L'automatisation des tests de sécurité, que ce soit en phase de développement ou en environnement de production, est un élément clé de réussite de la réduction des risques (découverte au plus tôt des vulnérabilités et déclenchement des processus de correction). Dans cet article, nous présenterons nos choix et notre retour d'expérience dans la mise en œuvre de tests de sécurité automatisés en environnement de production.
1. Introduction
1.1 Généralités
Le niveau de sécurité d’un service web dépend des efforts consacrés dans toutes les phases de sa conception : de la réponse à l’expression de besoin jusqu’au maintien opérationnel du service. Les aspects sécurité doivent être pris en compte tout au long du cycle de vie du service.
Nous ne présenterons pas toutes les tâches de sécurité à effectuer lors de la conception d’un service web, mais nous aborderons uniquement le sujet de la vérification de conformité sur des critères prédéfinis. Cette validation sera réalisée de manière automatique sur le périmètre de visibilité réseau, de visibilité applicative, de visibilité de configuration TLS et des failles web classiques. Elle sera réalisée sur des environnements de production et/ou de préproduction (phase amont du déploiement du service).
Dans un premier temps, nous vous présenterons nos contraintes et prérequis, puis les raisons du choix de notre…
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
[ANGULARJS] https://angularjs.org
[ARACHNI] https://github.com/Arachni/arachni
[ATS] App Transport Security (Apple)
[DOCKERFILE] https://github.com/mozilla/minion-vm
[EVOLS] https://github.com/Wawki/
[FLASK] http://flask.pocoo.org
[GAUNTLT] https://github.com/gauntlt/gauntlt
[KVASIR] https://github.com/KvasirSecurity/Kvasir
[MAGICTREE] http://www.gremwell.com/what_is_magictree
[MASSCAN] https://github.com/0xd012/minion-masscan-plugin
[MINION] https://github.com/mozilla/minion
[MONGODB] https://www.mongodb.com
[NMAP] https://github.com/Wawki/minion-nmap-plugin
[RABBITMQ] https://www.rabbitmq.com
[SECTOOLMARKET] http://www.sectoolmarket.com/price-and-feature-comparison-of-web-application-scanners-unified-list.html
[SSLYZE] https://github.com/Wawki/minion-sslyze-plugin
[THREADFIX] https://github.com/denimgroup/threadfix
[TWISTED] https://twistedmatrix.com
[W3AF] http://w3af.org