Project OneFuzz : tendance DevSecOps chez Microsoft

Project OneFuzz

Le successeur de Microsoft Security Risk Detection pour les tests de sécurité du code est sur les rails. Son nom : Project OneFuzz.

Ne dites plus « Security Risk Detection », mais « Project OneFuzz ».

L’un et l’autre service, signés Microsoft, permettent de tester la sécurité des applications. Le premier a fermé fin juin. Le second, tout juste publié, lui succède. Il se présente sous la forme d’un outil open source qui donne accès à un framework reposant sur Azure*.

Ce framework permet de mettre en œuvre la technique du fuzzing (injection de données aléatoires). Sa particularité par rapport à Security Risk Detection : il intègre la démarche aux pipelines CI/CD. Avec des outils comme ASan pour la détection des plantages ou libfuzzer pour la gestion des entrées.

Les équipes de Microsoft utilisent déjà le service pour le développement de Windows et d’Edge. Ils enclenchent leurs tests via une commande intégrée dans le système de build.

Project OneFuzz prend en charge les systèmes Windows et Linux (testé sur Windows 10 Pro et Ubuntu 18.04 x64). Il permet de mettre en place des flux de fuzzing composites et de mutualiser des fuzzers dans le cadre d’un même test. Parmi ses autres fonctionnalités : tri programmatique avec déduplication des résultats, débogage en direct et notification des rapports sur Azure DevOps Work Items ou Teams.

* Chaque instance OneFuzz exploite un groupe de ressources Azure.