Les entreprises savent qu’elles doivent s\u00e9curiser leurs scripts c\u00f4t\u00e9 client. Les politiques de s\u00e9curit\u00e9 du contenu (CSP) sont un excellent moyen de le faire. Mais les CSP sont lourds. Une erreur et vous avez une faille de s\u00e9curit\u00e9 c\u00f4t\u00e9 client potentiellement importante. Trouver ces lacunes signifie de longues et fastidieuses heures (ou jours) de r\u00e9vision manuelle du code \u00e0 travers des milliers de lignes de script sur vos applications Web. Les politiques de s\u00e9curit\u00e9 de contenu automatis\u00e9es peuvent aider \u00e0 rationaliser le processus de r\u00e9vision du code en identifiant d’abord tous les scripts propri\u00e9taires et tiers et les actifs auxquels ils acc\u00e8dent, puis en g\u00e9n\u00e9rant une politique de s\u00e9curit\u00e9 de contenu appropri\u00e9e pour aider \u00e0 mieux s\u00e9curiser la surface d’attaque c\u00f4t\u00e9 client.<\/p>\n
![\"Politiques](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1657640897_935_Eviter-la-mort-par-mille-scripts-utiliser-des-politiques-de.jpg\" "\\"Politiques")
<\/div>\nIl y a peu de d\u00e9veloppeurs ou de professionnels AppSec qui pr\u00e9tendent aimer d\u00e9ployer des CSP. Tout d’abord, le CSP doit fonctionner pour l’application Web sp\u00e9cifique. Ensuite, l’\u00e9quipe doit s’assurer qu’elle fournit le niveau de protection appropri\u00e9. Le CSP ne peut pas non plus entrer en conflit avec des widgets ou plugins existants (ou la d\u00e9cision doit \u00eatre prise de ne pas d\u00e9ployer le CSP ou de d\u00e9sactiver ces plugins, ce qui peut causer des probl\u00e8mes dans d’autres domaines, tels que l’engagement client, le marketing et les ventes).<\/p>\n
Et puis, lorsqu’un CSP \u00e9choue, il y a l’audit redout\u00e9 pour d\u00e9terminer le pourquoi et le o\u00f9.<\/p>\n
Le probl\u00e8me d’\u00e9vitement d’audit CSP (c’est-\u00e0-dire \u00e9viter les r\u00e9visions manuelles de code ou la mort par mille scripts) est assez courant. Aujourd’hui, les applications Web c\u00f4t\u00e9 client contiennent des milliers de scripts, assembl\u00e9s \u00e0 partir de plusieurs biblioth\u00e8ques open source ou d’autres r\u00e9f\u00e9rentiels tiers et de quatri\u00e8me partie. Peu d’\u00e9quipes de d\u00e9veloppement ou de s\u00e9curit\u00e9 prennent le temps de conserver un enregistrement d\u00e9taill\u00e9 de tous les scripts utilis\u00e9s dans l’assemblage d’applications Web, y compris leurs fonctions, leurs sources et s’ils ont \u00e9t\u00e9 mis \u00e0 jour ou corrig\u00e9s pour r\u00e9soudre les probl\u00e8mes de s\u00e9curit\u00e9 connus.<\/p>\n
M\u00eame lorsque les \u00e9quipes identifient toutes les sources de scripts tiers, cela ne garantit pas que les scripts sont s\u00fbrs. Des probl\u00e8mes persistants surviennent toujours avec les gestionnaires de packages contenant du JavaScript obfusqu\u00e9 et malveillant utilis\u00e9 pour collecter des informations sensibles \u00e0 partir de sites Web et d’applications Web. Dans un exemple r\u00e9cent, des chercheurs ont d\u00e9couvert que des packages malveillants avaient \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s 27 000 fois par des d\u00e9veloppeurs sans m\u00e9fiance. <\/p>\n
Malheureusement, le probl\u00e8me d’\u00e9vitement d’audit CSP \u00e9tend une surface d’attaque d\u00e9j\u00e0 importante c\u00f4t\u00e9 client.<\/p>\n
