Référence : BNX_Cible-de-sécurité_CSPN Version : 1.3 Etat : A valider Date : Affaire/projet : Client : BEE WARE Classification : Diffusion projet Bee Ware i-suite Cible de Sécurité CSPN Validation Fonctionnelle Validation Fonctionnelle Bon pour application AMOA BEEWARE BEEWARE Signature : Signature : Signature : Production du document 17/05/2013 Nom du fichier : Beeware_BNX_Cible-de-sécurité-CSPN-V1 3.docx Page : 1 / 13
Prénom NOM Fonction Trigramme Sébastien Barré Consultant SSI SBE Historique des versions Version Date Changements par rapport à la version précédente Rédact. par (trigram.) Vérif. par (trigram.) Appr. par (trigram.) 01 17/05/2013 Version initiale SBE BLD BLD 1.1 06/09/2013 Ajout Protection contre attaque via encodage OAR 1.2 03/02/2014 Modification liste des fonctions OAR 1.3 Suppression du contrôle d intégrité RBI Documents associés Identifiant Titre Référence Page : 2 / 13
TABLE DES MATIERES 1 IDENTIFICATION DE LA CIBLE D ÉVALUATION... 4 2 ARGUMENTAIRE... 5 2.1 Description générale... 5 2.1.1 Description générale du produit... 5 2.1.2 Description de l environnement prévu d utilisation du produit... 5 2.1.3 Description des utilisateurs typiques concernés et de leur rôle dans l utilisation du produit.. 5 2.1.4 Description de la manière d utiliser le produit... 6 2.1.5 Description des dépendances par rapport à des matériels, des logiciels et/ou des microprogrammes du système qui ne sont pas fournis avec le produit... 6 2.2 Description des hypothèses sur l environnement... 6 2.2.1 Hypothèses sur l environnement physique du produit... 6 2.2.2 Hypothèses sur les utilisateurs du produit... 6 2.2.3 Hypothèses sur l environnement technique du produit... 6 2.2.4 Définition du périmètre de l évaluation... 7 3 DESCRIPTION DE L ENVIRONNEMENT TECHNIQUE DE FONCTIONNEMENT... 8 4 DESCRIPTION DES BIENS SENSIBLES... 9 5 DESCRIPTION DES MENACES... 10 6 DESCRIPTION DES FONCTIONS DE SECURITE DU PRODUIT... 12 Page : 3 / 13
1 IDENTIFICATION DE LA CIBLE D ÉVALUATION Nom commercial du produit : i-suite Numéro de version évaluée : 5.5 Éditeur du produit : BEEWARE Catégorie de produit : Pare-feu applicatif web Page : 4 / 13
2 ARGUMENTAIRE 2.1 Description générale 2.1.1 Description générale du produit L'appliance i-suite est un pare-feu applicatif web, également appelé WAF pour Web Application Firewall. i- Suite permet de protéger les services web des menaces que représentent les utilisateurs internes et externes. La protection des services web est assurée par des règles de filtrage appliquées aux requêtes HTTP reçues. Ces règles de filtrage peuvent portées sur des adresses IP, des URL ou des données transmises dans les requêtes HTTP, en-têtes incluses. Les actions et les éléments inspectés sont définis par les administrateurs. Les éléments inspectés peuvent être confrontés à des motifs choisis par les administrateurs ou définis par l'éditeur de logiciel. Seule la "politique par défaut (strict)" sera évaluée avec le workflow de protection encodage. Les règles peuvent être traitées par le moteur applicatif de manière séquentielle ou évènementielle selon les modes choisies par les administrateurs. Afin de vérifier l'innocuité des requêtes web l'appliance i-suite doit être placée entre l'utilisateur et les services web. De la sorte toutes les communications transitent par l'appliance qui peut alors inspecter les flux selon les règles définies pour le service protégé. L'appliance permet également la gestion des tunnels SSL avec l'utilisateur et la mise en place de mire d'authentification avant l'accès à l'application web. La mise en place d'une mire d'authentification remplaçant celle de l'application permet de gérer en un point unique les accès avec un système de SSO. 2.1.2 Description de l environnement prévu d utilisation du produit Le logiciel i-suite est une appliance qui doit être localisé en amont des serveurs et services web à protéger vis à vis des zones à risque. L'appliance ainsi positionnée sera en mesure d'intercepter les données transitant entre la zone à risque et les services web de façon à filtrer les données et requêtes indésirables. Les administrateurs sont connectés à l'équipement via une interface réseau dédiée qui leur permet l'accès aux fonctions d'administrations. 2.1.3 Description des utilisateurs typiques concernés et de leur rôle dans l utilisation du produit L'application i-suite est utilisée par deux profils d'utilisateurs : L'utilisateur en transit sur l'appliance de façon à joindre un service web. L'administrateur ayant un accès privilégié à l'appliance lui permettant de la configurer. Page : 5 / 13
