L’injection de langage de requête structurée (SQLi) est l’un des plus anciens hacks dans les livres. Il ne faut aucun effort pour trouver des vidéos YouTube ou des sites Web détaillant à quel point il est facile d’effectuer ce piratage. Pourquoi SQLi a-t-il autant de succès? Avec tout ce que l’on sait sur ce piratage, pourquoi les entreprises en sont-elles victimes et semblent incapables de le combattre?
Qu’est-ce qu’un SQLi
L’Open Web Application Security Project (OWASP) a identifié SQLi comme l’un des 10 principaux risques pour la sécurité des applications Web. Bien que de nouvelles données soient recueillies pour le rapport de 2016, le sentiment est que SQLi restera près du sommet.
SQLi est lorsqu’un attaquant exécute des requêtes malveillantes sur le serveur de base de données dans l’espoir de contourner le système d’autorisation et d’authentification. Ces requêtes malveillantes sont basées sur du texte. S’il est interprété, l’attaquant pourrait obtenir la base de données entière ou supprimer ou modifier des enregistrements, compromettant l’intégrité des données. La base de données peut contenir des informations sensibles comme des numéros de carte de crédit ou d’assurance sociale. Une attaque réussie peut prendre des mois ou des années à détecter.
Les attaquants peuvent utiliser des pages de connexion, des demandes de soutien ou des formulaires de contrat pour lancer une attaque SQLi. Ces exemples sont tous susceptibles d’être attaqués parce qu’ils utilisent certaines commandes SQL.
Dans de nombreux cas, SQLi a été utilisé comme pénétration initiale dans une attaque contre des entreprises comme les 117 millions de mots de passe divulgués de LinkedIn, les 40 millions de dossiers de clients des magasins Target et les 130 millions de dossiers de cartes de crédit de clients de Heartland Payment Systems.
Pourquoi a-t-il eu autant de succès?
SQLi a été populaire parce qu’il est facile à utiliser et qu’il fonctionne. Vous ne pouvez pas le dire en termes plus simples que cela. Les attaques ont été couronnées de succès grâce à :
Ne pas utiliser l’accès au moindre privilège – Certaines entreprises sont configurées de manière à ce que lorsqu’un utilisateur se connecte, il ait un accès complet ou des droits d’administrateur. Si un attaquant obtient tous les droits d’accès, il peut plonger plus profondément dans le réseau.
Easy Attack Vector – SQL Injection est l’un des vecteurs d’attaque les plus faciles qui ne nécessitent rien de plus que la saisie d’une requête textuelle dans l’interpréteur.
Architecture du portail – C’est là que résident le plus grand nombre de problèmes. Si le portail n’est pas bien planifié du point de vue de l’architecture et de la conception, il est vulnérable aux menaces à la sécurité.
Faire confiance à l’entrée de l’utilisateur – Ne pas valider l’entrée de l’utilisateur est l’une des principales raisons pour lesquelles SQLi est si répandu.
Ancien code – Les sites réutilisent fréquemment leur ancien code sans l’examiner en raison de contraintes de temps et de coûts.
Difficile de trouver toutes les cibles qu’un attaquant peut exploiter – Vos risques de sécurité augmentent avec le nombre de serveurs, d’applications et de volume de code.
Interactions des serveurs, des applications et du volume de code – Cela peut créer un comportement inattendu, laissant votre entreprise exposée à une attaque.
Budget – Les contraintes budgétaires peuvent nuire à la mise à niveau vers le matériel et les logiciels les plus récents. Le budget a également une incidence sur le nombre d’employés qui développent et entretiennent les portails et l’infrastructure du réseau. Souvent, on s’attend à ce que les employés en fassent plus et sont tout simplement trop dispersés.
Stratégies pour lutter contre les injections SQL
Les entreprises doivent revoir et surveiller continuellement leurs systèmes. Une stratégie globale comprendra les éléments suivants :
- Utilisez une approche de sécurité distribuée, chiffrez les données et stockez la clé ailleurs
- Déployer un périmètre de sécurité
- Utiliser une API paramétrée au lieu d’un interpréteur
- Utilisez les meilleures pratiques de codage. Investissez du temps et des ressources pour vous assurer que le code utilisé dans votre portail ne peut pas être exploité.
- Appliquer l’accès au moindre privilège
- Imposer l’utilisation de mots de passe forts
- Nettoyez l’entrée en utilisant des bibliothèques SQL pour nettoyer les données
- Gardez tous les serveurs, services et applications corrigés et à jour
- Utiliser des technologies de tests d’intrusion pour aider à détecter les risques de sécurité
Mots d’adieu
Il n’y a pas de mécanisme unique pour sécuriser une entreprise de SQLi, mais une consolidation des stratégies mentionnées ci-dessus. En faisant appel à ces stratégies, ils vous aideront à réduire le risque d’attaque.
