Selon le rapport de F5 sur l’état des stratégies applicatives, alors que les organisations peinent à faire face à des menaces croissantes et s’efforcent de sécuriser leurs applications et leurs API, la complexité du multicloud et la difficulté à appliquer des mesures de sécurité cohérentes figurent en tête des défis à relever.
Un vaste éventail de défis liés à la prolifération des API
Afin d’aider les développeurs d’applications et les équipes de sécurité à unir leurs forces pour relever efficacement les défis liés à la sécurité des API, Google Cloud et F5 se sont associés à l’occasion d’un webinaire spécial, Démêler les API : maîtriser leur prolifération et sécuriser votre écosystème numériqueCette discussion a permis d’apporter plusieurs réponses pertinentes et concrètes aux questions épineuses que les organisations se posent — ou devraient se poser — sur la prolifération, la gestion et la sécurité des API.
Si vous n’avez pas pu assister à la session en direct, pas d’inquiétude : vous pouvez en découvrir quelques moments forts dans cet article de blog et également accéder à l’enregistrement à la demande.
L’événement, animé par Jess Steinbach d’ActualTech Media, réunissait également des intervenants de renom : Joshua Haslett, responsable des partenariats technologiques stratégiques chez Google Cloud, Ian Dinno, responsable senior du marketing produit chez F5, et David Remington, directeur de la gestion des produits chez F5. Ensemble, ils se sont prêtés au jeu des questions brûlantes sur la sécurité des API afin de fournir aux participants des conseils d’experts et des recommandations pratiques pour adopter, à l’échelle de l’organisation, une stratégie plus globale de sécurité des applications et des API.
Trouver la voie vers des API sécurisées
L’un des principaux points abordés au cours de la discussion concernait la recherche de la meilleure voie vers une approche globale, un enjeu devenu encore plus difficile à traiter alors que le nombre d’API utilisées dans l’écosystème applicatif des organisations continue de croître à un rythme sans précédent. Comme l’a souligné la question de l’un des participants, les défis de sécurité, de gouvernance et d’efficacité liés à la prolifération des API ne font que s’accentuer avec l’adoption croissante des infrastructures de cloud hybride et la multitude de microservices nécessaires au fonctionnement de processus métier complexes impliquant plusieurs applications.
Pour faire face aux risques liés à la prolifération des API, tels que les violations de données, les prises de contrôle de comptes et la fraude, le programme de sécurité des applications d’une organisation doit inclure des technologies de protection des API assurant une détection et une surveillance continues, une protection à l’exécution et une gestion de la posture en temps réel. Le programme doit également s’appuyer sur un processus qui préserve la fluidité du pipeline CI/CD en intégrant facilement les méthodologies de sécurité et les tests de code plus tôt dans le cycle de développement logiciel, sans retarder les mises en production, nuire à l’expérience utilisateur ni entraîner d’interruption des applications.
La démarche de sécurité doit s’adapter et évoluer avec l’entreprise
Il y a fort à parier qu’au moment où vous pensez que votre équipe dispose d’une vision suffisamment précise des API en cours d’exécution et de leur emplacement, une nouvelle application ou un nouveau point de terminaison d’API est ajouté, ou qu’une ressource existante est mise à jour. Il peut s’agir d’un nouveau service tiers, ou de plusieurs API nouvelles ou mises à jour qui échappent parfois aux équipes chargées de la sécurité, créant ainsi de nouveaux points d’entrée vulnérables et de nouveaux risques d’exposition pour l’organisation. Maîtriser cette prolifération est un combat sans fin, qui complique encore davantage la tâche des équipes de sécurité lorsqu’elles doivent évaluer et protéger ces services, aussi bien individuellement que dans le cadre d’une application pleinement opérationnelle.
Évoquant l’augmentation des risques liés aux menaces face à la complexité croissante de l’infrastructure applicative, Ian et David ont affirmé avec conviction que l’IA et l’apprentissage automatique auront un rôle majeur à jouer dans la sécurité des API, tant en ce qui concerne la portée et l’ampleur des attaques que les protections nécessaires.
Un autre facteur essentiel abordé par les intervenants lors du webinaire est la nécessité de disposer d’une meilleure visibilité sur l’état de la sécurité des API. Par exemple, un participant leur a expliqué qu’il avait récemment commencé à constater des problèmes de performances et d’autres perturbations dans certains de ses systèmes et applications. Il ne pouvait toutefois pas déterminer facilement s’il s’agissait de signes indiquant que la prolifération des API était exploitée dans le cadre d’attaques actives. Il semble que de nombreuses équipes soient confrontées à ce problème courant.
Google et F5 contribuent à offrir des expériences utilisateur sécurisées, rapides et fluides
La discussion a également présenté plusieurs bonnes pratiques permettant d’adopter une approche éprouvée en matière de sécurité des API. L’un des éléments clés consiste à renforcer l’infrastructure de sécurité applicative existante afin de protéger un nombre toujours croissant d’API.
C’est là que les solutions F5 de protection des applications web et des API entrent en jeu. Elles aident les entreprises comme la vôtre à réduire la complexité des environnements hybrides et multicloud, permettant ainsi à vos équipes de proposer plus facilement des expériences numériques sécurisées à grande échelle. Google Cloud et F5 vous permettent de maintenir des expériences utilisateur sécurisées, rapides et fluides au sein de votre infrastructure actuelle, tout en préparant l’environnement vers lequel vous souhaitez faire évoluer votre entreprise.
Nous vous remercions une nouvelle fois de l’intérêt que vous portez à ce sujet important et vous invitons à découvrir l’intégralité des échanges en accédant à l’enregistrement à la demande du webinaire, « Démêler les API : maîtriser leur prolifération et sécuriser votre écosystème numérique ».
Si vous avez des questions, nous serons ravis d’échanger avec vous. Pour cela, contactez l’un de nos experts en protection des API au sein de notre équipe F5 Distributed Cloud.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.