Audit d'applications

Un audit applicatif est nécessaire dès lors qu'une application (qui peut être arbitrairement complexe) va être connectée à un réseau non sécurisé (typiquement à Internet), qu'elle va être utilisée par des personnes qui ne sont pas maîtrisées ou maîtrisables par l'entreprise (clients, fournisseurs, stagiaires, partenaires, etc.), qu'elle gère des données sensibles ou critiques, etc. Toute application un tant soit peu étoffée devrait être auditée, y compris s'il s'agit d'une application purement interne à une entreprise : c'est la criticité de l'application et des données qu'elle manipule qui doit servir de critère, et non pas l'accès depuis Internet ou l'utilisation par des centaines de personnes différentes.

L'audit d'une application revient à essayer, par divers moyens, de perturber son fonctionnement. Les auditeurs se servent de l'application et visent à en définir le niveau de sécurité. Une telle activité n'a que peu de points communs avec les tests réalisés durant le développement, qui sont généralement des tests fonctionnels, parfois des tests aux limites. Quelques axes de travail examinés durant un tel audit applicatif :

• contournement des mécanismes d'identification et d'authentification des utilisateurs,
• usurpation d'identité,
• modification de fichiers ou de programmes,
• escalade de droits d'accès,
• vol d'identifiants,
• injection de commandes vers l'application, les outils sous-jacents (base de données) ou le système d'exploitation,
• etc.

Les applications de type Web sont tout particulièrement sensibles à ce genre d'attaques, et doivent être auditées avec soin.