Page d'accueil d'OpenText.
Sujets techniques

Qu'est-ce que la sécurité des applications ?

Illustration d'éléments informatiques mettant en évidence un point d'interrogation

Aperçu

La sécurité des applications est la discipline qui regroupe les processus, les outils et les pratiques visant à protéger les applications contre les menaces tout au long de leur cycle de vie. Les cybercriminels sont organisés, spécialisés et motivés pour trouver et exploiter les vulnérabilités des applications d'entreprise afin de voler des données, de la propriété intellectuelle et des renseignements sensibles. La sécurité des applications peut aider les organisations à protéger tous les types d'applications (telles que les applications existantes, de bureau, Web, mobiles, les microservices) utilisées par les intervenants internes et externes, y compris les clients, les partenaires commerciaux et les employés.

Sécurité des applications

Pourquoi la sécurité des applications ?

Comme l'ont confirmé de nombreuses études, la majorité des violations de sécurité réussies ciblent des vulnérabilités exploitables situées dans la couche applicative, ce qui indique la nécessité pour les services informatiques des entreprises d'être particulièrement vigilants en matière de sécurité des applications. Pour aggraver encore le problème, le nombre et la complexité des applications ne cessent de croître. Il y a dix ans, le défi en matière de sécurité logicielle était de protéger les applications de bureau et les sites Web statiques, relativement inoffensifs et faciles à identifier et à protéger. Aujourd'hui, la chaîne d'approvisionnement logicielle est beaucoup plus complexe si l'on considère le développement externalisé, le nombre d'applications existantes, ainsi que le développement interne qui tire parti de composants logiciels tiers, open source et commerciaux prêts à l'emploi.

Les organisations ont besoin de solutions de sécurité applicative qui couvrent toutes leurs applications, qu'il s'agisse de celles utilisées à l'interne ou des applications externes populaires utilisées sur les téléphones mobiles des clients. Ces solutions doivent couvrir l'intégralité du stade de développement et proposer des tests après la mise en service de l'application afin de détecter d'éventuels problèmes. Les solutions de sécurité des applications doivent être capables de tester les applications Web afin d'identifier les vulnérabilités potentielles et exploitables, d'analyser le code et de contribuer à la gestion des processus de sécurité et de développement en coordonnant les efforts et en favorisant la collaboration entre les différentes parties prenantes. Les solutions doivent aussi offrir des tests de sécurité des applications faciles à utiliser et à déployer.

Qu'est-ce que SAST, DAST et SCA ?

Qu'est-ce que SAST ?

Les tests de sécurité statiques des applications (SAST) analysent les fichiers sources de l'application, identifient avec précision la cause première et aident à corriger les failles de sécurité sous-jacentes.

Avantages des tests statiques de sécurité des applications

  • Identifier et éliminer les vulnérabilités dans le code source, binaire ou bytecode.
  • Consultez en temps réel les résultats de l'analyse statique et accédez à des recommandations, à la navigation ligne par ligne dans le code pour trouver plus rapidement les vulnérabilités et à l'audit collaboratif.
  • Entièrement intégré à l'environnement de développement intégré (IDE).

Qu'est-ce que DAST ?

Les tests de sécurité dynamique des applications (DAST) simulent des attaques contrôlées sur une application ou un service Web en cours d'exécution afin d'identifier les vulnérabilités exploitables dans un environnement en cours d'exécution.

Avantages des tests dynamiques de sécurité des applications :

  • Offre une vue d'ensemble de la sécurité des applications en mettant l'accent sur les vulnérabilités exploitables et en couvrant tous les composants (serveur, code personnalisé, open source, services).
  • Peut être intégré aux processus de développement, d'assurance qualité et de production pour offrir une vue d'ensemble continue.
  • L'analyse dynamique permet une approche plus large de la gestion des risques du portefeuille (des milliers d'applications) et peut analyser les applications existantes dans le cadre de la gestion des risques.
  • Il teste l'application fonctionnelle et, contrairement à SAST, n'est donc pas limité par le langage ; les problèmes liés à l'exécution et à l'environnement peuvent ainsi être détectés.

Qu'est-ce que SCA ?

L'analyse de la composition logicielle (SCA) est un processus automatisé permettant d'identifier et de suivre les composants libres utilisés dans les applications. Des outils SCA plus performants peuvent analyser tous les composants open source afin d'identifier les risques de sécurité, la conformité des licences et la qualité du code.

Avantages de l'analyse de la composition logicielle :

    • Obtenez une visibilité et une compréhension des composants open source de votre organisation (fournissez une nomenclature logicielle).
    • Automatisation des politiques pour prévenir les problèmes de sécurité et de licences.
    • Suggestions de mesures correctives pour les vulnérabilités et conseils sur les risques liés aux licences.
    • Analyser la santé des projets libres afin d'éliminer les risques liés à des communautés en déclin ou en difficulté.

