FAMILLES DE PRODUITS—Bug Bounty

Le volet cyber de France Relance

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) est en charge du voletcybersécurité de France Relance pour concevoir des offres de service destinées à élever le niveaude cybersécurité de l’État, des collectivités territoriales et des organismes au service des citoyens(social, santé, formation, audiovisuel, sécurité).

Analyse de risque EBIOS Risk Manager

Bug BountyEndpoint

Detection and Response

Gestionnaire de

vulnérabilités

Pare-feu applicatif web

(WAF)

Sauvegarde sécurisée

Sécurisation de l’Active

Directory

Sécurisation de la messagerie

mail

Bastion

Gestion des identifiants utilisateur

Différentes solutions ont déjà été identifiées par l’ANSSI comme pouvant faire l’objet d’un projet d’acquisition dans le cadre du plan France Relance :

Les appels à projets, l’une des réponses de l’ANSSI au volet cyber de France Relance

Lancer un programme de Bug Bountyrevient à solliciter des chercheurs ou deshackers experts pour rechercher, sur unepériode donnée, les vulnérabilités sur uneapplication ou un système. Les plateformesde Bug Bounty reposent sur unecommunauté d’experts sélectionnés selonun protocole précis pour assurer laconfiance des clients. Ces experts reçoiventune récompense en fonction desvulnérabilités trouvées. Ces dernièresdoivent faire l’objet d’une procédure deremédiation spécifique.

95 %des sites Internet ne

sont pas protégés contre les attaques

spécifiques (XSS, SQLi, etc.) ou CVE *

Le BUG BOUNTY

Qu’est-ce que le BUG BOUNTY ?

(*) https://itsocial.fr/enjeux-it/enjeux-securite/cybersecurite/le-web-et-lemail-representent-65-des-vecteurs-dattaque-dune-pme/

▪ Le lancement d’un programme de Bug Bounty nenécessite aucun déploiement, seules la planificationet la définition des règles sont nécessaires.

▪ La solution est adaptée pour un besoin spécifique : ilest nécessaire de maîtriser le périmètre qui va êtreaudité, de pouvoir traiter les rapports envoyés parles chercheurs lors de la découverte d’une faille etde la corriger.

▪ Ces programmes offrent des services de sécuritéreconnus efficaces permettant de compléter lesmesures classiques de sécurisation (audit,conformité) et avancées (tests d’intrusion).

Pourquoi cette famille de solutions ?

Menaces couvertes

Exploitation de vulnérabilités applicatives(injections, défacement,

zero-day, etc.)

Périmètre

Application web, API, application mobile, infrastructure, etc.

Maturité sécurité attendue pour la solution

Déploiement (1/2)

2

3

Analyser les rapports fournis par les chercheurs

Sélectionner les chercheurs mobilisés lors du programme

Lancer le programme

Définir le périmètre, le budget, la durée, les règles, la profondeur des tests et autres spécificités selon ses moyens techniques, humains et financiers

Appliquer les actions correctives

1

Basique AvancéeImportante SPÉCIFIQUE

4

5

Déploiement (2/2)

Phase de remédiation

RSSI, son équipe ou un tiers pourl’analyse et l’échange avec les chercheursayant soumis des rapports sur desdécouvertes.

RSSI, son équipe ou un tiers pour la miseen œuvre du plan de remédiation.

Phase de préparation

Expert de la plateforme nécessaire pourformer le bénéficiaire à l’usage de laplateforme et assurer le lancement d’unprogramme.

RSSI et son équipe pour définir lepérimètre, les règles, le budget et lesrécompenses relatives au programme.

Complexité : faible Complexité : moyenne à élevée

▪ Préparer le programme de manière rigoureuse, l’efficacité d’une campagne étantfonction de l’attractivité de la cible pour les hackers et du montant des primesallouées. Il est donc nécessaire d’adapter le programme à ses moyens pourgarantir son attractivité et ses performances.

▪ Inscrire le Bug Bounty au sein d’un accompagnement sur le long terme : démarreravec un périmètre restreint et maîtrisé en campagne privée, l’élargir (ajouter unpérimètre, assouplir des règles) et corriger en continu.

▪ Se faire accompagner pour la remédiation des failles.

▪ Adopter une approche de Security by Design : le cycle de développement del’application doit intégrer de la sécurité dès la conception (former lesdéveloppeurs, conduire des revues de code).

Recommandations d’usage

Complémentarité avec d’autres outils

Quelles autres solutions celle-ci peut-elle compléter ?

Un scanner de vulnérabilités permettant de remonter les erreurs applicatives.

Les audits de code et de conformité.

Les tests d’intrusion.

Comment optimiser l’efficacité de la solution ?

Un WAF, pour assurer la protectiondes applications web.

Services associés

Accompagnement recommandé par un prestataire pour la correction régulière des faillesrepérées.