[Póúr~qúóí~ lés v~úlñér~ábíl~ítés d~é Lóg~4j sóú~lígñ~éñt l~'ímp~órtá~ñcé d~é Dév~SécÓ~ps]

[Éñ décémbré 2021, lés éqúípés dé sécúríté íñfórmátíqúé ét lés órgáñísátíóñs dé dévélóppéméñt dú móñdé éñtíér óñt été prísés dé cóúrt. Lés chérchéúrs áváíéñt décóúvért úñé grávé fáíllé dé sécúríté dáñs l'útílítáíré Ápáché Lóg4j, úñ cómpósáñt dé jóúrñálísátíóñ pópúláíré íñtégré à d'íññómbráblés ápplícátíóñs ét sérvícés Jává. L'áññóñcé dé cétté vúlñérábílíté á póússé lés éqúípés dé sécúríté íñfórmátíqúé ét lés órgáñísátíóñs dé dévélóppéméñt à sé déméñér póúr tróúvér tóútés lés íñstáñcés dés vérsíóñs vúlñéráblés dé Lóg4j súr léúrs próprés réséáúx.]

[Lá vúlñérábílíté Lóg4j á égáléméñt cóñtráíñt lés éqúípés DévSécÓps à répóñdré à úñé qúéstíóñ qúí sémblé désórmáís móíñs théóríqúé. Sí Lóg4j óú tóúté áútré vúlñérábílíté cómpróméttáít úñé ápplícátíóñ dévélóppéé éñ íñtérñé, lés éqúípés dé sécúríté séráíéñt-éllés éñ mésúré d'ísólér l'áttáqúé ét d'éñ áttéñúér lés dégâts ¿ Lés prátíqúés DévÓps áctúéllés pérméttéñt-éllés à úñé órgáñísátíóñ dé réchérchér lés méñácés rápídéméñt ét éffícácéméñt víá sóñ própré códé ¿]

[Éxámíñóñs rápídéméñt lá vúlñérábílíté Lóg4j, cé qú'éllé sígñífíé póúr lés éqúípés DévSécÓps ét cómméñt lá ségméñtátíóñ Zéró Trúst d'Íllúmíó péút áídér lés éqúípés DévSécÓps à áttéñúér lés méñácés lórsqú'úñ lógícíél vúlñéráblé ést áttáqúé áváñt qú'íl ñé púíssé êtré córrígé.]

[Lá vú~lñérá~bílí~té Lóg~4j ét p~óúrq~úóí c~'ést~ ímpó~rtáñ~t]

[Lá vúlñérábílíté qúí áttíré tóúté cétté áttéñtíóñ ímplíqúé Útílísátíóñ pár Lóg4j dé l'íñtérfácé Jává dé déñómíñátíóñ ét dé répértóíré (JÑDÍ), úñé ÁPÍ dé déñómíñátíóñ ét dé réchérché pópúláíré póúr lés ápplícátíóñs Jává. Lés prémíèrés vérsíóñs dé Lóg4j áctíváíéñt lá fóñctíóñ dé súbstítútíóñ dé réchérché dé mésságés dé JÑDÍ pár défáút. Grâcé à cétté fóñctíóññálíté, lés áttáqúáñts péúvéñt éñvóýér dés mésságés sóígñéúséméñt cóñçús à úñé ápplícátíóñ, fórçáñt céllé-cí à éxécútér dú códé chárgé dépúís dés sérvéúrs LDÁP óú d'áútrés póíñts dé térmíñáísóñ sóús lé cóñtrôlé dé l'áttáqúáñt. Cé códé póúrráít íñstállér dés lógícíéls málvéílláñts, éxfíltrér dés dóññéés óú éfféctúér d'áútrés áctíóñs málvéílláñtés súr lé réséáú dé l'ápplícátíóñ.]

[Lóg4j ést lárgéméñt útílísé. Góóglé éstímé qúé c'ést dáñs 4 % dés páckágés Jává dáñs lé référéñtíél céñtrál Mávéñ, lárgéméñt récóññú cómmé lé plús ímpórtáñt référéñtíél dé páckágés Jává. Lóg4j ést útílísé dáñs tóútés sórtés dé lógícíéls, dés ápplícátíóñs Wéb áúx sérvícés príñcípáúx ét áúx ápplícátíóñs pérsóññálíséés póúr lés áppáréíls ÍóT.]

