Abuse Case

Définition

Un Abuse Case (cas d'abus) est un modèle de menace applicative décrivant un scénario dans lequel un acteur malveillant (ou un utilisateur mal intentionné) exploite un système de manière non prévue pour causer un préjudice. Complémentaire aux Use Cases fonctionnels qui décrivent les usages légitimes d'un système, les Abuse Cases adoptent le point de vue de l'attaquant pour identifier les façons dont chaque fonctionnalité pourrait être détournée. Le concept d'Abuse Case, introduit par Gary McGraw et John Steven dans les années 2000 dans le cadre du CLASP (Comprehensive, Lightweight Application Security Process), est une approche pragmatique de threat modeling accessible aux équipes de développement qui n'ont pas d'expertise approfondie en sécurité. Contrairement à STRIDE ou PASTA qui nécessitent une méthodologie formelle, les Abuse Cases s'articulent naturellement avec les User Stories agiles déjà utilisées par les équipes. Un Abuse Case se structure généralement en miroir d'un Use Case fonctionnel. Pour un Use Case "L'utilisateur se connecte à son compte" (happy path), les Abuse Cases correspondants pourraient être : "L'attaquant tente des mots de passe courants sur un compte connu (brute force)", "L'attaquant exploite la réinitialisation de mot de passe pour prendre le contrôle d'un compte (account takeover)", "L'attaquant utilise des credentials volés de data breach pour se connecter (credential stuffing)". Chaque Abuse Case génère des contre-mesures techniques (rate limiting, MFA, haveibeenpwned check) intégrées comme critères d'acceptation. L'atelier d'Abuse Cases est une technique d'animation agile efficace : l'équipe se divise en groupes "attaquants" et "défenseurs", les attaquants cherchent des façons d'abuser de la fonctionnalité à concevoir, les défenseurs proposent des contre-mesures, et le facilitateur enregistre les Abuse Cases identifiés pour les transformer en Security User Stories. Cette approche gamifiée favorise la pensée adversariale naturelle sans nécessiter de formation formelle en sécurité.