La coopérative Ailos renforce la sécurité de ses applications et de ses API avec F5

La coopérative brésilienne Ailos a mis en place une stratégie de transformation numérique visant à développer les services financiers qui favorisent la croissance économique des particuliers, des entreprises et des centres urbains. Son objectif est d’atteindre 2 millions de clients d’ici 2025. Réputée pour son esprit d’innovation, Ailos a été la première à proposer des virements instantanés et gratuits, avant même le lancement de PIX, le système de paiement instantané de la Banque centrale du Brésil. L’organisation protège ses actifs numériques grâce aux services F5 Distributed Cloud.

Défi commercial

Fondée il y a 20 ans dans l’État de Santa Catarina, au Brésil, la coopérative Ailos compte 1,6 million de clients dans tout le pays. Dans des villes comme Presidente Getúlio, 90 % de la population est cliente d’Ailos. Conscients de leur rôle au sein de cet écosystème, les dirigeants d’Ailos ont entrepris de moderniser les processus et les applications afin d’améliorer l’expérience du service client. Ils se sont également attachés à mettre en place une infrastructure évolutive pour accompagner le développement futur des activités de la coopérative.

Dans le cadre de cette transformation, l’environnement bancaire central d’Ailos repose sur une application monolithique héritée qui coexiste avec des applications modernes basées dans le cloud sur AWS et Azure. La coopérative s’appuie également sur MuleSoft, une plateforme cloud native qui facilite la publication d’API. Les clients accèdent à ces applications et services via le site web et l’application mobile d’Ailos.

Les processus de développement, de publication et d’utilisation des applications et des API de la coopérative Ailos respectent les bonnes pratiques DevSecOps. Si l’équipe d’Ailos conçoit les applications, leur développement est réalisé en collaboration avec des partenaires tiers et doit répondre aux exigences de grande agilité propres au secteur des services financiers. Afin de garantir l’intégrité des données, l’entreprise avait besoin d’une solution multicloud offrant une visibilité et un contrôle centralisés sur l’ensemble de ses API et applications, quel que soit leur environnement de déploiement.

En outre, la sécurité des données critiques hébergées sur site et dans le cloud nécessite une plateforme intégrée capable de prendre en charge l’infrastructure distribuée de l’organisation. La latence a été un facteur déterminant dans le choix d’une solution. Par exemple, si un homme d’affaires de Santa Catarina se rendait en Allemagne, la plateforme Ailos en Europe devait offrir des performances comparables à celles dont il bénéficiait au Brésil.

Enfin, les dirigeants d’Ailos ont axé leurs futurs investissements technologiques sur le SaaS et les logiciels afin de réduire les dépenses d’investissement. Leur objectif était de gérer toutes les ressources, y compris la sécurité numérique, comme des logiciels afin d’accroître la flexibilité et l’efficacité de la gestion. En adoptant une plateforme logicielle de sécurité et de performance capable de fournir des informations sur l’ensemble des applications existantes et des API modernes, Ailos souhaitait simplifier la gestion de son environnement en pleine expansion et éliminer progressivement les tâches manuelles chronophages sur les différentes plateformes. Début 2023, Ailos a lancé un appel d’offres afin de trouver la solution adaptée à ces objectifs ambitieux.

Solution

Pendant des années, la coopérative Ailos s’est appuyée sur F5 BIG-IP Local Traffic Manager (LTM) et F5 BIG-IP Application Security Manager (ASM) pour garantir les performances et la sécurité de son application principale. Toutefois, l’essor des applications modernes et la multiplication des API ont rendu nécessaire l’adoption d’un modèle de sécurité axé sur le cloud. Après avoir mené plusieurs évaluations de faisabilité (POC) auprès de différents fournisseurs, les dirigeants d’Ailos ont choisi de déployer les services F5 Distributed Cloud afin de protéger 200 applications et des milliers d’API.

