Les premiers mois de 2022 sont derrière nous et, alors que les professionnels de la sécurité se préparent pour la prochaine saison de conférences, il est grand temps de charger l’arsenal d’outils de sécurité.

Pendant l’hiver sombre et humide de l’hémisphère nord, les chercheurs en sécurité ont travaillé dur pour constituer un stock de nouveaux outils et utilitaires – dont beaucoup ont été publiés en tant que logiciels open source.

Alors, sans plus tarder, voici notre dernier tour d’horizon trimestriel des outils de piratage disponibles pour les testeurs de stylet, les spécialistes de la sécurité d’entreprise et d’autres professionnels de la sécurité informatique au début du deuxième trimestre 2022.

Environnement de laboratoire pour en savoir plus sur la sécurité des API

Une plate-forme de test conçue pour aider les utilisateurs à en savoir plus sur la sécurité des API a été publiée pour la communauté open source.

La sécurité des API est passée en première ligne dans la lutte pour améliorer la sécurité Web des entreprises ces dernières années.

vAPI, également connu sous le nom d' »interface vulnérable à programmation indésirable », est conçu pour présenter Top 10 des API de l’OWASPcréant un environnement sûr pour observer leurs comportements.

Développé par des chercheurs de Holm Security, vAPI offre une interface open source basée sur PHP, disponible sur GitHubqui peut s’exécuter en tant qu’API auto-hébergée via PHP, MySQL et PostMan, ou en tant qu’image Docker.

En savoir plus sur la plateforme de test de sécurité de l’API vAPI

Outil d’analyse d’e-mails de phishing non commerciaux

Un outil non commercial qui automatise le processus d’analyse des e-mails de phishing a le potentiel d’aider les organisations à se protéger systématiquement contre les escroqueries.

L’hameçonnage extrait les indicateurs des e-mails suspects, notamment les adresses IP, les adresses e-mail, les domaines, les URL et les pièces jointes. Ces informations sont introduites dans Cortex, un moteur de réponse actif.

L’outil, mis au point par Emanuele Galdi, chercheur à la société italienne de cybersécurité SecSI, s’intègre à la plateforme de réponse aux incidents, TheHive. Les résultats positifs obtenus par ThePhish sont échangés via la Malware Information Sharing Platform (MISP).

En savoir plus sur l’outil d’analyse des e-mails frauduleux The Phish

Outil de fuzzing pour accélérer les tests des applications réseau

Un outil prototype pour accélérer le processus de test des applications et des protocoles de mise en réseau a été développé par des chercheurs de l’Imperial College de Londres.

SnapFuzz est conçu pour surmonter les contraintes de temps qui peuvent inhiber le processus de mise à l’épreuve des applications réseau.

En tant que cadre de fuzzing, il essaie une grande variété de valeurs d’entrée et surveille la sortie pour les anomalies qui peuvent révéler des bogues potentiels.

En savoir plus sur l’outil de test d’applications réseau SnapFuzz

Protection des applications JavaScript contre les packages NPM malveillants

La tâche de protéger les applications contre les instructions de packages malveillants peut être facilitée par l’introduction de trois utilitaires sur mesure.

Les outils – npm-secure-install, vérificateur de paquetset npm_issues_statistic – sont conçus pour valider si les versions de package peuvent être approuvées ainsi que pour surveiller les applications pour l’inclusion de dépendances problématiques.

La genèse du développement des utilitaires par la société de logiciels JFrog est venue d’un incident récent au cours duquel un développeur a intentionnellement modifié deux packages NPM, bloquant ces applications et perturbant ainsi toute application qui en dépendait.

En savoir plus sur les outils de sécurité NPM de JFrog

Découvrez un outil de décloaking de rédaction de texte faible

Quiconque pensait que la pixellisation du texte offre une méthode efficace pour masquer ou expurger le contenu verra ses illusions dissipées par un nouvel outil de piratage.

Non lu est capable de prendre du texte pixelisé expurgé et de découvrir le « texte clair » que la technique de sécurité fragile est censée cacher.

Développe Bishop Fox a déclaré que l’outil démontre que la pixellisation est « un moyen inutile, mauvais, peu sûr et infaillible de faire fuir vos données sensibles ».

En savoir plus sur l’outil de démasquage de rédaction faible Unreadcter

L’utilitaire AWS protège contre les prises de contrôle IP élastiques pendantes

Répondre à la question ‘qui allez-vous appeler?’ pour faire face à une classe gênante de problèmes de sécurité AWS vient Ghostbuster.

Ghostbuster, un outil développé par la société australienne de cybersécurité Assetnote, énumère toutes les adresses IP publiques associées aux comptes AWS d’une organisation avant de vérifier avec les enregistrements DNS qui pointent vers des adresses IP élastiques qu’une organisation ne possède pas.

L’approche offre un « moyen infaillible » de détecter les prises de contrôle IP élastiques pendantes, une classe d’attaques de prise de contrôle de sous-domaine.

En plus d’héberger du contenu malveillant ou d’exploiter un domaine « de confiance » pour les attaques de phishing, les attaquants peuvent tenter d’utiliser cette tactique dans des offres pour réclamer les certificats SSL d’un sous-domaine et d’autres manigances similaires.

En savoir plus sur l’outil de sécurité AWS Ghostbuster