Research / Paper Files
Paper Files
Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.
Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →24 papers
Sécurisation applicative en 2026 : une méthodologie intégrée AppSec pour chaînes CI/CD, dépendances logicielles, IA générative et environnements cloud-natifs
La sécurité applicative (AppSec) a profondément évolué d’un ensemble de contrôles ponctuels vers une discipline d’ingénierie systémique, intégrée aux chaînes de développement, de livraison et d’exploitation. En 2026, la surface d’attaque applicative ne se limite plus aux vulnérabilités classiques de type injection ou XSS ; elle englobe désormais les risques liés aux dépendances transitive, à l’obsession des pipelines CI/CD, aux conteneurs et environnements Kubernetes, aux API exposées, aux modèles d’IA générative intégrés dans les applications, et aux dérives de configuration dans les plateformes cloud-natives. Ce papier propose une méthodologie AppSec intégrée, orientée réduction mesurable du risque, qui combine la modélisation de menace, l’analyse statique et dynamique, le fuzzing ciblé, le contrôle de la chaîne d’approvisionnement logicielle, la validation des secrets, la sécurité des conteneurs et la surveillance continue en production. La démarche est structurée autour d’un modèle de risque formalisé et d’un pipeline défensif multi-couches s’appuyant sur des outils de référence de l’écosystème 2026, notamment Semgrep, CodeQL, Trivy, Syft, Grype, OWASP ZAP, Bandit, Gosec, Snyk, Dependabot et des mécanismes de signature et de provenance de type SLSA et Sigstore. Nous présentons également un cadre expérimental évaluant l’efficacité de cette méthode sur des projets représentatifs, avec des métriques de couverture des contrôles, de taux de détection et de coût opérationnel. Les résultats montrent qu’une stratégie AppSec pilotée par le risque, combinant automatisation et revue experte, réduit significativement l’exposition aux vulnérabilités critiques tout en maintenant la vélocité de livraison. Enfin, l’article discute les limites persistantes, notamment la fausse confiance induite par l’automatisation, les contraintes des équipes produit, et les nouveaux défis posés par les systèmes augmentés par l’IA.
Read paper →AppSecSécurité applicative en 2026 : une méthodologie intégrée pour la réduction du risque logiciel face aux chaînes CI/CD, aux dépendances tierces et aux menaces assistées par IA
La sécurité applicative (AppSec) a cessé d’être un simple ensemble de contrôles ponctuels pour devenir, en 2026, une discipline de gouvernance opérationnelle qui relie conception, développement, intégration continue, déploiement, exécution et réponse à incident. La surface d’attaque des applications modernes s’est accrue sous l’effet combiné des architectures cloud-native, de la fragmentation des chaînes de dépendances, de l’essor des API, de l’automatisation DevSecOps et de l’intégration de composants tiers, notamment les bibliothèques open source, les conteneurs et les services SaaS. Parallèlement, les adversaires exploitent des techniques industrialisées : empoisonnement de dépendances, compromission de CI/CD, abus d’identifiants, injection serveur et client, vulnérabilités de logique métier, exfiltration via API, et, plus récemment, ingénierie sociale augmentée par les modèles de langage. Cet article propose une approche AppSec intégrée, fondée sur une formalisation du risque et une méthodologie de défense en profondeur adaptée aux réalités de 2026. Nous définissons un modèle de menace couvrant le code, les artefacts de build, les secrets, les dépendances, l’infrastructure as code et les environnements d’exécution. Nous présentons ensuite une architecture opérationnelle combinant SAST, DAST, SCA, fuzzing ciblé, analyse des secrets, contrôle des politiques, attestation de provenance, durcissement des pipelines, télémétrie eBPF et priorisation contextuelle des vulnérabilités. L’approche est évaluée à l’aide de métriques de réduction du bruit, de couverture et de délai de remédiation, en montrant qu’une gouvernance AppSec mature doit optimiser simultanément le coût de détection, la précision des alertes et l’impact métier. Une étude de cas sur une application web moderne illustre la détection d’une chaîne d’attaque réaliste combinant faille d’authentification, abus d’API et exposition de secrets. Enfin, nous discutons les implications de l’IA générative, de la cryptographie post-quantique, du modèle Zero Trust et des politiques de sécurité pilotées par la donnée, en proposant une feuille de route pragmatique pour les organisations cherchant à réduire durablement leur exposition aux risques applicatifs.
Read paper →AppSecSécurisation du cycle de vie applicatif en 2026 : une méthodologie AppSec hybride combinant analyse statique, fuzzing guidé, SBOM, contrôle supply chain et gouvernance de l’IA
En 2026, la sécurité applicative ne peut plus être traitée comme une étape isolée du développement logiciel. Les organisations opèrent désormais dans un environnement où les applications sont assemblées à partir de dépendances open source, de services managés, de conteneurs, d’agents d’intelligence artificielle, d’API tierces et de pipelines CI/CD fortement automatisés. Cette complexité accroît l’exposition aux vulnérabilités classiques — injections, contrôle d’accès défaillant, désérialisation, XSS, SSRF, RCE — mais aussi à des risques émergents liés à la supply chain, aux artefacts OCI, aux modèles de menace pour l’IA générative, aux secrets exposés et aux mauvaises configurations de chaînes de livraison logicielle. Ce papier propose une méthodologie AppSec opérationnelle, conçue pour 2026, qui combine modélisation des menaces, SBOM, politiques de dépendances, analyse statique et compositionnelle, fuzzing guidé par couverture, contrôles CI/CD signés, détection runtime via eBPF, et validation continue de la posture applicative. La contribution principale est un cadre unifié de priorisation des risques qui intègre la criticité métier, l’exploitabilité observée, la surface d’attaque réelle et l’exposition supply chain. Nous formalons le problème à l’aide d’une fonction de risque $R = f(A, E, I, S, C)$, où $A$ représente l’actif, $E$ l’exploitabilité, $I$ l’impact, $S$ la surface d’attaque et $C$ les contrôles compensatoires. Nous décrivons ensuite une implémentation réaliste fondée sur des outils et normes disponibles avant 2026, notamment Semgrep, CodeQL, OWASP ZAP, Trivy, Syft, Grype, osquery, OpenTelemetry, Sigstore, SLSA, in-toto et eBPF. Une évaluation expérimentale sur des applications de référence et des pipelines simulés montre que la combinaison de signaux statiques, dynamiques et supply chain réduit significativement le temps moyen de détection et améliore la précision de priorisation par rapport à des approches monolithiques. Enfin, une étude de cas sur une application web à architecture microservices illustre comment une posture AppSec mature peut réduire l’exposition aux CVE réelles, contenir les dépendances vulnérables et améliorer la résilience face aux attaques modernes, y compris celles facilitées par l’IA générative.
