Le flow GitLab Duo Security Review détecte les failles logiques que les scanners n'identifient pas

Les scanners statiques excellent dans la détection des vulnérabilités qui correspondent à un modèle connu : entrées de requête non validées, secrets codés en dur, désérialisation non sécurisée. En revanche, ils peinent à détecter les failles dans la logique de votre application, où il n'existe aucun modèle à faire correspondre, seulement du code valide qui fonctionne de manière inappropriée pour votre domaine. Si elles ne sont pas détectées, ces failles apparaissent tardivement et sont plus coûteuses à corriger.

Le flow Security Review, désormais disponible en version bêta publique, examine les modifications de code comme le ferait un ingénieur en sécurité. Il analyse l'intention au lieu de comparer des signatures, afin de détecter les failles logiques avant qu'elles n'atteignent l'environnement de production. Il s'agit d'une avancée majeure pour identifier les failles dangereuses que les scanners manquent habituellement.

Les limites des scanners basés sur des modèles

Les vulnérabilités applicatives les plus préjudiciables semblent souvent correctes ligne par ligne, mais enfreignent un contexte que le code ne contient pas, comme votre modèle d'autorisation, vos règles de sensibilité des données et vos workflows prévus. Voici trois des catégories de vulnérabilités les plus courantes :

Accès et autorisation : la possibilité pour un utilisateur de lire ou de modifier une ressource est définie par votre modèle d'autorisation, et non par une construction du langage. La Broken Object Level Authorization (faille d'autorisation donnant accès aux données d'un autre utilisateur en modifiant un identifiant) figure en tête du classement OWASP API Security Top 10 depuis 2019.

Exposition des données : sérialiser un objet et le renvoyer est un code courant, d'apparence correcte. La question de savoir s'il divulgue des informations dépend des champs sensibles et de leurs destinataires, des éléments propres à votre domaine, et non à votre syntaxe.

Flux de contrôle et workflow : les failles de logique métier et les conditions de concurrence surviennent lorsque des opérations valides s'exécutent dans le mauvais ordre, se répètent de façon inattendue ou sont manipulées. Exemples : processus de paiement contournable, état réactivé en raison d'une condition de concurrence ou paramètre modifié pour changer un prix.

Jusqu'à présent, la détection de ces failles nécessitait une revue de sécurité manuelle (coûteuse à mettre à l'échelle pour chaque merge request) ou des tests de pénétration et des programmes de bug bounty, qui interviennent trop tard. Il en résulte un écart croissant entre le rythme de développement et la rapidité avec laquelle l'expertise en sécurité peut être mise à profit.

Intégrer une évaluation de sécurité à chaque merge request

Le flow Security Review, disponible par défaut sur GitLab Duo Agent Platform, comble cet écart en analysant la finalité de votre code. Il détecte précisément les catégories de failles décrites ci-dessus : Broken Object Level Authorization et Broken Function Level Authorization (faille d'autorisation donnant à un utilisateur un accès à des fonctionnalités qui devraient lui être interdites), absence d'autorisation sur les opérations modifiant l'état, divulgation d'informations, attributions en masse, erreurs de logique métier et conditions de concurrence dans les workflows avec état.

Il complète les scanners traditionnels et l'analyse humaine sans les remplacer, et examine le code au moment même où une modification est apportée, lorsque la correction est la moins coûteuse. L'équipe de sécurité applicative de GitLab a utilisé le flow Security Review sur l'ensemble de ses merge requests internes tout au long de son développement.

Découvrez le flow Security Review en action :

Fonctionnement

Lorsque votre merge request est prête, demandez une revue à Duo Security Review, comme vous le feriez auprès d'une personne. Le flow Security Review analyse le diff en contexte : les fichiers d'origine, les lignes modifiées, la discussion de la merge request et le code associé. Son raisonnement est optimisé pour la précision, et une passe de validation indépendante examine chaque résultat afin de filtrer les faux positifs probables.

Les résultats apparaissent sous forme de fils de discussion sur les lignes concernées, accompagnés d'un résumé dans une note interne. Sur les projets publics, ils sont limités à la note interne afin que les détails de sécurité ne soient pas exposés.

Chaque résultat est accompagné du contexte dont les relecteurs ont besoin :

• Type de vulnérabilité, avec une référence CWE
• Sévérité : critique, élevée, modérée ou faible
• Niveau : Niveau 1 (Exploitable), Niveau 2 (Faille logique) ou Niveau 3 (Problème de conception)
• Une explication en langage clair du problème
• Une correction suggérée, lorsqu'elle est disponible

La sévérité détermine l'état du relecteur : un résultat critique ou élevé définit l'état sur Demander des modifications, tandis que les résultats modérés ou faibles donnent lieu à un Commentaire. Le flow n'approuve jamais, même lorsqu'il ne trouve rien, la décision finale revient toujours à un humain.

À partir de là, mentionnez le compte de service GitLab Duo Security Review de votre organisation dans un fil de discussion pour poser une question, discuter d'une correction ou contester un résultat. Résolvez chaque résultat en appliquant la correction sous forme de suggestion de merge request standard, en le rejetant comme faux positif ou en acceptant le risque. Après avoir effectué un commit de vos corrections, demandez une nouvelle revue pour vérifier ce qui a changé.

Lancez votre premier flow Security Review

Le flow Security Review est en version bêta publique pour les clients GitLab Ultimate. Il est disponible sur GitLab.com, GitLab Self-Managed et GitLab Dedicated.

Découvrez comment démarrer en consultant notre documentation dédiée au flow Security Review.

Vous pouvez accéder au flow Security Review grâce à un essai gratuit de GitLab Duo Agent Platform. Vous êtes déjà abonné à GitLab Ultimate ? Activez GitLab Duo Agent Platform et utilisez les GitLab Credits inclus dans votre abonnement.

Le coût varie en fonction de la complexité du diff et du modèle sélectionné ; testez-le sur quelques merge requests avant de le déployer à grande échelle. La tarification pourra être mise à jour lors de la disponibilité générale.

Partagez vos retours dans notre ticket dédié à cette fonctionnalité, afin que vos contributions orientent nos développements.