Une équipe de développement lance un nouveau produit web public. Le responsable de la sécurité des systèmes d'information a demandé que le produit soit protégé contre les attaquants qui utilisent des entrées malformées ou invalides pour déstabiliser le système. Parmi les pratiques suivantes, laquelle l'équipe de développement devrait-elle mettre en œuvre ?

Le fuzzing est une technique de test de sécurité qui consiste à injecter des données aléatoires, malformées ou inattendues dans une application pour découvrir des vulnérabilités, telles que des plantages, des fuites de mémoire ou des comportements inattendus. C'est la méthode la plus directe pour protéger contre les attaquants utilisant des entrées malformées. Le déploiement continu est une pratique DevOps pour la livraison rapide de logiciels, mais ne teste pas spécifiquement les entrées malformées. L'analyse statique du code examine le code source sans l'exécuter, ce qui peut identifier certaines failles, mais pas nécessairement toutes les vulnérabilités liées aux entrées. La revue manuelle par les pairs est utile pour la qualité du code, mais elle est moins efficace pour trouver des failles d'entrée complexes que le fuzzing automatisé.