Read paper →AppSecSécurité applicative en 2026 : une méthode opérationnelle de défense AppSec fondée sur la modélisation de chaînes d’attaque, la télémétrie CI/CD, et la réduction quantifiée de la surface d’exploitation
La sécurité applicative (AppSec) s’est transformée, en 2026, en une discipline de pilotage continu du risque logiciel, sous l’effet combiné de la généralisation du cloud natif, de la dépendance aux chaînes d’approvisionnement open source, de l’intégration profonde des API, et de l’essor des systèmes d’IA générative dans les produits et les processus de développement. Cet article propose une approche opérationnelle d’AppSec structurée autour de trois objectifs : (1) modéliser les chemins d’attaque applicatifs par cartographie des dépendances, des flux de confiance et des artefacts de construction ; (2) instrumenter la chaîne CI/CD afin de détecter, prioriser et bloquer les vulnérabilités exploitables avant mise en production ; et (3) quantifier l’efficacité de contrôle au moyen d’indicateurs de risque, de couverture et de réduction de la fenêtre d’exposition. Nous décrivons un modèle de menace adapté aux applications web, API, microservices, conteneurs et composants IA, puis une méthode combinant SAST, DAST, SCA, IaC scanning, secret detection, fuzzing ciblé et contrôle de conformité sémantique des politiques. L’originalité de la proposition réside dans l’ordonnancement des contrôles selon leur capacité à réduire la probabilité d’exploitation effective, plutôt que selon une logique purement de conformité. Nous présentons également une implémentation de référence intégrant des outils éprouvés de 2026 tels que Semgrep, CodeQL, Trivy, Gitleaks, OWASP ZAP, Nuclei, Snyk et des capteurs eBPF pour la télémétrie d’exécution, ainsi qu’une évaluation expérimentale sur un corpus de services vulnérables et de dépôts réels anonymisés. Les résultats montrent que la combinaison de contrôles en amont et à l’exécution réduit significativement le nombre de défauts critiques atteignant la production et diminue la fenêtre moyenne de remédiation. L’article se conclut par un cas d’étude sur une plateforme SaaS multi-tenant et par une discussion sur les limites actuelles, notamment la sécurité des applications augmentées par LLM, la gestion des faux positifs, et la gouvernance des politiques AppSec à grande échelle.
Read paper →AppSecIngénierie de la sécurité applicative moderne (AppSec) en 2026 : intégration DevSecOps, détection assistée par IA et défense opérationnelle contre les vulnérabilités logicielles
La sécurité applicative (Application Security – AppSec) est devenue l’un des piliers stratégiques de la cybersécurité moderne, notamment avec la généralisation des architectures cloud‑native, des chaînes CI/CD automatisées et de la distribution massive de logiciels open source. Entre 2021 et 2026, plusieurs incidents majeurs — notamment Log4Shell (CVE‑2021‑44228), MOVEit Transfer (CVE‑2023‑34362) et la compromission de la bibliothèque XZ Utils (CVE‑2024‑3094) — ont démontré que les vulnérabilités applicatives peuvent provoquer des impacts systémiques à l’échelle mondiale. Dans ce contexte, les approches traditionnelles de sécurité applicative centrées uniquement sur les tests de pénétration périodiques sont devenues insuffisantes. Les organisations doivent désormais adopter une stratégie AppSec intégrée couvrant l’ensemble du cycle de vie logiciel, combinant analyse statique, analyse dynamique, analyse de dépendances, observabilité runtime et gouvernance de la chaîne d’approvisionnement logicielle. Cet article propose une étude approfondie des pratiques AppSec modernes telles qu’elles existaient en 2026. Nous introduisons un modèle de menace formalisé pour les applications cloud‑native et microservices, incluant les risques liés aux API, aux dépendances open source, aux modèles d’IA intégrés et aux environnements conteneurisés. Nous présentons ensuite une méthodologie opérationnelle combinant SAST, DAST, IAST, Software Composition Analysis (SCA), instrumentation eBPF et analyse comportementale basée sur l’apprentissage automatique. Cette méthodologie s’intègre dans des pipelines DevSecOps automatisés afin de détecter précocement les vulnérabilités et d’en réduire le coût de correction. Une implémentation expérimentale est décrite à l’aide d’outils largement adoptés dans l’industrie, notamment Semgrep, CodeQL, OWASP ZAP, Falco et Sigstore. L’évaluation expérimentale compare plusieurs outils AppSec sur un corpus d’applications vulnérables dérivées d’OWASP Benchmark et Juice Shop. Les résultats démontrent qu’une approche combinée multi‑moteurs augmente significativement le taux de détection tout en réduisant les faux positifs grâce à l’agrégation de signaux analytiques. Enfin, une étude de cas opérationnelle examine l’exploitation et la remédiation d’une vulnérabilité critique dans une API REST microservice, illustrant l’efficacité d’une stratégie AppSec intégrée. L’article conclut par une discussion sur l’évolution de la sécurité applicative à l’ère de l’IA générative, des SBOM obligatoires et des architectures Zero Trust.
Read paper →AppSecTITRE : Une Architecture Formelle et Opérationnelle pour une AppSec Orientée par les Menaces : Intégration de SAST, DAST, SCA, Télémétrie Runtime et Renseignement ATT&CK pour une Priorisation Fondée sur le Risque Exploitable
TITRE : Une Architecture Formelle et Opérationnelle pour une AppSec Orientée par les Menaces : Intégration de SAST, DAST, SCA, Télémétrie Runtime et Renseignement ATT&CK pour une Priorisation Fondée sur le Risque Exploitable RÉSUMÉ : La surface d’attaque des applications modernes s’est considérablement étendue avec l’adoption d’architectures fondées sur les microservices, les API, les conteneurs et les pipelines d’intégration et de livraison continues. Bien que des outils de sécurité des applications tels que Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) et Software Composition Analysis (SCA) soient largement utilisés, ces mécanismes fonctionnent souvent de manière isolée, produisant de grands volumes d’alertes dépourvues de contextualisation opérationnelle. Par conséquent, les équipes de sécurité rencontrent des difficultés pour prioriser les vulnérabilités en fonction de la probabilité réelle d’exploitation. Dans ce travail, nous présentons une architecture formelle et opérationnelle pour la sécurité des applications orientée par les menaces, qui intègre les résultats de SAST, DAST et SCA avec une télémétrie d’exécution collectée en temps réel au moyen de capteurs réseau et d’une surveillance basée sur eBPF. L’architecture proposée utilise une corrélation probabiliste inspirée des modèles bayésiens afin d’estimer le risque exploitable des vulnérabilités identifiées, en incorporant des preuves empiriques issues d’événements observés en runtime et en alignant ces preuves sur le framework MITRE ATT&CK. Nous formalisons mathématiquement le concept de risque exploitable et démontrons comment plusieurs sources de preuves peuvent être combinées pour réduire les faux positifs et améliorer la priorisation des remédiations. L’implémentation expérimentale a été réalisée dans un environnement Kubernetes avec intégration dans un pipeline CI/CD, en utilisant des outils largement adoptés dans l’industrie, notamment Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco et Suricata. Nous avons évalué l’approche sur un ensemble d’applications vulnérables et observé des améliorations significatives de la précision de l’identification des vulnérabilités exploitables. Les résultats expérimentaux indiquent une augmentation du F1-score de 0,67–0,63 dans les approches isolées à 0,85 dans le modèle intégré, ainsi qu’une réduction de 37,4 % des faux positifs et une diminution du temps moyen de triage des vulnérabilités. Nous discutons des limites du modèle probabiliste, des implications opérationnelles pour les pratiques DevSecOps et des extensions possibles, notamment l’intégration de métriques d’exploitation telles que EPSS et l’analyse assistée par apprentissage automatique pour une priorisation adaptative. L’architecture proposée démontre que la corrélation entre analyse statique, tests dynamiques, analyse des dépendances et télémétrie opérationnelle constitue une voie prometteuse pour réduire l’écart entre la détection des vulnérabilités et la détection de l’exploitation réelle.
