Sécuriser votre périphérie 5G

Protection des API : un incontournable dans les écosystèmes 5G pilotés par les API

Les fournisseurs de services utilisent davantage d’API dans leurs réseaux, car ils ont séparé le matériel du logiciel et adopté des micro-services pour rendre leurs réseaux plus modulaires et plus efficaces. La tendance est encore plus importante avec la 5G cloud native, qui utilise une architecture basée sur les services construite avec des micro-services basés sur des conteneurs interconnectés par des API. Les fournisseurs de services utiliseront également les API pour permettre à leurs partenaires et clients d’accéder aux services et applications dans l’environnement MEC. Cela facilite l’intégration de solutions tierces et la prolifération des applications d’entreprise, et joue un rôle essentiel dans les communications massives de type machine, un cas d’utilisation clé de la 5G.

Étant donné cette dépendance aux API pour l’intégration des services et des entreprises, les fournisseurs de services doivent supposer que les API ont le potentiel d’introduire des vecteurs de menace supplémentaires dans un réseau, et ils doivent prendre des précautions pour s’assurer que ces composants logiciels sont aussi sûrs que possible. De fait, F5 a constaté que l’absence d’authentification ou une autorisation inadéquate peut rendre les API vulnérables aux attaques^.[2] Les API doivent être analysées, authentifiées et sécurisées avant d’être autorisées sur le réseau et elles doivent être gérées tout au long de leur cycle de vie pour garantir leur sécurité.

Les passerelles API gardent la porte de votre MEC

Les passerelles API sont rapidement devenues nécessaires pour gérer un ensemble diversifié d’API et leur trafic. Les passerelles sont particulièrement adaptées à la gestion du trafic entrant dans le réseau à partir de connexions externes. Elles peuvent jouer un rôle important dans la sécurisation des services 5G. Comme l’a décrit le Forum du Futur 5G, la passerelle API contribue à prévenir « les utilisations accidentelles ou délibérées de requêtes visant l’infrastructure et les services » ^[3]

De nombreuses passerelles API offrent des fonctionnalités intégrées d’authentification et d’autorisation, et ces capacités peuvent limiter l’impact d’une intrusion dans le cas où un point d’extrémité API destiné au public est compromis. La passerelle API doit apporter ces précautions sans dégrader la fonctionnalité de la passerelle lors de l’acheminement du trafic afin que le service 5G remplisse ses exigences en matière de faible latence et autres paramètres de performance exigeants. La passerelle doit également utiliser une programmation légère pour gérer le trafic de l’API pour les micro-services, qui ont une faible empreinte dans le réseau.

La passerelle API F5, disponible via NGINX Plus, est une solution cloud native qui simplifie la sécurité des architectures à micro-services. Elle répond aux exigences recommandées en matière d’authentification et d’autorisation intégrées et convient parfaitement à une utilisation dans des environnements MEC 5G. La solution fournit également un portail et une documentation pour les développeurs.

Sécurité IoT : stratégiquement placée dans le réseau d’accès 5G

Les êtres humains ont été considérés comme le « maillon faible » de la sécurité des réseaux, mais maintenant que les dispositifs IoT pénètrent dans l’écosystème, les dispositifs connectés sont également une préoccupation sérieuse. Le simple nombre de dispositifs connectés, l’éventail des cas d’utilisation et les limites des dispositifs augmentent l’ampleur et la portée des vulnérabilités potentielles. Les conditions sont sans précédent et créent un environnement de réseau attrayant pour les réseaux de zombies IoT. Lors de la conception des architectures de services IoT, les fournisseurs de services doivent inclure la sécurité dès la conception.

Par exemple, l’organisation industrielle des opérateurs mobiles GSMA prévoit que le nombre de dispositifs IoT connectés au réseau atteindra près de 25 milliards dans le monde d’ici 2025, contre 12 milliards en 2019^[4]. De nombreux cas d’utilisation de l’IoT prévus avec la 5G nécessiteront une sécurité spécialisée. Cela concerne notamment les dispositifs utilisés pour les communications critiques vers des véhicules autonomes, les dispositifs de santé connectés et la télémédecine, ainsi que des écosystèmes entiers qui émergeront avec des infrastructures « intelligentes », notamment des bâtiments, des installations de fabrication, des maisons intelligentes et le réseau intelligent.