[Dès qúé cétté vúlñérábílíté á été áññóñcéé, lés éqúípés dé sécúríté íñfórmátíqúé óñt cómméñcé à párcóúrír léúrs réséáúx, à lá réchérché dé ñóms dé fíchíérs ét d'áútrés íñdícátíóñs dé lá préséñcé dé Lóg4j dáñs ñ'ímpórté qúél répértóíré dé léúr éñvíróññéméñt. Lés éqúípés DévÓps sé sóñt égáléméñt óccúpéés dé réchérchér dáñs léúrs próprés árchívés tóúté útílísátíóñ dé Lóg4j dáñs léúrs próprés ápplícátíóñs.]

[Lés éñjéúx sóñt ímpórtáñts. Lés cýbércrímíñéls óñt déjà útílísé cétté vúlñérábílíté póúr láñcér dés áttáqúés pár ráñçóñgícíél, íñstállér úñ lógícíél dé míñágé dé píècés súr lés réséáúx d'éñtréprísé ét íñfíltrér lé míñístèré bélgé dé lá Déféñsé. Lés áttáqúáñts cóñçóívéñt dé ñóúvéllés fórmés dé lógícíéls málvéílláñts cíbláñt cétté vúlñérábílíté. Pár éxémplé, dé ñóúvéllés cíblés dú ráñsómwáré Ñíght Ský Vúlñérábílítés Lóg4j dáñs lé lógícíél VMwáré Hórízóñ.]

[Vúé d~'éñs~émbl~é : lés~ vúlñ~érábí~lítés~ dú có~dé só~úrcé~ ét lé~s rís~qúés~ qú'é~llés~ présé~ñtéñ~t]

[Lá vúlñérábílíté Lóg4j mét éñ lúmíèré déúx próblèmés plús ímpórtáñts póúr lés órgáñísátíóñs dé dévélóppéméñt íñtérñés. Tóút d'ábórd, qúéllé qúé sóít lá qúálíté dé l'órgáñísátíóñ dé léúrs óútíls ét prócéssús DévÓps, lá plúpárt dés órgáñísátíóñs óñt dú mál à détérmíñér tóús lés cómpósáñts útílísés dáñs léúrs ápplícátíóñs, éñ pártícúlíér sí cés cómpósáñts sóñt íñtégrés sóús fórmé dé bíblíóthèqúés óú áccéssíblés víá dés dépéñdáñcés ávéc d'áútrés sérvícés.]

[Dáñs lé cás dé Lóg4j, pár éxémplé, íl ést póssíblé d'íñclúré l'útílítáíré dáñs úñé ápplícátíóñ sáñs láíssér dé fíchíér JÁR Lóg4j dáñs úñ référéñtíél. Tróúvér tóútés lés vérsíóñs dé tóús lés cómpósáñts lógícíéls, qú'íls sóíéñt ópéñ sóúrcé óú ñóñ, dáñs lés ápplícátíóñs ést úñ tráváíl díffícílé ét chróñóphágé.]

[Éñsú~íté, s~'íl é~st déc~óúvé~rt qú~'úñé~ áppl~ícát~íóñ é~st át~táqú~éé éñ r~áísó~ñ d'ú~ñé vú~lñérá~bílí~té, lés~ éqúíp~és dé~ sécúr~íté dó~ívéñ~t tró~úvér~ úñ mó~ýéñ d~'ísó~lér l~'átt~áqúé~ ímméd~íáté~méñt~ áváñ~t qú'~éllé~ ñé sé~ próp~ágé à d~'áút~rés s~ýstèm~és dú~ réséá~ú.]

[Détéc~tér é~t stó~ppér~ lés á~ttáq~úés L~óg4j é~st ím~pórt~áñt ñ~óñ sé~úlém~éñt p~óúr p~rótég~ér lé~s dóñ~ñéés s~éñsí~blés~ ét gá~ráñt~ír lá~ cóñt~íñúí~té ópér~átíó~ññél~lé, má~ís cé~s óbj~éctí~fs só~ñt éví~démm~éñt é~sséñ~tíél~s.]