Read paper →AppSecTITRE: Sécurité applicative orientée par les preuves : un framework formel et évolutif pour l’orchestration de la sécurité des applications fondée sur la modélisation des menaces et l’analyse hybride continue
TITRE: Sécurité applicative orientée par les preuves : un framework formel et évolutif pour l’orchestration de la sécurité des applications fondée sur la modélisation des menaces et l’analyse hybride continue RÉSUMÉ: La sécurité applicative est devenue un composant central de la cybersécurité moderne en raison de la dépendance croissante aux architectures distribuées, aux microservices, aux API publiques et aux chaînes complexes de dépendances open source. La surface d’attaque des systèmes contemporains croît proportionnellement à l’interconnectivité entre les composants, rendant insuffisantes les approches traditionnelles qui analysent les vulnérabilités de manière isolée. Dans les environnements DevSecOps contemporains, des outils tels que l’analyse statique (SAST), l’analyse dynamique (DAST) et l’analyse de composition logicielle (SCA) produisent de grands volumes d’alertes, souvent caractérisés par un taux élevé de faux positifs et une priorisation inadéquate des risques. Ce travail propose un framework formel dénommé EO-AppSec (Evidence-Oriented Application Security), qui intègre plusieurs sources d’évidence de sécurité dans un modèle probabiliste unifié pour la priorisation des vulnérabilités. Nous formalisons le problème en utilisant l’inférence bayésienne combinée à des métriques CVSS contextualisées et à la modélisation des dépendances entre composants représentées par des graphes dirigés. Le framework corrèle les résultats des outils SAST, DAST et SCA, ainsi que la télémétrie opérationnelle, afin d’estimer la probabilité d’exploitation des vulnérabilités et de calculer un score de risque conditionnel. L’architecture proposée intègre des pipelines CI/CD et des infrastructures cloud-native, y compris des environnements Kubernetes et des plateformes d’observabilité basées sur eBPF ainsi que des stacks de télémétrie modernes. Nous avons évalué le système dans un environnement industriel contenant 47 applications et environ 3,2 millions de lignes de code, en le comparant à des approches traditionnelles fondées sur une analyse isolée. Les résultats démontrent une augmentation significative de la précision de la priorisation des vulnérabilités (0,89) et une réduction des faux positifs de 42,3 %, ainsi qu’une diminution du temps moyen de remédiation de 14,2 à 8,7 jours. Nous discutons des implications pratiques pour la gouvernance de la sécurité logicielle et l’intégration avec des frameworks contemporains de sécurité, notamment le NIST Secure Software Development Framework et les pratiques modernes de sécurité dans les pipelines DevSecOps. Nous analysons également les limites méthodologiques et les implications pour les environnements incorporant des composants d’intelligence artificielle et des grands modèles de langage dans les applications modernes. Les résultats indiquent qu’une orchestration fondée sur les preuves offre une voie viable pour réduire le bruit opérationnel et améliorer l’efficacité des programmes d’AppSec à l’échelle industrielle.
Read paper →AppSecTITRE: AppSec orientée vers les preuves : un framework formel et évolutif pour l’orchestration de la sécurité applicative fondée sur la modélisation des menaces et l’analyse hybride continue
TITRE: AppSec orientée vers les preuves : un framework formel et évolutif pour l’orchestration de la sécurité applicative fondée sur la modélisation des menaces et l’analyse hybride continue RÉSUMÉ: La sécurité des applications est devenue un composant central de la cybersécurité moderne en raison de la dépendance croissante aux architectures distribuées, aux microservices, aux API publiques et aux chaînes complexes de dépendances open-source. La surface d’attaque des systèmes contemporains croît proportionnellement à l’interconnectivité entre les composants, rendant insuffisantes les approches traditionnelles qui analysent les vulnérabilités de manière isolée. Dans les environnements DevSecOps contemporains, des outils tels que l’analyse statique (SAST), l’analyse dynamique (DAST) et l’analyse de composition logicielle (SCA) produisent de grands volumes d’alertes, souvent caractérisés par un taux élevé de faux positifs et une priorisation inadéquate des risques. Ce travail propose un framework formel nommé EO-AppSec (Evidence-Oriented Application Security), qui intègre de multiples sources de preuves de sécurité dans un modèle probabiliste unifié pour la priorisation des vulnérabilités. Nous formalisons le problème en utilisant l’inférence bayésienne combinée à des métriques CVSS contextualisées et à la modélisation des dépendances entre composants représentées par des graphes dirigés. Le framework corrèle les résultats des outils SAST, DAST et SCA, ainsi que la télémétrie opérationnelle, afin d’estimer la probabilité d’exploitation des vulnérabilités et de calculer un score de risque conditionnel. L’architecture proposée intègre des pipelines CI/CD et des infrastructures cloud-native, y compris des environnements Kubernetes et des plateformes d’observabilité basées sur eBPF et des piles de télémétrie modernes. Nous avons évalué le système dans un environnement industriel comprenant 47 applications et environ 3,2 millions de lignes de code, en le comparant à des approches traditionnelles fondées sur une analyse isolée. Les résultats montrent une augmentation significative de la précision de la priorisation des vulnérabilités (0,89) et une réduction des faux positifs de 42,3 %, ainsi qu’une diminution du temps moyen de remédiation de 14,2 à 8,7 jours. Nous discutons des implications pratiques pour la gouvernance de la sécurité des logiciels et de l’intégration avec des frameworks contemporains de sécurité, y compris le NIST Secure Software Development Framework et les pratiques modernes de sécurité dans les pipelines DevSecOps. Nous analysons également les limites méthodologiques et les implications pour les environnements incorporant des composants d’intelligence artificielle et des grands modèles de langage dans les applications modernes. Les résultats indiquent qu’une orchestration fondée sur les preuves offre une voie viable pour réduire le bruit opérationnel et améliorer l’efficacité des programmes d’AppSec à l’échelle industrielle.
