Aller au contenu principal

DAST

Notions théoriques​

Un scanner de sécurité​

Un outil DAST (Dynamic Application Security Testing) est un programme qui teste une application en cours d'exécution pour trouver des vulnérabilités de sécurité.

Un outil DAST agit comme un auditeur externe qui sonde l'application de l'extérieur, en simulant des attaques pour identifier les points faibles, tels que :

  • les failles d'injection,
  • les problèmes de gestion des sessions,
  • et d'autres menaces potentielles qui pourraient être exploitées par des attaquants.

Un outil DAST est comme un scanner de sécurité pour vos applications qui tournent déjà.

Le DAST étudie votre application en action et cherche les points faibles, comme des entrées où on pourrait injecter du code malveillant ou des configurations qui laissent la porte ouverte aux intrus.

attention

A la différence d'un outil SAST (Static Application Security Testing) qui analyse le code source d'une application sans exécuter le programme, un outil DAST (Dynamic Application Security Testing) teste une application en cours d'exécution.

La mitigation​

Dans le contexte de la sécurité informatique et plus particulièrement dans l'analyse des vulnérabilités comme celles identifiées par OWASP ZAP, le terme mitigation fait référence aux mesures prises pour réduire la gravité, l'impact ou les conséquences d'une vulnérabilité détectée dans un système informatique.

La mitigation ne signifie pas nécessairement éliminer complètement la vulnérabilité (ce qui serait plus proche de la notion de "correction" ou "remédiation"), mais plutôt de minimiser les risques associés à cette vulnérabilité jusqu'à ce qu'une solution permanente puisse être mise en place.

La mitigation est donc une partie essentielle de la gestion des risques en sécurité informatique, servant à contrôler temporairement les risques jusqu'à ce que des correctifs plus robustes puissent être appliqués.

astuce

N'oubliez pas, la sécurité est un processus continu.

Test de mémorisation/compréhension​


Que signifie l'acronyme DAST ?


Quel est le rôle principal d'un outil DAST ?


À quel moment doit-on utiliser un outil DAST ?


Comment un outil DAST interagit-il avec l'application testée ?


Quelle est la différence principale entre la mitigation et la correction d'une vulnérabilité ?


Pourquoi la sécurité est-elle considérée comme un processus continu ?


Quel est un exemple de mesure de mitigation pour une vulnérabilité détectée par un outil DAST ?


Quel aspect des applications un outil DAST ne teste-t-il pas directement ?


Quel est l'objectif de vérifier l'en-tête HTTP Referer dans le cadre de la mitigation d'une vulnérabilité CSRF ?


TP - La chasse aux failles​

Pour ce TP, nous allons utiliser un outil DAST populaire sur Windows : OWASP ZAP.

info

OWASP ZAP (abréviation de Zed Attack Proxy ) est un scanner de sécurité d'application Web open source.

Il s'utilise comme serveur proxy et permet à l'utilisateur de manipuler tout le trafic qui le traverse, y compris le trafic utilisant https.

https://www.zaproxy.org/

Votre mission sera de lancer une analyse DAST sur la boutique BodgeIt.

remarque

La boutique BodgeIt est une application Web vulnérable, dont le code source est disponible à l'adresse https://github.com/psiinon/bodgeit, utilisée pour s'entrainer aux tests d'intrusion (pen testing).

Vous devrez identifier les failles de sécurité et proposer des mesures pour les corriger.

  1. Téléchargez et installez OWASP ZAP.

info

OWASP ZAP nécessite Java 64 bits.

Si Java n'est pas installé dans votre ordinateur, il suffit de télécharger le programme d'installation sur le site https://adoptium.net/fr/

  1. Installez la boutique BodgeIt à partir de son image sur Docker Hub : https://hub.docker.com/r/psiinon/bodgeit/

  2. Lancez OWASP ZAP

  3. Configurez votre navigateur Web pour utiliser le proxy d'OWASP ZAP et accédez à la boutique BodgeIt .

  4. Démarrez l'analyse et observez les résultats.

  5. Identifiez les vulnérabilités les plus critiques.

  6. Réfléchissez à des solutions pour la mitigation.

Une solution