Introduction<\/h2>\n
La cha\u00eene d’approvisionnement logicielle moderne repr\u00e9sente un paysage de menaces en constante \u00e9volution, chaque package ajout\u00e9 au manifeste introduisant de nouveaux vecteurs d’attaque. Pour r\u00e9pondre aux exigences du secteur, les organisations doivent maintenir un processus de d\u00e9veloppement rapide tout en restant \u00e0 jour avec les derniers correctifs de s\u00e9curit\u00e9. Cependant, dans la pratique, les d\u00e9veloppeurs sont souvent confront\u00e9s \u00e0 un volume important de t\u00e2ches de s\u00e9curit\u00e9 sans priorisation claire et passent compl\u00e8tement \u00e0 c\u00f4t\u00e9 d’une partie importante de la surface d’attaque.<\/p>\n
Le principal probl\u00e8me vient des m\u00e9thodes de d\u00e9tection et de priorisation utilis\u00e9es par les outils traditionnels d\u2019analyse de code statique (SCA) pour les vuln\u00e9rabilit\u00e9s. Ces m\u00e9thodes ne disposent pas du contexte organisationnel sp\u00e9cifique n\u00e9cessaire pour prendre une d\u00e9cision \u00e9clair\u00e9e en mati\u00e8re de notation\u00a0: le score, m\u00eame s’il est critique, peut ne pas \u00eatre obtenu. en fait<\/em> \u00eatre critique pour une organisation car son infrastructure fonctionne d’une mani\u00e8re unique, ce qui affecte l’impact r\u00e9el que la vuln\u00e9rabilit\u00e9 pourrait avoir. <\/p>\n En d\u2019autres termes, \u00e9tant donn\u00e9 que ces outils d\u00e9pendent d\u2019une m\u00e9thodologie relativement na\u00efve pour d\u00e9terminer le risque d\u2019une vuln\u00e9rabilit\u00e9, ils aboutissent \u00e0 des scores de vuln\u00e9rabilit\u00e9 essentiellement non pertinents, ce qui rend beaucoup plus difficile la d\u00e9termination des vuln\u00e9rabilit\u00e9s \u00e0 traiter en premier. <\/p>\n De plus, ils ne r\u00e9pondent pas \u00e0 de nombreuses attaques de la cha\u00eene d’approvisionnement, telles que le typosquatting, l’injection de code malveillant, les attaques CI\/CD, etc. Cet oubli induit en erreur les \u00e9quipes et les d\u00e9veloppeurs de s\u00e9curit\u00e9 des applications (AppSec) en les poussant \u00e0 se concentrer sur des probl\u00e8mes moins critiques, retardant ainsi le processus de d\u00e9veloppement et laissant l\u2019organisation vuln\u00e9rable \u00e0 d\u2019importants vecteurs d\u2019attaque.<\/p>\n S\u00e9curit\u00e9 miroir<\/a> d\u00e9veloppe des solutions innovantes \u00e0 ces d\u00e9fis en r\u00e9volutionnant la fa\u00e7on dont les organisations d\u00e9tectent, priorisent et rem\u00e9dient aux risques li\u00e9s \u00e0 leur cha\u00eene d’approvisionnement. La plate-forme Myrror garantit qu’AppSec et les \u00e9quipes d’ing\u00e9nierie r\u00e9solvent les bons probl\u00e8mes au bon moment en utilisant une analyse binaire \u00e0 source pour chaque package tiers de la base de code. Contrairement aux outils SCA traditionnels qui \u00e9valuent l’impact \u00e0 l’aide de la d\u00e9tection au niveau de la version dans les fichiers manifestes, Myrror utilise un algorithme propri\u00e9taire d’analyse des vuln\u00e9rabilit\u00e9s d’accessibilit\u00e9. Cet algorithme identifie les vuln\u00e9rabilit\u00e9s r\u00e9ellement accessibles en production, permettant ainsi \u00e0 Myrror de prioriser avec pr\u00e9cision les probl\u00e8mes de s\u00e9curit\u00e9.