Q&R : Chaîne logistique des menaces et des vulnérabilités côté client

Les attaques par compromission de la chaîne logistique sont en hausse, et les dernières tendances en matière de développement d'applications augmentent la surface d'attaque pour ce type de menace. L'évolution des technologies de protection des applications côté client est un facteur important dans la réduction des risques informatiques.Fleming Shi est Chief Technology Officer chez Barracuda. À la suite du récent lancement de la solution Cloud Application Protection 2.0 de Barracuda, associé à la sortie de notre rapport 2021 sur la sécurité des applications, nous lui avons posé quelques questions sur les difficultés et leurs solutions en matière de sécurité côté client.

Interview avec Fleming Shi, Chief Technology Officer chez Barracuda

En quoi consistent les attaques contre les chaînes logistiques logicielles, et comment expliquer leur croissance rapide ces derniers temps ?

Les attaques ciblant les applications au sein des chaînes logistiques logicielles sont en augmentation notamment en raison de l'explosion de la surface d'attaque pour ces menaces. C'est la conséquence des dernières tendances en matière de développement d'applications.

Les applications Web client-serveur traditionnelles ont été développées pour être autonomes côté client, excepté pour les appels de données vers votre propre serveur et les mises à jour occasionnelles. Vous avez créé vos propres widgets et conçu l'expérience utilisateur avec les outils à votre disposition.

Mais une transformation majeure s'est déroulée sous nos yeux. Pour accélérer le développement, améliorer les performances et créer des expériences plus sympathiques, nous utilisons désormais différents composants tiers qui se trouvent côté client et qui passent des appels vers des serveurs tiers.

Par exemple, si votre application utilise la géolocalisation, présente votre graphique en 3D animé ou vérifie vos achats en ligne, elle appelle des services tiers qui produisent du langage JavaScript ou d'autres données à afficher côté client. Si des criminels compromettent ces services tiers, ils peuvent les utiliser pour y intégrer des malwares qui sont en mesure d'attaquer toutes les instances client, en perpétrant des attaques de skimming sur les informations de paiement ou en collectant des identifiants, par exemple. Bien entendu, cela peut entraîner des violations de données ou des attaques par ransomware généralisées et très coûteuses.

Il est également essentiel de comprendre que même si ces attaques sont relativement nouvelles (elles sont apparues en 2018), certaines d'entre elles sont extrêmement avancées et capables d'échapper aux analyseurs de vulnérabilités. Elles sont de plus en plus populaires et disponibles dans le cadre de l'économie avancée des menaces informatiques. Les groupes de pirates peuvent facilement se procurer un kit d'attaque et obtenir de l'aide pour le personnaliser selon leurs besoins, grâce à un canal d'assistance dédié.

Quelles sont les principales difficultés en matière de protection contre ces attaques ?

Eh bien, une fois que ces scripts sont ajoutés à votre site Web, il est très difficile d'obtenir une visibilité descendante car ils s'exécutent sur le navigateur ou l'application côté client. Les attaques passent souvent inaperçues pendant un long moment et exfiltrent de nombreuses données importantes.

Les principales défenses utilisées aujourd'hui dépendent de politiques de sécurité du contenu strictes. Malheureusement, elles peuvent être assez difficiles à configurer correctement et sont sujettes à de faux positifs. Les outils d'analyse de site constituent une alternative potentielle, mais de nombreux scripts utilisent des techniques anti-bots et d'obfuscation pour éviter d'être détectés.

Barracuda a publié son rapport 2021 sur la sécurité des applications, qui se base sur une enquête menée auprès de professionnels de l'informatique du monde entier. Parmi ses découvertes, laquelle s'est distinguée des autres, selon vous ?

Ce qui n'était pas surprenant, c'est que dans le monde, 54 % des répondants ont déclaré utiliser du code tiers au sein de leurs applications Web. Le point positif, c'est que de nombreuses entreprises reconnaissent le risque d'attaques contre la chaîne logistique et mettent en place des mesures de sécurité.

La politique de sécurité du contenu est l'approche la plus répandue. Nombreux sont ceux qui utilisent des outils spécialisés tels que les détecteurs et scanneurs JavaScript. Certains utilisent des mesures d'intégrité des sous-ressources, mais c'est également assez difficile à mettre en place et à gérer.

Le lancement de Barracuda Cloud Application Protection 2.0 est récent. Pouvez-vous nous expliquer comment il contribue à la sécurité contre les attaques visant les chaînes logistiques ?

Barracuda Cloud Application Protection est une plateforme conçue autour de notre service cloud avancé Web Application Firewall, Barracuda WAF-as-a-Service. Elle rassemble plusieurs fonctionnalités qui visent à résoudre des problèmes spécifiques, notamment un composant de suivi des menaces, une protection DDoS, une protection avancée contre les bots, une protection des API, un contrôle des identités et des accès et une protection côté client.

Notre fonctionnalité de protection côté client est conçue pour automatiser la configuration de politiques de sécurité du contenu et de fonctionnalités d'intégrité des sous-ressources. Cela permet de réduire le nombre d'erreurs et simplifie grandement la mise en place de ces mesures et l'optimisation de l'efficacité par les équipes informatiques.

De plus, la couche de suivi actif des menaces permet de visualiser et d'établir des rapports, offrant aux administrateurs une visibilité totale sur l'utilisation de ces scripts.

Dans un futur proche, les attaques contre les chaînes logistiques côté client vont continuer à augmenter et leurs auteurs vont développer de meilleures techniques pour éviter leur détection. Cloud Application Protection permet à Barracuda de simplifier la lutte contre ces attaques en mettant rapidement en œuvre de nouvelles parades.

Pour en savoir plus sur Barracuda Cloud Application Protection, rendez-vous sur notre site web.