrente à corriger

Une version de cet article a été publiée dans Help Net Security. Il a été mis à jour et syndiqué ici.

‍

J'ai passé ma carrière à trouver, corriger, discuter et analyser les vulnérabilités logicielles, d'une manière ou d'une autre. Je sais que, concernant certaines failles de sécurité courantes, bien qu'elles soient dans notre radar depuis les années 90, elles continuent de tourmenter nos logiciels et de causer des problèmes majeurs, alors même que la solution (souvent simple) est connue depuis presque aussi longtemps. On a vraiment l'impression de vivre un jour sans fin, où notre industrie semble répéter les mêmes erreurs en espérant un résultat différent.

Il y a cependant un autre petit problème. Nous ne recevons ni conseils réalistes ni solutions rapides pour contrer l'assaut incessant qu'est la cybersécurité moderne. Bien sûr, chaque violation est unique et de nombreux vecteurs d'attaque peuvent être exploités dans des logiciels vulnérables. Les conseils génériques applicables seront limités, mais l'approche fondée sur les meilleures pratiques semble de plus en plus défaillante.

À cet égard, je me demande pourquoi une si grande partie des commentaires et analyses sur la cybersécurité omet des solutions qui s'attaquent réellement à la cause profonde de tant de vulnérabilités : l'humain. Le récent Hype Cycle for Application Security de Gartner, ainsi que le rapport The State of Application Security 2021 de Forrester, deux bibles pour les experts en sécurité qui contribuent indéniablement à façonner leurs programmes et l'adoption potentielle de produits, sont presque entièrement axés sur les outils. Un rapport d'Aberdeen en 2017 montrait à quel point la pile technologique de sécurité moyenne était devenue ingérable, les RSSI gérant des centaines de produits dans le cadre de leurs stratégies de sécurité ; quatre ans plus tard, nous sommes confrontés à plus de risques, plus de vulnérabilités et plus d'ajouts à ces monstres technologiques en constante expansion.

Les outils de sécurité sont indispensables, mais nous devons élargir notre vision et rétablir l'équilibre en accordant une place centrale à l'humain dans la défense de la sécurité.

L'automatisation est l'avenir. Pourquoi devrions-nous nous soucier de l'élément humain dans la cybersécurité ?

Pratiquement tout dans notre vie est alimenté par des logiciels, et il est vrai que l'automatisation remplace les éléments humains autrefois présents dans de nombreux secteurs. C'est un signe de progrès dans un monde qui se numérise à une vitesse fulgurante, avec l'IA et l'apprentissage automatique comme sujets brûlants qui permettent à de nombreuses organisations de rester tournées vers l'avenir.

Alors, pourquoi une approche de la cybersécurité centrée sur l'humain serait-elle autre chose qu'une solution archaïque à un problème technologique en constante évolution ? Le fait que des milliards d'enregistrements de données aient été volés lors de violations l'année dernière, y compris la récente violation de Facebook affectant plus d'un demi-milliard de comptes, devrait indiquer que nous n'en faisons pas assez (ou que nous n'adoptons pas la bonne approche) pour porter un coup d'arrêt sérieux aux acteurs malveillants.

Les outils de cybersécurité sont une composante indispensable de la cyberdéfense, et ils auront toujours leur place. Les analystes ont eu parfaitement raison de recommander les outils les plus récents dans une approche d'atténuation des risques pour les entreprises, et cela ne changera pas. Cependant, la qualité du code (et, par définition, la sécurité) étant difficile à gérer au vu du volume de production, les outils ne peuvent pas faire le travail seuls. À ce jour, aucun outil ne peut :

• Scanner chaque vulnérabilité, dans chaque langage:framework
• Scanner à haute vitesse
• Minimiser le double traitement causé par les faux positifs et négatifs

Les outils peuvent être lents, encombrants et difficiles à manier. Surtout, ils ne font que détecter les problèmes : ils ne les corrigent pas et ne proposent pas de solutions. Cela nécessite des experts en sécurité, qui sont rares et surchargés, et qui doivent trier une montagne de résultats de tests d'intrusion et de scans pour trouver les informations pertinentes.

