RASP DevSecOps

Définition

Le RASP (Runtime Application Self-Protection) en contexte DevSecOps désigne l'intégration d'agents de protection applicative en temps réel directement dans les applications déployées, créant une couche de sécurité intrinsèque à l'application elle-même plutôt qu'externalisée dans un pare-feu WAF périphérique. Contrairement au WAF qui inspecte le trafic HTTP entrant à l'extérieur de l'application, le RASP opère à l'intérieur du runtime de l'application (JVM, .NET CLR, Node.js, Python) et peut intercepter les appels aux fonctions sensibles (requêtes SQL, appels système, accès aux fichiers) avec une connaissance complète du contexte d'exécution. L'avantage fondamental du RASP par rapport aux approches préventives statiques (SAST, SCA) est sa capacité à détecter et bloquer des attaques zero-day ciblant des vulnérabilités non encore connues ou corrigées, au moment de leur exploitation réelle en production. Là où un SAST ne peut détecter que des patterns de code vulnérables connus, un agent RASP peut détecter le comportement anormal résultant de l'exploitation d'une vulnérabilité (une requête SQL injectée se manifeste comme un appel SQL inattendu avec des paramètres anormaux, détectable même si la vulnérabilité source n'était pas connue). Les solutions RASP commerciales et open source incluent : Sqreen (acquis par Datadog, maintenant Datadog Application Security Management), Contrast Security (agent RASP Java, .NET, Python, Node.js avec intégration CI/CD), Imperva RASP, et des solutions open source comme IAST (Interactive Application Security Testing) tools. Ces agents s'intègrent dans les pipelines DevSecOps comme une étape de configuration du déploiement : l'agent est inclus dans l'image Docker ou configuré via une variable d'environnement, sans modification du code source. Le RASP en DevSecOps complète (sans remplacer) les contrôles préventifs (SAST, SCA, DAST) en fournissant une dernière ligne de défense en production, avec capacité de détection et de blocage en temps réel, et de génération d'alertes exploitables pour les équipes de réponse aux incidents.