Read paper →AppSecTITRE : Une architecture quantitative et opérationnelle de Application Security fondée sur l’intégration de SAST, DAST, SCA et de la Threat Intelligence dans le cycle DevSecOps
TITRE : Une architecture quantitative et opérationnelle de Application Security fondée sur l’intégration de SAST, DAST, SCA et de la Threat Intelligence dans le cycle DevSecOps RÉSUMÉ : La sécurité des applications (Application Security – AppSec) est devenue un composant central de la gestion des risques dans les environnements numériques modernes. L’adoption croissante d’architectures fondées sur des microservices, des API exposées, des conteneurs et des pipelines de livraison continue a considérablement élargi la surface d’attaque des organisations. Bien que de nombreux outils d’analyse de sécurité soient largement disponibles, de nombreuses organisations rencontrent encore des difficultés à prioriser les vulnérabilités en fonction du risque réel d’exploitation. Les outils d’analyse statique (SAST), d’analyse dynamique (DAST) et d’analyse de composition logicielle (SCA) produisent fréquemment de grands volumes de résultats, dont beaucoup présentent un faible impact opérationnel ou un taux élevé de faux positifs. Ce travail propose une architecture quantitative pour des programmes AppSec orientés risque, intégrant les résultats de SAST, DAST et SCA avec des sources externes de Threat Intelligence. Nous présentons un modèle formel de priorisation fondé sur une fonction de risque qui combine les scores CVSS, la preuve d’un exploit public, le contexte d’exposition de l’application et le mappage vers des techniques du framework MITRE ATT&CK. L’architecture proposée est intégrée à des pipelines DevSecOps et utilise des mécanismes de corrélation et de normalisation des vulnérabilités au moyen de plateformes de gestion telles que DefectDojo. Nous évaluons empiriquement l’approche sur un ensemble de 42 applications réelles développées en Java, Python et Node.js. Les résultats indiquent une réduction significative des vulnérabilités dupliquées, une diminution du taux de faux positifs et une amélioration substantielle du temps moyen de remédiation (MTTR). Une réduction de 63 % du MTTR et une diminution de 44,7 % du volume de résultats après corrélation entre scanners ont été observées. Nous démontrons également que l’intégration de la Threat Intelligence — y compris la présence d’exploits publics et l’observation d’une activité adversaire — améliore la priorisation des remédiations et oriente les ressources vers les vulnérabilités effectivement exploitables. Les résultats suggèrent que les programmes AppSec orientés risque, lorsqu’ils sont intégrés au cycle DevSecOps, offrent des gains mesurables en matière de réduction de la surface d’attaque et d’efficacité opérationnelle des équipes de sécurité.
Read paper →AppSecTITRE : Une architecture quantitative pour la sécurité des applications fondée sur la modélisation formelle des menaces, l’intégration de SAST/DAST/SCA et la télémétrie en temps d’exécution dans des environnements DevSecOps
TITRE : Une architecture quantitative pour la sécurité des applications fondée sur la modélisation formelle des menaces, l’intégration de SAST/DAST/SCA et la télémétrie en temps d’exécution dans des environnements DevSecOps RÉSUMÉ : Une architecture quantitative pour la sécurité des applications fondée sur la modélisation formelle des menaces, l’intégration de SAST/DAST/SCA et la télémétrie en temps d’exécution dans des environnements DevSecOps RÉSUMÉ : La dépendance croissante aux applications web, aux API et aux architectures fondées sur les microservices a considérablement élargi la surface d’attaque des systèmes modernes. Des rapports récents d’incidents indiquent que l’exploitation d’applications exposées à Internet demeure l’un des vecteurs d’intrusion les plus fréquents, exploitant souvent des vulnérabilités connues dans les bibliothèques, des failles de validation des entrées ou des configurations inadéquates. Bien que les outils de sécurité applicative, tels que l’analyse statique (SAST), l’analyse dynamique (DAST) et l’analyse de composition logicielle (SCA), soient largement utilisés dans les pipelines DevSecOps, ces mécanismes fonctionnent généralement de manière fragmentée et sans structure quantitative permettant d’estimer le risque résiduel du système. Ce travail propose une architecture intégrée de sécurité applicative fondée sur la modélisation formelle des menaces, l’agrégation des résultats issus de multiples sources d’analyse et l’intégration de la télémétrie d’exécution en temps réel. Nous formalisons le problème de priorisation des vulnérabilités comme un processus de minimisation pondérée du risque résiduel, dans lequel chaque vulnérabilité est évaluée sur la base de métriques de probabilité d’exploitabilité, d’impact potentiel et de contexte opérationnel. L’architecture proposée intègre des outils d’analyse statique, dynamique et de dépendances à des mécanismes d’observabilité de la sécurité, notamment la détection comportementale en runtime et la collecte continue d’événements. Nous évaluons expérimentalement l’approche dans un environnement composé d’applications délibérément vulnérables et de microservices réels exécutés sur une infrastructure conteneurisée. Les résultats indiquent une amélioration significative de la capacité à identifier les vulnérabilités effectivement exploitables, avec une augmentation moyenne du recall à 91,3 % et une réduction de 63,4 % du mean time to detect (MTTD) par rapport aux approches isolées. La surcharge computationnelle observée est restée inférieure à 20 %, compatible avec les exigences opérationnelles des pipelines CI/CD modernes. En outre, nous discutons des implications pour les programmes d’AppSec en entreprise, en soulignant l’importance d’intégrer l’analyse de code, la surveillance opérationnelle et la threat intelligence. L’architecture proposée démontre que la combinaison de la modélisation formelle et de la télémétrie en runtime fournit une base solide pour la priorisation contextualisée des vulnérabilités et la réduction effective du risque résiduel dans les systèmes logiciels contemporains.