<\/p>\n Cette revue de plateforme vous guidera tout au long du parcours utilisateur de Myrror, de l’int\u00e9gration SCM initiale au g\u00e9n\u00e9rateur de plan de rem\u00e9diation, et fournira un aper\u00e7u concis des innovations introduites par Myrror Security pour \u00e9viter la lassitude due aux alertes, permettre \u00e0 votre organisation de travailler plus efficacement et de prot\u00e9ger ses donn\u00e9es. des menaces de la cha\u00eene d’approvisionnement logicielle moderne. Pour obtenir une d\u00e9mo personnalis\u00e9e, visitez leur site internet ici<\/a>.<\/p>\n Myrror est con\u00e7u pour une installation facile sur la plateforme de gestion de code source existante de l’organisation. Lorsque Myrror est connect\u00e9 \u00e0 votre SCM, un processus de d\u00e9couverte des d\u00e9pendances de l’organisation commence. L’organisation peut ensuite s\u00e9lectionner des r\u00e9f\u00e9rentiels sp\u00e9cifiques pour une analyse active des vuln\u00e9rabilit\u00e9s et des attaques de la cha\u00eene d’approvisionnement, fournissant ainsi un aper\u00e7u hi\u00e9rarchis\u00e9 des risques identifi\u00e9s.<\/p>\n Cette section vous permet de faire le point sur le risque de cha\u00eene d’approvisionnement associ\u00e9 \u00e0 votre base de code et de d\u00e9terminer le paysage r\u00e9el des menaces auxquelles vous \u00eates expos\u00e9 \u00e0 partir de vos d\u00e9pendances open source.<\/p>\n L’onglet R\u00e9f\u00e9rentiels vous montre tous les probl\u00e8mes dans chaque r\u00e9f\u00e9rentiel surveill\u00e9 et vous permet de choisir lesquels surveiller et lesquels ignorer. Cela vous permettra de supprimer certains bruits associ\u00e9s aux r\u00e9f\u00e9rentiels qui ne sont pas utilis\u00e9s activement, qui seront bient\u00f4t obsol\u00e8tes ou qui ne sont tout simplement pas pertinents. Cet onglet sert de panneau de contr\u00f4le sur tous vos r\u00e9f\u00e9rentiels. Il compl\u00e8te l’\u00e9cran des probl\u00e8mes en vous dirigeant vers vos r\u00e9f\u00e9rentiels les plus \u00e0 risque, ce qui permet d’avoir une vue d’ensemble des menaces au niveau du projet ou de l’application.<\/p>\n L’onglet D\u00e9pendances regroupe toutes les d\u00e9pendances open source de votre base de code et cr\u00e9e un graphique de tous les r\u00e9f\u00e9rentiels dans lesquels chacune est utilis\u00e9e. Cet aper\u00e7u cl\u00e9 vous permet d’obtenir une image compl\u00e8te des biblioth\u00e8ques open source sur lesquelles s’appuie votre organisation. Malgr\u00e9 l’immense augmentation des r\u00e9f\u00e9rentiels open source dans pratiquement tous les projets logiciels, les organisations n’ont aucun contr\u00f4le sur les d\u00e9pendances externes ; faire l’inventaire de ce qui est utilis\u00e9 dans votre code est la premi\u00e8re \u00e9tape pour contr\u00f4ler ce qui se passe. <\/p>\n Une fois l’installation termin\u00e9e et l’utilisateur choisit les r\u00e9f\u00e9rentiels \u00e0 analyser, le tableau de bord Myrror est renseign\u00e9 avec des informations sur vos r\u00e9f\u00e9rentiels, leurs d\u00e9pendances et les probl\u00e8mes qu’ils contiennent. Lorsque l’utilisateur choisit de surveiller des r\u00e9f\u00e9rentiels suppl\u00e9mentaires ou de connecter davantage de sources SCM, le tableau de bord est automatiquement mis \u00e0 jour avec plus d’informations