Le simple nombre de dispositifs connectés, l’éventail des cas d’utilisation et les limites des dispositifs augmentent l’ampleur et la portée des vulnérabilités potentielles.

Les dispositifs IoT eux-mêmes ne peuvent pas tout faire pour atténuer les risques. Les dispositifs utilisés pour concevoir des appareils IoT de taille réduite, en particulier, ont une puissance de calcul limitée à allouer à la sécurité. Et même si les dispositifs peuvent intégrer des fonctions de sécurité, la fourniture irrégulière de mises à jour de sécurité par les fabricants de dispositifs peut compromettre ces précautions. Les problèmes peuvent durer longtemps car de nombreux dispositifs IoT sont censés être utilisés sur le marché pendant de nombreuses années. 

Les fournisseurs de services doivent assurer la sécurité de l’IoT dans l’ensemble de leurs systèmes, mais avec les architectures 5G et MEC, ils ont un besoin stratégique supplémentaire d’intégrer une protection au point critique où les données de l’IoT pénètrent à la périphérie du réseau. Une solution pratique et robuste devrait permettre aux fournisseurs de services d’offrir des services de sécurité IoT sans avoir à héberger le service dans leurs centres de données ou à le gérer directement. La solution doit être conçue de manière à atténuer les menaces pesant sur le réseau, les appareils et les abus de services. Elle doit être adaptée aux besoins des abonnés et protéger contre les dispositifs IoT non gérés.

Des passerelles IoT qui comprennent l’IoT et les protocoles de sécurité

Les passerelles IoT, déployées dans le réseau d’accès, permettent aux appareils connectés d’utiliser le réseau et les applications. Les communications des appareils étant acheminées par ces emplacements, les passerelles regroupent toute une série de services nécessaires au succès des initiatives IoT, notamment en matière de sécurité.

La passerelle IoT F5, par exemple, est conçue pour comprendre les nombreux protocoles utilisés dans l’IoT ainsi que les protocoles de sécurité. La passerelle peut comprendre les messages et les sujets de routage de l’IoT afin de s’assurer de la validité des données avant de les transmettre, fournissant ainsi un point de contrôle stratégique pour l’application de la sécurité. La passerelle IoT F5 protège contre l’exploitation en détectant les anomalies et les mauvais comportements. Le processus garantit non seulement la sécurité, mais empêche également le gaspillage de précieuses ressources réseau sur des connexions illégitimes ou malveillantes.

Des pare-feux IoT pour abonnés, partageables et évolutifs

Un pare-feu IoT est un pare-feu de plan utilisateur déployé près du noyau. Il va au-delà des capacités des pare-feux réseau traditionnels car il est spécifique au domaine IoT et peut fournir des politiques centrées sur les applications et tenant compte du dispositif, afin de prévenir les menaces provenant du dispositif IoT qui, autrement, perturberaient l’intégrité et la disponibilité du réseau du fournisseur de services.

Par exemple, un pare-feu IoT garantit que les appareils se connectent uniquement à des emplacements « sûrs » du réseau et non à des services inconnus. Ces précautions réduisent au minimum les risques que les appareils soient compromis par des logiciels malveillants ou exploités à distance par des communications malveillantes. Cette capacité empêche également les dispositifs IoT d’être utilisés pour des services non voulus qui réduisent les revenus du fournisseur de services ou du propriétaire de l’application.

Le pare-feu IoT F5 répond à ces préoccupations pour les fournisseurs de services et leurs partenaires. Comme le montre la figure 1, le pare-feu est à la fois évolutif et granulaire pour assurer la sécurité de l’IoT de manière rentable dans l’environnement périphérique. Par exemple, le pare-feu peut être partagé entre différents clients IoT et prendre facilement en charge des milliers de clients IoT en tenant compte des abonnés, ce qui permet à chaque abonné de mettre en œuvre ses propres politiques de sécurité. Il peut prendre en charge le trafic de millions d’appareils. La solution simplifie considérablement le déploiement et réduit les coûts opérationnels pour les fournisseurs de services et leurs clients, ce qui donne aux fournisseurs de services la confiance dans leur capacité à fournir des services continus et de haute qualité face aux nouvelles menaces.