Les services déployés par Ailos comprennent F5 Distributed Cloud Network Connect, Distributed Cloud DNS Load Balancer et Distributed Cloud App Stack. Cette infrastructure est déployée selon un modèle SaaS hybride. Pour les applications accessibles au public, Distributed Cloud Network Connect assure la fourniture de services SaaS entre les clouds publics AWS, Azure et MuleSoft, via le réseau mondial de F5, jusqu’aux sites Regional Edge gérés par F5, garantissant ainsi une prise en charge continue des processus qui dépendent des clouds publics d’Ailos.

Parallèlement, dans ses centres de données sur site, Ailos a choisi de déployer un progiciel F5 Customer Edge (CE) pour prendre en charge l’application sur site de l’entreprise, éliminant ainsi toute dépendance vis-à-vis des sites Regional Edge pour la fourniture des services, tout en veillant à ce que l’application ne soit pas exposée publiquement sur Internet. Le CE fonctionne de manière automatisée, à la manière d’un mini-PoP au sein des centres de données d’Ailos. Le cycle de vie de ces instances est géré depuis la console SaaS centrale. Ensemble, ces modèles de déploiement offrent une approche hybride permettant de protéger et d’améliorer les performances de l’ensemble du catalogue d’applications et d’API d’Ailos.

L’infrastructure cloud mondiale de F5 garantit les performances et la sécurité des clients d’Ailos partout dans le monde. Qu’ils accèdent au cœur bancaire d’Ailos depuis Santa Catarina ou Berlin, les clients interagissent par l’intermédiaire du site web ou de l’application de l’entreprise. Les accès sont rigoureusement filtrés et vérifiés par plusieurs instances de Distributed Cloud Services, qui utilisent l’intelligence artificielle et le machine learning (ML) pour réaliser des analyses comportementales précises, garantissant ainsi des performances optimales tout en protégeant l’expérience numérique. Le trafic est ensuite acheminé vers un cloud privé ou public d’Ailos, où les applications et les API sont traitées afin de répondre aux besoins des clients. La solution F5 Distributed Cloud Web Application and API Protection (WAAP) joue un rôle essentiel dans la détection et la neutralisation des attaques potentielles visant les applications et les API d’Ailos.

L’importance stratégique des API au sein de l’écosystème numérique d’Ailos a également conduit à la mise en œuvre de Distributed Cloud API Security, dotée de fonctionnalités de découverte des API. Cette plateforme cloud native fonctionne 24 h/24 et 7 j/7, offrant une visibilité complète sur les API publiées et utilisées dans le monde entier. L’une de ses principales fonctionnalités est sa capacité à identifier les API fantômes — des API utilisées qui ne sont pas conformes et qui sont souvent non documentées ou non prises en charge — tout en les distinguant des API légitimes essentielles à l’activité. Des contrôles automatisés empêchent les développeurs d’Ailos d’accéder à des API tierces susceptibles de compromettre la sécurité.

Dans le cadre de sa migration vers Distributed Cloud Services, Ailos a remanié ses politiques de sécurité afin d’assurer une gestion pérenne de ses réseaux, applications et API distribués. Cette transition permettra à terme à Ailos de mettre hors service son application monolithique et de s’appuyer exclusivement sur des systèmes basés dans le cloud.

Résultats

Réduisez de 75 % le temps consacré à la gestion d’environnements diversifiés et distribués

L’introduction des services F5 Distributed Cloud a marqué le début d’une nouvelle ère pour Ailos, en simplifiant la gestion des environnements hétérogènes et distribués grâce à une plateforme unique. La solution offre une visibilité sur les applications et les API dans l’ensemble de l’infrastructure réseau, depuis les environnements sur site hébergeant le système bancaire central d’origine jusqu’aux clouds publics AWS, Azure et MuleSoft.

