PLAN POUR LA SÉCURITÉ DES APPLICATIONS CLOUD : ARCHITECTURES ET SOLUTIONS

V O U S M É R I T E Z L A M E I L L E U R E S É C U R I T É

EXPLOITER L’IA CONTEXTUELLE POUR AUTOMATISER L A SÉCURITÉ DES APPLICATIONS

2PLAN POUR LA SÉCURITÉ DES APPLICATIONS CLOUD

Introduction Le développement d’applications a changé et évolué avec l’adoption rapide des environnements cloud. Comme leur nom l’indique, les applications Web sont des programmes accessibles aux utilisateurs via un navigateur Web. Elles sont une composante essentielle de la présence d’une organisation sur le Web. Cette présence implique souvent des interfaces de programmation d’application (API), qui permettent un accès programmatique aux applications Web (ou à leurs services sous-jacents) de l’organisation pour l’application.

Évidemment, ces applications et API Web sont souvent ciblés par les cybercriminels. Cette menace croissante est rendue plus dangereuse par l’adoption de services dans le cloud nécessaires pour créer de telles applications. Les services de protection des applications Web et API (WAAP), dans le prolongement des services de pare-feu applicatifs cloud, permettent de répondre à ces nouveaux défis.

Les solutions traditionnelles sont basées sur des règles : elles analysent chaque requête individuellement sur la base de règles définies manuellement. Le problème avec cette approche est la vitesse à laquelle les applications sont développées. La raison qui attire les développeurs vers les applications Web en cloud est aussi celle qui augmente la surface des attaques. Les applications évoluent de plus en plus rapidement, et de plus en plus d’API sont créées et exposées.

3PLAN POUR LA SÉCURITÉ DES APPLICATIONS CLOUD

Le Cloud a tué les pare-feu basés sur des règles Les pare-feu applicatifs (WAF) binaires, basés sur des règles, n’arrivent plus à protéger des applications de plus en plus complexes car :

1. Les applications cloud ont souvent plusieurs sources de code, y compris des référentiels open- source. Une application est constituée de petits bouts de code uniques et à usage spécifique, mais il y en a de plus en plus. Cela peut conduire à plus de vulnérabilités. Dans le cas de l’open-source, ce sont des vulnérabilités qui sont largement connues et qui peuvent facilement servir de vecteur d’attaque.

2. Les modifications se font infiniment plus vite que par le passé. Les applications cloud modernes peuvent passer en production avec un simple clic. Un commit dans Github envoie automatiquement le code vers les tests et le staging, puis en production, le tout quasiment sans intervention humaine. Toute solution qui nécessite un paramétrage manuel de la sécurité ne pourra jamais suivre le rythme du développement.

3. Les applications sont devenues plus ouvertes et connectées. Les applis Cloud modernes possèdent un grand nombre de ressources interagissant avec des services tiers en dehors du « périmètre ». Les données ont beaucoup plus de possibilités pour entrer et sortir des applications que par le passé. En réalité, le nombre de périmètres à sécuriser aujourd’hui se compte en centaines.

4. Et le niveau de sophistication des attaques, comme toujours, ne cesse d’augmenter. En plus de l’utilisation de bots et des API en tant que vecteurs d’attaque, l’escalade des privilèges est un problème majeur dans le cloud. Les attaquants qui infiltrent une application rechercheront des clés API vers d’autres applications ou ressources. À cause des permissions mal configurées, l’exécution de code à distance peut être beaucoup plus préjudiciable dans le cloud.

Une solution qui ne requiert pas de paramétrage manuel des règles pour un déploiement automatisé est une meilleure alternative que les pare-feu applicatifs binaires. Basée sur le concept d’autoprotection des applications et alimentée par un moteur IA contextuel en instance de brevet, la technologie révolutionnaire de CloudGuard AppSec peut :

• Automatiser les déploiements et stopper les attaques visant les couches applicatives, y compris celles du Top 10 OWASP, sans paramétrage manuel ou faux positifs.

• Empêcher les accès non autorisés et les usages abusifs des API sans casser les applications et sans frustrer les utilisateurs.

• Identifier et stopper les bots malveillants avant qu’ils ne puissent impacter négativement l’expérience de l’utilisateur

• Capter toutes les failles et vulnérabilités HTTP courantes et publiques

4PLAN POUR LA SÉCURITÉ DES APPLICATIONS CLOUD

Moteur de décision contextuel basé sur le score Stopper les Faux Positifs grâce à l’apprentissage automatique CloudGuard AppSec élimine les faux positifs en examinant en détail plusieurs paramètres puis en les combinant pour déterminer un score de risque exact. Un score de risque final est établi en se basant sur le verdict de plusieurs moteurs :

Risque de Transaction

Risque de Comportement Utilisateur

Risque de Comportement en Masse

Risque de Contenu

5PLAN POUR LA SÉCURITÉ DES APPLICATIONS CLOUD

Risque de Transaction — Ce moteur prend toutes les transactions et requêtes et les divise en petits éléments nommés Indicateurs d’Attaque. Le moteur intègre un dictionnaire des plus petits composants impliqués dans des attaques Web et de leurs relations entre eux. Les Indicateurs d’Attaque pertinents à une transaction donnée sont envoyés dans le moteur. Le moteur détermine si la transaction est malveillante ou non grâce à un algorithme d’apprentissage automatique en instance de brevet. Si elle est malveillante, elle est bloquée immédiatement. Si, comme c’est souvent le cas, le résultat est ambigu, d’autres moteurs sont utilisés pour prendre une décision.

