Dans les architectures cloud natives modernes, les applications d’entreprise sont de plus en plus distribuées, modulaires et dynamiques. À mesure que les charges de travail migrent vers Google Cloud, le fait de s’appuyer uniquement sur la sécurité périmétrique ou sur des architectures de sécurité centralisées traditionnelles, dans lesquelles tout le trafic applicatif transite par des passerelles de sécurité distantes, engendre des goulets d’étranglement liés à la latence, une complexité opérationnelle et des lacunes en matière de visibilité.
Pour relever ces défis, les architectes cloud et les équipes SecOps adoptent une stratégie de défense en profondeur intégrant des modèles de sécurité au plus près des applications. En associant la protection en périphérie à une inspection approfondie par pare-feu d’applications web (WAF), directement intégrée à la couche de mise à disposition des applications, notamment via F5 Application Delivery Service for Google Cloud (anciennement F5 NGINXaaS for Google Cloud), un composant de la plateforme plus globale F5 Application Delivery and Security Platform (ADSP), les entreprises mettent en œuvre une défense granulaire et contextuelle directement à la frontière des charges de travail.
“S’appuyer uniquement sur la sécurité en périphérie laisse subsister des failles critiques. En associant une protection globale à un pare-feu applicatif (WAF) au plus près de l’application, vous mettez en place une défense granulaire et contextuelle directement aux limites de la charge de travail, pour une protection précise sans goulets d’étranglement liés à la latence.”
Repenser le positionnement du WAF : la puissance d’une défense multicouche dans le cloud
Les services de sécurité en périphérie, tels que les CDN et les centres mondiaux de neutralisation des attaques DDoS, jouent un rôle essentiel de première ligne dans une stratégie de sécurité cloud en bloquant les attaques volumétriques, les botnets et le trafic malveillant à grande échelle bien avant qu’ils n’atteignent votre environnement cloud. Toutefois, une seule couche de sécurité en périphérie suffit rarement pour protéger les architectures d’applications distribuées complexes reposant sur des API.
Un modèle de défense multicouche comble les principales lacunes auxquelles la sécurité en périphérie ne peut remédier à elle seule :
- Atténuation complémentaire des menaces : Alors que les services périphériques mondiaux atténuent les attaques DDoS volumétriques et les attaques à haute vélocité, le WAF situé au plus près de l’application assure une inspection approfondie de la couche 7, adaptée à la charge de travail et directement ajustée à la logique applicative.
- Préservation d’un contexte riche : À mesure que le trafic atteint les services backend, le WAF placé au plus près de l’application exploite les métadonnées de routage locales, les spécificités des protocoles et les structures précises des URI afin de prendre des décisions de sécurité fiables sans générer de faux positifs.
- Application des contrôles aux frontières internes : Dans les environnements cloud mutualisés ou les architectures hybrides, la sécurité périmétrique ne peut pas inspecter le trafic provenant du réseau cloud ou transitant entre des points de terminaison internes. La sécurité au plus près des applications établit des micro-périmètres Zero Trust autour de chaque cible backend.
- Latence et détours réseau réduits au minimum : En plaçant l’inspection propre à l’application directement dans la couche locale de diffusion des applications de Google Cloud, le trafic évite des détours supplémentaires par des passerelles de sécurité centralisées, ce qui optimise les performances des services sensibles à la latence.
Modèles d’architecture pour une protection multicouche au plus près des applications
L’intégration native des fonctionnalités WAF à la couche proxy SaaS de F5 Application Delivery Service permet de mettre en œuvre de puissants modèles d’architecture conçus pour les environnements cloud distribués.
En intégrant une inspection en ligne au point d’entrée de l’application, vous pouvez analyser le trafic de couche 7 directement au niveau de la passerelle applicative dans Google Cloud. Ce mécanisme filtre immédiatement les menaces critiques, telles que les vulnérabilités du Top 10 de l’OWASP, les abus de logique métier et les anomalies de protocole, avant même qu’elles ne puissent atteindre les backends d’API en amont et les charges de travail conteneurisées.
En dissociant le contrôle, les équipes SecOps et d’ingénierie de la sécurité peuvent définir des politiques de sécurité de référence à l’échelle mondiale, tandis que les équipes DevOps et d’ingénierie des plateformes gèrent le routage localisé et la logique applicative. La sécurité devient ainsi un contrôle intrinsèque et continu, dont la cohérence est garantie tout au long du pipeline de livraison des applications.
La proximité avec l’application permet de mettre en œuvre des politiques de sécurité adaptées à chaque charge de travail ; les règles du WAF peuvent être ajustées avec précision à la cible spécifique à protéger. Qu’il s’agisse d’une charge de travail d’entreprise, d’un point de terminaison d’API conteneurisé, d’une inférence d’IA ou d’un autre service, cette approche granulaire garantit une protection robuste sans risquer de perturber les services adjacents.
