Détectez les failles de vos applications
De plus en plus orientées métier, transverses à l'entreprise et donc sensibles, les applications sont devenues la nouvelle cible des attaques. En plus du pillage d'information, leur indisponibilité ou leur mauvais fonctionnement représente une menace pour l'activité même de l'entreprise. Pour sensibiliser les équipes et faire progresser les organisations, AXIANS a conçu une offre d'audit dédiée à la sécurité applicative.

Notre démarche d'audit s'attache à détecter les principales failles applicatives utilisées par les pirates :

• Le vol de session : les protections des applications par login et mot de passe sont souvent insuffisantes. L'audit peut montrer qu'un pirate arrivera facilement sur une deuxième ou troisième page après l'authentification, soit en passant outre l'authentification, soit en ayant volé la session d'un utilisateur qui contient ses données d'identification.
• Le contournement de formulaires (SQL Injection). L'injection SQL désigne la capacité d'injecter une commande, via un simple formulaire, pour entrer par effraction dans une base de données. Ces formulaires où l'utilisateur doit saisir dans des champs ses nom, prénom, etc, ne contrôlent souvent pas la saisie. Le pirate va détourner le comportement du formulaire, en injectant une commande SQL dans un champ pour récupérer par exemple la liste des clients stockée dans la base.

Le déroulement d'un audit

L'audit se déroule principalement en trois étapes :

• l'analyse globale de l'architecture : nous étudions la façon dont ses différents composants sont répartis entre serveurs ou entre sites pour en chercher les vulnérabilités : communication en clair, manque d'authentification entre serveurs, etc.
• l'audit des flux applicatifs (sécurité des formulaires, gestion des sessions et des cookies...)
• l'audit de code (conformité sécuritaire, structure des pages, vulnérabilités).

L'exhaustivité de l'audit permet aussi de tracer les manquements en terme d'administration (utilisation de protocoles non chiffrés, processus d'importation de données en clair...) et d'organisation (quelles procédures, quel respect du cahier des charges sécurité par les équipes de développement, ...).

Les atouts de l'audit Code Check up

• Pour plus d'efficacité, la liste des vulnérabilités découvertes est classée par priorités.
• Vous disposez en fin d'audit d'un rapport précis des résultats recueillis sur le terrain et de préconisations concrètes.