sur les nouvelles bases de code. <\/p>\n Le tableau de bord fournit des informations de haut niveau sur les probl\u00e8mes dans l’ensemble de la base de code de l’organisation, notamment\u00a0:<\/p>\n Ces tableaux et graphiques g\u00e9n\u00e8rent un aper\u00e7u d\u00e9taill\u00e9 et complet, fournissant aux organisations un aper\u00e7u clair des domaines n\u00e9cessitant le plus de travail. Notez le filtre de r\u00e9f\u00e9rentiel en haut \u00e0 droite : cela permet \u00e0 des \u00e9quipes sp\u00e9cifiques d’obtenir des informations pr\u00e9cises sur leur travail et les r\u00e9f\u00e9rentiels dont elles sont en charge et d’exporter uniquement les donn\u00e9es pertinentes pour elles.<\/p>\n C’est le c\u0153ur de la plateforme Myrror Security. Ici, tous vos probl\u00e8mes sont hi\u00e9rarchis\u00e9s et signal\u00e9s en fonction de leur gravit\u00e9 r\u00e9elle, de leur accessibilit\u00e9 et de leur exploitabilit\u00e9 pour une compr\u00e9hension claire de ce qu’il faut r\u00e9soudre ensuite. Divers param\u00e8tres sont organis\u00e9s en colonnes, offrant un aper\u00e7u plus approfondi de chaque probl\u00e8me sp\u00e9cifique.<\/p>\n Parmi ces param\u00e8tres, la colonne d’accessibilit\u00e9 distingue Myrror des plates-formes SCA traditionnelles. Il \u00e9value si le probl\u00e8me est r\u00e9ellement atteignable en production, ce qui entre en compte dans la priorisation \u2013 garantissant que les vuln\u00e9rabilit\u00e9s accessibles peuvent \u00eatre trait\u00e9es en premier. <\/p>\n Mais la plateforme ne se limite pas \u00e0 hi\u00e9rarchiser les vuln\u00e9rabilit\u00e9s en fonction de leur accessibilit\u00e9 : elle examine \u00e9galement s’il s’agit d’une d\u00e9pendance directe ou indirecte, si un correctif est disponible pour r\u00e9soudre le probl\u00e8me et si l’existence d’un exploit a \u00e9t\u00e9 confirm\u00e9e dans la nature. Tous ces param\u00e8tres aident la plateforme \u00e0 prioriser les probl\u00e8mes de mani\u00e8re pr\u00e9cise et fiable.<\/p>\n Vous pouvez voir toutes les informations suivantes sur chaque vuln\u00e9rabilit\u00e9\u00a0:<\/p>\n Des filtres (y compris un filtre de r\u00e9f\u00e9rentiel) sont \u00e9galement disponibles ici, ainsi qu’une option permettant d’exporter le tableau et de t\u00e9l\u00e9charger des informations pour la cr\u00e9ation de rapports. Cela aide les \u00e9quipes de s\u00e9curit\u00e9 \u00e0 conserver les enregistrements dans le stockage local et \u00e0 g\u00e9n\u00e9rer des rapports d’audit interne. Ces rapports, envoy\u00e9s par courrier \u00e9lectronique \u00e0 l’utilisateur, contiennent des informations compl\u00e8tes directement depuis la plateforme qui peuvent \u00eatre partag\u00e9es avec d’autres membres de l’\u00e9quipe et parties prenantes.<\/p>\n Notez qu’il y a 3 onglets diff\u00e9rents disponibles sur cet \u00e9cran :<\/p>\n Chaque probl\u00e8me comporte \u00e9galement son analyse approfondie, avec des informations sur l’impact, la port\u00e9e et l’origine des probl\u00e8mes affich\u00e9s sur un seul \u00e9cran. Cet aper\u00e7u d\u00e9taill\u00e9 fournit des liens externes vers le CVE pour en savoir plus, ainsi que des informations sur les r\u00e9f\u00e9rentiels concern\u00e9s et un plan de rem\u00e9diation concret pour garantir qu’une action rapide puisse \u00eatre prise sur chaque probl\u00e8me.