Lors de la cr\u00e9ation d’un Sandbox, l’\u00e9tat d’esprit tend \u00e0 \u00eatre que le Sandbox est consid\u00e9r\u00e9 comme un endroit pour jouer, tester des choses, et il n’y aura aucun effet sur la production ou le syst\u00e8me op\u00e9rationnel. Par cons\u00e9quent, les gens ne pensent pas activement qu’ils doivent s’inqui\u00e9ter de sa s\u00e9curit\u00e9. Cet \u00e9tat d’esprit est non seulement faux, mais extr\u00eamement dangereux. <\/p>\n
En ce qui concerne les d\u00e9veloppeurs de logiciels, leur version de bac \u00e0 sable est similaire \u00e0 une aire de jeux pour enfants – un endroit pour cr\u00e9er et tester sans interrompre les flux de production. Pendant ce temps, dans le monde de la cybers\u00e9curit\u00e9, le terme “sandbox” est utilis\u00e9 pour d\u00e9crire un environnement virtuel ou une machine utilis\u00e9e pour ex\u00e9cuter du code suspect et d’autres \u00e9l\u00e9ments. <\/p>\n
De nombreuses organisations utilisent une Sandbox pour leurs applications SaaS – pour tester les modifications sans perturber l’application SaaS de production ou m\u00eame pour connecter de nouvelles applications (un peu comme la Sandbox d’un d\u00e9veloppeur de logiciels). Cette pratique courante conduit souvent \u00e0 un faux sentiment de s\u00e9curit\u00e9 et \u00e0 son tour \u00e0 un manque de r\u00e9flexion sur ses implications en mati\u00e8re de s\u00e9curit\u00e9. Cet article vous expliquera ce qu’est un bac \u00e0 sable SaaS, pourquoi il est vuln\u00e9rable et comment le s\u00e9curiser.<\/p>\n
D\u00e9couvrez comment vous pouvez gagner en visibilit\u00e9 et en contr\u00f4le sur votre bac \u00e0 sable SaaS et votre pile d’applications. <\/em><\/a><\/p>\n UN la cyber-s\u00e9curit\u00e9<\/em> Le bac \u00e0 sable permet de s\u00e9parer les actifs prot\u00e9g\u00e9s du code inconnu, tout en permettant au programmeur et au propri\u00e9taire de l’application de voir ce qui se passe une fois le code ex\u00e9cut\u00e9. Les m\u00eames concepts de s\u00e9curit\u00e9 sont utilis\u00e9s lors de la cr\u00e9ation d’un SaaS <\/em>Sandbox – il duplique l’instance principale de SaaS, y compris ses donn\u00e9es. Cela permet de jouer avec l’application SaaS, sans influencer ni endommager le SaaS op\u00e9rationnel – en production. <\/p>\n Les d\u00e9veloppeurs peuvent utiliser le bac \u00e0 sable pour tester l’API, installer des modules compl\u00e9mentaires, connecter d’autres applications, etc., sans se soucier que cela affecte les utilisateurs r\u00e9els de l’organisation. Les administrateurs peuvent modifier les configurations, tester les fonctionnalit\u00e9s SaaS, modifier les r\u00f4les, etc. Cela permet \u00e0 l’utilisateur de mieux comprendre comment les modifications apport\u00e9es au SaaS se d\u00e9rouleront avant de l’impl\u00e9menter sur une instance SaaS op\u00e9rationnelle et critique. Cela laisse \u00e9galement du temps pour cr\u00e9er des directives, former le personnel, cr\u00e9er des flux de travail, etc. <\/p>\n Dans l’ensemble, l’utilisation d’une Sandbox est un excellent concept pour toutes les utilisations de logiciels et de SaaS\u00a0; mais comme toutes les grandes choses dans le monde du SaaS, le probl\u00e8me est qu’il y a un risque de s\u00e9curit\u00e9 majeur qui se cache \u00e0 l’int\u00e9rieur. <\/p>\n Un grand h\u00f4pital priv\u00e9 par inadvertance a r\u00e9v\u00e9l\u00e9 les donn\u00e9es de 50 000 patients<\/a> lorsqu’ils ont cr\u00e9\u00e9 un site de d\u00e9monstration (c’est-\u00e0-dire une Sandbox) pour tester un nouveau syst\u00e8me de prise de rendez-vous. Ils ont utilis\u00e9 la vraie base de donn\u00e9es du centre m\u00e9dical, laissant les donn\u00e9es des patients expos\u00e9es.<\/p>\n Souvent, une Sandbox est cr\u00e9\u00e9e \u00e0 partir de donn\u00e9es r\u00e9elles, parfois m\u00eame un clone complet de l’environnement de production, avec ses personnalisations. D’autres fois, la Sandbox est directement connect\u00e9e \u00e0 une base de donn\u00e9es de production. Si un attaquant parvient \u00e0 p\u00e9n\u00e9trer dans la Sandbox en raison d’une s\u00e9curit\u00e9 laxiste, il aura acc\u00e8s \u00e0 des tr\u00e9sors d’informations. (Cette fuite d’informations peut \u00eatre probl\u00e9matique, en particulier si vous \u00eates une entreprise de l’UE ou si vous traitez des donn\u00e9es de l’UE en raison du RGPD. Si vous traitez des informations m\u00e9dicales aux \u00c9tats-Unis ou pour une entreprise am\u00e9ricaine, vous pouvez \u00eatre en violation de HIPPA.)