« Nous avons commencé par analyser les risques actuels et futurs liés à notre environnement, puis nous avons recherché une solution capable d’accompagner le développement de notre activité », explique Sidnei Fernando da Silveira, RSSI chez Ailos. « Nous avons conclu qu’une solution intégrée, peu complexe à administrer, était indispensable. F5 Distributed Cloud Services s’est imposée comme une solution fiable, améliorant la productivité de notre équipe et offrant une visibilité complète sur les différents environnements, le tout depuis une plateforme unique. »

L’analyse de Daniel Devegili, analyste en sécurité de l’information chez Ailos, fait état d’une réduction de 75 % du temps consacré à la gestion des différents environnements de l’entreprise. Il explique : « Avant d’adopter les services F5 Distributed Cloud, nous devions utiliser quatre plateformes différentes, puis effectuer des opérations manuelles pour mettre en corrélation les données générées par chaque tableau de bord afin d’obtenir une vue d’ensemble de l’environnement. »

Bénéficiez d’une visibilité totale sur les API

L’une des principales préoccupations était de renforcer la sécurité des API de services financiers d’Ailos, confrontées à des menaces croissantes. « Une réaffectation budgétaire a été effectuée afin d’inclure dans l’appel d’offres des technologies dynamiques et automatisées permettant d’identifier et de bloquer les API malveillantes », a déclaré Silveira.

« Grâce à F5 Distributed Cloud API Security, l’équipe de cybersécurité d’Ailos a obtenu une visibilité totale sur les API », explique Devegili. Plusieurs types d’attaques, notamment les attaques DDoS, ciblent les API. La solution F5 adopte une approche prédictive pour détecter ces menaces et parvient même à distinguer les API fantômes des API légitimes. Le blocage automatisé simplifie le travail des développeurs d’Ailos, qui peuvent désormais utiliser des API préalablement vérifiées par F5.

De plus, les responsables d’Ailos disposent désormais d’une visibilité quotidienne sur les environnements sur site et dans le cloud public, ainsi que sur les applications et API associées. Depuis un tableau de bord unique, ils peuvent effectuer des analyses détaillées et optimiser les ressources de leurs applications. Cette approche simplifiée permet à l’équipe de se concentrer sur l’innovation et l’amélioration de services financiers numériques sécurisés.

Ailos peut également comparer les bénéfices de la migration de l’ancienne solution matérielle de la coopérative vers F5 Distributed Cloud Services. Devegili explique : « Désormais, l’entreprise est passée de la visibilité à l’observabilité : les données issues de plusieurs plateformes sont recoupées dans F5 Distributed Cloud Services, ce qui permet d’établir un diagnostic précis et détaillé de ce qui se passe au niveau des API de l’entreprise. »

Accélérer de 120 % la publication des applications et des API

La dépendance de l’entreprise à l’égard des pages web et des applications pour effectuer des transactions financières place le développement logiciel au cœur de son activité. C’est pourquoi Silveira considère la mise en place d’une chaîne de développement conforme aux bonnes pratiques DevSecOps comme l’un des principaux fronts de son entreprise en matière de cybersécurité. « Aujourd’hui, 60 % de nos efforts se concentrent sur ce domaine. Les enjeux liés à la protection des infrastructures étant déjà bien pris en charge, ils représentent les 40 % restants de nos priorités. »

Distributed Cloud WAAP a été déployé dans le cadre d’une stratégie plus large visant à sensibiliser davantage les développeurs à la sécurité des applications et des API. L’automatisation qui en résulte garantit que les développeurs auront uniquement accès aux composants logiciels qui ont déjà été contrôlés, vérifiés et autorisés pour une utilisation dans le pipeline de développement de l’entreprise par Distributed Cloud API Security.

Selon Devegili, cette stratégie a permis d’accélérer la publication sécurisée des applications et des API d’Ailos. Il déclare : « Nous avons augmenté de 120 % la vitesse du processus de publication des applications et des API. »

Voir tous les témoignages clients›