L'utilisateur n'a pas conscience qu'il utilise l'appliance i-suite car elle agit comme un intermédiaire entre le client et l'application web. Ce fonctionnement est typique des "reverse-proxy". L'administrateur utilise l'appliance afin de diffuser les applications web et de gérer les règles de filtrage vers ces applications. 2.1.4 Description de la manière d utiliser le produit L'appliance i-suite s'utilise en coupure ou comme un pont réseau entre les utilisateurs et les services web. Elle permet ainsi d'analyser les requêtes HTTP et de gérer les tunnels SSL. Aucun pré-requis n'est demandé côté utilisateur concernant le périphérique et le navigateur web utilisé pour accéder aux services web. L'évaluation porte sur la "politique par défaut (strict)" de l'appliance avec le workflow de protection encodage. 2.1.5 Description des dépendances par rapport à des matériels, des logiciels et/ou des microprogrammes du système qui ne sont pas fournis avec le produit Le produit évalué est une appliance autonome. Elle ne nécessite aucune application supplémentaire à son bon fonctionnement. 2.2 Description des hypothèses sur l environnement 2.2.1 Hypothèses sur l environnement physique du produit L'appliance est positionnée dans un local dont l'accès est restreint à des personnes de confiance. 2.2.2 Hypothèses sur les utilisateurs du produit Il est considéré pour l évaluation que les administrateurs d'i-suite sont formés et de confiance. 2.2.3 Hypothèses sur l environnement technique du produit Il est considéré pour l évaluation d'i-suite que les recommandations de l'éditeur en terme d'architecture réseau sont respectées. Notamment la séparation des zones selon la confiance qui leur sont accordées ainsi que le positionnement d'un équipement de filtrage réseau en amont de l'appliance i-suite. Les appliances sont livrées avec 4 (ou plus) interfaces réseaux. Une interface est dédiée pour les flux d'administration. (Canal qui reçoit les actions et les instructions de configuration à réaliser, seuls les administrateurs y ont accès). Une interface est dédiée pour les flux d'entrée. (Canal qui reçoit les requêtes des clients provenant de l extérieur) Une interface est dédiée pour les flux de sortie. (Canal qui permet de communiquer avec les serveur applicatifs protégés) Il est également établi que les administrateurs de l'appliance, dont un des rôles est la définition et la mise en place des règles, ont les formations nécessaires à l'utilisation du produit. Entre autres, nous estimons que les règles définies n'introduisent pas de problèmes de sécurité pour l'appliance ou les services web. Ainsi les scénarios de règles récursives non terminales, de motifs ou d'encodage mal définis pour garantir la sécurisation des sites, les "evil regex" et toutes autres cas similaires de règles dangereuses sont écartés. Page : 6 / 13
2.2.4 Définition du périmètre de l évaluation La cible d évaluation est l'appliance i-suite en version 5.5 Page : 7 / 13
3 DESCRIPTION DE L ENVIRONNEMENT TECHNIQUE DE FONCTIONNEMENT Pour l évaluation, les utilisateurs utiliseront différentes technologies de navigateur web sur différents support. L'utilisateur peut se servir d'un micro-ordinateur, d'un smartphone ou d'une tablette et ainsi utiliser les différents navigateurs web associés: Internet Explorer, Firefox, Chrome, Safari, Webkit sur les systèmes Windows, Linux, ios, Android, etc... L'application i-suite est interconnectée à la fois à la patte "externe" qui peut être un intranet, un extranet ou internet et à une patte "interne" sur laquelle se trouve au moins une application web. L'administration de l'équipement se fait sur une interface dédiée. Dans le cadre de l'évaluation différentes applications web seront positionnées sur la patte "interne" de façon à représenter le plus exhaustivement possible les technologies qui peuvent être présente sur les réseaux internet et d'entreprises. Nous nous attacherons également à évaluer le filtrage applicatif d'i-suite avec les webservices. Page : 8 / 13
4 DESCRIPTION DES BIENS SENSIBLES Les biens sensibles du moteur applicatif sont : L'intégrité des sites web protégés par l'appliance ; La disponibilité des sites web protégés par l'appliance ; La confidentialité des données, matérialisé par des zones d'accès restreints au sein de l'appliance. Il s'agit de protéger l'accès à des données confidentielles stockées sur les serveurs web protégés par l'appliance.. Les postes des utilisateurs des services web. Page : 9 / 13
