Module 09 - Sécurité des
Applications
Administratives
La sécurité des applications est essentielle pour protéger les systèmes et les
réseaux contre les menaces. Ce module couvre les pratiques clés pour
administrer la sécurité des applications, notamment la gestion des listes
blanches et noires, le sandboxing, la gestion des correctifs, et les pare-feu pour
applications web (WAF).
par Daniel ASSI
Objectifs d'apprentissage
LQH01
Implémenter des listes blanches et noires d'applications.
LQH02
Mettre en place le sandboxing d'applications.
LQH03
Gérer les correctifs d'applications.
LQH04
Déployer des pare-feu pour applications web (WAF).
Administration de la
sécurité des applications
Responsabilités
Empêcher l'installation d'applications malveillantes.
Limiter les accès inutiles aux ressources système.
Mettre à jour régulièrement les applications avec les derniers
correctifs.
Configurer les applications de manière sécurisée.
Pratiques recommandées
Listes blanches/noires : Contrôler l'exécution des applications.
Sandboxing : Exécuter des applications non fiables dans un
environnement isolé.
Gestion des correctifs : Appliquer les mises à jour de sécurité.
Pare-feu applicatifs (WAF) : Protéger les serveurs web.
Défense en largeur (Defense in Breadth)
Approche multidisciplinaire pour identifier et réduire les risques
à chaque étape du cycle de vie d'un système.
Complète la défense en profondeur (Defense in Depth) en
ajoutant des couches de sécurité supplémentaires.
Exemple : Utilisation conjointe d'un pare-feu standard et d'un
WAF pour bloquer différentes menaces.
Défense en largeur Défense en profondeur
Sécurité aux points d'entrée courants Sécurité à plusieurs niveaux (réseau, système, etc.)
Interception des menaces par plusieurs technologies Adaptabilité aux nouvelles menaces
Moins flexible face aux nouvelles menaces Plus scalable et hétérogène
Listes blanches
d'applications
Principe
Autoriser uniquement les applications approuvées.
Avantages
Protection contre les logiciels malveillants.
Réduction des attaques zero-day.
Meilleure visibilité et contrôle.
Outils
SRP (Software Restriction Policies) : Règles basées sur les
chemins, hachages, certificats.
AppLocker : Contrôle des exécutables via les stratégies de groupe.
Listes noires d'applications
Principe
Bloquer les applications malveillantes connues.
Limites
Inefficace contre les nouvelles menaces et maintenance complexe.
Outils
ManageEngine Endpoint Central et Protection contre les PUA.
La liste noire (Blacklisting) fonctionne en bloquant les applications malveillantes connues. Ses limites principales sont son inefficacité
contre les nouvelles menaces et sa maintenance complexe face aux menaces évolutives. Les outils comme ManageEngine Endpoint
Central permettent la détection et la suppression des applications interdites, tandis que la Protection contre les PUA (Potentially
Unwanted Applications) offre le blocage des logiciels indésirables via Windows Defender.
Sandboxing d'applications
Navigateurs web
Documents
Chrome (Strict-Origin-Isolation),
Adobe Reader, Microsoft Office
Firefox
Windows Sandbox
Mobile
Environnement temporaire pour tester
Applications isolées les unes des autres
des logiciels
Définition : Exécution d'applications dans un environnement isolé pour limiter leur accès aux ressources système.
Outils : Sandboxie (isolation des navigateurs), Firejail (Linux, restriction des processus via des namespaces), Windows Defender
Application Guard (isolation de Microsoft Edge).
Gestion des correctifs
d'applications
Scanner
Identifier les correctifs manquants
Télécharger
Obtenir les correctifs nécessaires
Tester
Valider les correctifs
Déployer
Appliquer les correctifs validés
Importance : Corriger les vulnérabilités pour éviter les exploits.
Outils : SolarWinds Patch Manager (automatisation des mises à jour pour
Windows et logiciels tiers), Ivanti Patch (gestion des correctifs pour OS et
applications), PDQ Deploy (déploiement rapide de correctifs et scripts).
Pare-feu pour applications web (WAF)
Matériel (Network-based)
Déployé en périphérie du réseau
Logiciel (Host-based)
2
Installé directement sur le serveur
Cloud
Géré par un tiers (ex : Cloudflare, FortiWeb)
Rôle : Protéger les serveurs web des attaques de couche 7 (HTTP/HTTPS).
Avantages : Protection contre les injections SQL, XSS, etc. Conformité aux standards (PCI, HIPAA). Détection des anomalies de
trafic.
Limites : Ne remplace pas l'authentification ou le filtrage des entrées. Gestion active requise pour éviter les faux positifs.
Outils : URLScan (Microsoft, filtrage des requêtes HTTP pour IIS), NAXSI (WAF open-source pour Nginx), Barracuda WAF
(protection contre les attaques OWASP Top 10).
Outils de sécurité des applications
Ces outils représentent les différentes solutions mentionnées dans le module pour la gestion des listes blanches/noires, le sandboxing,
la gestion des correctifs et les pare-feu pour applications web. Chacun répond à un besoin spécifique dans la stratégie globale de
sécurité des applications.
Conclusion
4 2
Pratiques clés Approches défensives
Listes blanches/noires, sandboxing, Défense en largeur et en profondeur
correctifs, WAF
>
Menaces potentielles
Nécessité d'une vigilance constante
Ce module met en lumière les meilleures pratiques pour sécuriser les
applications : contrôler les exécutions via les listes blanches/noires, isoler les
applications non fiables avec le sandboxing, maintenir les applications à jour
avec une gestion rigoureuse des correctifs, et protéger les serveurs web avec
des WAF adaptés.
Ces mesures combinées renforcent la posture de sécurité globale des
organisations contre les menaces modernes.
Conclusion
4 2
Pratiques clés Approches défensives
Listes blanches/noires, sandboxing, Défense en largeur et en profondeur
correctifs, WAF
>
Menaces potentielles
Nécessité d'une vigilance constante
Ce module met en lumière les meilleures pratiques pour sécuriser les
applications : contrôler les exécutions via les listes blanches/noires, isoler les
applications non fiables avec le sandboxing, maintenir les applications à jour
avec une gestion rigoureuse des correctifs, et protéger les serveurs web avec
des WAF adaptés.
Ces mesures combinées renforcent la posture de sécurité globale des
organisations contre les menaces modernes.
