VerSprite lance Fork and Knife : une solution de modélisation des menaces et de tests adversariaux basée sur l’IA, conçue pour s’adapter au rythme effréné des logiciels modernes
S’appuyant sur la méthodologie PASTA axée sur les risques, et sur deux décennies d’expertise reconnue en sécurité offensive, cette plateforme intégrée permet aux entreprises de modéliser les menaces dans le cadre d’un sprint de sécurité, puis de valider les risques grâce à des tests pilotés par l’IA et impliquant une intervention humaine.
ATLANTA--(BUSINESS WIRE)--VerSprite, leader mondial de la modélisation des menaces basée sur les risques et créateur de la méthodologie PASTA (Process for Attack Simulation and Threat Analysis), a annoncé aujourd’hui la disponibilité générale de Fork (www.forktm.com), une plateforme de modélisation continue des menaces applicatives, ainsi que de Knife, une plateforme de tests adversariaux pilotés par l’IA et impliquant une intervention humaine pour les applications web et les points de terminaison d’API Web. Ensemble, ces deux produits mettent en œuvre un nouveau modèle de sécurité des produits, dans lequel les applications sont conçues de manière sécurisée, modélisées en continu et testées activement dans le cadre même du processus de développement.
Ce lancement répond à un problème que tous les responsables de la sécurité connaissent, mais que peu d’outils ont résolu : la modélisation des menaces est essentielle, plus que jamais à l’ère de l’IA, mais elle reste lente, manuelle et ancrée dans des cadres conçus pour un paysage de menaces différent.
Le problème : la modélisation des menaces est plus importante que jamais, et la plupart des outils sont restés bloqués en 2005
Depuis deux décennies, la modélisation des menaces applicatives s’appuie fortement sur STRIDE, un acronyme de catégorisation désignant l’usurpation d’identité, la falsification, la répudiation, la divulgation d’informations, le déni de service et l’élévation de privilèges. STRIDE est utile pour classer les menaces par catégories, mais n’a jamais constitué une méthodologie à part entière. Il n’intègre pas les renseignements sur les menaces en temps réel, n’évalue pas l’impact sur l’activité, et ses catégories statiques ne tiennent pas compte des comportements des attaquants qui définissent aujourd’hui le risque : persistance, extorsion, ransomware à double extorsion, compromission de la chaîne d’approvisionnement et les nouvelles surfaces d’attaque introduites par les applications basées sur l’IA.
Il en résulte un goulot d’étranglement bien connu. La modélisation des menaces est traitée comme un exercice ponctuel, générateur de nombreux documents, qui intervient trop tard dans le cycle de vie, devient obsolète dès qu’une application change et est rarement reliée aux tests qui permettraient de vérifier si une menace est réelle. Alors que les organisations accélèrent leurs livraisons et adoptent l’IA à tous les niveaux de leur infrastructure, le décalage entre la rapidité d’évolution des logiciels et la lenteur de leur modélisation est devenu un risque concret.
La solution : une modélisation des menaces centrée sur les risques, à la vitesse d’un sprint
Fork est une implémentation pratique et pilotée par logiciel de PASTA, la seule méthodologie de modélisation des menaces centrée sur les risques et alignée sur les objectifs métier, co-rédigée par Tony Uceda-Velez, fondateur et directeur général de VerSprite. Plutôt que de classer les menaces de manière abstraite, les sept étapes de PASTA vont des objectifs métier à l’analyse de la surface d’attaque, en passant par la décomposition des applications, l’analyse des menaces, l’analyse des faiblesses et des vulnérabilités, la modélisation des attaques, et enfin l’analyse des risques et des impacts, de sorte que les menaces identifiées sont celles qui ont le plus de chances de se produire et qui causeraient le plus de dégâts si elles se concrétisaient.
Fork intègre cette rigueur au rythme du développement moderne, permettant aux équipes de produire en moins de deux heures un modèle de menaces défendable et hiérarchisé en fonction des risques, et de le maintenir à jour dès le sprint 1. Principales fonctionnalités :
- Arbres d’attaque accélérés par l’IA. Les capacités d’IA de Fork réduisent intelligemment l’arbre d’attaque d’une application, en éliminant le bruit et en orientant les analystes vers des chemins viables et à fort impact plutôt que vers des chemins théoriques exhaustifs.
- Modèles contextualisés et fondés sur les menaces. Fork enrichit chaque modèle avec des renseignements en temps réel sur les cybermenaces, les dernières données de vulnérabilité couvrant l’ensemble de la pile technologique d’un produit, ainsi que des vecteurs d’attaque viables validés par de véritables tests d’adversaire.
- Taxonomies alignées sur les normes du secteur. La plateforme met automatiquement en corrélation les résultats avec les référentiels de confiance MITRE et OWASP (notamment CWE, CVE avec notation EPSS, CAPEC, ATT&CK, D3FEND et ASVS) afin de proposer des mesures d’atténuation ciblées et défendables.
- Une formule propriétaire de calcul du risque résiduel. À mesure que les tests s’achèvent et que les conditions évoluent, Fork recalcule le risque résiduel afin que les responsables disposent en permanence d’une vue précise et actualisée de l’exposition.
- Une vue d’ensemble unifiée. Les menaces sectorielles, la surface d’attaque d’une application et les renseignements sur les menaces convergent vers une vue unifiée et collaborative destinée aux parties prenantes des domaines de la sécurité, de l’ingénierie, des produits et de l’entreprise.
Du concept à la validation : présentation de Knife
Un modèle de menace définit les voies d’attaque les plus critiques. Knife en apporte la preuve.