5 DESCRIPTION DES MENACES Les agents menaçants qui seront considérés dans le cadre de l évaluation sont : les personnes malveillantes ayant accès aux applications web protégées par l'appliance i-suite. Les principales menaces pour le moteur applicatif sont : Le contournement d'une règle de filtrage L utilisateur des services web parvient à faire transiter des requêtes nuisibles qui ne sont pas détectées par le moteur applicatif de l'appliance i-suite. Il pourra alors porter atteinte à l'intégrité et à la disponibilité des services web. En contournant les règles de filtrage l'utilisateur malveillant pourra également porter atteinte à la confidentialité des données hébergées sur les services web. Déni de service sur le moteur applicatif L'utilisateur des services web parvient à rendre indisponible ou inactif le moteur applicatif. Cas 1: L'appliance i-suite permet aux requêtes transmises par l'attaquant d'atteindre les services web sans action de filtrage. L'attaquant pourra alors porter atteinte à l'intégrité des services web et à la confidentialité des données. Cas 2: L'appliance i-suite ne permet pas aux requêtes transmises par l'attaquant d'atteindre les services web. Dans ce cas l'attaquant aura rendu indisponible les services web protégés par l'appliance. Cas 3: L'appliance i-suite est dans un état instable dans lequel les requêtes de l'attaquant peuvent ou non atteindre les services web. Dans ce cas soit les services web sont indisponibles, soit ils le sont et les risques du cas 1 sont alors applicables. Exécution de code sur l'appliance i-suite L'utilisateur des services web identifie des motifs ou des URL qui lui permettent d'exécuter des commandes arbitraires par le biais d'une attaque de type buffer-overflow ou via un mauvais paramétrage de l'application. Selon les droits attribués lors de l'exécution de commandes et les commandes disponibles l'attaquant pourra altérer l'intégrité, la disponibilité et la confidentialité de l'appliance i-suite Exécution de code sur le navigateur web des clients. Un attaquant qui parvient à injecter des données malveillantes sur un service web pourra porter atteinte aux navigateurs web des clients des services web. Les menaces qui pèsent sur les navigateurs web et indirectement sur la totalité du périphérique utilisé pour accéder aux services web sont la perte Page : 10 / 13
d'intégrité, de confidentialité, de disponibilité. La compromission totale des navigateurs et des périphériques est envisageable. Page : / 13
6 DESCRIPTION DES FONCTIONS DE SECURITE DU PRODUIT Contrôle des données échangées Le moteur applicatif permet à travers des motifs choisis par les administrateurs ou un moteur heuristique de détecter les données ou requêtes nuisibles à destination des services web protégés. Il est ainsi possible selon les règles positionnées sur le moteur applicatif de se prémunir des attaques sur la disponibilité, l'altération et le vol de données des services web. Liste des fonctionnalités de sécurité: - Protection contre les attaques de type "Parser Evasion" - Protection contre les attaques de type "Buffer Overflow" - Protection contre les attaques de type "Path Traversal" - Protection contre les attaques de type "Command Injection" - Protection contre les attaques de type "Cross site scripting" - Protection contre les attaques de type "SQL Injection" - Protection contre les attaques de type "LDAP Injection" - Protection contre les attaques de type "XPATH Injection" - Protection contre les attaques de type "Remote file include" - Protection contre les attaques par encodage : Utilisation d un workflow spécifique. Sécurité des cookies: - Cookie ciphering: chiffrement des cookies (pour éviter leur altération) - Cookie tracking (détection des altérations frauduleuses des cookies) - Cookie virtualization: remplacement des cookies applicatifs de manière transparente (empêche toute altération des cookies Sécurisation des web services HTTP: - Validation du format XML d'entrée (protection des parseurs XML du serveur) - Protection contre l'inclusion d'entités XML (protège contre l'injection de données externe, protection contre le téléchargement de ressources non sollicitées) - Protection contre la récursivité XML (récursivité des d'entités XML, profondeur du XML, pour protéger les parseurs XML du serveur) - Validation par WSDL ou par XSD - Signature/Encryption XML Sécurisation du trafic HTTP: - Terminaison SSL entrante - Validation des certificats clients (SSL PKI) (seuls les clients qui ont un certificat valide et trusté peuvent accéder au site) - Request limiter: limitation du nombre de requêtes (protection conte les attaques de type brute force ou DOS/DDOS, limitation du trafic pour les serveurs ne supportant pas les pics de charge) Page : 12 / 13
- Sécurisation du trafic par provenance géographique (géo-location par IP de provenance de la requête) - Protection contre les attaques de POST de fichiers (limitation sur taille, nombre de fichiers) Contrôle du volume des échanges Le moteur applicatif est en mesure de contrôler la volumétrie des requêtes et des données qui transitent afin de détecter des tentatives de déni de service. Cette fonction de sécurité permet de se prémunir des attaques sur la disponibilité des services web. Page : 13 / 13