Le fait est que, selon le rapport IBM Cyber Security Intelligence Index, l'erreur humaine joue un rôle dans 95 % de toutes les violations de données réussies. Près de la moitié d'entre elles sont directement liées à des vulnérabilités logicielles, dont beaucoup pourraient être atténuées par une meilleure adhésion au codage sécurisé et une sensibilisation dès les premières étapes du cycle de vie du développement logiciel (SDLC). Cependant, pour y parvenir, il est essentiel de mettre davantage l'accent sur la formation des développeurs et de l'intégrer intrinsèquement à leur flux de travail.

Qu'on le veuille ou non, les humains sont profondément ancrés dans le processus de développement logiciel, et la cybersécurité est avant tout un problème humain. Les outils ne seront pas une solution miracle pour corriger une faille fondamentale dans notre approche, mais ils peuvent jouer un rôle de soutien clé pour remodeler les solutions humaines.

Et si nous construisions simplement de meilleurs outils (et en plus grande quantité) ?

Les outils de sécurité ne cessent de s'améliorer. Les outils SAST/DAST/IAST ont fait beaucoup de chemin, gagnant en vitesse et en intelligence, et le RASP devrait être une option défensive sérieuse dans de nombreux environnements applicatifs. Pare-feu, gestionnaires de secrets, applications de sécurité cloud et réseau : tout cela va de soi.

Les humains peuvent toujours s'efforcer de créer de meilleurs outils, mais l'innovation ne suit pas le rythme des besoins en sécurité et en protection des données du monde numérique dans lequel nous vivons. Les outils sont, pour la plupart, conçus pour des robots. Ils peuvent aider les développeurs et l'équipe de sécurité à scanner, surveiller ou protéger le code, mais l'interaction est très limitée, et très peu de solutions visent à accroître la sensibilisation à la sécurité ou à améliorer les compétences fondamentales qui pourraient conduire à de meilleurs résultats en matière de sécurité.

En fait, plus de la moitié des entreprises ne savent même pas si les outils fonctionnent pour elles, et ne sont pas convaincues qu'elles pourraient éviter une violation de données dévastatrice. C'est un constat très préoccupant qui, dans une industrie obsédée par les outils et manquant de soutien pour une approche différente, tend à consolider le statu quo et les problèmes sous-jacents.

Comment une organisation peut-elle tirer parti d'une approche de la sécurité centrée sur l'humain ?

Il ne fait aucun doute qu'anticiper les tendances en matière de sécurité des applications est bénéfique, et peut même aider à prioriser les mises à niveau ou les consolidations au sein d'une infrastructure technologique surchargée. Cependant, négliger la cause profonde des logiciels vulnérables — nous, simples humains — nous condamne à perdre la bataille de la cybersécurité.

Si nous voulons réduire sérieusement le nombre de vulnérabilités au niveau du code, les développeurs doivent disposer des bases nécessaires pour partager la responsabilité de la sécurité. Ils ont besoin d'une formation pratique pertinente, d'un perfectionnement en cours d'emploi et d'outils fonctionnels qui ne perturbent pas leur flux de travail et ne font pas de la sécurité une corvée. Idéalement, certains outils devraient être centrés sur le développeur, avec une expérience utilisateur privilégiée.

À ce jour, aucun programme de certification de sécurité formel n'existe pour les développeurs, mais chaque entreprise peut tirer profit de l'évaluation et du développement des compétences en codage sécurisé, afin d'éliminer les vulnérabilités courantes tôt et souvent, avant que l'infrastructure technologique ne doive intervenir et ralentir l'ensemble du processus.

Une équipe de développeurs sensibilisés à la sécurité est un trésor caché pour toute organisation, mais comme tout ce qui a de la valeur, la mise en place d'une équipe idéale demande du temps et des efforts. Convaincre les développeurs de l'importance de la sécurité et de considérer le codage sécurisé comme un pilier de la qualité du code exige un engagement à l'échelle de l'entreprise. Lorsque des équipes entières prennent conscience de leur rôle clé dans l'élimination des vulnérabilités dès l'écriture du code, aucun outil au monde ne peut rivaliser.