[Máís íl ý á áússí úñ áspéct dé cóñfórmíté. Lé 4 jáñvíér 2022, lé Lá Fédérál Trádé Cómmíssíóñ (FTC) dés Étáts-Úñís á áññóñcé qú'éllé ápplíqúéráít dés sáñctíóñs ét dés áméñdés cóñtré lés éñtréprísés qúí óñt áútórísé lá víólátíóñ dés dóññéés cóñfídéñtíéllés dés cóñsómmátéúrs éñ ráísóñ dés vúlñérábílítés Lóg4j.]

[Cítáñt sés Áméñdé dé 700 míllíóñs dé dóllárs cóñtré Éqúífáx póúr ávóír dívúlgúé dés dóññéés dé cóñsómmátéúrs éñ ráísóñ d'úñé vúlñérábílíté ñóñ córrígéé dáñs lé fráméwórk Ápáché Strúts, lá FTC á áññóñcé qú'éllé « áváít l'íñtéñtíóñ d'útílísér tóúté sóñ áútóríté légálé póúr póúrsúívré lés éñtréprísés qúí ñé préññéñt pás dé mésúrés ráísóññáblés póúr prótégér lés dóññéés dés cóñsómmátéúrs cóñtré tóúté éxpósítíóñ résúltáñt dé Lóg4j, óú dé vúlñérábílítés símíláírés cóññúés à l'ávéñír ».]

[Íl s'ávèré qúé Lóg4j ñ'ést qúé lá póíñté d'úñ éñórmé ícébérg dé méñácés pótéñtíéllés. Póúr tróúvér ét córrígér lés vúlñérábílítés ñóñ séúléméñt líéés à Lóg4j máís áússí à ñ'ímpórté qúél cómpósáñt lógícíél dáñs léúrs próprés ápplícátíóñs óú dáñs lés ápplícátíóñs tíércés qú'éllés éxécútéñt, lés éñtréprísés óñt bésóíñ d'úñé vísíbílíté cómplèté dé léúrs éñvíróññéméñts lógícíéls. Ñé pás détéctér cés vúlñérábílítés áváñt qú'éllés ñ'éñtráîñéñt úñé víólátíóñ dé dóññéés péút éñtráîñér dé lóúrdés áméñdés régléméñtáírés ét dés dómmágés dúráblés à l'ímágé dé márqúé d'úñé órgáñísátíóñ.]

[Héúr~éúsé~méñt~, DévS~écÓp~s péú~t vóú~s áíd~ér.]

[Lé rôl~é dé D~évSé~cÓps~ dáñs~ l'át~téñúá~tíóñ~ dés m~éñác~és dé~ vúlñ~érábí~líté l~ógíc~íéll~é]

[L'ídéé qúí sóús-téñd DévSécÓps ést símplé : lá sécúríté ñé dóít pás êtré úñé qúéstíóñ sécóñdáíré lórsqú'íl s'ágít dé dévélóppér ét dé déplóýér dés lógícíéls. Lá sécúríté dóít plútôt êtré íñclúsé à cháqúé étápé dú DévÓps, dé lá cóñcéptíóñ áú dévélóppéméñt, éñ pássáñt pár lés tésts, lés vérsíóñs ét lá géstíóñ dés ópérátíóñs. DévSécÓps ést lá prátíqúé qúí cóñsísté à íñtégrér lá sécúríté dáñs lés ápplícátíóñs lógícíéllés dévélóppéés ét géréés pár lé bíáís dé prócéssús DévÓps.]

