June 4, 2020

La vraie nature de la sécurité des applications Web: le rôle et la fonction des scanners Black Box

Pourquoi la sécurité des applications Web Sécuriser les applications Web d’une entreprise est aujourd’hui l’aspect le plus négligé de la sécurité de l’entreprise. Le piratage est en augmentation avec jusqu’à 75% des cyberattaques effectuées via le Web et via des applications Web.

La plupart des entreprises ont sécurisé leurs données au niveau du réseau, mais ont ignoré l’étape cruciale de vérifier si leurs applications Web sont vulnérables aux attaques.

Les applications Web soulèvent certains problèmes de sécurité. 1. Pour fournir le service (prévu par la conception) aux clients, les applications Web doivent être en ligne et disponibles 24x7x365 2. Cela signifie qu’elles sont toujours accessibles au public et ne peuvent pas faire de distinction entre les utilisateurs légitimes et les pirates 3. Pour fonctionner correctement, les applications Web doivent avoir un accès direct accès aux bases de données backend contenant des informations sensibles. 4. La plupart des applications Web sont personnalisées et passent rarement par les contrôles d’assurance qualité rigoureux des applications standard 5. Par manque de sensibilisation à la nature des attaques de piratage, les organisations considèrent la couche d’applications Web comme faisant partie du réseau couche lorsqu’il s’agit de problèmes de sécurité.

L’histoire de Jeffrey Rubin Dans une revue de 2005 publiée par Information Week, un éminent expert en sécurité appelé Jeffrey Rubin, raconte son expérience avec une attaque de piratage réussie. Ce qui suit est une citation de son article (la référence complète est donnée à la fin de cet article):

“Nous sommes comme la plupart des développeurs Web qui utilisent la plate-forme Microsoft … Bien que nous essayions de rester à jour avec les correctifs et les service packs, nous réalisons que les attaquants recherchent souvent les vulnérabilités des applications plutôt que celles du réseau. Un collègue nous a suggéré d’installer un pare-feu matériel pour empêcher de futures attaques. Pas une mauvaise suggestion, mais pas un remède à tous étant donné que nous avons les ports 21, 80 et 443 et notre serveur SQL (sur un port non standard) largement ouverts à des fins de développement. Après tout, nous sommes dans le développement de pages Web dynamiques, et nos clients sont partout dans le pays “.

L’histoire de Jeff est frappante simplement parce que (a) les développeurs, comme tous, sont également sujets à l’erreur malgré toutes les précautions qu’ils prennent pour désinfecter leurs applications développées et (b) en tant qu’expert, il était encore bercé par un faux sentiment de sécurité en appliquant le derniers correctifs et service packs. L’histoire de Jeff, malheureusement, n’est pas unique et découle d’une mauvaise conception de l’infrastructure de sécurité d’une organisation et des solutions disponibles pour aider les gens dans leur combat pour protéger leurs données.

Étant donné que de nombreuses organisations ne surveillent pas l’activité en ligne au niveau de l’application Web, les pirates informatiques ont libre cours et même avec le moindre trou de boucle dans le code d’application Web d’une entreprise, tout pirate expérimenté peut s’introduire en utilisant uniquement un navigateur Web et une dose de créativité et détermination. Le manque de sécurité signifie également que les tentatives d’attaques passeront inaperçues, car les entreprises ne réagiront qu’aux hacks réussis. Cela signifie que les entreprises régleront la situation APRÈS les dommages. Enfin, la plupart des attaques de piratage sont découvertes des mois après la violation initiale simplement parce que les attaquants ne veulent pas et ne quitteront pas un essai d’audit.

Les administrateurs de systèmes, les CTO et les hommes d’affaires conçoivent la cyberintrusion comme une intrusion physique standard: un voleur dans votre maison laisse des marqueurs, par exemple, une fenêtre cassée ou un verrou forcé. Dans les attaques d’applications Web, ces preuves physiques sont inexistantes.

L’infrastructure de sécurité d’une organisation Il est commode de penser à l’infrastructure d’une organisation comme une à plusieurs couches. De la même manière que vous protégeriez contre la rouille en appliquant une variété de peintures, de produits chimiques et d’anti-oxydants en couches, un administrateur système met en place plusieurs solutions de sécurité spécialisées, chacune répondant à des problèmes spécifiques.
When you beloved this short article in addition to you want to acquire details with regards to creation d application en ligne generously go to our own web-site.

Ces couches de sécurité représentent une perspective globale qui considère la sécurité comme des mesures renforcées prises pour minimiser les risques d’intrusion et maximiser la protection autour de l’actif clé de toute organisation, ses données.

Leave a Reply

Your email address will not be published. Required fields are marked *