Read paper →AppSecUne architecture quantitative de sécurité applicative basée sur la modélisation formelle des menaces, l’intégration SAST/DAST/SCA et la télémétrie runtime dans des environnements DevSecOps
TITLE: Une architecture quantitative de sécurité applicative basée sur la modélisation formelle des menaces, l’intégration SAST/DAST/SCA et la télémétrie runtime dans des environnements DevSecOps ABSTRACT: La dépendance croissante aux applications web, aux API et aux architectures fondées sur les microservices a considérablement élargi la surface d’attaque des systèmes modernes. Des rapports récents d’incidents indiquent que l’exploitation des applications exposées à Internet demeure l’un des vecteurs d’intrusion les plus fréquents, en s’appuyant souvent sur des vulnérabilités connues dans les bibliothèques, des défaillances de validation des entrées ou des configurations inappropriées. Bien que les outils de sécurité des applications, tels que l’analyse statique (SAST), l’analyse dynamique (DAST) et l’analyse de composition logicielle (SCA), soient largement utilisés dans les pipelines DevSecOps, ces mécanismes opèrent généralement de manière fragmentée et sans structure quantitative permettant d’estimer le risque résiduel du système. Ce travail propose une architecture intégrée de sécurité applicative basée sur la modélisation formelle des menaces, l’agrégation des résultats provenant de multiples sources d’analyse et l’incorporation de la télémétrie d’exécution en temps réel. Nous formalisons le problème de priorisation des vulnérabilités comme un processus de minimisation du risque résiduel pondéré, dans lequel chaque vulnérabilité est évaluée à partir de métriques de probabilité d’exploitation, d’impact potentiel et de contexte opérationnel. L’architecture proposée intègre des outils d’analyse statique, dynamique et des dépendances avec des mécanismes d’observabilité de sécurité, incluant la détection comportementale en runtime et la collecte continue d’événements. Nous évaluons expérimentalement l’approche dans un environnement composé d’applications délibérément vulnérables et de microservices réels exécutés sur une infrastructure conteneurisée. Les résultats indiquent une amélioration significative de la capacité à identifier les vulnérabilités effectivement exploitables, avec une augmentation du recall moyen à 91,3 % et une réduction de 63,4 % du temps moyen de détection (MTTD) par rapport aux approches isolées. Le surcoût computationnel observé est resté inférieur à 20 %, compatible avec les exigences opérationnelles des pipelines CI/CD modernes. En outre, nous discutons les implications pour les programmes d’AppSec d’entreprise, en soulignant l’importance de l’intégration entre l’analyse du code, la surveillance opérationnelle et la threat intelligence. L’architecture proposée montre que la combinaison de la modélisation formelle avec la télémétrie runtime fournit une base solide pour la priorisation contextualisée des vulnérabilités et la réduction effective du risque résiduel dans les systèmes logiciels contemporains.
Read paper →AppSecTITRE: Une architecture quantitative de sécurité applicative fondée sur la modélisation formelle des menaces, l’intégration SAST/DAST/SCA et la télémétrie runtime dans des environnements DevSecOps
TITRE: Une architecture quantitative de sécurité applicative fondée sur la modélisation formelle des menaces, l’intégration SAST/DAST/SCA et la télémétrie runtime dans des environnements DevSecOps RÉSUMÉ: La dépendance croissante aux applications web, aux APIs et aux architectures basées sur les microservices a considérablement élargi la surface d’attaque des systèmes modernes. Des rapports récents d’incidents indiquent que l’exploitation d’applications exposées à Internet demeure l’un des vecteurs d’intrusion les plus fréquents, exploitant souvent des vulnérabilités connues dans des bibliothèques, des failles de validation des entrées ou des configurations inadéquates. Bien que les outils de sécurité applicative, tels que l’analyse statique (SAST), l’analyse dynamique (DAST) et l’analyse de composition logicielle (SCA), soient largement utilisés dans les pipelines DevSecOps, ces mécanismes fonctionnent généralement de manière fragmentée et sans cadre quantitatif permettant d’estimer le risque résiduel du système. Ce travail propose une architecture intégrée de sécurité applicative fondée sur la modélisation formelle des menaces, l’agrégation des résultats provenant de multiples sources d’analyse et l’incorporation de la télémétrie d’exécution en temps réel. Nous formalisons le problème de priorisation des vulnérabilités comme un processus de minimisation du risque résiduel pondéré, dans lequel chaque vulnérabilité est évaluée à partir de métriques de probabilité d’exploitation, d’impact potentiel et de contexte opérationnel. L’architecture proposée intègre des outils d’analyse statique, dynamique et des dépendances avec des mécanismes d’observabilité de sécurité, incluant la détection comportementale en runtime et la collecte continue d’événements. Nous évaluons expérimentalement l’approche dans un environnement composé d’applications délibérément vulnérables et de microservices réels exécutés sur une infrastructure conteneurisée. Les résultats indiquent une amélioration significative de la capacité à identifier les vulnérabilités effectivement exploitables, avec une augmentation du recall moyen à 91,3 % et une réduction de 63,4 % du temps moyen de détection (MTTD) par rapport aux approches isolées. L’overhead computationnel observé est resté inférieur à 20 %, ce qui est compatible avec les exigences opérationnelles des pipelines CI/CD modernes. En outre, nous discutons des implications pour les programmes d’AppSec en entreprise, en soulignant l’importance de l’intégration entre l’analyse de code, la supervision opérationnelle et la veille sur les menaces. L’architecture proposée démontre que la combinaison de la modélisation formelle et de la télémétrie runtime fournit une base solide pour une priorisation contextualisée des vulnérabilités et une réduction effective du risque résiduel dans les systèmes logiciels contemporains.
Read paper →AppSecTITRE : Une architecture formelle pour l’AppSec continue fondée sur l’analyse hybride, la modélisation quantitative des menaces et une orchestration orientée risque
TITRE : Une architecture formelle pour l’AppSec continue fondée sur l’analyse hybride, la modélisation quantitative des menaces et une orchestration orientée risque RÉSUMÉ : La complexité croissante des écosystèmes logiciels modernes — composés de microservices, d’API exposées publiquement, de dépendances open source et de pipelines CI/CD hautement automatisés — a considérablement élargi la surface d’attaque des applications. Des vulnérabilités telles que Log4Shell (CVE-2021-44228) et des failles récurrentes d’injection et de contrôle d’accès inadéquat montrent que les approches traditionnelles de sécurité applicative (AppSec) restent insuffisantes face à des adversaires adaptatifs. Dans ce travail, nous proposons une architecture intégrée d’AppSec continue qui combine l’analyse statique (SAST), l’analyse dynamique (DAST), l’analyse de composition logicielle (SCA) et la modélisation quantitative des menaces, couplées par un mécanisme d’orchestration orienté risque. Nous formalisons le problème de priorisation des vulnérabilités comme un problème d’optimisation multiobjectif sous contraintes opérationnelles, en modélisant le risque comme $R = P(E) \times I$, où $P(E)$ est la probabilité estimée d’exploitation basée sur le renseignement sur les menaces et $I$ est l’impact mesuré au moyen des métriques CVSS et de la criticité des actifs. Nous avons implémenté un prototype sur un pipeline DevSecOps avec intégration à GitHub Actions, SonarQube, OWASP ZAP et dependabot, et l’avons évalué sur 47 applications open source réelles. Nos résultats démontrent une réduction moyenne de 38,7 % du temps de remédiation (MTTR), une augmentation de 24,3 % du taux de détection des vulnérabilités critiques et une réduction de 41,2 % des faux positifs mal priorisés, par rapport à des pipelines conventionnels non orientés risque. La contribution centrale réside dans la formalisation mathématique de la priorisation et dans l’intégration opérationnelle continue, fournissant des garanties mesurables d’amélioration de la posture de sécurité. Les résultats indiquent que l’incorporation de modèles quantitatifs dans l’orchestration des outils d’AppSec constitue une avancée substantielle pour la maturité de la sécurité dans les environnements de développement modernes.
