Décidément Netflix est un réservoir à projet Open Source dans le domaine de la sécurité. Pour garantir une expérience utilisateur 100% sécurisée et protéger en même temps son infrastructure IT, le spécialiste de VOD multiplie les initiatives dans ce domaine. De FIDO (orchestration de la sécurité) à Simian Army (sécurité et résilience d’AWS) en passant par le triptyque Scubmlr, Worflowable et Sketchy (anti DDoS), c’est au tour de Sleepy Puppy de se découvrir.
Il s’agit d’un outil de test qui donne aux développeurs et aux administrateurs les capacités de traquer les failles de cross-scripting (XSS) y compris sur des applications tierces. Fruit de deux ingénieurs de Netflix, Scott Behrens et Patrick Kelley, Sleepy Puppy envoie des charges pour diagnostiquer la propagation de la vulnérabilité à travers les applications. Une initiative bienvenue car en général les outils d’audit gratuit réalise leur test en local. Or dans ce cas, les tests sont réalisés sur des applications tierces qui s’appuient sur l’application locale, via des API ou des modules internes qui partagent les bases de données. Les administrateurs peuvent ainsi suivre la propagation XSS au sein du système IT.
Les scripts XSS de tests (cf schéma ci-dessous), nommé PuppyScripts, accordent aux développeurs le soin de suivre en profondeur certains détails, comme l’URL où la faille a été exécutée, le domaine de la page contenant la charge, le User Agent du navigateur, les cookies locaux, information sur les headers référents et même une capture d’écran de l’application où la charge est exécutée. Si cette faille nécessite du temps pour accomplir ses effets et se propager, Sleepy Puppy dispose d’un système de notification par mail. L’outil de test fonctionne par ailleurs sur les applications « containerisées » sous Docker.
A noter que le code source de cet outil est disponible sur Git Hub.
A lire aussi :
Un temps pressenti pour constituer le socle d'une suite bureautique AWS, Amazon WorkDocs arrivera en…
Eviden regroupe cinq familles de serveurs sous la marque BullSequana AI. Et affiche le supercalculateur…
Le dernier Magic Quadrant du SSE (Secure Service Edge) dénote des tarifications et des modèles…
Formats de paramètres, méthodes d'apprentissage, mutualisation GPU... Voici quelques-unes des recommandations de l'ANSSI sur l'IA…
À la grogne des partenaires VMware, Broadcom répond par diverses concessions.
iPadOS a une position suffisamment influente pour être soumis au DMA, estime la Commission européenne.
