Page d'accueil d'OpenText.
Thèmes techniques

Qu'est-ce que la sécurité des applications ?

Illustration des éléments informatiques avec un point d'interrogation en point de mire

Présentation

La sécurité des applications est la discipline des processus, des outils et des pratiques visant à protéger les applications contre les menaces tout au long de leur cycle de vie. Les cybercriminels sont organisés, spécialisés et motivés pour trouver et exploiter les vulnérabilités des applications d'entreprise afin de voler des données, de la propriété intellectuelle et des informations sensibles. La sécurité des applications peut aider les organisations à protéger tous les types d'applications (telles que les applications patrimoniales, de bureau, web, mobiles, micro-services) utilisées par les parties prenantes internes et externes, y compris les clients, les partenaires commerciaux et les employés.

Sécurité des applications

Pourquoi la sécurité des applications ?

Comme le montrent de nombreuses études, la majorité des violations réussies ciblent des vulnérabilités exploitables résidant dans la couche applicative, ce qui montre que les services informatiques des entreprises doivent redoubler de vigilance en ce qui concerne la sécurité des applications. Pour aggraver encore le problème, le nombre et la complexité des applications ne cessent de croître. Il y a dix ans, le défi de la sécurité des logiciels consistait à protéger les applications de bureau et les sites web statiques qui étaient relativement inoffensifs et faciles à évaluer et à protéger. Aujourd'hui, la chaîne d'approvisionnement en logiciels est beaucoup plus complexe si l'on considère le développement externalisé, le nombre d'applications héritées, couplé au développement interne qui tire parti de composants logiciels tiers, open source et commerciaux, prêts à l'emploi.

Les entreprises ont besoin de solutions de sécurité des applications qui couvrent l'ensemble de leurs applications, depuis celles utilisées en interne jusqu'aux applications externes populaires utilisées sur les téléphones mobiles des clients. Ces solutions doivent couvrir l'ensemble de la phase de développement et proposer des tests après la mise en service d'une application afin de détecter d'éventuels problèmes. Les solutions de sécurité des applications doivent être capables de tester les applications web pour détecter les vulnérabilités potentielles et exploitables, d'analyser le code, d'aider à gérer les processus de gestion de la sécurité et du développement en coordonnant les efforts et en permettant la collaboration entre les différentes parties prenantes. Les solutions doivent également offrir des tests de sécurité des applications faciles à utiliser et à déployer.

Qu'est-ce que le SAST, le DAST et le SCA ?

Qu'est-ce que SAST ?

Les tests statiques de sécurité des applications (SAST) analysent les fichiers source de l'application, identifient avec précision la cause première et aident à remédier aux failles de sécurité sous-jacentes.

Avantages des tests statiques de sécurité des applications

  • Identifier et éliminer les vulnérabilités dans le code source, le code binaire ou le code octet.
  • Examinez les résultats de l'analyse statique en temps réel et accédez aux recommandations, à la navigation en ligne de code pour trouver plus rapidement les vulnérabilités et à l'audit collaboratif.
  • Entièrement intégré à l'environnement de développement intégré (IDE).

Qu'est-ce que DAST ?

Les tests dynamiques de sécurité des applications (DAST ) simulent des attaques contrôlées sur une application ou un service web en cours d'exécution afin d'identifier les vulnérabilités exploitables dans un environnement en cours d'exécution.

Avantages des tests dynamiques de sécurité des applications :

  • Offre une vue d'ensemble de la sécurité des applications en se concentrant sur ce qui est exploitable et en couvrant tous les composants (serveur, code personnalisé, open source, services).
  • Peut être intégré au développement, à l'assurance qualité et à la production afin d'offrir une vision holistique continue.
  • L'analyse dynamique permet une approche plus large de la gestion des risques du portefeuille (des milliers d'applications) et peut analyser les applications existantes dans le cadre de la gestion des risques.
  • Il teste l'application fonctionnelle qui, contrairement à SAST, n'est pas soumise à des contraintes linguistiques et permet de découvrir les problèmes liés à l'exécution et à l'environnement.

Qu'est-ce que le SCA ?

L'analyse de la composition des logiciels (SCA) est un processus automatisé qui permet d'identifier et de suivre les composants open-source utilisés dans les applications. Des outils SCA plus robustes peuvent analyser tous les composants open-source en termes de risques de sécurité, de conformité aux licences et de qualité du code.

Avantages de l'analyse de la composition des logiciels :

    • Obtenir une visibilité et une compréhension des composants open source dans votre organisation (fournir une nomenclature des logiciels).
    • Automatisation des politiques pour prévenir les problèmes de sécurité et de licence.
    • Suggestions de remédiation pour les vulnérabilités et conseils sur les risques liés aux licences.
    • Analyser la santé des projets open source afin d'éliminer les risques liés à des communautés médiocres ou en déclin.