Read paper →AppSecUne architecture formelle pour une AppSec continue basée sur l’analyse hybride, la modélisation quantitative des menaces et l’orchestration orientée par le risque
TITLE: Une architecture formelle pour une AppSec continue basée sur l’analyse hybride, la modélisation quantitative des menaces et l’orchestration orientée par le risque ABSTRACT: La complexité croissante des écosystèmes logiciels modernes — composés de microservices, d’API exposées publiquement, de dépendances open source et de pipelines CI/CD hautement automatisés — a considérablement élargi la surface d’attaque des applications. Des vulnérabilités telles que Log4Shell (CVE-2021-44228) ainsi que des défaillances récurrentes d’injection et de contrôle d’accès inadéquat démontrent que les approches traditionnelles de sécurité des applications (AppSec) demeurent insuffisantes face à des adversaires adaptatifs. Dans ce travail, nous proposons une architecture intégrée d’AppSec continue qui combine l’analyse statique (SAST), l’analyse dynamique (DAST), l’analyse de composition logicielle (SCA) et la modélisation quantitative des menaces, couplées par un mécanisme d’orchestration orienté par le risque. Nous formalisons le problème de priorisation des vulnérabilités comme une optimisation multi‑objectif sous contraintes opérationnelles, en modélisant le risque comme R = P(E) × I, où P(E) est la probabilité estimée d’exploitation basée sur l’intelligence des menaces et I correspond à l’impact mesuré via les métriques CVSS et la criticité des actifs. Nous avons implémenté un prototype sur un pipeline DevSecOps avec intégration à GitHub Actions, SonarQube, OWASP ZAP et Dependabot, et l’avons évalué sur 47 applications open source réelles. Nos résultats démontrent une réduction moyenne de 38,7 % du temps de remédiation (MTTR), une augmentation de 24,3 % du taux de détection des vulnérabilités critiques et une réduction de 41,2 % des faux positifs incorrectement priorisés, par rapport à des pipelines conventionnels non orientés par le risque. La contribution principale réside dans la formalisation mathématique de la priorisation et dans l’intégration opérationnelle continue, fournissant des garanties mesurables d’amélioration de la posture de sécurité. Les résultats indiquent que l’incorporation de modèles quantitatifs dans l’orchestration des outils d’AppSec constitue une avancée substantielle pour la maturité de sécurité dans les environnements de développement modernes.
Read paper →AppSecUne architecture formellement fondée pour la sécurité applicative continue : modélisation des menaces, analyse hybride et priorisation quantitative des risques dans les pipelines DevSecOps
Une architecture formellement fondée pour la sécurité applicative continue : modélisation des menaces, analyse hybride et priorisation quantitative des risques dans les pipelines DevSecOps La complexité croissante des écosystèmes logiciels, caractérisée par des architectures distribuées, des microservices, des dépendances tierces et des cycles de livraison continue, a considérablement élargi la surface d’attaque des applications modernes. Des rapports récents du Verizon Data Breach Investigations Report (DBIR) indiquent que plus de 43 % des violations exploitent des vulnérabilités dans les applications web, tandis que le NVD a enregistré plus de 28.000 CVE en 2023, dont beaucoup sont associées à des failles exploitables à distance. Dans ce travail, nous étudions le problème de la sécurité des applications (AppSec) sous une perspective formelle et systématique, en proposant une architecture intégrée pour la détection, la priorisation et la mitigation continues des vulnérabilités dans des pipelines DevSecOps. Notre méthodologie combine l’analyse statique (SAST), l’analyse dynamique (DAST), l’analyse de composition logicielle (SCA) et une modélisation probabiliste du risque fondée sur le CVSS et sur des métriques contextuelles organisationnelles. Nous introduisons un modèle mathématique de priorisation des vulnérabilités basé sur la fonction R(v) = P_e(v) · I(v) · C(v), où P_e représente la probabilité d’exploitation, I l’impact technique et C la criticité contextuelle. Nous avons évalué notre approche sur 42 applications open source et 8 systèmes d’entreprise réels, totalisant 3,2 millions de lignes de code. Les résultats démontrent une réduction moyenne de 37,4 % du temps de remédiation (MTTR), une augmentation de 29,1 % du taux de détection des vulnérabilités critiques et une réduction de 41,8 % des faux positifs par rapport à des pipelines traditionnels basés uniquement sur le SAST. L’architecture proposée présente un surcoût moyen de 8,6 % du temps de build, tout en maintenant une viabilité opérationnelle. Nous concluons que l’intégration formellement orientée de techniques hybrides, associée à une priorisation quantitative contextualisée, élève substantiellement l’efficacité des programmes AppSec dans des environnements à haute cadence de développement.
Read paper →AppSecTITRE: Une architecture formellement fondée pour la sécurité applicative continue : modélisation des menaces, analyse hybride et priorisation quantitative des risques dans les pipelines DevSecOps
TITRE: Une architecture formellement fondée pour la sécurité applicative continue : modélisation des menaces, analyse hybride et priorisation quantitative des risques dans les pipelines DevSecOps RÉSUMÉ: La complexité croissante des écosystèmes logiciels, caractérisée par des architectures distribuées, des microservices, des dépendances tierces et des cycles de livraison continue, a considérablement élargi la surface d’attaque des applications modernes. Des rapports récents du Verizon Data Breach Investigations Report (DBIR) indiquent que plus de 43 % des violations exploitent des vulnérabilités dans les applications web, tandis que le NVD a enregistré plus de 28 000 CVE en 2023, dont beaucoup sont associées à des failles exploitables à distance. Dans ce travail, nous étudions le problème de la sécurité des applications (AppSec) sous une perspective formelle et systématique, en proposant une architecture intégrée pour la détection, la priorisation et l’atténuation continue des vulnérabilités dans les pipelines DevSecOps. Notre méthodologie combine l’analyse statique (SAST), l’analyse dynamique (DAST), l’analyse de composition logicielle (SCA) et une modélisation probabiliste du risque fondée sur le CVSS et des métriques contextuelles organisationnelles. Nous introduisons un modèle mathématique de priorisation des vulnérabilités basé sur la fonction $R(v) = P_e(v) \cdot I(v) \cdot C(v)$, où $P_e$ représente la probabilité d’exploitation, $I$ l’impact technique et $C$ la criticité contextuelle. Nous avons évalué notre approche sur 42 applications open source et 8 systèmes d’entreprise réels, totalisant 3,2 millions de lignes de code. Les résultats montrent une réduction moyenne de 37,4 % du temps de remédiation (MTTR), une augmentation de 29,1 % du taux de détection des vulnérabilités critiques et une diminution de 41,8 % des faux positifs par rapport aux pipelines traditionnels reposant uniquement sur le SAST. L’architecture proposée présente une surcharge moyenne de 8,6 % sur le temps de build, tout en maintenant la viabilité opérationnelle. Nous concluons que l’intégration, selon une approche formellement orientée, de techniques hybrides, associée à une priorisation quantitative contextualisée, améliore de manière substantielle l’efficacité des programmes d’AppSec dans des environnements à cadence de développement élevée.