ADCaaS et WAF unifiés : synergie opérationnelle et économique
L’intégration d’un contrôleur de mise à disposition d’applications en tant que service (ADCaaS) et d’une inspection WAF avancée au sein d’un point de contrôle unique, dans le cadre de F5 ADSP, offre des avantages opérationnels et financiers considérables au sein d’une architecture de défense multicouche :
- Complexité opérationnelle réduite : Le regroupement du routage des applications, de l’équilibrage de charge et de l’inspection WAF au sein d’un service unifié élimine la multiplication des solutions ponctuelles. Les équipes d’exploitation gèrent une interface de contrôle unique à l’aide de configurations déclaratives standardisées, ce qui réduit la charge de gestion et les erreurs humaines.
- Automatisation et CI/CD simplifiés : L’intégration native permet de provisionner conjointement la mise à disposition des applications et les ensembles de règles WAF à l’aide d’outils d’infrastructure en tant que code (IaC) tels que Terraform. Les mises à jour de sécurité sont déployées de manière fluide en même temps que les versions applicatives, sans synchronisation hors bande des politiques.
- Avantages économiques et réduction du coût total de possession (TCO) : La consolidation dans le cloud de la mise à disposition des applications et des contrôles de sécurité réduit considérablement les coûts de licence et évite les frais inutiles liés au trafic sortant du cloud et au transfert de données entre zones. Les entreprises réduisent ainsi leur coût total de possession (TCO), tout en simplifiant leur consommation de services cloud et leur gestion budgétaire dans Google Cloud.
Établir une posture intrinsèque et multicouche
À mesure que les vecteurs de menace dans le cloud gagnent en sophistication, une défense efficace exige une approche multicouche associant une protection robuste en périphérie à une sécurité granulaire au plus près des charges de travail. En réunissant les fonctionnalités ADCaaS et WAF à proximité immédiate des charges de travail applicatives dans Google Cloud, les équipes chargées des plateformes et de l’architecture d’entreprise assurent une mise à disposition des applications rapide et résiliente, soutenue par une défense complète et multicouche.
Prêt à vous lancer ? Retrouvez-nous sur Google Cloud Marketplace. La fonctionnalité WAF est actuellement disponible en version préliminaire en tant que module complémentaire de F5 Application Delivery Service for Google Cloud. Cette version préliminaire permet notamment de sélectionner une politique par défaut pour bénéficier d’une protection prête à l’emploi contre les menaces du Top 10 de l’OWASP.
À propos des auteurs
Articles de blog associés
F5 rejoint le projet PQC du NIST pour contribuer à l’élaboration de normes résistantes aux attaques quantiques
En rejoignant le consortium du projet « Migration to PQC » du NIST, F5 contribue à élaborer des recommandations pratiques pour un monde résistant aux menaces quantiques.
La dernière version de F5 Distributed Cloud Bot Defense offre des fonctionnalités et des améliorations de nouvelle génération
Les mises à jour de la console de F5 Distributed Cloud Bot Defense améliorent la gestion des menaces automatisées et l’intégration dans des cadres de sécurité plus larges.
La nouvelle surface de risque liée à l’IA : invisible, autonome et déjà à l’intérieur
James White, vice-président de l’ingénierie chez F5 À mi-parcours de l’année 2025, le moment est bien choisi pour dresser un état des lieux de l’adoption de l’IA en entreprise et de la sécurité de l’IA. L’utilisation de l’IA générative est désormais la norme dans les entreprises De manière générale, les entreprises possèdent au moins une compréhension élémentaire de l’IA générative. Elles savent ce qu’elle est et où elle peut […]
Évaluation des LLM : renforcer la confiance grâce à la notation de sécurité
À mesure que l’adoption de l’IA s’accélère dans les entreprises, l’évaluation des LLM ne porte plus uniquement sur leurs performances, mais aussi sur la confiance qu’ils inspirent. Les équipes de sécurité doivent évaluer non seulement les performances d’un modèle, mais aussi la sûreté de son comportement. Pourtant, la plupart des cadres d’évaluation se concentrent sur des critères de précision, laissant les facteurs de sécurité et de risque dans le flou ou sans mesure.
Évaluer le niveau de préparation de votre organisation à la sécurité de l’IA
Dans un paysage de l’intelligence artificielle (IA) en constante évolution, il est non seulement important, mais impératif de savoir si votre organisation est prête à instaurer et à soutenir une culture de la sécurité de l’IA. À mesure que les technologies d’IA progressent, elles font émerger une multitude de nouveaux défis de sécurité qui, pour être gérés efficacement, exigent une approche réfléchie, globale et proactive […]
Déployer des LLM en entreprise : via une API dans un cloud privé
Pris isolément, sans mesures de protection spécialisées ni protocoles de sécurité en place, le déploiement de modèles d’IA générative (GenAI), en particulier de grands modèles de langage (LLM), à l’échelle de l’entreprise représente pour toute organisation une opportunité à haut risque, mais potentiellement très rentable. La manière précise dont votre organisation doit franchir ce grand pas dans l’univers de la GenAI nécessite une planification mûrement réfléchie. Peut-être serait-il […]