Figure 1 : Le plan de données du pare-feu IoT sert à appliquer la politique de sécurité mise en œuvre par le client, en permettant le passage du trafic explicitement autorisé et en bloquant tout autre trafic. Le client 3 transmet du trafic infecté depuis un appareil infecté. Les lignes vertes représentent le trafic qui est autorisé à passer, tandis que la ligne rouge représente le trafic qui est bloqué.

Atténuation des DDoS : prévenir les attaques rapidement, efficacement et à grande échelle

Les attaques DDoS sur les réseaux de fournisseurs de services augmentent en ampleur, en fréquence et en gravité. Selon les recherches de F5, 77 % des attaques traitées par l’équipe de réponse aux incidents de sécurité de F5 en 2019 étaient liées à des DDoS. En outre, le risque s’accélère avec une augmentation de 52 % des attaques DDoS signalées sur les infrastructures de services exposées au public en 2019^[5]

Les attaques DDoS ont de graves implications car elles volent la bande passante et compromettent les connexions des utilisateurs légitimes. Ces attaques deviennent de plus en plus complexes, sophistiquées et adaptatives, car les réseaux de zombies trouvent des moyens d’exploiter les capacités du réseau pour exécuter des attaques de plus en plus importantes. En réponse, les fournisseurs de services utilisent des solutions proactives telles qu’Advanced web Application Firewall (Advanced WAF) de F5 pour détecter et arrêter ces menaces en constante évolution.

Pour les fournisseurs de services qui déploient la 5G sur des architectures distribuées cloud natives, on craint de plus en plus qu’une nouvelle génération d’attaques DDoS à grande échelle ne menace leurs réseaux. En particulier, la distribution des ressources de calcul en périphérie et aux extrémités du réseau ouvre davantage de possibilités pour les DDoS et d’autres menaces de pénétrer dans les systèmes 5G. Les ressources en périphérie attireront également des menaces accrues provenant des milliards de connexions sur le réseau — et les connexions puissantes de la 5G, utilisées pour les cas d’utilisation à large bande passante ou à très faible latence, contribueront à accélérer les attaques.

L’industrie a remarqué les implications en termes de sécurité de l’architecture de noyau distribuée de la 5G. Selon 5G Americas, les vulnérabilités architecturales comprendront « des interfaces à faible latence (N6 de prochaine génération) exposées à l’Internet et susceptibles de subir des menaces DDoS et DoS provenant d’Internet » ^[6]

Les fournisseurs de services qui déploient une protection DDoS dans cet environnement doivent rechercher des solutions efficaces et performantes conçues pour être mises en œuvre à ce point du réseau. La solution doit être applicable dans des environnements cloud natifs construits sur des serveurs commerciaux prêts à l’emploi, et doit détecter et protéger automatiquement le réseau du fournisseur de services contre les attaques volumétriques par déni de service. Elle doit fournir les performances nécessaires pour que les fournisseurs de services puissent fournir des connexions à très faible latence et respecter les accords sur les niveaux de service (SLA) sans nécessiter de matériel personnalisé. La solution doit être proactive plutôt que réactive afin de pouvoir protéger la capacité du serveur à d’autres fins, d’offrir l’évolutivité et l’efficacité de processeur pour réduire les coûts d’exploitation, et de garantir que les fournisseurs de services et leurs clients évitent toute perte de revenus liée aux pannes.

La protection F5 contre les DDoS, fournie par le biais du SmartNIC d’Intel, répond à ces exigences et à bien d’autres encore. F5 est la première entreprise à utiliser un logiciel virtualisé de protection contre les DDoS avec la technologie SmartNIC, et la solution est idéale pour l’environnement MEC. Le dispositif SmartNIC est déployé sur un nœud et intégré à F5 BIG-IP Virtual Edition.

La solution a fait ses preuves sur le marché des réseaux de fournisseurs de services. De fait, beaucoup l’ont utilisée en première ligne dans les architectures O-RAN, où elle est déployée sur des unités distribuées (DU). Elle fonctionne en détectant les attaques DDoS et en déchargeant le trafic affecté vers un centre d’épuration pour maintenir la sécurité du nœud et protéger le trafic de routine. Comme précaution supplémentaire, elle utilise le masquage de la topologie pour cacher la structure interne des fonctions cloud natives (CNF) au sein d’un cluster Kubernetes. Une fois qu’elle est déployée sur des nœuds en périphérie du réseau, les fournisseurs de services peuvent étendre ces protections, et leurs avantages, à ces emplacements.