Les probl\u00e8mes avec les CSP n’ont rien \u00e0 voir avec leur valeur. Les CSP sont excellents pour fournir des rapports de violation et une optimisation des politiques et aident \u00e0 d\u00e9couvrir les scripts vuln\u00e9rables qui conduisent \u00e0 des attaques par injection JavaScript, des scripts intersites (XSS) et des attaques par \u00e9cr\u00e9mage, comme Magecart. Les politiques de s\u00e9curit\u00e9 de contenu manuelles sont simplement p\u00e9nibles \u00e0 g\u00e9rer, ce qui signifie que les d\u00e9veloppeurs peuvent \u00e9viter les processus CSP critiques, ce qui entra\u00eene un risque de s\u00e9curit\u00e9 accru.<\/p>\n
Politiques de s\u00e9curit\u00e9 de contenu automatis\u00e9es<\/a> aider \u00e0 g\u00e9rer les CSP pour mieux prot\u00e9ger la surface d’attaque c\u00f4t\u00e9 client et supprimer le risque associ\u00e9 \u00e0 la surveillance manuelle des CSP. En identifiant tous les scripts propri\u00e9taires et tiers, les actifs num\u00e9riques et les donn\u00e9es auxquelles ces actifs acc\u00e8dent, les entreprises peuvent rationaliser le processus de cr\u00e9ation et de gestion du CSP et am\u00e9liorer la s\u00e9curit\u00e9 globale c\u00f4t\u00e9 client. Les CSP automatis\u00e9s sont g\u00e9r\u00e9s au niveau du domaine pour un meilleur reporting et un meilleur contr\u00f4le des versions. <\/p>\n Les CSP automatis\u00e9s fonctionnent en explorant un site Web ou une application Web et en initiant des utilisateurs synth\u00e9tiques pour \u00e9valuer comment les scripts fonctionnent sur l’application Web et \u00e0 quel type de donn\u00e9es le script peut acc\u00e9der. Le syst\u00e8me g\u00e9n\u00e8re ensuite le CSP pour l’aligner sur les besoins de s\u00e9curit\u00e9 du site Web ou de l’application Web. Les CSP automatis\u00e9s fonctionnent \u00e9galement dans l’environnement de production r\u00e9el, pour \u00e9muler des politiques pour des tests rapides (et \u00e9viter le d\u00e9ploiement constant de CSP dans un environnement de d\u00e9veloppement) et se concentrer sur la r\u00e9duction des violations de politique aussi pr\u00e8s que possible de z\u00e9ro. <\/p>\n Les fonctionnalit\u00e9s suppl\u00e9mentaires d’un CSP automatis\u00e9 incluent la cr\u00e9ation de nouvelles politiques apr\u00e8s une violation d\u00e9tect\u00e9e pour permettre des mises \u00e0 jour rapides et traiter les menaces de s\u00e9curit\u00e9 actuelles et l’ingestion de donn\u00e9es de journal dans la gestion des incidents et des \u00e9v\u00e9nements de s\u00e9curit\u00e9 (SIEM) et d’autres syst\u00e8mes de collecte de donn\u00e9es bas\u00e9s sur des journaux pour une int\u00e9gration dans les pratiques de s\u00e9curit\u00e9 actuelles. et flux de travail.<\/p>\n Avec des rapports de violation enti\u00e8rement int\u00e9gr\u00e9s, une solution CSP automatis\u00e9e compl\u00e8te les processus et workflows de s\u00e9curit\u00e9 actuels. Il fournit \u00e9galement une prise en charge essentielle des normes r\u00e9glementaires et de conformit\u00e9 telles que PCI DSS 4.0, HIPAA et autres.<\/p>\n![\"Politiques](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1657640897_169_Eviter-la-mort-par-mille-scripts-utiliser-des-politiques-de.jpg\" "\\"Politiques")
<\/div>\n![\"Politiques](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1657640897_599_Eviter-la-mort-par-mille-scripts-utiliser-des-politiques-de.jpg\" "\\"Politiques")
<\/div>\n