Active Scan

Définition

Un Active Scan (scan actif) est une technique de test de sécurité dynamique (DAST) qui envoie activement des requêtes HTTP contenant des payloads de test vers une application web pour détecter et confirmer des vulnérabilités exploitables. Contrairement au Passive Scan qui observe passivement le trafic existant, le scan actif probe agressivement l'application avec des inputs malveillants (injections SQL, XSS payloads, commandes shell) pour vérifier si l'application est vulnérable. Le scan actif est le cœur du DAST traditionnel : des outils comme OWASP ZAP, Burp Suite Professional, et des scanners spécialisés (w3af, Nikto, Arachni) envoient des milliers de requêtes modifiées vers chaque point d'entrée découvert (paramètres URL, corps de formulaires, cookies, headers) pour détecter des vulnérabilités d'injection (SQL, XSS, XXE, SSTI, command injection), des problèmes de contrôle d'accès (IDOR, bypass d'authentification), et des misconfigurations de sécurité. Le scan actif est intrinsèquement perturbateur : il crée des entrées dans les bases de données, peut déclencher des alertes de sécurité, modifier des données, et dans les cas extrêmes provoquer des indisponibilités sur des applications fragiles. Pour cette raison, le scan actif est réservé aux environnements de test (staging) et ne doit jamais être exécuté sur la production sans coordination préalable et autorisations explicites. La configuration d'un scan actif efficace nécessite une définition précise du scope (URLs à inclure et exclure), des credentials d'authentification pour tester les fonctionnalités protégées, des politiques de scan adaptées à la technologie (profils SQL pour les backends SQL, profils NoSQL pour MongoDB/Redis), et des mécanismes pour éviter des actions destructives irréversibles (exclusion des endpoints de suppression de données ou de déconnexion des sessions de scan). Les résultats du scan actif doivent être triés par sévérité et validés manuellement pour éliminer les faux positifs : les scanners automatiques génèrent des faux positifs sur certains types de vulnérabilités (XSS dans les contextes avec CSP strict, injections SQL dans les ORMs avec prepare statements).