La sécurité applicative et les tests d'intrusion, beaucoup plus qu'un scan automatisé. Conférence ASIQ, mars 2014

Transcription

1 La sécurité applicative et les tests d'intrusion, beaucoup plus qu'un scan automatisé Conférence ASIQ, mars 2014

2

3

4 AINSI, CE QUI EST D UNE IMPORTANCE SUPRÊME DANS LA GUERRE, C EST D ATTAQUER LA STRATÉGIE DE L ENNEMI Sun Tzu

5 Index Qui suis-je Vocabulaire Types de test, avantages & inconvénients D hier à aujourd hui Statistiques Quel test choisir? L appel d offre Un bon rapport!?! Choix du fournisseur

6 Qui suis-je? Enode.ca Hackfest.ca Conseiller en architecture et analyste en sécurité Spécialiste en sécurité applicative 7 ans d expérience en sécurité Participe et crée plusieurs CTF depuis Conférencier au sein de grandes entreprises, ministères ainsi que les cégeps et universités

7 Vocabulaire

8 Vocabulaire - types de test black box Aucune information disponible si ce n est que de la cible white box Toutes les informations possibles sur la cible grey box Un mix interne Réseau interne (physiquement ou via VPN) externe Via Internet physique Physiquement entrer dans un bâtiment ingénierie sociale Test souvent inclut dans les tests d intrusion

9 Vocabulaire - Scan de vulnérabilité Activité utilisant un outil automatisé pour analyser les ports ouverts sur une machine, y définir le service en fonction et s il est potentiellement vulnérable. Souvent un rapport traduit ou directement créé par l outil automatisé est remis au client. D autres entreprises interprêtent les résultats.

10 Vocabulaire - Test d intrusion Ou encore, pentest ou test intrusif. Test principalement manuel qui consiste généralement des étapes suivantes : 1. Reconnaissance (scan 10%, analyse surface d attaque, etc.) 2. Analyse de vulnérabilité (analyse de la reconnaissance) 3. Exploitation (entre dans le réseau/serveur/client) 4. Post exploitation (GOTO 1.) 5. Rapport détaillé

11 Vocabulaire - Revue de code source Analyse du code source d une application Web, desktop ou autre à la recherche de vulnérabilité connues et des vulnérabilités logiques. Généralement effectué par un développeur de formation.

12 PLAIDER LE FAUX POUR SAVOIR LE VRAI

13 Le faux Un test d intrusion peut être non intrusif Un test d intrusion est la meilleure méthode pour découvrir des vulnérabilités Un scan de vulnérabilité est un test d intrusion Le résultat d un test d intrusion est égal de firme en firme puisqu ils utilisent des outils On peut donc toujours utiliser la même firme Nessus, Acunetix, etc. sont des outils performant pour des tests d intrusion

14 Le vrai Un test d intrusion est par définition intrusif si vous demandez un test non intrusif, on parle de scan de vulnérabilité ce qui est tout à fait différent Un scan de vulnérabilité ne survol que la surface sans tester et assurer que la vulnérabilité existe réellement. La meilleure méthode pour identifier des vulnérabilités est à la source à l aide d un cycle de développement sécuritaire (DSL) et de revues de code source

15 Le vrai Un test d intrusion dépend de la qualité de la firme, des analystes, de leur méthodologies et de leurs connaissance. La raison qu il est recommandé de changer ou d alterner de firme après quelques tests Un bon test d intrusion n est pas meilleur, ni défini par les outils utilisés Un scan de vulnérabilité oui Nessus, acunetix, etc. sont des outils pour effectuer des scans de vulnérabilités (vulnerability assessment)

16 Différences entre les types de test

17 LA DÉFINITION DES TESTS AVANTAGES & INCONVÉNIENTS

18 Scan de vulnérabilité Utilisation d un outil automatisé qui permet de vérifier les ports ouverts, le service fonctionnant sur ce port,les vulnérabilités potentielles associées à ce dit service et sa version.