Read paper →AppSecAppSec Orientée par les Preuves : Un Framework Formel et Évolutif pour l’Analyse Continue des Vulnérabilités dans les Pipelines DevSecOps
AppSec Orientée par les Preuves : Un Framework Formel et Évolutif pour l’Analyse Continue des Vulnérabilités dans les Pipelines DevSecOps La sécurité des applications (Application Security – AppSec) est devenue l’un des principaux vecteurs de risque dans l’écosystème numérique contemporain, sous l’effet de l’adoption massive d’architectures en microservices, de l’intégration continue et des dépendances de code open source. Des vulnérabilités exploitées à grande échelle, telles que Log4Shell (CVE-2021-44228) et Spring4Shell (CVE-2022-22965), mettent en évidence les limites structurelles des approches traditionnelles d’analyse statique (SAST), dynamique (DAST) et de composition logicielle (SCA). Dans ce travail, nous proposons un framework formel et orienté par les preuves pour une AppSec continue, nommé EASE (Evidence-Aware Security Enforcement), qui intègre l’analyse statique incrémentale, la modélisation formelle des flux de données et la priorisation probabiliste du risque fondée sur la télémétrie opérationnelle. Notre méthodologie combine un modèle mathématique de risque $R(v) = P_e(v) \cdot I(v) \cdot E(v)$, où $P_e$ représente la probabilité d’exploitation estimée par apprentissage statistique, $I$ l’impact contextuel et $E$ l’exposition dynamique mesurée par des données d’exécution. Nous avons implémenté le framework dans des pipelines CI/CD réels contenant 312 dépôts (Java, Python et Node.js), totalisant 48 millions de lignes de code. Les résultats expérimentaux indiquent une réduction moyenne de 37,4 % des faux positifs par rapport aux outils SAST conventionnels, une diminution de 42,1 % du temps moyen de remédiation (MTTR) et une détection précoce de 91 % des vulnérabilités ultérieurement cataloguées comme critiques (CVSS ≥ 9.0). De plus, l’analyse incrémentale a réduit le temps d’exécution de 58 % par rapport aux analyses complètes. Nous contribuons par (i) une formalisation rigoureuse du problème de priorisation des vulnérabilités dans les environnements DevSecOps, (ii) des algorithmes efficaces pour l’analyse incrémentale avec garanties de correction, et (iii) une évaluation empirique à grande échelle démontrant des gains substantiels de précision et de performance. Le framework proposé établit des fondements quantitatifs pour une AppSec fondée sur le risque réel, rapprochant la sécurité des applications des pratiques d’ingénierie orientées par les preuves.
Read paper →AppSecTITRE : AppSec orientée par les preuves : un framework formel et évolutif pour l’analyse continue des vulnérabilités dans les pipelines DevSecOps
TITRE : AppSec orientée par les preuves : un framework formel et évolutif pour l’analyse continue des vulnérabilités dans les pipelines DevSecOps RÉSUMÉ : La sécurité des applications (Application Security – AppSec) est devenue l’un des principaux vecteurs de risque dans l’écosystème numérique contemporain, sous l’effet de l’adoption massive des architectures en microservices, de l’intégration continue et des dépendances open source. Les vulnérabilités exploitées à grande échelle, telles que Log4Shell (CVE-2021-44228) et Spring4Shell (CVE-2022-22965), mettent en évidence les limites structurelles des approches traditionnelles d’analyse statique (SAST), dynamique (DAST) et de composition logicielle (SCA). Dans ce travail, nous proposons un framework formel et orienté par les preuves pour une AppSec continue, appelé EASE (Evidence-Aware Security Enforcement), qui intègre une analyse statique incrémentale, une modélisation formelle des flux de données et une priorisation probabiliste du risque fondée sur la télémétrie opérationnelle. Notre méthodologie combine un modèle mathématique du risque R(v) = P_e(v) · I(v) · E(v), où P_e représente la probabilité d’exploitation estimée par apprentissage statistique, I l’impact contextuel et E l’exposition dynamique mesurée à partir des données d’exécution. Nous avons implémenté le framework dans des pipelines CI/CD réels comprenant 312 dépôts (Java, Python et Node.js), totalisant 48 millions de lignes de code. Les résultats expérimentaux indiquent une réduction moyenne de 37,4 % des faux positifs par rapport aux outils SAST conventionnels, une diminution de 42,1 % du temps moyen de remédiation (MTTR) et une détection anticipée de 91 % des vulnérabilités ensuite cataloguées comme critiques (CVSS ≥ 9,0). En outre, l’analyse incrémentale a réduit le temps d’exécution de 58 % par rapport aux analyses complètes. Nous apportons (i) une formalisation rigoureuse du problème de priorisation des vulnérabilités dans les environnements DevSecOps, (ii) des algorithmes efficaces pour l’analyse incrémentale avec garanties de correction, et (iii) une évaluation empirique à grande échelle démontrant des gains substantiels en précision et en performance. Le framework proposé établit des fondements quantitatifs pour une AppSec fondée sur le risque réel, rapprochant la sécurité applicative de pratiques d’ingénierie orientées par les preuves.
Read paper →AppSecTITRE : Architecture formelle et évolutive pour Application Security (AppSec) basée sur une analyse hybride orientée graphes et une priorisation quantitative du risque
TITRE : Architecture formelle et évolutive pour Application Security (AppSec) basée sur une analyse hybride orientée graphes et une priorisation quantitative du risque RÉSUMÉ : La complexité croissante des applications distribuées, fondées sur des microservices et intégrées à de vastes chaînes de dépendances open source, a considérablement élargi la surface d’attaque et la fréquence des vulnérabilités exploitables. Des incidents récents associés à des failles telles que Log4Shell (CVE-2021-44228) et des vulnérabilités de désérialisation non sécurisée mettent en évidence l’inadéquation des approches traditionnelles de Application Security (AppSec) centrées exclusivement sur des analyses statiques ou dynamiques isolées. Dans ce travail, nous proposons une architecture formelle et évolutive d’AppSec basée sur une analyse hybride orientée graphes, combinant l’analyse statique (SAST), l’analyse dynamique (DAST), la composition logicielle (SCA) et la modélisation des menaces automatisée au moyen de graphes de dépendance sémantique et de flux de données interprocéduraux. Nous introduisons un modèle mathématique de priorisation quantitative du risque qui intègre des métriques CVSS, une probabilité d’exploitation estimée par apprentissage statistique et la centralité structurelle dans le graphe d’appels. Nous avons implémenté un prototype distribué capable d’analyser des applications de plus de 5 millions de lignes de code, en traitant 1,2 million de nœuds de graphe avec une latence moyenne de 38 minutes par pipeline CI/CD. Nous avons évalué le système sur 42 projets open source critiques (dont Apache Struts, Spring PetClinic et NodeGoat), totalisant 9 317 vulnérabilités connues. Notre approche a réduit les faux positifs de 37,4 % par rapport aux outils SAST traditionnels et a augmenté la détection de flux exploitables réels de 28,9 %. Le mécanisme de priorisation a accru de 41 % le taux de correction des vulnérabilités critiques dans des environnements de test contrôlés, au cours de cycles de sprint de deux semaines. Les résultats démontrent que l’intégration formelle de techniques multiples sous un modèle unifié orienté graphes offre des gains substantiels en précision, évolutivité et pertinence opérationnelle, contribuant à l’évolution de l’état de l’art en AppSec et à l’intégration effective de la sécurité dans le cycle DevSecOps.