Risque de Comportement Utilisateur — Ce moteur analyse toutes les requêtes faites par un utilisateur spécifique… Combien étaient malveillantes ? Combien contenaient un indicateur d’attaque potentielle ? Essentiellement, toutes les requêtes précédentes de l’utilisateur sont analysées pour voir si elles avaient des intentions malveillantes. Des scores de risque sont établis pour les utilisateurs, et ceux qui démontrent une intention malveillante seront bloqués.

Risque de Comportement en Masse — Ce moteur mappe les sites en fonction de leurs interactions avec l’ensemble des utilisateurs. Le profil du site montre comment une action susceptible d’être considérée comme malveillante peut en fait être un comportement légitime dans le cadre de l’utilisation de l’application. Par exemple : Une URL spécifique est marquée comme suspecte pour de nombreux utilisateurs, et donc la probabilité que cette requête soit une attaque spécifique est moindre.

Utilisateurs de confiance — Ce moteur accélère l’apprentissage sur l’application en créant une liste blanche d’inputs autorisés pour des utilisateurs de confiance définis.

Risque de Contenu — Ce moteur apprend quel est le contenu typique d’un champ spécifique dans une application spécifique. Il fournit une analyse approfondie du contenu lui-même : quels sont les scénarios attendus pour chacun des champs ? Par exemple, une application peut avoir un champ dans lequel l’exécution d’une commande est attendue. Un moteur de pare-feu traditionnel considérerait ce champ comme une exécution de code à distance et le bloquerait. Par contre, ce moteur verra que cette combinaison Champ/Valeur spécifique a été utilisée par de nombreux autres utilisateurs, qu’elle est légitime et il acceptera le scénario. En examinant d’autres sources qui ont demandé le même paramètre et en vérifiant combien d’autres utilisateurs ont demandé des valeurs similaires, les faux positifs seront éliminés. Cette compréhension des scénarios applicables à un champ donné peut être obtenue grâce à n’importe quel moteur décrit ci-dessus.

Ce type d’analyse contextuelle est essentiel pour les applications Web, car elle est généralement orientée client. Les faux positifs peuvent empêcher des utilisateurs authentiques d’accéder à un site. Combiner les analyses de risque de plusieurs moteurs permet une décision plus judicieuse grâce à la compréhension du contexte. Cela permet aux administrateurs de sécurité d’opérer tranquillement en mode prévention, sans s’inquiéter de bloquer les demandes légitimes.

6PLAN POUR LA SÉCURITÉ DES APPLICATIONS CLOUD

Apprentissage continu Ajustements automatiques Les applications Web sont mises en mode Apprentissage au début. Les données d’apprentissage sont enregistrées dans un agent et dans le cloud. Le mécanisme est distribué - plusieurs processeurs fonctionnent indépendamment et stockent des informations en mémoire, et synchronisent leurs informations toutes les heures. Chaque processeur distribué exécute tous les moteurs mentionnés ci- dessus. Il a une compréhension profonde de l’application en termes de source, méthodes HTTP, types de requêtes HTTP, de paires Clé/Valeur dans la requête HTTP et de leur emplacement spécifique. Ces informations sont toutes analysées et introduites dans les moteurs.

Le système démarre en mode Apprentissage/Détection. Le système termine son apprentissage en quelques jours à peine, et l’utilisateur peut ensuite choisir de le faire passer en mode Prévention.

L’apprentissage supervisé est un mode dans lequel le système aide la machine à apprendre beaucoup plus rapidement. Il s’agit essentiellement d’un outil fourni aux admins pour accélérer la période d’apprentissage et pouvoir passer plus rapidement en mode Prévention. Il va analyser les logs de l’utilisateur pour la semaine précédente et identifier les événements classés malveillants avec un niveau de sécurité Élevé ou Critique. Il trouve les similarités entre eux et les présente à l’utilisateur en les regroupant dans un scénario spécifique. Par exemple, un scénario regroupant un identifiant source spécifique, comme une IP source ou une adresse e-mail. Une suggestion de paramétrage est présentée à l’utilisateur. Par exemple, « 70 % des requêtes provenant de cet identifiant source ont été marquées critiques. Un vrai positif signifie qu’il s’agit d’un attaquant — marquez-le comme étant malveillant et il sera bloqué. Marquez-le Bénin pour le mettre en Faux Positif en indiquant au système qu’il a classé trop de requêtes comme étant malveillantes ». Cela aide l’apprentissage automatique à comprendre qu’il s’agit d’une requête bénigne, une conclusion à laquelle il serait éventuellement arrivé au bout d’un certain temps. Les utilisateurs peuvent accélérer ce processus avec l’apprentissage supervisé.