[Cómm~éñt D~évSé~cÓps~ péút~-íl áí~dér à r~ésóúd~ré dé~s pró~blèmé~s tél~s qúé~ lá vú~lñérá~bílí~té Lóg~4j ¿]

[Tóút~ d'áb~órd, l~és mé~íllé~úrés~ prát~íqúé~s Dév~SécÓ~ps dé~máñd~éráí~éñt á~úx éqú~ípés~ dé dév~élóp~pémé~ñt d'~útíl~ísér~ dés v~érsí~óñs m~ísés~ à jóúr~ dé có~mpós~áñts~ téls~ qúé L~óg4j l~órs d~é lá c~réátí~óñ ét~ dé lá~ gést~íóñ d~és áp~plíc~átíó~ñs.]

[Déúxíèméméñt, DévSécÓps démáñdéráít égáléméñt áúx órgáñísátíóñs dé dévélóppéméñt ét dé tést dé súívré lés vérsíóñs dé tóús lés cómpósáñts, ý cómprís lés cómpósáñts ópéñ sóúrcé, útílísés dáñs lés ápplícátíóñs. Áíñsí, sí lá cómmúñáúté dé lá sécúríté íñfórmátíqúé áññóñcé úñé vúlñérábílíté dáñs úñ cómpósáñt pártícúlíér, l'órgáñísátíóñ DévSécÓps péút rápídéméñt détérmíñér qúéllés ápplícátíóñs sóñt cóñcérñéés, lé cás échéáñt.]

[Tóút áússí ímpórtáñt, lés méílléúrés prátíqúés DévSécÓps ñécéssítéráíéñt l'íñtégrátíóñ dé cóñtrôlés dé sécúríté dáñs lés ápplícátíóñs, dé sórté qúé lórsqúé, íñévítábléméñt, úñé áútré bíblíóthèqúé óú úñ áútré cómpósáñt ópéñ sóúrcé sé révéléráít vúlñéráblé, lés éqúípés púísséñt êtré prêtés à cóñtéñír áttáqúés dé týpé « jóúr zéró » cóñtré cétté vúlñérábílíté rápídéméñt ét éffícácéméñt. Sí dés mésúrés déféñsívés sóñt déjà éñ plácé, l'órgáñísátíóñ péút ágír póúr sé déféñdré cóñtré úñé áttáqúé, mêmé sí lá mísé à jóúr dé lá vúlñérábílíté ést prévúé dáñs dés jóúrs óú dés sémáíñés.]

[L'úñ dés méílléúrs cóñtrôlés dé sécúríté à íñtégrér ést úñé sólútíóñ dé ségméñtátíóñ Zéró Trúst qúí útílísé lés páré-féúx íñtégrés áúx sýstèmés póúr ápplíqúér dés pólítíqúés dé sécúríté límítáñt lé tráfíc réséáú áúx séúls útílísátéúrs ét prócéssús áútórísés. Éñ rédúísáñt cóñsídérábléméñt lés chémíñs réséáú díspóñíblés póúr lés áttáqúáñts, Zéró Trúst Ségméñtátíóñ éñférmé lés áttáqúáñts ét lés ísólé súr lés qúélqúés sýstèmés qú'íls póúrráíéñt íñítíáléméñt réússír à cómpróméttré. Ávéc lá ségméñtátíóñ Zéró Trúst éñ plácé, lés áttáqúáñts ñé séráíéñt pás éñ mésúré dé téléchárgér ét d'éxécútér dú códé à pártír d'úñ síté málvéílláñt.]

[Sí úñé áttáqúé ést ísóléé súr lé réséáú, lés cýbércrímíñéls ñé péúvéñt pás própágér dé ráñçóñgícíél à d'áútrés sýstèmés. Íls ñé péúvéñt pás éxplórér fúrtívéméñt lé réséáú à lá réchérché dé dóññéés précíéúsés à éxfíltrér. Íls sóñt cóíñcés súr plácé cómmé úñ málhéúréúx cámbríóléúr qúí á réússí à éñtrér pár úñé lúcárñé póúr sé rétróúvér dáñs úñ píègé à óúrs. Íls sóñt éñtrés, máís íls ñé vóñt ñúllé párt. Ét úñé álármé á été décléñchéé.]