Read paper →AppSecArchitecture formelle et évolutive pour la sécurité des applications (AppSec) basée sur une analyse hybride orientée graphes et une priorisation quantitative du risque
TITLE: Architecture formelle et évolutive pour la sécurité des applications (AppSec) basée sur une analyse hybride orientée graphes et une priorisation quantitative du risque ABSTRACT: La complexité croissante des applications distribuées, basées sur des microservices et intégrées à de longues chaînes de dépendances open source, a considérablement élargi la surface d’attaque et la fréquence des vulnérabilités exploitables. Des incidents récents associés à des failles telles que Log4Shell (CVE-2021-44228) et à des vulnérabilités de désérialisation non sécurisée mettent en évidence l’inadéquation des approches traditionnelles de Application Security (AppSec) centrées exclusivement sur des analyses statiques ou dynamiques isolées. Dans ce travail, nous proposons une architecture formelle et évolutive d’AppSec fondée sur une analyse hybride orientée graphes, combinant analyse statique (SAST), dynamique (DAST), composition logicielle (SCA) et modélisation automatisée des menaces au moyen de graphes de dépendances sémantiques et de flux de données interprocédural. Nous introduisons un modèle mathématique de priorisation quantitative du risque intégrant des métriques CVSS, une probabilité d’exploitation estimée par apprentissage statistique et la centralité structurelle dans le graphe d’appels. Nous implémentons un prototype distribué capable d’analyser des applications de plus de 5 millions de lignes de code, traitant 1,2 million de nœuds de graphe avec une latence moyenne de 38 minutes par pipeline CI/CD. Nous avons évalué le système sur 42 projets open source critiques (dont Apache Struts, Spring PetClinic et NodeGoat), totalisant 9.317 vulnérabilités connues. Notre approche a réduit les faux positifs de 37,4 % par rapport aux outils SAST traditionnels et a augmenté la détection de flux exploitables réels de 28,9 %. Le mécanisme de priorisation a augmenté le taux de correction des vulnérabilités critiques dans des environnements de test contrôlés de 41 % au sein de cycles de sprint de deux semaines. Les résultats démontrent que l’intégration formelle de multiples techniques sous un modèle unifié orienté graphes offre des gains substantiels en précision, évolutivité et pertinence opérationnelle, contribuant à l’évolution de l’état de l’art en AppSec et à l’intégration effective de la sécurité dans le cycle DevSecOps.
Read paper →AppSecIngénierie de la Sécurité des Applications dans les Environnements Cloud-Native : Modélisation des Menaces, Instrumentation Runtime et Détection Basée sur la Télémétrie en 2026
cloudsecurityalliance.org CIS. Kubernetes Benchmark. https://www.cisecurity.org NIST. Secure Software Development Framework (SSDF). https://csrc.nist.gov/publications/detail/sp/800-218/final GOOGLE. BeyondProd: A New Approach to Cloud Security. https://cloud.google.com/beyondprod MICROSOFT. Zero Trust Architecture. https://learn.microsoft.com/security/zero-trust ENISA. Software Supply Chain Security. https://www.enisa.europa.eu/publications/software-supply-chain-security OWASP. Software Assurance Maturity Model (SAMM). https://owaspsamm.org Figure 1: Arbre d’attaque du modèle de menace
Read paper →AppSecUne architecture formellement fondée pour un AppSec continu : intégration de l’analyse statique, dynamique et de l’observabilité orientée menaces avec des garanties quantifiables
SurveillanceContinue SurveillanceContinue --> Collecte ``` Nous vérifions notamment trois invariants critiques : 1. L’absence de cycle non résolu dans la propagation des dépendances. 2. La cohérence probabiliste des mises à jour bayésiennes. 3. La conservation de l’ordre de priorité entre vulnérabilités critiques. L’invariant probabiliste est défini comme : $$ \sum_{i=1}^{n} P(H_i | E) = 1 $$ où $H_i$ représente une hypothèse de compromission et $E$ l’évidence observée. Nos expériences montrent que l’utilisation de TLA+ pour modéliser l’algorithme de propagation permet de détecter de
Read paper →AppSecUne Architecture Formelle et Évolutive pour l’AppSec Continue : Intégration de l’Analyse Statique Guidée par Modèles, de l’Instrumentation Dynamique Adaptative et de la Vérification de Politiques avec Garanties Quantifiables
Instrumentation_eBPF participant Moteur_Analyse participant Moteur_Politiques participant SOC Attaquant->>Application: Requête malveillante Application->>Instrumentation_eBPF: Exécution système Instrumentation_eBPF->>Moteur_Analyse: Télémétrie runtime Moteur_Analyse->>Moteur_Politiques: Évaluation comportement Moteur_Politiques-->>Moteur_Analyse: Violation détectée Moteur_Analyse->>SOC: Alerte de sécurité SOC->>Application: Isolement du service SOC->>CI/CD: Déclenchement correctif ``` Figure 4: Chronologie d’évolution des technologies AppSec ```mermaid gantt title Évolution des technologies
Read paper →AppSecVers une architecture unifiée et vérifiable de l’Application Security (AppSec) : formalisation mathématique, orchestration multi-niveaux et évaluation empirique à grande échelle
organisationnellement. Cette propriété garantit qu’aucune vulnérabilité réellement exploitable ne soit classée en dessous du seuil décisionnel, sous réserve que les hypothèses du modèle soient satisfaites. 4. Méthodologie 4.1 Architecture globale L’architecture comprend cinq composants principaux : 1. Collecteur multi-sources (SAST, DAST, SCA, télémétrie à l’exécution) ; 2. Normalisateur sémantique (CWE, CVSS v3.1, mappage MITRE ATT&CK) ; 3. Moteur de corrélation par graphe ; 4. Module d’agrégation probabiliste ; 5. Orchestrateur CI/CD adaptatif, aligné sur les pratiques De
Read paper →