7PLAN POUR LA SÉCURITÉ DES APPLICATIONS CLOUD

Validation de schéma OpenAPI Réduire la portée des attaques API En plus du moteur avec apprentissage contextuel, CloudGuard AppSec permet la validation du schéma des API. Les utilisateurs peuvent charger leur schéma sous la forme d’un fichier JSON qui va décrire au serveur la fonctionnalité de l’API. CloudGuard AppSec s’assure que ce schéma est respecté et que personne ne peut infiltrer les applications via des API ou champs qui ne sont pas explicitement autorisés. Il y parvient en regardant les clés du schéma et en vérifiant que la valeur dans la requête correspond à ce qui est autorisé. Voici un exemple d’un tel fichier JSON :

Notez que le type de chaque champ est explicitement spécifié. Par exemple, le champ « readingValue » doit être un nombre avec une valeur minimale de 1 et une valeur maximale de 100 000.

Quand le client effectue une opération POST sur le serveur,

elle contient la décision du script pour évaluer si la

demande provenait d’un bot ou d’un humain.

8PLAN POUR LA SÉCURITÉ DES APPLICATIONS CLOUD

Attaques de bots— Distinguer les activités humaines et non humaines Différencier le trafic légitime de celui des bots Les bots malveillants sont utilisés par les cybercriminels pour toutes sortes de choses allant des attaques distribuées par déni de service aux achats en quelques secondes du dernier modèle de chaussures Nike. Les acteurs de la menace utilisent souvent des bots pour automatiser leurs attaques. Ils vont par exemple utiliser des bots pour :

• Reconnaissance

• Scraping

• Credential stuffing

• Création automatisée de comptes

• Token cracking

CloudGuard AppSec utilise l’analyse comportementale côté client pour identifier les comportements humains.

Lorsqu’un client se connecte au serveur, il effectue une opération GET.

Le serveur lui envoie la page, qui contient un Javascript développé par Check Point

et qui est injecté dans le navigateur du client.

Ce script collecte des informations

comportementales du client.

9PLAN POUR LA SÉCURITÉ DES APPLICATIONS CLOUD

Conclusion Pour toute organisation, les applications sont le principal moteur d’activités mais avec la prolifération des API, la surface des attaques augmente rapidement. Les DevOps modifient les applications de plus en plus souvent, et les solutions de sécurité traditionnelles n’arrivent plus à suivre le rythme et le volume de ces changements. Les applications modernes exigent une sécurité moderne qui fournira une prévention précise sans générer de faux positifs. Les applications Cloud modernes doivent être couvertes par une solution de sécurité entièrement automatisée, avec apprentissage continu et automatique du contenu et du comportement des utilisateurs afin de prendre la bonne décision chaque fois qu’arrive une requête Web.

CloudGuard fournit une sécurité des applications alimentée par l’IA contextuelle, en examinant tous les paramètres associés à une application Web ou une requête d’API pour établir un risque de score. Grâce à l’identification automatique des requêtes malveillantes et non malveillantes, CloudGuard réduit les coûts opérationnels en neutralisant les menaces avec un haut degré de précision.

Commencez un essai gratuit de CloudGuard AppSec, ou demandez une démo aujourd’hui !

Siège social mondial 5 Ha’Solelim Street, Tel Aviv 67897, Israël | Tél. : 972-3-753-4555 | Fax : 972-3-624-1100 | E-mail : info@checkpoint.com

Siège social aux États-Unis 959 Skyway Road, Suite 300, San Carlos, CA 94070 | Tél. : 800-429-4391 ; 650-628-2000 | Fax : 650-654-4233

www.checkpoint.com

©2022 Check Point Software Technologies Ltd. Tous droits réservés.

Protection IPS Prévenir les attaques et vulnérabilités basées sur le protocole La protection IPS offerte par CloudGuard AppSec est complémentaire des protections déjà évoquées. Même si l’autoprotection de l’application parse les requêtes HTTP en utilisant l’apprentissage automatique qui fournit une meilleure compréhension, elle ne peut pas capter une vulnérabilité en dehors des scénarios qu’elle recherche. L’IPS détectera toutes les vulnérabilités connues. Elle a la capacité de prévenir les CVE publiques malveillantes en recherchant des signatures dans les requêtes. Si la signature correspond à un scénario connu pour exploiter une vulnérabilité, la requête sera bloquée.

Les signatures dans CloudGuard AppSec sont basées sur HTTP. Le backend utilisé par Check Point pour identifier ces signatures malveillantes est ThreatCloud — une base de connaissances Réseau et Cloud fournissant une sécurité dynamique en temps réel.

CloudGuard AppSec est l’évolution logique des pare-feu applicatifs basés sur des règles vers une protection automatique des applications Web en mode auto-apprentissage.

https://pages.checkpoint.com/cloudguard-appsec-trial.html https://pages.checkpoint.com/cloudguard-appsec-demo.html https://www.checkpoint.com/support-services/threatcloud-managed-security-service/