19 Avantages du scan de vulnérabilité Excellent outil permettant d effectuer la gestion de vulnérabilités Différence entre deux scans Permet d avoir rapidement une vue superficielle de la sécurité de notre infrastructure

20 Inconvénients du scan de vulnérabilité À peine 20% d efficacité Couvre environ 10% des vérifications de sécurité normalement effectuées Un scan de vulnérabilité comprend énormément de faux positif 30 fois moins efficace qu un test d intrusion1 Couvre environ 20% de la sécurité d une application Security%20Statistics#Summary

21 Test d intrusion Test qui confirme et exploite les vulnérabilités découvertes dans la phase de reconnaissance (qui inclut le scan). Lorsqu une cible est exploitée, le but est de vérifier jusqu ou on peut se rendre dans les limites du contrat pour définir l impact réel d une attaque.

22 Avantages du test d intrusion Un test en white box permet de découvrir 30 fois plus de vulnérabilité qu un scan de vulnérabilité1 Couvre environ 40 a 50% des vérifications possibles lorsque le test est en blackbox Application%20Security%20Statistics#Summary

23 Inconvénients du test d intrusion Ce n est pas vraiment un inconvénient, mais cela n inclut pas l analyse de code source pour couvrir tous les types de test en mode whitebox. Peu de certification existent pour les tests d intrusion. Les certifications à choix de réponses ne démontrent aucune compétence dans le domaine des tests d intrusion versus une certification à examen technique où l ont doit pirater des serveurs et applications.

24 Revue de code source Analyse technique et logique du code source d une application pour y découvrir des problèmes de sécurité à la source

25 Avantages de la revue de code Efficacité d environ 80-90%; Couvre environ 80% de la surface d attaque de l application; Analyse à la source AVANT la mise en production; Frais 100x plus petit que d être en mode correction lorsque en Production.

26 Inconvénients de la revue de code Dépend énormément de l auditeur et de son background en programmation. Aucune certification n aide réellement à la revue de code source. Les certifications pour test d intrusion ne sont pas reliées à la revue de code source

27 QUEL TEST EST LE PLUS UTILE AUJOURD HUI?

28 Quelle approche est la plus intéressante? Scan de vulnérabilité : survol fréquent Permet d avoir une approximation des mises à jour effectuées ou non dans le parc informatique Test d intrusion (un vrai) Définir l impact réel d une attaque utilisant plusieurs vecteurs d attaque et une surface d attaque réel Revue de code source Règle 80% des problèmes à la source, réduit les coûts de 100 fois versus effectuer des corrections en environnement de Production

29 TOUT D ABORD D HIER À AUJOURD HUI

30 Crypto moderne

31 Crypto

32 IDS

33 Anti-virus

34 Firewall

35 SSL

36

37 20/30 ans d efforts en sécurité technologique et réseau, mais il y a un DÉFICIT énorme en sécurité applicative

38 Types de vulnérabilité

39 Complexité des vulnérabilités public

40 SELON VOUS OÙ DOITON INVESTIR EN SÉCURITÉ?

41 Où devrait-on investir? Scan de vulnérabilité : survol Permet d avoir une approximation des mises à jour effectuées ou non dans le parc informatique Test d intrusion (un vrai) Défini l impact réel d une attaque utilisant plusieurs vecteurs d attaque et une surface d attaque réel Revue de code source Règle 80% des problèmes à la source, réduit les coûts de 100 fois versus effectuer des corrections en environnement de Production

42 Où devrait-on investir? Revue de code source Mise en place de développement sécuritaire (DSL) Test d intrusion applicatif Versus investir en : Sécurité réseau Droits d accès Scan et pentest orienté serveur seulement

43 Définir le prix Plusieurs clients optent pour les scans de vulnérabilité. Est-ce judicieux? Exemples : 1. Prix par : IPs / page Web 2. Taux d un test d intrusion 3. Taux d une revue de code source

44 Définir le prix : Exemple scan Prix par IPs / Pages Web Ne prend pas en compte la surface d attaque La valeur est par IP au lieu d être la valeur de la surface d attaque et de chaque éléments de l infrastructure, leur cote DIC(AI), etc. Exemple: 10 IPs, 50$/IP Prix moyen ressource: 120$/heure (90-150$) Prix du test: 500$ 500/120 = ~4heures/IP Possibilité d aucune surface d attaque Rapport à effectuer (dans le ~4h/IP) - méthode pour choisir un vendeur de test d intrusion