<\/p>\n Les principaux onglets disponibles sur cet \u00e9cran sont\u00a0:<\/p>\n Gardez \u00e0 l’esprit que Myrror fait plus que simplement d\u00e9tecter les vuln\u00e9rabilit\u00e9s : il d\u00e9tecte \u00e9galement diverses formes d’attaques de la cha\u00eene d’approvisionnement, y compris, mais sans s’y limiter\u00a0:<\/p>\n Lorsqu’il d\u00e9tecte ces attaques, le m\u00e9canisme de d\u00e9tection et le plan de rem\u00e9diation peuvent ne pas \u00eatre aussi simples que les vuln\u00e9rabilit\u00e9s normales. Dans ces cas, Myrror pr\u00e9sentera une analyse plus approfondie de l’attaque, permettant aux praticiens de comprendre la situation et d’identifier le maillon concret de la cha\u00eene en cause. Voir ci-dessous un exemple d’analyse par Myrror d’une attaque par injection de code\u00a0:<\/p>\n La planification de vos efforts de rem\u00e9diation n\u00e9cessite g\u00e9n\u00e9ralement de comprendre les nouvelles menaces introduites lors de l’application des correctifs. Dans la plupart des cas, l’application d’un correctif entra\u00eene un nouvel ensemble de vuln\u00e9rabilit\u00e9s en raison des nouvelles d\u00e9pendances (et de leurs d\u00e9pendances transitives) qu’il introduit.<\/p>\n Pour chaque r\u00e9f\u00e9rentiel surveill\u00e9, Myrror simplifie le processus de r\u00e9solution des probl\u00e8mes en calculant automatiquement le nombre de correctifs disponibles pour tous les probl\u00e8mes, le nombre de nouvelles vuln\u00e9rabilit\u00e9s qui seront introduites au cours du processus de r\u00e9solution et le nombre de probl\u00e8mes qui resteront \u00e0 la fin.<\/p>\n Les \u00e9quipes AppSec souffrent aujourd\u2019hui d\u2019une profonde lassitude face aux alertes, en raison d\u2019un nombre \u00e9crasant de probl\u00e8mes de s\u00e9curit\u00e9 et d\u2019un manque de priorit\u00e9 claire sur les sujets sur lesquels travailler en premier. De plus, la plupart des \u00e9quipes ignorent totalement les attaques de la cha\u00eene d\u2019approvisionnement auxquelles elles sont expos\u00e9es et ne disposent d\u2019aucun moyen clair pour les d\u00e9tecter ou proposer des mesures correctives appropri\u00e9es. <\/p>\n La priorisation bas\u00e9e sur l’accessibilit\u00e9 de Myrror offre un moyen de sortir de l’enfer de la vuln\u00e9rabilit\u00e9. Dans le m\u00eame temps, leur m\u00e9canisme d’analyse binaire \u00e0 source permet de d\u00e9tecter bien plus que de simples vuln\u00e9rabilit\u00e9s et vous permet de vous d\u00e9fendre contre une multitude d’attaques de la cha\u00eene d’approvisionnement.<\/p>\n Vous pouvez r\u00e9server une d\u00e9mo pour en savoir plus sur leur site internet ici<\/a>.<\/p>\nMise en route et configuration<\/h2>\n
![\"S\u00e9curit\u00e9](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Examen-pratique-Myrror-Security-Code-Aware-et-Attack-Aware-SCA.png\" "\\"S\u00e9curit\u00e9")
<\/a><\/div>\nLa rubrique D\u00e9couverte<\/h3>\n
<\/a><\/div>\n<\/a><\/div>\nLe tableau de bord Myrror<\/h3>\n
<\/a><\/div>\n\n
L’\u00e9cran des probl\u00e8mes<\/h3>\n
<\/a><\/div>\n\n
\n
<\/a><\/div>\n\n
D\u00e9tection des attaques sur la cha\u00eene d’approvisionnement<\/h3>\n
\n
<\/a><\/div>\nLe g\u00e9n\u00e9rateur de plan de rem\u00e9diation<\/h3>\n
<\/a><\/div>\nConclusion<\/h2>\n