Pourquoi le DevSecOps constitue l'arme suprême de votre équipe de sécurité ?
Lorsque l'on développe des logiciels et des applications, la sécurité ne doit jamais être secondaire. Mais qu'on ne s'y trompe pas, rien n'est simple : les outils de sécurité changent en temps réel, et il faut de nouvelles stratégies pour combattre les failles potentielles ou le piratage . Pour garder une longueur d'avance sur les pirates informatiques, il s'agirait de repenser le processus de développement des applications pour passer de " DevOps " à " DevSecOps ".
Rappel des notions
Le DevOps est une évolution du cycle de vie de développement agile pour les logiciels. Il comble le fossé entre les équipes Développement et Opérations. Il élimine les silos, et augmente la capacité de l'entreprise à fournir des applications et des services plus rapidement qu'avec les modèles traditionnels de développement de logiciels. Auparavant, la « méthode traditionnelle de la cascade » exigeait des cycles longs à l'avance, et générait des processus complexes et fastidieux. Et, avant que les solutions ne soient prêtes à la mise sur le marché, ce dernier avait déjà changé…
Aujourd'hui, des équipes logicielles agiles appliquent des cycles de publication de seulement quelques jours ou quelques heures ; ce qui augmente le risque de faire des erreurs et d'introduire des vulnérabilités. Alors, comment les entreprises peuvent-elles produire un code et des applications plus sécurisés, tout en travaillant rapidement et en bloquant les cyberattaques potentielles, alors qu'elles ne savent pas encore à quoi pourra ressembler ces dernières ? Pour booster la cybersécurité de leurs produits, solutions et partenaires, les entreprises doivent transformer leur culture DevOps en culture « DevSecOps ».
La sécurité : priorité numéro 1
Le DevSecOps met la sécurité au premier plan du processus de développement, pour qu'une bonne cyberhygiène soit toujours la priorité des développeurs et des opérateurs de bout en bout. Ce changement de point de vue encourage les entreprises à trouver la meilleure approche possible pour développer du code et des applications sécurisés... Et il existe toute une série de bonnes pratiques et de stratégie que vos équipes de développement peuvent mettre en œuvre.
Voici les plus importantes :
- Structures de sécurité : Il est toujours judicieux de commencer avec une feuille de route. En examinant des ressources tierces pour connaître les meilleures pratiques, les entreprises s'assurent que leurs logiciels sont prêts pour pratiquement toutes les situations. Par exemple, le modèle BSIMM (Building Security In Maturity Model) est une ressource précieuse. Il répertorie plus de 120 meilleures pratiques de sécurité (notamment l'automatisation des tests de sécurité via l'analyse statique et dynamique) pour aider les équipes de développement à faire de ces mesures une priorité lorsqu'elles conçoivent leurs solutions de sécurité.
- Formation aux codes de sécurité : Les développeurs ne savent pas tout. Les entreprises doivent les former aux menaces critiques et aux meilleures pratiques. En mettant en place des formations régulières de sensibilisation à la sécurité, les entreprises s'assurent que leurs équipes sont correctement préparées pour détecter et éliminer les vulnérabilités dans leur code et leurs produits.
- Barrières de sécurité : Dans les processus de construction DevOps, les barrières de sécurité peuvent bloquer la mise sur le marché, afin de donner aux équipes Sécurité et Ingénierie assez de temps pour déterminer le niveau de sécurité concerné par ces bugs dans le build complet. La mise en place de barrières de sécurité aide les équipes à identifier très précisément les éléments à corriger avant la mise sur le marché.
- Implémentation d'une stratégie de sécurité multiniveau : Pour garantir une sécurité complète, les entreprises doivent impliquer tout le monde dans la mise en place de la sécurité. Par exemple, elles peuvent commencer par fournir aux développeurs des outils qui détectent les vulnérabilités pendant l'écriture du code, puis faire appel à une équipe interne pour exécuter régulièrement des outils statiques et dynamiques de sécurité des applications. Pour plus de sécurité, les entreprises peuvent alors faire appel à des testeurs externes pour effectuer des tests boîte noire et boîte grise. Elles peuvent aussi définir un programme de « prime au bug » et payer les chercheurs de sécurité pour trouver les vulnérabilités plus difficiles à détecter.
Pourquoi les bibliothèques tierces sont votre responsabilité
Les bibliothèques tierces, comme Apache Struts, Telerik UK (bibliothèque .NET tierce) et autres, sont considérées à la fois comme une bénédiction et comme une malédiction pour les entreprises. D'un côté, une entreprise peut exploiter le travail des autres, l'adapter et créer des expériences plus riches par-dessus, ce qui lui permet de montrer son expertise sans tout créer de toutes pièces. De l'autre côté, les mises à jour et à niveau constantes des bibliothèques sont indispensables pour maintenir une base de code saine. Il est également facile d'importer du code malveillant à partir de référentiels de code.
Les développeurs doivent mettre à jour leurs jeux d'outils pour garantir que les équipements tiers font régulièrement l'objet de correctifs de vulnérabilités, en temps réel. En effet, même le plus petit oubli de la part de votre équipe et de vos partenaires peut provoquer des failles très conséquentes. En fait, la CISA (Cybersecurity and Infrastructure Security Agency – Agence américaine pour la cybersécurité et la sécurité des infrastructures) a récemment publié la liste des vulnérabilités logicielles les plus exploitées ; et Apache Struts est la deuxième technologie la plus attaquée dans cette liste.
Un jeu sans fin ?
Demain, des menaces et des styles d'attaque qui n'existent pas aujourd'hui tenteront d'exploiter les vulnérabilités de vos systèmes. Toutefois, en donnant la priorité à la sécurité et en implémentant une culture DevSecOps, les entreprises sont mieux positionnées pour limiter les menaces au fur et à mesure de leur apparition, avant qu'elles ne provoquent des problèmes ou des interruptions. La nouvelle vague de menaces arrive. Votre entreprise est-elle prête ?