Sécurité offensive
Gouvernance & conformité
Protection des données
Audits boîte blancheAudit de code
Sécurité offensive
Audit de code
La revue « boîte blanche » plonge au cœur de vos applications. En examinant chaque fichier, chaque requête et chaque dépendance, nous détectons les failles qu’un test d’intrusion ou un scanner automatisé ne peuvent voir : erreurs de logique, injections cachées, mauvaises pratiques cryptographiques ou mécanismes de protection contre le reverse engineering mal configurés. Vous repartez avec un rapport clair, priorisé et immédiatement exploitable par vos équipes.
L’audit de code pour identifier les vulnérabilités présentes dans le code de vos applications
L’audit de code ou audit applicatif dit boîte blanche permet, en plus d’évaluer en profondeur le niveau de sécurité d’une application, d’identifier d’éventuelles mauvaises pratiques de programmation. Complémentaire de l’audit de configuration et des tests d’intrusion qui permettent d’évaluer la sécurité du point de vue de l’attaquant, la revue du code source permet d’identifier les failles difficilement détectables ou exploitables. Cet exercice permet également de s’assurer que les mécanismes de durcissement applicatifs et de protection contre l’ingénierie à rebours (reverse-engineering) sont bien appliqués.
La démarche d’audit s’appuie sur les référentiels de l’OWASP (Open Web Application Security Project), de l’ANSSI (Agence nationale de la sécurité des systèmes d’information), du SANS (SysAdmin, Audit, Network, Security), des référentiels de sécurité des éditeurs ainsi que sur l’état de l’art et les contraintes métiers spécifiques de l’audité.
Les objectifs de l’audit de code
- Découvrir un maximum de vulnérabilités affectant l’application auditée.
- Évaluer le niveau de durcissement du code et les éventuelles protections contre l’ingénierie à rebours.
- Définir un plan d’action technique permettant d’appliquer les meilleures pratiques en termes de développement sécurisé.
Notre méthode
L’audit se déroule en trois phases, du cadrage à la restitution.
Avant l’audit
Cadrage
Contacts, objectifs, périmètre et planning, questions de contextualisation, mot de passe pour les échanges sécurisés.
Livrable : compte rendu de la réunion de lancement
Analyse du code
Audit de code
Plan d’audit, prise d’empreinte du code source, analyse manuelle des points d’entrée et des éléments clés : génération d’aléa, cryptographie, droits d’accès.
Après l’audit
Synthèse
Synthèse managériale sur le niveau de sécurité constaté, plan d’action priorisé avec la charge de chaque recommandation, détail technique de chaque point.
Livrable : rapport, support de restitution, procès-verbal de livraison
Une vulnérabilité critique découverte pendant l’audit vous est signalée immédiatement, sans attendre le rapport.
Un exemple de mission
Audit de code sur une application Android et les Web Services associés
L’audit de code est réalisé à l’issue d’un test d’intrusion, il vise à découvrir de nouvelles failles de sécurité et à évaluer le niveau de durcissement du code de l’application. Les Web Services REST font l’objet de points de contrôle portant à la fois sur l’état de l’art concernant ce type d’application, mais également les meilleures pratiques du langage de programmation utilisé. L’audit de l’application Android est également réalisé, une attention supplémentaire est portée aux mécanismes permettant de se prémunir des opérations malveillantes visant à retrouver le code source, même partiel, de l’application (ingénierie à rebours/reverse-engineering).
Ils nous font confiance
informations
Contactez-nous
Un projet d’audit de code ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.
FAQ
Questions fréquentes
Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !
Faut-il fournir l’intégralité du dépôt ?
Le code du périmètre audité suffit, transmis par une archive chiffrée ou un accès en lecture. Nous ne poussons jamais de commit sur votre dépôt.
Quelle est la durée d’un audit de code ?
De trois à dix jours ouvrés selon la taille du projet : un micro-service se traite en quelques jours ; un monolithe de plusieurs centaines de milliers de lignes nécessite plus d’une semaine.
Utilisez-vous des outils automatisés ?
Nous combinons analyse statique outillée et revue manuelle : l’outil balaie largement le code, la revue humaine écarte les faux positifs et révèle les failles de logique.
Peut-on auditer uniquement un module sensible ?
Oui ; un périmètre restreint (moteur de paiement, module d’authentification) est possible et donne un résultat rapide, avant un audit complet ultérieur.
cas client
Découvrez notre approche
cas client