F5 et ses clients ont constaté que la solution offre des capacités inégalées d’atténuation des DDoS dans les environnements cloud, dont les fournisseurs de services ont besoin pour construire leurs architectures 5G. La solution peut résister à des attaques DDoS jusqu’à 300 fois plus importantes que les versions logicielles de la solution, tout en réduisant le coût total de possession de 47 %. ^[7]

Figure 2 : La protection F5 DDoS, fournie par Intel SmartNIC, peut être déployée dans le cadre d’une fonction d’entrée pour empêcher les attaques de voler la bande passante des utilisateurs légitimes. La solution empêche le mauvais trafic d’atteindre le réseau central, ce qui réduit les coûts de transmission de données du noyau vers la périphérie. Et parce qu’elle s’intègre à la solution BIG-IP AFM, elle peut devenir multifonctionnelle en ajoutant d’autres fonctions de réseau virtualisé (VNF), telles que la traduction d’adresses réseau de qualité opérateur (CGNAT) ou le DNS.

Pare-feux centrés sur les applications : conçus pour les réseaux 5G centrés sur les applications

Le réseau 5G est centré sur les applications. Son architecture cloud native et basée sur les services s’exécute sur des applications. Les fournisseurs de services déploient des services de base virtualisés, des tranches de réseau et d’autres fonctions clés dans des conteneurs logiciels basés sur Kubernetes, et l’architecture distribuée du réseau leur donne la souplesse nécessaire pour déplacer un grand nombre de ces applications internes vers le MEC. Les applications d’entreprise et grand public peuvent également fonctionner dans l’environnement MEC.

Cette architecture exige une sécurité centrée sur les applications, car des applications compromises peuvent entraîner des interruptions de service, exposer des données sensibles et permettre des transactions frauduleuses. Les fournisseurs de services peuvent utiliser des pare-feux pour atténuer ces risques. Deux approches sont recommandées : les pare-feu qui sécurisent l’accès aux applications et les pare-feu qui sécurisent les applications elles-mêmes.

Utilisation de pare-feux pour sécuriser l’accès aux applications dans la MEC

Les fournisseurs de services peuvent utiliser des pare-feux pour protéger l’accès aux applications basées sur des conteneurs qui sont déployées dans la MEC. Cette approche permet de protéger les fonctions et les applications du réseau central déployé dans la MEC des fournisseurs de services, ainsi que les applications d’entreprise et grand public qui y sont hébergées. En protégeant l’accès aux applications, le pare-feu atténue les attaques avant qu’elles ne dégradent ou ne submergent les services. Le pare-feu doit avoir l’évolutivité, la flexibilité, les capacités de performance et le contrôle nécessaires pour arrêter les attaques les plus agressives.

F5 BIG-IP Advanced Firewall Manager (BIG-IP AFM) pour les fournisseurs de services protège les applications basées sur des conteneurs, quelle que soit la plate-forme ou l’emplacement dans le réseau, grâce à des capacités de protection réseau avancées qui dépassent les pare-feux traditionnels. Il fonctionne en plaçant un pare-feu autour de l’application elle-même. Il offre une protection DDoS haute performance grâce à une architecture full-proxy qui permet l’inspection et la détection des attaques DDoS, ce qui est rare pour un pare-feu. Il aligne les politiques du pare-feu sur celles applications qu’il est censé protéger, ce qui augmente l’efficacité des politiques. Il intercepte et inspecte toutes les connexions entrantes et assure la sécurité d’une connexion avant de la laisser atteindre l’application prévue, ce qui augmente la précision de la détection des menaces.

F5 BIG-IP Advanced Firewall Manager (BIG-IP AFM) pour les fournisseurs de services protège les applications basées sur des conteneurs, quelle que soit la plate-forme ou l’emplacement dans le réseau.

