Le facteur humain oublié à l'origine des failles de sécurité des applications web

Le rapport 2018 de Verizon sur les violations de données est une fois de plus une lecture incontournable pour rester informé en matière de cybersécurité, notamment sur les tendances de la cybercriminalité et les causes des incidents. Ses analyses aident les organisations à faire mûrir leur programme de sécurité. Cette année, les enquêteurs de Verizon ont analysé plus de 53 000 incidents et environ 2 200 violations. Ils offrent des enseignements concrets sur les risques à surveiller et les erreurs à éviter, ainsi que des recommandations précieuses pour orienter les efforts de sécurité. Le rapport 2018 a su évoluer avec son temps, s'adressant à un public professionnel plus large à mesure que les enjeux de sécurité deviennent une préoccupation majeure pour les entreprises.

Parmi ses nombreuses conclusions, le rapport 2018 confirme que la plupart des piratages surviennent encore via des failles dans les applications web (il existe même un graphique interactif très instructif à ce sujet).

Les attaques d'applications web désignent tout incident où l'application a servi de vecteur d'attaque. Cela inclut l'exploitation de vulnérabilités au niveau du code et le contournement des mécanismes d'authentification. Il est à noter que le nombre de violations liées à ce schéma a diminué grâce au filtrage des attaques de botnets utilisant des identifiants volés sur les appareils des clients. L'utilisation d'identifiants volés reste la principale méthode de piratage dans les violations impliquant des applications web, suivie par les injections SQL (nous y reviendrons...).

Un thème ressort particulièrement cette année : le rôle critique du « facteur humain » dans l'équation de sécurité, à la fois comme source du problème et comme élément de solution. Le rapport traite des acteurs externes et internes, soulignant que les erreurs sont à l'origine de près d'une violation sur cinq (17 %). Ces incidents surviennent lorsque des employés oublient de détruire des informations confidentielles, envoient un e-mail à la mauvaise personne ou configurent mal des serveurs web. Bien que ces actes ne soient pas malveillants, le rapport rappelle qu'ils peuvent s'avérer très coûteux.

Mais il existe un facteur humain souvent oublié qui cause de nombreuses failles de sécurité : la fréquence élevée avec laquelle les développeurs créent du code contenant des vulnérabilités, lesquelles mènent inévitablement à ces incidents et violations.

Les tests d'applications réalisés ces 5 dernières années ne montrent guère d'amélioration quant au nombre de vulnérabilités découvertes, et les mêmes failles persistent. Un rapport Veracode de 2017, basé sur 400 000 scans, indique que seules 30 % des applications respectent la politique OWASP Top 10. Étonnamment, les injections SQL sont apparues dans près d'une application scannée sur trois au cours des 5 dernières années. Je dis étonnamment car les injections SQL existent depuis 1999. La persistance de ces mêmes failles prouve que ce « facteur humain » chez les développeurs n'est pas traité de manière adéquate.

C'est ici que je dois prendre la défense des développeurs. Comment sont-ils censés écrire du code sécurisé si personne ne leur explique pourquoi c'est important, quelles sont les conséquences d'un code non sécurisé et, surtout, comment éviter de créer ces vulnérabilités dans leurs frameworks respectifs ?

C'est notre mission chez Secure Code Warrior. Nous constatons que les entreprises intégrant une formation pratique au code sécurisé dans le quotidien de leurs développeurs réduisent le nombre de vulnérabilités créées. Pour écrire un code sûr, les développeurs ont besoin d'un apprentissage régulier et interactif qui renforce leurs compétences. Ils doivent étudier les vulnérabilités récentes, dans du code réel et spécifiquement dans leurs langages ou frameworks. Cette expérience doit leur apprendre à localiser, identifier et corriger les failles connues. Ils ont également besoin d'outils de qualité qui facilitent la sécurité sans ralentir leur travail, en les guidant en temps réel sur les bonnes pratiques de codage.

C'est ainsi que nous pouvons réduire concrètement le nombre de violations d'applications web.

Je rejoins totalement Verizon sur la nécessité d'accroître la sensibilisation à la sécurité dans toute l'entreprise. Mon message aux DSI et RSSI est simple : « n'oubliez pas vos développeurs ! ». Ces architectes de vos entreprises modernes peuvent être un « facteur humain » générant des points d'entrée pour les pirates, ou devenir votre première ligne de défense, vos héros de la sécurité.

Une montée en compétences efficace des développeurs pourrait réellement changer les résultats des futurs rapports Verizon. Il serait intéressant que le rapport 2019 reconnaisse la formation à la sécurité comme une stratégie clé de réduction des risques. Je suis optimiste, et je parierais volontiers que si les entreprises apprenaient à leurs développeurs à éviter les failles d'injection, le nombre de vulnérabilités web chuterait considérablement.

Découvrez notre plateforme en action pour voir comment les développeurs peuvent monter en compétences rapidement dans un environnement de formation ludique :

Relevez un défi de code sécurisé

Consultez nos ressources d'apprentissage gratuites

Comment les développeurs sont-ils censés écrire du code sécurisé si personne ne leur explique pourquoi c'est important, quelles sont les conséquences d'un code non sécurisé et, surtout, comment éviter de créer ces vulnérabilités dans leurs frameworks respectifs ?