[Íllú~míó f~óúrñ~ít lá~ vísí~bílí~té ét l~'áút~ómát~ísát~íóñ d~óñt l~és éqú~ípés~ DévS~écÓp~s óñt~ bésó~íñ]

[Ségméñtátíóñ Zéró Trúst d'Íllúmíó ést úñé sólútíóñ dé sécúríté précíéúsé póúr tóúté órgáñísátíóñ DévSécÓps, cár éllé pérmét áúx éqúípés dé dévélóppéméñt d'íñtégrér fácíléméñt dés cóñtrôlés dé sécúríté rígóúréúx dáñs lés ápplícátíóñs sáñs ávóír à áppréñdré lés súbtílítés dú réséáú óú dés prátíqúés dé sécúríté.]

[Íllúmíó prótègé lés ápplícátíóñs éñ pérméttáñt áúx dévélóppéúrs ét áúx éqúípés dé sécúríté dé défíñír fácíléméñt dés pólítíqúés dé ségméñtátíóñ Zéró Trúst. Úñé fóís crééés, lés órgáñísátíóñs péúvéñt fácíléméñt ápplíqúér cés pólítíqúés à l'áídé d'Íllúmíó Ñœúd d'ápplícátíóñ vírtúél (VÉÑ) áíñsí qúé lés páré-féúx básés súr l'hôté déjà íñtégrés áúx sýstèmés súr lésqúéls s'éxécútéñt lés ápplícátíóñs dé l'órgáñísátíóñ. L'Íllúmíó VÉÑ ést úñ clíéñt légér ét íñfáíllíblé qúí péút êtré fácíléméñt íñclús dáñs lés vérsíóñs lógícíéllés. Áúcúñé módífícátíóñ dé cóñcéptíóñ ímpórtáñté ñ'ést réqúísé.]

[Lá sólútíóñ Íllúmíó útílísé dés páré-féúx máís évíté áúx dévélóppéúrs d'ávóír à prógrámmér dés éñsémblés cómpléxés dé règlés dé páré-féú. Áú líéú dé célá, íl pérmét áúx dévélóppéúrs ét à l'éqúípé dé sécúríté dé défíñír lés pólítíqúés qú'íls sóúháítéñt ápplíqúér, éñ ñ'áútórísáñt qúé lé tráfíc ñécéssáíré à tráñsítér pár léúrs ápplícátíóñs, púís dé tráñsméttré cés pólítíqúés áúx VÉÑs íñtégrés áúx ápplícátíóñs póúr ápplícátíóñ.]

[Lés ó~rgáñ~ísát~íóñs~ DévS~écÓp~s péú~véñt~ áffí~ñér l~és pó~lítí~qúés~ póúr~ dívé~rs éñ~víró~ññém~éñts~ ét áp~plíc~átíó~ñs. Pl~ús pr~écísém~éñt, í~ls pé~úvéñ~t défí~ñír d~és pó~lítí~qúés~ súr l~á bás~é dé :]

• [Rôlés~ áú sé~íñ dé~ l'áp~plíc~átíó~ñ]
• [L'áp~plíc~átíó~ñ éll~é-mêmé~]
• [L'éñ~víró~ññém~éñt d~áñs l~éqúé~l l'á~pplí~cátí~óñ s'~éxécú~té, té~l qúé~ lé dév~élóp~pémé~ñt, lé~s tés~ts óú~ lá pr~ódúc~tíóñ~]
• [L'ém~plác~éméñ~t dé l~'éñv~íróñ~ñémé~ñt : pá~r éxé~mplé~, úñ éñ~víró~ññém~éñt d~é pró~dúct~íóñ d~áñs ú~ñ céñ~tré d~é dóñ~ñéés d~é lá c~ôté óú~ést d~és Étá~ts-Úñ~ís]

[Éñsúíté, l'éqúípé DévSécÓps ájóúté símpléméñt úñ Íllúmíó VÉÑ à úñé vérsíóñ lógícíéllé. Úñé fóís éxécúté dáñs l'éñvíróññéméñt dé l'ápplícátíóñ, lé VÉÑ ápplíqúé Pólítíqúés Zéró Trúst, émét dés álértés dès lá détéctíóñ d'úñ móúvéméñt látérál súspéct ét rédúít lé tráfíc éñ répóñsé à dés áttáqúés áctívés, ísóláñt áíñsí lés térmíñáúx íñféctés dú résté dú réséáú.]

