Alors que bon nombre des cyberattaques très médiatisées de 2023 tournent autour d’une ou plusieurs applications SaaS, le SaaS est devenu une véritable source de préoccupation dans de nombreuses discussions au sein des conseils d’administration. Plus que jamais, sachant que les applications GenAI sont en fait des applications SaaS.
Wing Security (Wing), une société de sécurité SaaS, a mené une analyse de 493 entreprises utilisant SaaS au quatrième trimestre 2023. Leur étude révèle comment les entreprises utilisent le SaaS aujourd’hui et la grande variété de menaces qui résultent de cette utilisation. Cette analyse unique fournit des informations rares et importantes sur l’étendue et la profondeur des risques liés au SaaS, mais fournit également des conseils pratiques pour les atténuer et garantir que le SaaS peut être largement utilisé sans compromettre la sécurité.
La version TL;DR de la sécurité SaaS
L’année 2023 a apporté des exemples désormais tristement célèbres d’acteurs malveillants exploitant ou ciblant directement le SaaS, notamment le groupe nord-coréen UNC4899, le groupe de ransomware 0ktapus et le russe Midnight Blizzard APT, qui ciblaient des organisations bien connues telles que JumpCloud, MGM Resorts et Microsoft (respectivement). , et probablement bien d’autres qui passent souvent inaperçus.
Le premier aperçu de cette recherche consolide le concept selon lequel le SaaS est la nouvelle chaîne d’approvisionnement, fournissant un cadre presque intuitif sur l’importance de sécuriser l’utilisation du SaaS. Ces applications font clairement partie intégrante de l’ensemble d’outils et de fournisseurs d’une organisation moderne. Cela dit, l’époque où chaque tiers ayant accès aux données de l’entreprise devait passer par une approbation de sécurité ou informatique est révolue depuis longtemps. Même dans les entreprises les plus rigoureuses, lorsqu’un employé assidu a besoin d’une solution rapide et efficace, il la recherche et l’utilise pour faire son travail plus rapidement et mieux. Encore une fois, pensez à l’utilisation généralisée de GenAI, et le tableau est clair.
A ce titre, toute organisation soucieuse de la sécurité de sa supply chain doit adopter des mesures de sécurité SaaS. Selon la technique MITRE ATT&CK « Trusted Relations » (T1199), une attaque de la chaîne d’approvisionnement se produit lorsqu’un attaquant cible un fournisseur pour l’exploiter comme moyen d’infiltrer un réseau plus large d’entreprises. En confiant des données sensibles à des fournisseurs SaaS externes, les organisations s’exposent à des risques liés à la chaîne d’approvisionnement qui vont au-delà des problèmes de sécurité immédiats.
Quatre risques SaaS courants
Il existe diverses raisons et manières pour lesquelles le SaaS est ciblé. La bonne nouvelle est que la plupart des risques peuvent être considérablement atténués s’ils sont surveillés et contrôlés. Capacités de sécurité SaaS de base sont même gratuitsadapté aux organisations qui commencent tout juste à développer leur posture de sécurité SaaS ou qui ont besoin de la comparer à leur solution actuelle.
1) SaaS fantôme
Le premier problème de l’utilisation du SaaS est le fait qu’elle passe souvent complètement inaperçue : le nombre d’applications utilisées par les organisations est généralement 250 % plus important que ce que révèle une requête basique et souvent utilisée sur l’espace de travail.
Parmi les entreprises analysées :
- 41 % des candidatures ont été utilisées par une seule personne, ce qui entraîne une très longue série de candidatures non autorisées.
- 1 utilisateur sur 5 utilisait des applications qui n’étaient utilisées par personne d’autre au sein de son organisation, ce qui créait des tensions en matière de sécurité et de ressources.
- 63 % des applications mono-utilisateur n’ont même pas été consultées sur une période de 3 mois, ce qui soulève la question : pourquoi les garder connectées aux données de l’entreprise ?
- 96,7 % des organisations ont utilisé au moins une application qui a connu un incident de sécurité au cours de l’année précédente, renforçant ainsi le risque continu et la nécessité d’une atténuation appropriée.
2) Contournement de l’AMF
Les recherches de Wing indiquent une tendance selon laquelle les utilisateurs choisissent d’utiliser un nom d’utilisateur/mot de passe pour accéder aux services dont ils ont besoin, contournant ainsi les mesures de sécurité en place (voir image 1).
 |
| Image 1 : D’après les recherches de Wing Security, contournant le MFA. |
3) Jetons oubliés
Les utilisateurs accordent des jetons aux applications dont ils ont besoin ; cela est nécessaire pour que les applications SaaS atteignent leur objectif. Le problème est que ces jetons sont souvent oubliés après quelques ou une seule utilisation. Les recherches de Wing ont révélé une présence importante de jetons inutilisés sur une période de 3 mois, créant une surface d’attaque inutilement importante pour de nombreux clients (Image 2).
4) Le nouveau risque de Shadow AI
Début 2023, les équipes de sécurité se sont principalement concentrées sur quelques services renommés offrant un accès à des modèles basés sur l’IA. Cependant, au fil de l’année, des milliers d’applications SaaS conventionnelles ont adopté des modèles d’IA. L’étude montre que 99,7 % des entreprises utilisaient des applications intégrant des capacités d’IA.
Les organisations devaient accepter des termes et conditions mis à jour permettant à ces applications d’utiliser et d’affiner leurs modèles en utilisant les données les plus confidentielles des organisations. Souvent, ces termes et conditions révisés sont passés inaperçus, tout comme l’utilisation de l’IA elle-même.
Les applications d’IA peuvent utiliser vos données de différentes manières pour leurs modèles de formation. Cela peut prendre la forme de l’apprentissage de vos données, du stockage de vos données et même de l’examen manuel de vos données par un humain pour améliorer le modèle d’IA. Selon Wing, cette capacité est souvent configurable et totalement évitableà condition de ne pas le négliger.
Résoudre les défis de sécurité SaaS en 2024
Le rapport se termine sur une note positive, énumérant 8 façons dont les entreprises peuvent atténuer la menace croissante de la chaîne d’approvisionnement SaaS. Y compris:
- En cours découverte du shadow IT et le management.
- Prioriser la correction des mauvaises configurations SaaS
- Optimisez la détection des anomalies avec des cadres prédéfinis, automatisez lorsque cela est possible.
- Découvrez et surveillez toutes les applications SaaS utilisant l’IA, et surveillez constamment votre SaaS pour les mises à jour de leurs conditions générales concernant l’utilisation de l’IA.
Pour la liste complète des résultats, des conseils pour garantir une utilisation sûre du SaaS et des prévisions de sécurité SaaS pour 2024, Télécharger le rapport complet ici.