Gardez une longueur d'avance sur le codage sécurisé
Le paysage des cybermenaces évolue constamment et il est plus important que jamais de garder une longueur d'avance. Grâce à notre gamme de vidéos, de blogs et de directives pratiques sur le codage sécurisé, nous vous aidons à rester à jour et prêt à faire face aux défis de demain.
Nos dernières directives en matière de codage sécurisé.
Utilisation de composants présentant des vulnérabilités connues
{
"dependencies": {
"foo": "1.0.0 - 2.9999.9999",
"bar": ">=1.0.2 <2.1.2"
}
}
La plupart des applications utilisent un grand nombre de composants tiers. Ces derniers assurent diverses fonctions, de la journalisation au templating, en passant par l'accès aux bases de données. Si cela facilite grandement le développement logiciel et permet un gain de temps considérable, ces composants sont créés par des humains et peuvent donc inévitablement contenir des vulnérabilités. Consultez nos directives pour en savoir plus.
Injection SQL
import mysql.connector
db = mysql.connector.connect
#Mauvaise pratique. À éviter ! Exemple à but pédagogique uniquement.
(host="localhost", user="newuser", passwd="pass", db="sample")
cur = db.cursor()
name = raw_input('Entrez le nom : ')
cur.execute("SELECT * FROM sample_data WHERE Name = '%s';" % name) for row in cur.fetchall(): print(row)
db.close()
L'injection SQL (SQLi) consiste à injecter du code dans des instructions SQL pour attaquer une application et en extraire des données sensibles. Il s'agit d'une vulnérabilité de sécurité web courante, utilisée pour manipuler des bases de données et dérober des informations critiques.
Configuration de sécurité incorrecte
De nombreux frameworks proposent également des points de terminaison activables permettant de surveiller l'application, que ce soit en environnement de production ou de test/développement.
Métriques (Prometheus)
Journaux
Informations sur l'environnement
Mappages de chemins/URL
La mauvaise configuration de sécurité est un terme générique qui regroupe des vulnérabilités courantes liées aux paramètres de configuration d'une application, plutôt qu'à un code défectueux. Il s'agit d'un sujet vaste qui dépend fortement de facteurs tels que votre pile technologique. Bien que la résolution de ces problèmes semble souvent simple, comme la modification d'un fichier de configuration ou d'une seule ligne de code, l'impact et les conséquences de ces vulnérabilités peuvent être graves. Consultez notre guide pour en savoir plus sur cette vulnérabilité et sur la manière de l'atténuer.
Falsification de requête côté serveur
ts
let url = request.params.url;
let response = http.get(url);
let render = response.render();
return render.export();
Les vulnérabilités de type Server-Side Request Forgery (SSRF) surviennent lorsqu'un utilisateur est en mesure de pousser une application à effectuer des requêtes HTTP vers un domaine déterminé par un attaquant. Si une application a accès à des réseaux privés ou internes, un attaquant peut également forcer l'application à effectuer des requêtes vers des serveurs internes. Nous examinerons cela plus en détail avec quelques exemples dans ce guide pour mieux comprendre à quoi cela ressemble en pratique.
