Repenser le logiciel dans la hiérarchie organisationnelle

Une version de cet article a été publiée dans Dark Reading. Il a été mis à jour et syndiqué ici.

‍

Tout le monde a probablement déjà vu, au cours de sa carrière, l'un de ces organigrammes qui définissent la hiérarchie au sein d'une entreprise. Parfois simplement appelé organigramme, c'est un outil utile pour savoir qui travaille pour qui et qui sont les supérieurs. Par exemple, dans un organigramme classique, le responsable d'un groupe de développement peut rendre compte au directeur du développement produit, qui lui-même rend compte au vice-président de l'innovation. Les lignes d'autorité se prolongent ainsi dans toute la structure de l'entreprise. Qui n'a jamais cherché son propre petit bloc sur l'un de ces schémas ?

Il n'est pas étonnant que les humains soient si fascinés par la hiérarchie et la structure. C'est ce qui nous a historiquement permis de survivre en tant qu'espèce, même à l'époque où nous étions confrontés à un monde très dangereux. Nous n'avons jamais été les plus forts ni les plus rapides, mais nous avons su travailler en équipe, chacun connaissant sa place et sa responsabilité pour maintenir notre famille, notre tribu ou notre groupe en vie et prospère. L'organigramme moderne est en fait le prolongement de cette réussite ancestrale.

Mais il y a une chose que presque tous les organigrammes ont en commun, quelle que soit la taille de l'entreprise. Pour la plupart, tous les blocs de ces schémas représentent des humains ou des groupes d'humains. Nous ne sommes pas encore à l'étape où les machines peuvent superviser les humains ; pour l'instant, les organigrammes restent une affaire exclusivement humaine. Mais nos logiciels ont-ils eux aussi besoin d'une hiérarchie organisationnelle ?

Bien sûr, je ne suggère pas d'ajouter des logiciels à nos organigrammes d'entreprise. Personne ne veut avoir une application comme patron. Comment lui demander une augmentation ? Cependant, le paysage des menaces auquel nos applications sont confrontées aujourd'hui n'est pas sans rappeler l'environnement dangereux de nos ancêtres. En définissant les responsabilités de nos logiciels au sein d'une hiérarchie stricte et en appliquant le principe du moindre privilège, nous pouvons nous assurer qu'ils survivent et prospèrent malgré les menaces dévastatrices qui pèsent sur eux.

Les attaques contre les applications et les logiciels atteignent un niveau record

Pour comprendre la nécessité de créer de meilleures hiérarchies organisationnelles pour les logiciels, il faut d'abord comprendre le paysage des menaces. Les attaquants actuels, ainsi que les bots et les logiciels automatisés qu'ils utilisent, recherchent constamment la moindre faille à exploiter. Bien que le phishing et d'autres attaques visant les humains soient toujours d'actualité, les pirates les plus expérimentés concentrent désormais l'essentiel de leurs efforts sur les logiciels.

Si tous les logiciels sont visés, les attaques les plus réussies ciblent les interfaces de programmation d'applications, ou API. Ces API discrètes sont de petits morceaux de code utilisés par les développeurs pour effectuer diverses tâches essentielles. Souvent flexibles et uniques, elles sont parfois créées à la volée selon les besoins du processus de développement.

Les API sont certes flexibles, mais elles sont aussi souvent dotées de privilèges excessifs par rapport à leurs fonctions. Les développeurs ont tendance à leur accorder de larges permissions pour qu'elles continuent de fonctionner même lorsque le programme évolue. Mais si un attaquant les compromet, il obtient bien plus que l'accès à une partie d'une base de données. Il peut même capturer des droits quasi administrateur sur l'ensemble d'un réseau.

Il n'est pas surprenant que plusieurs sociétés de recherche en sécurité affirment que la grande majorité des attaques par vol d'identifiants visent aujourd'hui des logiciels comme les API. Akamai estime ce chiffre à 75 % du total, tandis que Gartner indique que les vulnérabilités liées aux API sont devenues le vecteur d'attaque le plus fréquent. Le dernier rapport de Salt Labs montre que les attaques contre les API ont augmenté de près de 700 % par rapport à l'année dernière.

Créer un organigramme pour les logiciels

L'une des façons dont les organisations luttent contre le vol d'identifiants consiste à appliquer le principe du moindre privilège, voire le « zéro confiance », au sein de leurs réseaux. Cela limite les permissions des utilisateurs au strict nécessaire pour accomplir leurs tâches. Cet accès est souvent restreint par des facteurs tels que le temps et le lieu. Ainsi, même en cas d'attaque réussie, l'attaquant ne pourra effectuer que des actions limitées pendant une courte période.

Le moindre privilège est une bonne défense, mais il n'est généralement appliqué qu'aux utilisateurs humains. Nous oublions souvent que les API possèdent également des privilèges élevés et sont rarement aussi réglementées. C'est l'une des raisons pour lesquelles le contrôle d'accès défaillant est désormais l'ennemi public numéro un selon l'OWASP, qui suit les modèles de cyberattaques.

Il est facile de dire que la solution consiste à appliquer le moindre privilège aux logiciels, mais c'est beaucoup plus difficile à mettre en œuvre. D'abord, les développeurs doivent être sensibilisés aux dangers. Ensuite, les API et autres logiciels devraient être officiellement intégrés, ou du moins envisagés, comme faisant partie d'un organigramme au sein du réseau informatique. Par exemple, si une API doit récupérer des données de vol en temps réel, il n'y a aucune raison qu'elle puisse se connecter aux systèmes de paie ou de finance. Sur l'organigramme logiciel, il n'y aurait aucun lien direct entre ces systèmes.

Il est sans doute irréaliste de demander aux développeurs de créer un organigramme pour les millions d'API de leur organisation. Mais prendre conscience du danger et restreindre leurs permissions au strict nécessaire contribuera grandement à stopper les attaques par vol d'identifiants. Tout commence par la sensibilisation et se termine par le traitement des API avec la même rigueur que les utilisateurs humains.
‍

Vous souhaitez faire monter en compétence votre équipe ? Gérez la sécurité des API et plus encore grâce à notre plateforme d'apprentissage agile et nos outils de sécurité pour développeurs.