VerSprite lance Knife, une plateforme d’attaques adversariales basée sur l’IA et intégrant une intervention humaine, destinée aux applications Web et aux points de terminaison d’API Web, qui a été entraînée à partir de plus de 20 ans de travaux de sécurité offensive certifiés et reconnus par le secteur, menés par l’équipe BREAKERS OffSec de VerSprite. Alors que Fork sert de plan directeur pour les tests adversariaux, Knife exécute ces tests en s’appuyant sur ce plan directeur, en associant l’échelle et la rapidité de l’IA à la supervision d’experts humains afin de valider l’exploitabilité avec une fidélité proche de la réalité.
Cette intégration boucle la boucle qui séparait depuis longtemps la modélisation des menaces des tests. À partir d’un modèle de menaces Fork, les équipes peuvent demander des tests ciblés et à la demande portant sur des faiblesses et des schémas d’attaque spécifiques. Knife effectue l’évaluation ; les résultats sont réinjectés dans le modèle ; et Fork met automatiquement à jour le risque résiduel du produit. La modélisation des menaces et les tests adversariaux cessent d’être des événements séquentiels et déconnectés pour devenir un système continu et autoactualisé.
Un nouveau modèle opérationnel : AI SecOps
« L’avenir de la sécurité des produits et des logiciels réside dans un modèle intégré d’AI SecOps, où les produits sont conçus et testés de manière sécurisée dans le cadre du processus de développement fonctionnel, et non pas ajoutés après coup. STRIDE a donné un vocabulaire au secteur. PASTA lui a donné une méthodologie. Fork et Knife lui apportent désormais la rapidité opérationnelle : une modélisation continue des menaces et des tests intégrés, basés sur l’IA, qui suivent le rythme de la manière dont les logiciels sont réellement développés et dont les adversaires se comportent réellement. »
— Tony Uceda-Velez, directeur général et fondateur de VerSprite et co-auteur de la méthodologie PASTA
Une visibilité opérationnelle grâce à des intégrations approfondies
Fork est conçu pour renforcer, et non remplacer, les outils de sécurité déjà utilisés par les entreprises. Grâce à des intégrations dans l’ensemble de l’écosystème AppSec, couvrant le SAST, le DAST et l’analyse de la composition logicielle, l’analyse des vulnérabilités, la posture de sécurité dans le cloud, la gestion de la surface d’attaque (CASM), les plateformes de tests d’intrusion et la gestion des services informatiques, Fork transforme des résultats dispersés en une vue d’ensemble dynamique des risques. Parmi les intégrations connectées et prévues figurent notamment ServiceNow, Veracode, Snyk, Semgrep, Checkmarx, OpenCTI, Qualys, Tenable, Mandiant et Archer.
Il en résulte une visibilité en temps réel, mise en œuvre de manière opérationnelle : à mesure que les tests continus et à la demande s’achèvent et génèrent des rapports, le modèle de menace et le risque résiduel d’un produit sont mis à jour au rythme de la livraison, offrant ainsi aux responsables de la sécurité et des produits une compréhension toujours à jour de ce qui pourrait mal tourner, de la probabilité que cela se produise et du coût que cela représenterait pour l’entreprise.
Disponibilité
Fork est disponible dès aujourd’hui. Une édition gratuite Fork Community prend en charge le modèle de menace d’une seule application avec importation des vulnérabilités via SBOM ou OVAL, tandis que Fork Enterprise offre un nombre illimité d’applications et d’équipes, toutes les intégrations, la SSO, des contrôles d’accès granulaires et la journalisation des audits. Fork Enterprise PT étend la plateforme avec des tests adversariaux à la demande, optimisés par Knife et l’équipe BREAKERS de VerSprite, demandés directement depuis un modèle de menace. VerSprite propose également une offre de modélisation des menaces en tant que service pour les organisations à la recherche de formations animées par des experts et d’une mise en œuvre gérée.
Pour en savoir plus, demander une démonstration ou commencer gratuitement, rendez-vous sur www.forktm.com.
À propos de VerSprite
VerSprite est une entreprise internationale de cybersécurité spécialisée dans la modélisation des menaces basée sur les risques, la sécurité offensive et les services de sécurité gérés. Fondée en 2007 et basée à Atlanta, en Géorgie, VerSprite est à l’origine de la méthodologie PASTA (Process for Attack Simulation and Threat Analysis) et collabore avec des entreprises du classement Fortune 500 et des organisations de produits du monde entier afin de réduire les risques cybernétiques grâce à une approche structurée, fondée sur les données et tenant compte des adversaires. Pour en savoir plus, rendez-vous sur www.versprite.com.
À propos de Fork
Fork est la plateforme de modélisation continue des menaces applicatives de VerSprite. S’appuyant sur la méthodologie PASTA et optimisée par l’IA, Fork permet aux équipes de sécurité, d’ingénierie et de produit de produire des modèles de menaces centrés sur les risques en moins de deux heures, de les contextualiser à l’aide de renseignements en temps réel sur les menaces et de données de vulnérabilité full-stack, et de les maintenir en permanence alignés sur l’évolution des applications, désormais grâce à des tests adversaires intégrés et basés sur l’IA via Knife.
Le texte du communiqué issu d’une traduction ne doit d’aucune manière être considéré comme officiel. La seule version du communiqué qui fasse foi est celle du communiqué dans sa langue d’origine. La traduction devra toujours être confrontée au texte source, qui fera jurisprudence.
Contacts
Tim Deleon
beetle@versprite.com
7079278611
