L’analyse de sécurité est une procédure couramment utilisée pour évaluer la posture (ou l’état) de sécurité d’un système ou d’une application. Cette analyse peut prendre de nombreuses formes : analyses automatisées (qui testent une variété de règles ou de conditions d’erreur), outils (qui auscultent les API en fournissant des entrées intentionnellement aléatoires ou malveillantes en vue de rechercher des vulnérabilités), mesures actives (telles que des tests d’intrusion exécutés par des équipes de professionnels), etc.
L’analyse de sécurité peut s’appliquer à une application spécifique, telle qu’une application créée avec un SDK ArcGIS ou incluse en tant qu’application ArcGIS intégrée. Elle peut également concerner l’ensemble d’un système, en utilisant autant de types et d’approches d’analyse différents qu’il y a de systèmes à analyser. De nombreuses analyses de sécurité génèrent des problèmes de gravité variable (des alertes de risque faible ou informatives aux alertes de risque élevé ou critique), basés sur des situations potentiellement exploitables ou des vulnérabilités exploitables connues. L’évaluation de ce qui constitue un risque faible ou élevé est souvent très subjective et peut dépendre du cadre d’analyse ou du fournisseur qui délivre les services. Elle peut aussi être basée sur une évaluation externe des risques comme un score CVSS (Common Vulnerability Scoring System ou système de notation des vulnérabilités). Dans tous les cas, le risque initial doit être évalué en tenant compte de la possibilité d’exploitation (qui a trait à l’accessibilité du système), de l’exposition ou non du logiciel concerné aux demandes de l’utilisateur final et du fait qu’il soit utilisé ou mis en œuvre d’une manière qui laisse le système vulnérable au problème identifié.
ArcGIS est conçu avec un large éventail de bibliothèques tierces et expose une série d’API et de points de terminaison développés par Esri. Il est courant que les analyses de sécurité entraînent des problèmes potentiels qui doivent être examinés et vérifiés par l’organisation afin d’évaluer leur intérêt potentiel et leur pertinence avant d’être soumis à Esri à des fins d’examen et de mise en œuvre. Par exemple, une analyse qui détecte une vulnérabilité sur un point de terminaison d’administration ArcGIS Server peut ne pas tenir compte du fait que dans cet environnement, les points de terminaison d’administration ne sont pas mis à la disposition des utilisateurs finaux (en désactivant l’accès administratif dans ArcGIS Web Adaptor, par exemple). Par conséquent, le résultat de l’analyse peut être considéré comme un faux positif, car il n’a aucun intérêt concret.
Tenez compte de ces remarques et recommandations importantes relatives à l’analyse de sécurité :
Vous trouverez des ressources supplémentaires relatives à l’analyse de sécurité dans le document ArcGIS Vulnerability Scanning Guidance dans ArcGIS Trust Center (nécessite un identifiant ArcGIS pour y accéder).