45 Définir le prix : Exemple intrusion Qu est-ce qui est inclus dans un test d intrusion: 1. Reconnaissance Analyse de la surface d attaque Scan et analyse des services Reconnaissance et récupération d information public 2. Tests et attaques 3. Vulnérabilités découvertes 4. Exploitation et pivot à l intérieur de l entreprise 5. GoTo #1 à partir de la nouvelle zone réseau

46 Définir le prix : Exemple intrusion Prix moyen ressource: 120$/heure (90-150$) Reconnaissance = 5 à 10% du projet Scan = 5 à 10% du projet Attaque par niveau de sensibilité des systèmes et de ce qu ils permettent d accéder si compromis 1 à 3 jours : faible 3 à 5 jours : moyen 5 à 10 jour: élevé 10 à 20 : très élevé 20++ : critique Rapport = 5%

47 Définir le prix : Exemple de revue Qu est-ce qui est inclus dans une revue de code source : 1. Reconnaissance Compréhension de l application à l aide de l équipe de développeur Survol du code Analyse des interactions entre modules 2. Analyse des modules 3. Vulnérabilités découvertes 4. Décrire les vulnérabilités et les recommandations pour correction future = Documenter le rapport final 5. Si possible le tester dans un environnement de Test ou de Prod

48 Définir le prix : Exemple de revue Prix moyen ressource: 120$/heure (90-150$) Reconnaissance = 10 à 15% du projet Analyse des modules = 75% du projet Analyse par niveau de sensibilité des systèmes, modules ou sections de code 1 à 3 jours : faible 3 à 5 jours : moyen 5 à 10 jour: élevé 10 à 20 : très élevé 20++ : critique Rapport = 10%

49 Plus cher oui, mais plus efficace

50 Le danger?

51 Le danger?

52 Le danger?

53 Le danger?

54 L APPEL D OFFRE

55 À inclure dans l appel d offre de sécurité technique Définir la surface d attaque (et la limite) Définir la sensibilité des serveurs et leur données Le nombre de serveur, application et leur type Type de test Définir un timeline et les heures de test Rencontre de démarrage et remise de rapport Contact tout au long des tests Avoir une équipe prête en cas de problématique Clause contractuelle, NDA, etc. Indiquer ce que vous désirez obtenir dans le rapport Niveau de risque adapté à votre entreprise (pas le risque de Nessus ou autre logiciel) Une description adaptée Description de la probabilité (le pourquoi) Description de l impact (le pourquoi)

56 LE RAPPORT

57 Exemple de rapport Sommaire Portée / hors portée ; clause contractuelle Liste des recommandations Liste des vulnérabilités Niveau de risque Description Probabilité Impact Recommandation Annexe décrivant les étapes pour reproduire chaque vulnérabilité Timeline Définitions

58 Interprétation du rapport Effectué par un analyste en sécurité Ajustement du niveau de risque par rapport au contexte de l entreprise Priorisation Coordination avec les équipes TI ou de développement pour la correction Rencontre avec l auditeur après les tests

59 Comment choisir un fournisseur de test technique Un test est défini par la qualité, les connaissances et le talent de l équipe et non pas par les outils utilisés Expérience dans le domaine précis Revue de code, et développement sécuritaire = développeur de formation Changement de firme après 3 à 5 tests d intrusion À long terme, une même firme utilisera les mêmes recettes et mêmes trucs. Certifications? Sujet épineux, mais personnellement: Certification technique seulement (vérifier que ce ne sont pas

60 Questions à se poser Liste de question de com/alt/howtovendor.pdf

61 Offre Enode

62 Offres Enode Tests d intrusion Revue de code source Mise en place DSL (cycle de développement sécuritaire logiciel) Scan de vulnérabilité Formations sécurité applicative Présentations Accompagnement

63 ?

64 Contact Service conseils Hackfest 2014 (7&8 novembre)