[Íllúmíó própósé égáléméñt úñ Clíéñt C-VÉÑ ét sérvícé Kúbélíñk póúr úñé útílísátíóñ dáñs dés éñvíróññéméñts cóñtéñéúrísés, très répáñdús dáñs lés árchítéctúrés dé mícrósérvícés. C-VÉÑ ést úñ ágéñt Íllúmíó légér, qúí s'éxécúté éñ táñt qúé pód súr cháqúé ñœúd d'úñ clústér Kúbérñétés, qúí prótègé lé ñœúd ét tóús lés póds qúí ý sóñt éxécútés. Fóúrñí sóús fórmé dé DáémóñSét, C-VÉÑ évólúé dé háút éñ bás áú fúr ét à mésúré dé l'évólútíóñ dú clústér. Kúbélíñk ést úñ sérvícé Íllúmíó qúí súrvéíllé lé sérvéúr ÁPÍ Kúbérñétés póúr éñ sávóír plús súr lés réssóúrcés dú clústér ét fóúrñír lé cóñtéxté Kúbérñétés áú PCÉ. Íl ést lívré sóús fórmé dé páckágé ét ñé ñécéssíté qú'úñé séúlé réplíqúé pár clústér, cé qúí cóñtríbúé à réñdré lés sólútíóñs dé cóñtéñéúrs Íllúmíó très évólútívés.]

[Lés éqúípés DévSécÓps péúvéñt íñtérágír ávéc l'Íllúmíó PCÉ dé déúx máñíèrés : víá l'íñtérfácé útílísátéúr dú PCÉ óú sés ÁPÍ RÉST bíéñ dócúméñtéés. Lés éqúípés DévSécÓps péúvéñt útílísér lés ÁPÍ póúr íñtégrér Íllúmíó dáñs lés pípélíñés CÍ/CD, dé sórté qúé lá ségméñtátíóñ Zéró Trúst dévíéññé úñ éléméñt stáñdárd dés flúx dé tráváíl DévSécÓps. Lés ÁPÍ pérméttéñt égáléméñt áúx éqúípés dé sécúríté d'íñtégrér Íllúmíó à d'áútrés óútíls ét flúx dé tráváíl dé sécúríté.]

[Lá sú~íté d~é pró~dúít~s Íll~úmíó~ fóúr~ñít ú~ñé sé~gméñ~tátí~óñ Zé~ró Tr~úst p~ártó~út óù l~és áp~plíc~átíó~ñs ét~ lés s~érví~cés s~óñt d~éplóý~és, ý có~mprí~s lés~ térm~íñáú~x dáñ~s :]

• [Céñt~rés d~é dóñ~ñéés : Ñ~óýáú~ Íllú~míó]
• [Clóú~ds pú~blíc~s, prí~vés óú~ hýbr~ídés~ : Íllú~míó C~lóúd~Sécú~ré]
• [Áppá~réíl~s tér~míñá~úx : Íl~lúmí~ó Édg~é]

[Lóg4j ñé sérá pás lé dérñíér cómpósáñt lógícíél à préséñtér úñé vúlñérábílíté dáñgéréúsé. Éñ ádóptáñt lés prátíqúés DévSécÓps ét éñ útílísáñt Íllúmíó póúr ápplíqúér lá ségméñtátíóñ Zéró Trúst dáñs tóútés lés ápplícátíóñs, lés órgáñísátíóñs péúvéñt êtré prêtés à prótégér léúrs dóññéés, léúrs ápplícátíóñs ét léúrs émplóýés tóút éñ póúrsúíváñt lé tráváíl fástídíéúx d'áñálýsé dú réséáú ét dé réchérché dés méñácés.]

[Póúr~ éñ sá~vóír~ plús~ :]

• [Cóñs~últé~z lé d~éscr~íptí~f dé l~á sól~útíó~ñ, Íll~úmíó~ póúr~ DévS~écÓp~s.]
• [Ñóús~ cóñt~ácté~r póú~r úñé~ démóñ~strá~tíóñ~.]