Les fournisseurs de services peuvent utiliser BIG-IP AFM pour atténuer les attaques volumétriques, les menaces DNS, les DDoS et autres attaques tout en permettant au trafic légitime de passer sans compromettre les performances des applications. En plus de son rôle de protection, BIG-IP AFM rationalise les opérations de sécurité. Il peut être déployé sous forme d’appareil réseau, de fonction réseau virtualisée (VNF) ou de conteneur dans Kubernetes, ce qui facilite son intégration, et il s’adapte facilement à tout niveau de demande de trafic. Il dispose d’une interface utilisateur efficace qui permet d’automatiser le déploiement, la mise en œuvre des politiques de sécurité, la surveillance et le déprovisionnement. Son tableau de bord offre une visibilité étendue sur l’état de sécurité des applications pour une meilleure compréhension et analyse.

Utilisation de pare-feux pour la sécurité de la couche applicative à la périphérie

Les applications sont souvent la cible d’attaques. Ces attaques peuvent être difficiles à détecter et à prévenir, car les organisations peuvent laisser leurs applications non protégées par inadvertance, les robots peuvent contourner les protections standard et les attaques peuvent être particulièrement sophistiquées lorsqu’elles sont coordonnées par le crime organisé ou les États-nations.

Les fournisseurs de services 5G doivent garder ces risques critiques à l’esprit lorsqu’ils déploient des applications conteneurisées dans la MEC, en prenant des précautions supplémentaires pour s’assurer que les données traitées en périphérie sont sécurisées et ne peuvent pas être volées. Les applications d’entreprise et les services de cloud public déployés dans la MEC doivent également être protégés.

F5 Advanced web Application Firewall (Advanced WAF) fournit des contrôles au niveau de la couche applicative pour protéger les communications qui passent par les applications web ainsi que par les serveurs. Cette solution peut être utilisée pour sécuriser les applications web, les micro-services, les conteneurs et les API. Elle fournit un cryptage de la couche application pour empêcher les attaques web qui volent les informations d’identification et accèdent sans autorisation aux comptes des utilisateurs. Elle effectue une extraction systématique des données du web, protège les applications contre les bots malveillants, assure la détection et l’atténuation des DDoS et isole les éléments malveillants du trafic légitime. Elle est hautement programmable et intelligente, ce qui lui permet d’adapter dynamiquement les politiques et de stopper les attaques de manière proactive.

Advanced WAF offre de nombreux avantages pour les opérations de sécurité. Par exemple, les capacités intégrées de renseignement et d’audit permettent de comprendre et de maintenir la conformité aux principales normes de sécurité et aux obligations réglementaires. La solution effectue des tests de sécurité dynamiques et des correctifs virtuels automatiques pour identifier et résoudre rapidement les vulnérabilités. Un tableau de bord interactif riche en fonctionnalités, adapté à l’usage des experts et des généralistes, offre une visibilité directe sur les attaques. Grâce à ces informations, les fournisseurs de services peuvent prendre des décisions de sécurité en toute confiance et en connaissance de cause pour assurer la sécurité de leurs applications.

Sécuriser votre périphérie

F5 offre un savoir-faire et des solutions essentielles qui aident les prestataires de services à relever ces défis stratégiques. Le vaste héritage de la société en matière de réseaux d’entreprise, de réseaux de fournisseurs de services et de 4G permet aux opérateurs de déployer de nouvelles plates-formes en toute sécurité et d’exécuter des services 5G tels que les charges de travail des entreprises dans le cloud. Grâce aux solutions robustes et complètes dont ils ont besoin, les fournisseurs de services peuvent garantir la sécurité de leurs déploiements actuels et futurs en périphérie.

^[1] Analysys Mason, « Edge Computing: Operator Strategies, Use Cases, and Implementation », par Gorkem Yigit, juin 2020, p. 11.

^[2] F5, « 2020 Application Protection Report, Volume 1: APIs, Architecture, and Making Sense of the Moment », par Sander Vinberg et al, 30 juillet 2020.

^[3] FG Future Forum, « Multi-access Edge Computing Exposure and Experience Management Abstract »

^[4] GSMA, « The Mobile Economy 2020 », p. 3

^[5] F5, « Top Attacks Against Service Providers 2017-2019 », 6 février 2020.

^[6] FG Americas, « The Evolution of Security in 5G », octobre 2018, pp. 25-28. 

^[7] F5, « Atténuer les attaques DDoS jusqu’à 300x plus importantes en magnitude dans les environnements cloud : introduction du BIG-IP VE pour SmartNICs », by Tom Atkins, 24 juin 2020.