Étirez-vous à droite avec la surveillance de la sécurité des application Threat Stack

Dans notre dernier article , nous avons exploré comment la surveillance de la sécurité des application de Threat Stack intègre la sécurité dans les processus de développement, sans impacter négativement l'agilité ou la vitesse de développement et de déploiement des application . Permettre aux développeurs de gérer de manière proactive les risques logiciels est essentiel pour les organisations qui « s’étendent à gauche » pour intégrer la sécurité dans l’ensemble de leur cycle de développement et de déploiement de logiciels. Mais même avec la meilleure sensibilisation à la sécurité, les meilleurs tests et l’identification et l’atténuation précoces des problèmes, certains risques peuvent toujours se faufiler et s’infiltrer dans une application en cours d’exécution. 

Un rapport récent a révélé que 100 % des applications Web testées présentaient au moins une application . Elles ne sont peut-être pas toutes les vulnérabilités les plus critiques et elles ne seront peut-être jamais exploitées avec succès par les attaquants, mais elles sont toujours là, à l’affût. Armés de ces connaissances, les attaquants sondent constamment les applications Web, à la recherche de faiblesses qui leur donneront l’accès dont ils ont besoin pour mener une attaque. En plus des conseils d’identification et de correction des risques au moment du développement fournis par Threat Stack AppSec Monitoring, il peut également détecter et bloquer ces attaques en temps réel au moment de l’exécution. 

Threat Stack AppSec Monitoring offre une protection d'exécution avec quatre éléments : Détecter, bloquer, notifier et guider. Combinés, ces quatre éléments donnent aux utilisateurs la possibilité de découvrir les attaques, d’empêcher qu’elles soient exécutées (empêchant ainsi les violations de données et autres problèmes) et d’alimenter le flux de travail DevSecOps avec le contexte dont les développeurs ont besoin pour créer une sécurité qui peut aider à prévenir de futures attaques.

Détecter

Plus de 60 % des principales attaques Web sont centrées sur des attaques XSS et des attaques par injection SQL de base . Bien que ces techniques soient relativement simples et bien comprises, elles restent les préférées des attaquants. Threat Stack AppSec Monitoring peut détecter ces attaques en examinant la charge utile qui arrive dans l' application depuis le Web. La charge utile est simplement la partie données d'une demande application : il peut s'agir des noms et des valeurs de champs dans une soumission de formulaire de page Web ou de paires nom/valeur dans un appel d'API. Nous analysons la charge utile depuis l’ application en cours d’exécution pour vérifier si elle contient du code que nous pouvons identifier comme étant potentiellement malveillant. Cette vérification est basée sur notre propre analyseur comparant la charge utile à des signatures d’attaque bien connues — actuellement plus de 2 000 d’entre elles ! Considérez-le comme un point de contrôle de sécurité à l’intérieur d’un aéroport où les gardes examinent le contenu des bagages des voyageurs pour rechercher des objets potentiellement dangereux comme des armes à feu ou des explosifs. Nous examinons l'intérieur de la charge utile à la recherche d'éléments potentiellement dangereux tels que des chaînes d'injection SQL ou noSQL ou du code XSS. Contrairement à la sécurité des aéroports, notre contrôle est cependant extrêmement rapide !

Bloc

Les utilisateurs peuvent exécuter Threat Stack AppSec Monitoring dans l'un des deux modes suivants : Détecter uniquement ou auto-protéger. Le mode d’autoprotection est la meilleure option pour une défense en temps réel. Dans ce mode, toute requête contenant une charge utile malveillante est immédiatement arrêtée, tout comme l’agent de sécurité de l’aéroport qui trouve une arme et refuse l’entrée à l’aéroport. L’ application arrête toute exécution ultérieure de cette requête individuelle et l’attaque est terminée. En mode Détecter uniquement, toutes les charges utiles malveillantes identifiées sont signalées et communiquées aux utilisateurs (voir l'élément suivant, Notifier ), mais la demande est autorisée à s'exécuter. Cela peut être utile lorsque vous exécutez des tests automatisés pendant le développement lorsqu'il est utile de savoir qu'une attaque simulée a été détectée avec succès, mais que vous souhaitez toujours laisser le test continuer.

Notifier

Une fois qu'une attaque est détectée et bloquée, vous devez en être informé afin de pouvoir prendre des mesures pour atténuer les dégâts ou réduire le risque d'attaques futures. Threat Stack AppSec Monitoring fournit des informations sur les attaques dans le portail Web dans un format chronologique clair. Mais nous savons que tous les membres de chaque équipe ne se connecteront pas au portail Threat Stack, c'est pourquoi nous vous apportons les informations essentielles sur l'attaque grâce à l'intégration de ChatOps, permettant à Slack, Google ou d'autres outils de chat de fournir des informations à l'équipe. Les notifications d'attaque incluent le contenu réel de la charge utile malveillante , l'adresse IP de l'attaquant, l'URL et la méthode de requête ciblée, ainsi que d'autres informations essentielles.