Sur place vs. SaaS vs. Service géré

Les solutions de sécurité des applications comprennent les logiciels de cybersécurité (les outils) et les pratiques qui mettent en œuvre le processus de sécurisation des applications.

Sur place

Les solutions de test de sécurité des applications peuvent être exécutées sur place (à l'interne), exploitées et entretenues par des équipes internes. Cette approche exige que les organisations fournissent l'infrastructure et le personnel nécessaires, et qu'elles acquièrent des solutions de sécurité applicative pour leur utilisation. L'infrastructure sur place garantit aux organisations que les données de leurs applications ne sont pas partagées avec des tiers et ne quittent pas les locaux de l'entreprise.

SaaS

La sécurité des applications en tant qu'offre SaaS fournit des solutions infonuagiques avec une interface utilisateur Web, permettant au client de configurer, d'exécuter et de gérer la sécurité des applications. Cette option exige toujours que les organisations fournissent le personnel et l'expertise nécessaires pour exécuter les différents outils de test de sécurité des applications, mais sans qu'elles aient à fournir l'infrastructure, la maintenance, les mises à jour, etc.

Service géré

La sécurité des applications peut également être un service géré, où le client consomme des services fournis comme solution clé en main par le fournisseur de sécurité des applications. Cette approche ne requiert aucune des conditions préalables de l'approche sur place, mais elle nécessite de s'appuyer partiellement ou totalement sur le fournisseur SaaS et, dans la plupart des cas, d'autoriser le partage des données de l'application avec ce dernier. La sécurité des applications en tant que service géré offre une solution simple pour démarrer et peut assurer l'évolutivité et la rapidité. Les implémentations hybrides (utilisant conjointement des services sur place, SaaS et des services gérés dans différents projets et pratiques) visent à offrir le meilleur des deux mondes en assurant flexibilité, évolutivité et optimisation des coûts.

Quel est le Top 10 de l'OWASP ?

Top 10 de l'OWASP

L'Open Web Application Security Project (OWASP) est une communauté de sécurité des applications open source dont l'objectif est d'améliorer la sécurité des logiciels. Ses directives OWASP Top 10, une référence de l'industrie, fournissent une liste des risques de sécurité applicatifs les plus critiques afin d'aider les développeurs à mieux sécuriser les applications qu'ils conçoivent et déploient.

Solutions de sécurité des applications

Les solutions de sécurité des applications OpenText offrent des services de test et de gestion de la sécurité des applications sur place, hébergées et en tant que service pour aider les entreprises à sécuriser leurs applications logicielles, y compris les applications existantes, mobiles, tierces et open source.

Les offres de Fortify comprennent l'analyse statique du code, les tests de sécurité dynamiques des applications, l'analyse de la composition logicielle (SCA) et des outils de test interactifs de la sécurité des applications pour assurer la sécurité du code de vos applications Web, API, applications mobiles, infrastructure en tant que code, conteneurs et chaîne d'approvisionnement logicielle.

Les solutions comprennent :

OpenText ™ Fortify ™ Analyseur de code statique - Tests de sécurité statique des applications (SAST) - Identifie et repère les vulnérabilités de sécurité dans le code source dès le début du cycle de vie du développement logiciel.

OpenText™ Fortify™ WebInspect - Tests de sécurité dynamiques des applications (DAST) – Simule des attaques de sécurité réelles sur une application en cours d'exécution pour fournir une analyse complète des applications et services Web complexes.

OpenText ™ Fortify ™ On Demand – La sécurité en tant que service - Un moyen simple, facile et rapide de tester avec précision les applications sans avoir à installer ou gérer de logiciel, ni à ajouter de ressources supplémentaires.

Sécurité mobile – Méthodologie de test mobile qui teste les trois niveaux, y compris le client, le réseau et le serveur.

OpenText™ Cybersecurity Cloud est un référentiel de gestion centralisé offrant une visibilité sur l'ensemble du programme de tests de sécurité des applications. Il permet de prioriser, de gérer et de suivre les activités de tests de sécurité et de fournir une image précise des risques liés à la sécurité des logiciels au sein de votre entreprise.

Sécurité des applications

Commencez dès aujourd'hui.

Contactez-nous

Produits connexes

Analyseur de code statique OpenText ™ Fortify ™

Identifiez et résolvez les problèmes de sécurité tôt avec les résultats les plus précis de l'industrie.

OpenText ™ Fortify ™ WebInspect

Identifier les vulnérabilités des applications et services Web déployés

OpenText ™ Fortify ™ Sur demande

Déverrouillez les tests de sécurité, la gestion des failles, ainsi que l'expertise et le soutien sur mesure.

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez avec confiance

Voir tous les produits connexes

Comment pouvons-nous vous aider?

Notes de bas de page