Qu'est-ce que le Top 10 de l'OWASP ?

Dans un paysage numérique en constante évolution, la sécurité des applications est une nécessité. L'un des moyens les plus efficaces de renforcer la sécurité de votre application est de l'évaluer à l'aide du Top 10 de l'OWASP. Mais qu'est-ce que le Top 10 de l'OWASP et en quoi est-il important pour vous ?

OWASP Top 10 : un cadre pour la sécurité du web

L'Open Web Application Security Project(OWASP) est une fondation à but non lucratif qui s'efforce de rendre les logiciels sur le web plus sûrs. Son Top 10 est un rapport largement reconnu qui décrit les 10 risques les plus critiques en matière de sécurité des applications web. Il s'agit essentiellement d'une liste de contrôle des faiblesses les plus courantes qui pourraient faire de votre application une cible pour les cybermenaces.

Pourquoi s'intéresser au Top 10 de l'OWASP ?

Le Top 10 de l'OWASP concerne la gestion des risques. La prise en compte des vulnérabilités mises en évidence dans le Top 10 de l'OWASP vous aide à réduire le risque de violation de la sécurité, à développer un code plus sûr et à créer une application plus sécurisée.

Suivre le Top 10 de l'OWASP est également une décision intelligente pour adhérer aux normes réglementaires et donner confiance aux utilisateurs dans votre engagement envers les meilleures pratiques de sécurité. Si votre application traite des données sensibles, vos utilisateurs veulent savoir qu'elle est sûre.

La liste de contrôle de l'OWASP est mise à jour tous les trois ou quatre ans. La dernière mise à jour date de 2021. Des regroupements, des renommages et des réorganisations ont lieu à chaque fois, car les vulnérabilités et les menaces augmentent et diminuent en gravité. Être conscient des dangers actuels peut vous aider à savoir par où commencer et quels sont les risques critiques qui nécessitent une attention immédiate.

Jetons un coup d'œil à la liste de contrôle la plus récente.

Les 10 principaux risques de sécurité des applications Web selon l'OWASP

1. Contrôle d'accès défaillant

Souvent, les restrictions imposées aux utilisateurs authentifiés ne sont pas appliquées. Les pirates peuvent exploiter ces failles pour accéder à des fonctionnalités et/ou des données non autorisées. Ils peuvent être en mesure d'accéder à d'autres comptes d'utilisateurs, de consulter des fichiers sensibles, de modifier ou de détruire des données et de changer les droits d'accès. Ils peuvent même se retrouver avec des droits d'administrateur sur l'ensemble du système. Le Top 10 de l'OWASP insiste sur une règle essentielle : sauf pour les ressources publiques, refuser par défaut.

2. Défaillances cryptographiques

De nombreuses applications web ne protègent pas correctement les données sensibles, telles que les cartes de crédit, les identifiants d'authentification, les dossiers médicaux et autres données personnelles. Les attaquants peuvent voler ou modifier des données faiblement protégées pour commettre des fraudes à la carte de crédit, des usurpations d'identité ou d'autres délits. Pour les entreprises, la propriété intellectuelle et les autres secrets d'affaires doivent être protégés. Veillez à évaluer les besoins de protection des données en transit et au repos. Et évaluez régulièrement les faiblesses de tous les protocoles et algorithmes.

3. L'injection

Les failles d'injection se produisent lorsqu'une application envoie des données non fiables dans le cadre d'une commande ou d'une requête. Les attaquants peuvent inciter l'interpréteur à exécuter des commandes non voulues ou à accéder à des données non autorisées, ce qui entraîne une perte de données, une corruption ou un accès non autorisé. L'examen du code source vous sera utile à cet égard, de même que l'utilisation rigoureuse d'outils de test de la sécurité des applications avant le déploiement en production.

4. Conception non sécurisée

L'OWASP recommande fermement que la sécurité commence avant tout codage. Les défauts de conception ou d'architecture peuvent compromettre une application même si elle est mise en œuvre de manière sécurisée. Cette phase de précodage doit inclure davantage de modélisation des menaces, de modèles et de principes de conception sécurisés et d'architectures de référence. Elle doit impliquer un équilibre entre les exigences commerciales et techniques, ainsi qu'un regard froid et dur sur le profil de risque de l'entreprise.

5. Mauvaise configuration de la sécurité

Le risque de mauvaise configuration fait référence à une mauvaise mise en œuvre des contrôles visant à assurer la sécurité des données de l'application, comme des erreurs dans les paramètres de sécurité, les mises à jour logicielles, les fichiers de configuration du serveur, ou les fonctions et les pages de l'application. Vous pouvez grandement contribuer à atténuer ces risques en gardant le cap sur une plateforme minimale. N'incluez pas de fonctions, de cadres et de composants inutiles. Selon le Top 10 de l'OWASP, l'essentiel est de désactiver les comptes et les mots de passe par défaut, de veiller à ce que le traitement des erreurs ne révèle pas trop d'informations et de tout patcher et mettre à jour.

6. Composants vulnérables et obsolètes

Les composants, tels que les bibliothèques, les frameworks et autres modules logiciels, s'exécutent avec les mêmes privilèges que l'application. Si un composant vulnérable est exploité, une attaque peut entraîner de graves pertes de données, voire une prise de contrôle complète du serveur. Vous devez connaître les versions que vous utilisez, tant du côté client que du côté serveur, rechercher régulièrement les vulnérabilités et suivre les bulletins de sécurité. Mais surtout, selon l'OWASP, ne vous contentez pas d'appliquer des correctifs tous les mois ou tous les trimestres, car cela expose votre application à des risques.

