Ajouter à une liste de lectureLes applications web sont la cible de nombreuses attaques avec des impacts importants sur les sites web attaqués (perte d'image de marque, compromission de données métiers ou de données clients, ...). Il est nécessaire d'auditer ses applications web, que ce soit en boîte blanche ou en boîte noire. Nous proposons dans cet article de décrire le mode de fonctionnement d'un logiciel open source dans le domaine de l'audit en boîte noire d'applications web.Dans cet article, nous ne décrirons pas les vulnérabilités web, nous laissons aux lecteurs le soin de se délecter du Top 10 de l'OWASP [TOP10].
1. Introduction
Les applications web sont intrinsèquement exposées aux attaques : quelques chiffres de l'étude de Whitehat Security illustrent ces problématiques [WHITEHAT].
Cette étude affirme notamment que :
- Les failles XSS sont les plus fréquentes.
- Les entreprises importantes ont le nombre moyen de vulnérabilités par application le plus élevé (13 contre 11 pour le meilleur).
- Les entreprises importantes ont le taux de mise en place des correctifs le moins élevé (54% contre 62 % pour le meilleur).
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
Par le(s) même(s) auteur(s)
WPS : fonctionnement et faiblesses
Les réseaux sans fil Wi-Fi, de par leur accessibilité, sont naturellement exposés aux attaques. De nombreuses améliorations ont été apportées via le groupe de normalisation IEEE 802.11i depuis les failles historiques sur le protocole Wired Equivalent Privacy (WEP) publiées dans les années 2000. Cependant, certaines couches tierces, comme Wi-Fi Protected Setup, introduisent de nouvelles portes d’entrée au niveau de la fonctionnalité d’attachement d’équipement. Nous présenterons les modes de fonctionnement de WPS, ses faiblesses actuelles, les moyens de protection et les prochaines évolutions.
Retour d’expérience d’intégration des aspects sécurité dans un cycle de développement logiciel
Intégrer correctement l’ensemble des aspects sécurité dans un cycle de développement logiciel requiert une certaine maturité et des efforts conséquents. C’est à ce prix que nous pouvons avoir confiance dans la qualité des services développés. Nous présenterons dans cet article un état de l’art sur le sujet et nous décrirons l’ensemble des aspects qui entre en ligne de compte tout en s’efforçant d’apporter un retour d’expérience.
Votre SIEM à portée de main avec ElasticSearch/ElastAlert
Nous présentons dans cet article une étude préalable de l’outil ElastAlert en tant que SIEM dans un environnement avec stockage d’événements dans ElasticSearch. Nous aborderons les principes de fonctionnement et les principales fonctionnalités rendues par l’outil ainsi qu’un retour d’expérience de son utilisation opérationnelle.
Protégez-vous avec ModSecurity, le pare-feu web open source
Le « Web Application Firewall » (WAF), bien qu'encore assez marginal, est un élément clé dans la protection des architectures web exposées sur Internet. Dans cet article, nous détaillerons le fonctionnement du pare-feu applicatif le plus utilisé dans le monde open source : ModSecurity. Nous présenterons ses principales fonctionnalités ainsi que les points clés dans la réussite de son déploiement, en particulier vis-à-vis des contraintes de l'utilisation d'une telle technologie dans des sites à forte audience.