On-Premise vs. SaaS vs. Managed Service

Les solutions de sécurité des applications comprennent les logiciels de cybersécurité (les outils) et les pratiques qui gèrent le processus de sécurisation des applications.

Sur place

Les solutions de test de la sécurité des applications peuvent être exécutées sur place (en interne), exploitées et maintenues par des équipes internes. Cette approche exige des organisations qu'elles fournissent l'infrastructure et le personnel, et qu'elles acquièrent des solutions de sécurité des applications pour leur utilisation. Les entreprises ont l'assurance que les données de leurs applications ne sont pas partagées avec des tiers et qu'elles ne quittent pas les locaux de l'entreprise.

SaaS

La sécurité des applications en tant qu'offre SaaS fournit des solutions basées sur le cloud avec une interface utilisateur basée sur le web, permettant au client de configurer, d'exécuter et de gérer la sécurité des applications. Cette option exige toujours des organisations qu'elles fournissent le personnel et l'expertise nécessaires pour faire fonctionner les différents outils de test de la sécurité des applications, mais sans qu'il soit nécessaire de fournir l'infrastructure, la maintenance, les mises à jour, etc.

Service entièrement managé

La sécurité des applications peut également être un service géré où le client consomme des services fournis comme une solution clé en main par le fournisseur de sécurité des applications. Cette approche ne requiert aucune des conditions préalables de l'approche sur site, mais elle nécessite de s'appuyer partiellement ou totalement sur le fournisseur de SaaS et, dans la plupart des cas, d'autoriser le partage des données de l'application avec le fournisseur. La sécurité des applications en tant que service géré constitue un moyen facile de démarrer et peut offrir évolutivité et rapidité. Les mises en œuvre hybrides (qui utilisent à la fois des services sur site, des services SaaS et des services gérés dans le cadre de différents projets et pratiques) visent à offrir le meilleur des deux mondes en assurant la flexibilité, l'évolutivité et l'optimisation des coûts.

Qu'est-ce que le Top 10 de l'OWASP ?

Top 10 de l'OWASP

L'Open Web Application Security Project(OWASP) est une communauté de sécurité des applications à source ouverte dont l'objectif est d'améliorer la sécurité des logiciels. Ses lignes directrices OWASP Top 10, standard de l'industrie, fournissent une liste des risques les plus critiques en matière de sécurité des applications afin d'aider les développeurs à mieux sécuriser les applications qu'ils conçoivent et déploient.

Solutions de sécurité des applications

Les solutions OpenText Application Security offrent des tests et une gestion de la sécurité des applications sur site, hébergées et en tant que service pour aider les entreprises à sécuriser leurs applications logicielles, y compris les applications héritées, mobiles, tierces et open-source.

Les offres Fortify comprennent l'analyse statique du code, les tests dynamiques de sécurité des applications, l' analyse de la composition des logiciels (SCA) et les outils interactifs de tests de sécurité des applications pour assurer la sécurité du code de vos applications Web, API, applications mobiles, Infrastructure-as-Code, conteneurs et chaîne d'approvisionnement logicielle.

Les solutions sont les suivantes :

OpenText™ Fortify™ Static Code Analyzer - Static Application Security Testing (SAST) - Identifie et repère les vulnérabilités de sécurité dans le code source dès le début du cycle de développement du logiciel.

OpenText™ Fortify™ WebInspect - Dynamic application security testing (DAST) - Simule des attaques de sécurité réelles sur une application en cours d'exécution afin de fournir une analyse complète des applications et services web complexes.

OpenText™ Fortify™ On Demand - Security as a Service - Un moyen simple, facile et rapide de tester avec précision les applications sans avoir à installer ou à gérer un logiciel, ou à ajouter des ressources supplémentaires.

Sécurité mobile - Méthodologie de test mobile qui teste les trois niveaux, à savoir le client, le réseau et le serveur.

OpenText™ Cybersecurity cloud - est un référentiel de gestion centralisé offrant une visibilité sur l'ensemble du programme de test de la sécurité des applications. Il permet de hiérarchiser, de gérer et de suivre les activités de test de sécurité et fournit une image précise des risques de sécurité des logiciels dans l'ensemble de l'entreprise.

Sécurité des applications

Commencez dès maintenant.

Contactez-nous

Produits associés

OpenText™ Fortify™ Static Code Analyzer

Détectez et résolvez les problèmes de sécurité de manière proactive, en bénéficiant des résultats les plus précis du secteur.

OpenText™ Fortify™ WebInspect

Identifiez les vulnérabilités des applications et services web déployés.

OpenText™ Fortify™ On Demand

Bénéficiez de tests de sécurité, d'une gestion des failles, ainsi que d'une expertise et d'une assistance sur mesure.

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez en toute confiance

Voir tous les produits apparentés

Comment pouvons-nous vous aider ?

Notes de bas de page