7. Défauts d'identification et d'authentification

Si les fonctions d'authentification et de gestion des sessions de votre application ne sont pas mises en œuvre correctement, les attaquants peuvent compromettre les mots de passe, les clés ou les jetons de session, ou exploiter d'autres défauts de mise en œuvre pour assumer d'autres identités. Le Top 10 de l'OWASP met en garde contre la faiblesse des mots de passe, la réutilisation des identifiants de session, la faiblesse des processus de récupération ou l'autorisation d'attaques automatisées. Si vous le pouvez, l'authentification multifactorielle est la solution à adopter, ainsi qu'une série de mesures d'authentification simples et sensées.

8. Défauts d'intégrité des logiciels et des données

Des défaillances dans l'intégrité des logiciels et des données peuvent se produire lorsque les applications dépendent de sources non fiables, comme des plugins ou des bibliothèques. De même, des pipelines CI/CD non sécurisés peuvent conduire à un accès non autorisé, voire à une compromission du système. Un autre risque provient des fonctions de mise à jour automatique qui ne vérifient pas suffisamment l'intégrité et des méthodes non sécurisées d'organisation des structures de données. Pour prévenir ces risques, votre équipe devrait utiliser des signatures numériques. Celles-ci peuvent confirmer la sécurité d'un logiciel ou de données. Veillez à n'utiliser que des référentiels de confiance pour les bibliothèques et les dépendances. Vous devriez également mettre en œuvre des outils de sécurité de la chaîne d'approvisionnement des logiciels pour vérifier les vulnérabilités connues. L'OWASP suggère de maintenir un processus de révision pour les changements de code et de configuration et de mettre en place un contrôle d'accès approprié pour le pipeline CI/CD. Enfin, n'envoyez pas de données sérialisées non signées ou non chiffrées à des clients sans en avoir vérifié l'intégrité ou ajouté une signature numérique.

9. Défaillances dans l'enregistrement et la surveillance de la sécurité

Une journalisation et une surveillance insuffisantes, combinées à une intégration manquante ou inefficace avec la réponse aux incidents, permettent aux attaquants de s'en prendre aux systèmes, de maintenir la persistance, de passer à d'autres systèmes et d'altérer, d'extraire ou de détruire des données. Parmi d'autres mesures, le Top 10 de l'OWASP suggère d'enregistrer tous les événements tels que les connexions et les échecs de connexion, les avertissements et les erreurs doivent générer des messages clairs, et les journaux ne doivent jamais être stockés uniquement localement. Le fait de rendre les événements de journalisation et d'alerte visibles pour l'utilisateur est également une source de risque.

10. Falsification des requêtes côté serveur

Les problèmes de falsification des requêtes côté serveur (SSRF) surviennent lorsqu'une application web récupère des données à partir d'une source distante sans vérifier l'URL donnée par l'utilisateur. Cela peut permettre aux attaquants de tromper une application en lui faisant faire des requêtes à des endroits non désirés, même en passant outre les mesures de sécurité du réseau. L'OWASP estime que ces problèmes sont de plus en plus fréquents car les applications web modernes ont souvent besoin de récupérer des URL. Les risques s'aggravent en raison de l'utilisation de services en nuage et de systèmes complexes. Là encore, l'approche "deny-by-default" (refus par défaut) au niveau de l'accès au réseau est votre amie. Il existe également toute une série de mesures à prendre au niveau de la couche applicative.

J'ai écrit un blog sur un cas d'utilisation réel, n'hésitez pas à le consulter.

Pourquoi utiliser le Top 10 de l'OWASP ?

Le Top 10 de l'OWASP n'est pas seulement une liste de problèmes, c'est aussi un guide de solutions. Chaque élément de la liste de contrôle comprend une section sur la manière de prévenir la vulnérabilité et des exemples de scénarios d'attaque qui fournissent aux développeurs des mesures pratiques pour améliorer la sécurité de leur application. La sécurisation de votre application est un processus continu et de nouvelles menaces apparaissent en permanence. En restant vigilant et en faisant de la sécurité une priorité, vous pouvez assurer la sécurité de votre application et de vos utilisateurs.

Pour les entreprises, le Top 10 de l'OWASP n'est pas qu'une simple liste de contrôle, c'est un outil qui permet d'engager la conversation. C'est un outil qui met la sécurité au premier plan du processus de développement, favorisant une culture de sensibilisation à la sécurité au sein de votre organisation. En vous concentrant sur le Top 10 de l'OWASP, vous ne vous contentez pas d'améliorer la sécurité de votre application, vous faites de la sécurité un élément central de votre processus de développement.

Si vous êtes une entreprise " cloud-native ", Aikido vous permet désormais d'analyser facilement votre environnement de développement pour détecter les vulnérabilités du Top 10 de l'OWASP. Nos outils de test et nos rapports de sécurité vous donnent un score OWASP Top 10 clair et une analyse des mesures prises pour prévenir chaque vulnérabilité. Vous pouvez partager les rapports avec les parties prenantes et les utiliser pour obtenir un aperçu rapide des pratiques de sécurité sur lesquelles vous devez vous concentrer.

Scannez votre environnement avec Aikido dès maintenant pour obtenir votre score OWASP Top 10.