Protéger SAP Customer Data Cloud avec les services F5 Distributed Cloud

Les entreprises de vente en ligne aux particuliers (B2C) sont de toutes tailles et de toutes formes : sites de vente au détail et de commerce électronique, mais aussi multitude de prestataires en ligne dans les secteurs des services financiers, du voyage et de l’hôtellerie, ou encore des services numériques, pour n’en citer que quelques-uns. Presque toutes les entreprises B2C en ligne ont un point commun : la volonté de « connaître le client ». Les entreprises en ligne qui proposent des services ou des produits aux particuliers doivent souvent aller au-delà de la simple mise en avant de leur valeur et de leurs avantages : elles doivent créer un lien émotionnel avec le consommateur. Chaque client étant différent, la création de ce lien commence par une expérience personnalisée.

Pour une entreprise B2C, connaître le client implique tout d’abord d’identifier chaque visiteur, ce qui nécessite une solution robuste de gestion des identités et des accès (IAM). SAP est un leader reconnu dans le domaine de la gestion des identités et des accès clients (CIAM) ainsi que des produits et services généraux de commerce destinés aux entreprises B2C. Ce cas d’usage examine comment ces entreprises peuvent intégrer F5 Distributed Cloud Services à leurs dispositifs de défense afin d’optimiser leur investissement dans SAP et d’offrir une expérience client sécurisée et fluide.

SAP pour les entreprises B2C

SAP Customer Data Cloud (CDC) est une solution SaaS mutualisée qui permet de stocker et de gérer les profils des consommateurs. Pour ses quelque 700 clients — un nombre en constante augmentation —, SAP héberge plus de 1,4 milliard d’identités de consommateurs, enregistre 1,6 milliard de transactions de consentement par mois (afin de répondre aux exigences des législations régionales sur la protection des données, telles que le RGPD, le CCPA et la LGPD), assure l’intégration de 4 milliards d’appareils grand public et traite environ 18 milliards d’appels d’API par mois. Pour de nombreuses entreprises B2C en ligne, la solution SAP CDC s’inscrit dans une offre globale SAP Customer Experience Solutions, qui comprend également SAP Commerce Cloud. SAP CDC offre notamment les fonctionnalités suivantes :

• Identité client (CIAM) : notamment l’inscription en tant que service, la connexion via les réseaux sociaux et la fédération d’identités/SSO (authentification unique)
• Consentement des clients : gestion du consentement pour tous les aspects du RGPD, notamment la possibilité de contrôler l’accès aux données de profil des consommateurs, de les exporter et même de les supprimer
• Profil client : comprenant les enregistrements de consentement et d’autres préférences, l’orchestration et la gouvernance, l’analyse des données et les rapports

Distributed Cloud Bot Defense pour la protection contre les bots et la fraude

Il n’est pas rare que 90 % ou plus des tentatives de connexion quotidiennes à un site web B2C proviennent de visiteurs non humains. Malheureusement, dans ce cas, « non humains » désigne généralement du trafic d’attaque généré par des bots. Ces bots rudimentaires et peu coûteux testent simplement, les uns après les autres et sans relâche, les millions d’identifiants volés ou divulgués qui circulent déjà, en soumettant à votre site marchand des combinaisons de noms d’utilisateur et de mots de passe dans l’espoir qu’une infime partie d’entre elles fonctionne.

Il s’agit d’un processus appelé « credential stuffing », qui peut s’avérer coûteux. Toutes ces tentatives de connexion automatisées sollicitent constamment la bande passante et les ressources du serveur, et la situation peut encore empirer si l’un de ces bots parvient à se connecter à l’aide d’identifiants volés.

F5 Distributed Cloud Bot Defense identifie tous les types de trafic réseau malveillant généré par des bots et les bloque avant qu’ils ne monopolisent vos ressources (voire pire).

Un déploiement de Distributed Cloud Bot Defense comporte deux phases : le mode d’observation et le mode d’atténuation. En mode d’observation, Distributed Cloud Bot Defense analyse les journaux de toutes les requêtes entrantes adressées à une application afin d’identifier les menaces et de personnaliser une solution de défense.

Fig. 1 : Grâce à la surveillance, Distributed Cloud Bot Defense a découvert que 90 % du trafic de connexion provenait d’attaques de bots.

Fig. 2 : une fois déployé, Distributed Cloud Bot Defense a réduit de 90 % le trafic de connexion provenant d’attaques de bots.

Lors de l’analyse des journaux visant à distinguer le trafic de connexion malveillant du trafic légitime, Distributed Cloud Bot Defense peut également classer les requêtes par campagnes d’attaque à des fins d’analyse. Si une campagne d’attaque tente de contourner F5 en adaptant ses outils d’une manière ou d’une autre (généralement en mettant à jour ses logiciels ou en utilisant de nouveaux proxys), Distributed Cloud Bot Defense reste en mesure de l’identifier grâce à des centaines d’autres signaux.

Une fois que F5 et le client ont la certitude qu’aucun trafic humain légitime ne sera affecté, le mode d’atténuation peut être activé. Dès lors, lorsqu’il est établi en temps réel qu’une requête adressée à une application provient d’une source frauduleuse, celle-ci est immédiatement bloquée, sans imposer la moindre contrainte aux utilisateurs humains légitimes (comme le recours à l’authentification multifacteur, à un CAPTCHA, etc.).

Résumé

La fraude en ligne est une menace réelle et croissante contre laquelle les entreprises B2C doivent protéger leurs clients. Toutefois, ces mesures de protection ne doivent pas nuire à l’expérience utilisateur, au risque de faire fuir ces mêmes clients. Tandis que SAP vous aide à transformer vos utilisateurs inconnus en clients identifiés et fidèles, F5 Distributed Cloud Bot Defense agit en arrière-plan pour réduire considérablement votre exposition au trafic d’attaques automatisées et frauduleuses généré par des bots, contribuer à garantir la sécurité de vos services SAP et fluidifier l’expérience utilisateur.

Pour plus d’informations sur F5 Distributed Cloud Bot Defense, consultez f5.com/cloud/products/bot-defense.

Protection contre les bots et autres attaques automatisées

Distributed Cloud Bot Defense protège contre les attaques les plus sophistiquées de bourrage d’identifiants et de prise de contrôle de comptes, le carding, ainsi que les autres menaces automatisées de l’OWASP visant les applications web, notamment :

• Prise de contrôle de compte : empêche les fraudeurs de tester rapidement des identifiants volés sur vos applications de connexion, ce qui les empêche de prendre le contrôle des comptes.
• Scraping : contrôlez la manière dont les robots d’extraction et les agrégateurs collectent les données de votre site web, afin de protéger les données sensibles et de maîtriser les coûts d’infrastructure.
• Carding : empêchez les cybercriminels d’utiliser vos pages de paiement pour vérifier la validité de cartes bancaires volées.
• Attaques visant les cartes-cadeaux : veillez à ce que la valeur des cartes-cadeaux, les points de fidélité et les autres avoirs restent entre les mains de vos clients.
• Accaparement des stocks : veillez à ce que les articles faisant l’objet de vos campagnes et les plus demandés soient vendus directement à vos clients, et non à des revendeurs.
• Fraude marketing : assurez-vous que vos analyses commerciales et vos dépenses marketing reposent sur des données exemptes de bots.

Liens supplémentaires

Blog Dev Central - Protéger SAP CIAM avec Distributed Cloud Services

Présentation de la solution F5 Distributed Cloud Bot Defense

Étude de cas : un détaillant jugule les pics de bots acheteurs de chaussures et remédie à la fraude, aux frictions et aux faux comptes