Global Security Mag : Quelle sera votre actualité sur l’édition 2023 du Forum International de la Cybersécurité ?

Elimane Prud’hom : Au FIC 2023, Salt Security communiquera sur son rapport « State of API Security » dont la version pour le 1er trimestre 2023 est tout juste parue, et passera en revue les leçons à tirer sur les principaux enjeux de sécurisation des API et les stratégies suivies par les entreprises dans ce domaine. Salt Security présentera également la toute dernière version de sa plateforme Salt Securityde protection des API, désormais enrichie d’indications plus précises et plus précoces sur les comportements des attaquants et les schémas d’attaques, de représentations visuelles des séquences d’appels API et de la prise en charge de tests préalablement à la mise en production des API.

GS Mag : Quels sont les points forts des solutions que vous présenterez à cette occasion ?

Elimane Prud’hom : Salt Security, qui fait œuvre de précurseur dans la sécurisation des API, s’affirme comme le leader dans ce domaine par son palmarès impressionnant. La solution Salt Security est la seule à miser sur le big data à l’échelle du cloud pour répondre au défi consistant à isoler et contrer les attaques ciblant les API, en prenant pour référence la totalité du trafic des API (ensemble des appels et réponses). Salt Security applique ses algorithmes ML et IA, sur le marché depuis plus de quatre ans, pour opérer une analyse et une corrélation en temps réel de plusieurs milliards d’appels API. Ce niveau de contexte est indispensable pour fournir une exploration riche et une classification précise des données et, surtout, pour isoler et contrer les attaques de type « low and slow » (basses et lentes) visant les API sur la durée. Aucune solution « on premise » ne possède une capacité de stockage des données suffisante pour repérer les attaques sophistiquées observées à l’heure actuelle, telles qu’une attaque active une semaine durant ou une attaque de type BOLA (Broken Object Level Authorization) à paramètre unique.

Salt adhère également au principe « shift left » via ses mécanismes de sécurité en amont, notamment l’analyse de conception des API et les tests contextuels de sécurité des API en pré production. Ces outils contribuent à éradiquer les failles de sécurité avant la mise en production des API. La solution Salt n’a pas son pareil pour transformer les enseignements tirés lors de l’exécution en mesures correctrices dont les développeurs peuvent se servir pour renforcer les API.

Salt offrant un déploiement fluide dans tout type d’environnement, les clients en retirent aussitôt une valeur ajoutée. La plateforme Salt étant compatible avec les outils et workflows déjà utilisés par les équipes sécurité et DevOps, la protection des API s’opère sans complexité ni tension. Salt s’adapte également aux API de tous types (internes, externes et tierces) et de tous formats, notamment REST, GraphQL et SOAP.

GS Mag : Cette année, le FIC mettra le cloud à l’honneur. Quelles sont les principales cybermenaces auxquelles le cloud est exposé ? Quels sont les avantages du cloud ? Comment les technologies doivent elles évoluer pour contrecarrer ces menaces ?

Elimane Prud’hom : Au fil des ans, nous avons pu constater que le cloud est exposé à de nombreuses menaces. Les erreurs de configuration concernant les éléments d’infrastructure cloud ou le stockage de données sont fréquentes. Si les contrôles d’accès constituent un volet fondamental du travail de sécurité dans son ensemble, ils représentent un pari difficile à tenir dès lors que les entreprises doivent composer avec de multiples environnements et types de clients. Nous avons également observé des cas de falsification de requête côté serveur (failles SSRF) où les attaquants se servent d’applications web ou d’API web comme portes d’entrée pour accéder à l’infrastructure et aux services de métadonnées back end d’un prestataire cloud.
La sécurité du cloud et celle des API sont étroitement liées. L’infrastructure cloud comme le développement d’applications cloud natives sont tributaires d’API pour fonctionner. Les services de métadonnées des prestataires cloud qui constituent la dorsale de l’infrastructure cloud reposent intégralement sur des API. Les principaux fournisseurs cloud s’enorgueillissent également d’un pilotage par des API et de leur conformité au concept « API first ». Se soucier de la sécurité cloud, c’est forcément s’atteler à la sécurité API, à moins de faire le choix de la vulnérabilité.
En marge de leur rôle moteur essentiel aux applications actuelles, les API sont aussi le principal vecteur d’attaques les concernant. Les risques de sécurité potentiels sont nombreux : exposition des données, remontées d’autorisations, compromission des systèmes, déplacement latéral sur des réseaux, ou encore pièges tendus par les malwares ou les rançongiciels. Pour limiter ces menaces, les entreprises ont besoin d’une stratégie de sécurisation des API exhaustive et robuste, notamment une protection continue et automatisée en cours d’exécution. De plus, les solutions de sécurisation des API doivent être capables de traiter de gros volumes de données sur une fenêtre d’analyse étendue afin de dégager le contexte nécessaire pour distinguer le trafic d’attaques du trafic normal. Ce contexte est difficile à obtenir avec des solutions sur site, basées sur une machine virtuelle, celles ci étant tout simplement incapables de stocker suffisamment de données pour contextualiser sur plusieurs jours et semaines.

GS Mag : À votre avis, quel rôle l’homme peut il jouer pour renforcer la stratégie de défense à déployer ?

Elimane Prud’hom : Les leaders doivent être conscients de l’évolution des risques induits par la transformation numérique, le cloud et les autres initiatives de modernisation. Ils doivent concilier au mieux la nécessaire accélération de l’innovation et du progrès avec l’obligation de protéger l’entreprise.
Tous les chefs d’entreprise ont le devoir de sécuriser ces API qui pilotent leurs activités. Pour passer à la vitesse supérieure, la sécurité des API se doit d’être maîtrisée ; encore faut il que les dirigeants cernent leur écosystème API et aient la certitude que ces API sont protégées en production.

GS Mag : Quel message aimeriez vous faire passer aux RSSI ?

Elimane Prud’hom : Les RSSI doivent encourager, et non freiner, l’innovation en entreprise. À cet effet, ils doivent prendre l’initiative de mettre en œuvre de nouveaux processus de sécurité assurant la continuité de la transformation numérique tout en protégeant les données cruciales de leurs entreprises et de leurs clients. Chacun comprend combien la sécurité cloud est nécessaire dans les environnements actuels. Tout le monde ne comprend pas, en revanche, que la sécurité du cloud est tributaire de celle des API, sur lesquelles tout s’exécute.
Les API sont spécifiquement conçues pour partager des données et services stratégiques entre les clients, les partenaires et les collaborateurs. Du fait de ce principe de conception, les API constituent une cible lucrative et attrayante pour les attaquants. En élaborant une stratégie valable autour de la sécurité des API, les RSSI peuvent aider leurs entreprises à aller de l’avant et à dynamiser l’innovation.

Pour en savoir plus :

Contact Commercial : Elimane Prud’hom elimanep@salt.security
https://salt.security/platform?
https://www.youtube.com/watch?v=Z5nzavnBJj4