<\/p>\n D\u00e9couvrez comment une SSPM peut vous aider \u00e0 automatiser la s\u00e9curit\u00e9 de votre sandbox SaaS.<\/em><\/a><\/p>\n M\u00eame les organisations qui utilisent des donn\u00e9es synth\u00e9tiques, ce qui est recommand\u00e9 pour toutes les entreprises, peuvent toujours \u00eatre expos\u00e9es \u00e0 un risque d’attaque. Un attaquant peut utiliser la Sandbox pour la reconnaissance afin de mieux comprendre comment une organisation configure ses fonctions de s\u00e9curit\u00e9 et ses \u00e9ventuels points faibles. \u00c9tant donn\u00e9 que la Sandbox refl\u00e8te dans une certaine mesure la configuration du syst\u00e8me op\u00e9rationnel, un attaquant peut utiliser ces connaissances pour p\u00e9n\u00e9trer dans le syst\u00e8me de production.<\/p>\n La solution au probl\u00e8me de la Sandbox non s\u00e9curis\u00e9e est assez simple : s\u00e9curisez la Sandbox \u00e9tape par \u00e9tape comme s’il s’agissait d’un syst\u00e8me de production. <\/p>\n \u00c9tape 1.<\/strong> G\u00e9rez et contr\u00f4lez l’acc\u00e8s \u00e0 une Sandbox et limitez l’acc\u00e8s des utilisateurs \u00e0 la Sandbox. Par exemple, tous les utilisateurs ayant acc\u00e8s \u00e0 la production ne doivent pas \u00e9galement avoir acc\u00e8s \u00e0 la Sandbox. Contr\u00f4ler quels utilisateurs peuvent cr\u00e9er et acc\u00e9der \u00e0 une Sandbox est la premi\u00e8re \u00e9tape pour s\u00e9curiser votre environnement SaaS. <\/p>\n \u00c9tape 2. <\/strong>Impl\u00e9mentez les m\u00eames param\u00e8tres de s\u00e9curit\u00e9 que ceux configur\u00e9s dans le syst\u00e8me op\u00e9rationnel pour la version Sandbox\u00a0; de l’exigence de MFA \u00e0 la mise en \u0153uvre de SSO et IDP. De nombreuses applications SaaS disposent de fonctionnalit\u00e9s de s\u00e9curit\u00e9 suppl\u00e9mentaires con\u00e7ues sur mesure pour cette application SaaS sp\u00e9cifique et doivent \u00eatre refl\u00e9t\u00e9es dans la Sandbox. Par exemple, Salesforce dispose de fonctionnalit\u00e9s de s\u00e9curit\u00e9 uniques telles que la protection contre le reniflage de contenu, les niveaux de sensibilit\u00e9 des donn\u00e9es par d\u00e9faut, l’authentification via un domaine personnalis\u00e9, etc. <\/p>\n \u00c9tape 3.<\/strong> Supprimez les donn\u00e9es de production et remplacez-les par des donn\u00e9es synth\u00e9tiques (c’est-\u00e0-dire invent\u00e9es). Les bacs \u00e0 sable sont g\u00e9n\u00e9ralement utilis\u00e9s pour tester les modifications apport\u00e9es aux configurations, aux processus, aux flux (tels qu’APEX), etc. Ils ne n\u00e9cessitent pas de donn\u00e9es r\u00e9elles pour tester les modifications – toutes les donn\u00e9es avec le m\u00eame format peuvent \u00eatre suffisantes. Par cons\u00e9quent, \u00e9vitez de copier les donn\u00e9es de production et utilisez plut\u00f4t Data Mask.<\/p>\n \u00c9tape 4.<\/strong> Gardez votre Sandbox en ligne avec les am\u00e9liorations de s\u00e9curit\u00e9 apport\u00e9es dans l’environnement de production. Souvent, une Sandbox n’est ni actualis\u00e9e ni synchronis\u00e9e au jour le jour, ce qui la rend vuln\u00e9rable aux menaces qui ont \u00e9t\u00e9 minimis\u00e9es lors de la production. Pour r\u00e9duire les risques et vous assurer que votre Sandbox remplit son objectif, une Sandbox doit \u00eatre synchronis\u00e9e tous les jours. <\/p>\n Les \u00e9quipes de s\u00e9curit\u00e9 peuvent \u00e9galement mettre en \u0153uvre et utiliser des solutions SSPM (SaaS Security Posture Management) pour automatiser leurs processus de s\u00e9curit\u00e9 SaaS et relever les d\u00e9fis d\u00e9taill\u00e9s ci-dessus, pour surveiller et emp\u00eacher les menaces de s’infiltrer dans le bac \u00e0 sable SaaS.<\/p>\n Un SSPM, comme Adaptive Shield, entre en jeu pour permettre aux \u00e9quipes de s\u00e9curit\u00e9 d’identifier, d’analyser et de hi\u00e9rarchiser les erreurs de configuration dans la Sandbox et sur l’ensemble de la pile d’applications SaaS, ainsi que de fournir une visibilit\u00e9 aux applications tierces avec acc\u00e8s aux applications principales, Device -to-SaaS Gestion de la posture des utilisateurs et plus encore. <\/p>\nFondamentaux de la cybers\u00e9curit\u00e9 et du bac \u00e0 sable SaaS<\/h2>\n
Sandbox Security Risques et r\u00e9alit\u00e9s du monde r\u00e9el <\/h2>\n
Comment s\u00e9curiser votre bac \u00e0 sable SaaS <\/h2>\n
Automatisez votre s\u00e9curit\u00e9 SaaS<\/h2>\n