Mesurer l’ampleur du problème des bots
La fraude ne cesse de gagner en sophistication et est souvent le fait de groupes organisés de cybercriminels. Face à des acteurs malveillants qui adaptent sans relâche leurs techniques pour contourner les dispositifs de sécurité, les équipes de sécurité informatique sont constamment sur la défensive, poussant à bout des ressources déjà fortement sollicitées.
“À titre d’exemple : seules 15 % des entreprises se protègent actuellement contre les attaques de web scraping, alors que 73 % d’entre elles y sont confrontées chaque semaine.1”
Qu’il s’agisse de transactions perdues, de clients qui se détournent de l’entreprise, d’une baisse du chiffre d’affaires ou d’une entreprise mal informée contrainte de prendre des décisions commerciales loin d’être optimales, chacun de ces scénarios découle de situations auxquelles les organisations sont régulièrement confrontées lors d’attaques de bots :
- Indisponibilité du système/de l’application
- Mauvaises performances du site
- Effets négatifs sur les campagnes de référencement naturel
- Effondrement du retour sur investissement publicitaire
- Analyses du trafic faussées
- Comptes et identifiants volés
- Perte d’informations personnelles/privées
- Dégradation de la confiance des clients
Trop souvent, les efforts déployés par les équipes informatiques pour prévenir ces attaques se révèlent insuffisants, entraînant des perturbations opérationnelles, une mauvaise expérience client et des répercussions négatives sur les résultats de l’entreprise.
Défis liés aux bots propres à chaque secteur
Pour mieux relier les activités techniques à des situations concrètes, examinons les défis liés aux bots sous l’angle des cas d’usage. La fraude résultant d’attaques de bots peut toucher différents secteurs d’activité de diverses manières.
Commerce de détail
Les entreprises de vente au détail en ligne et de commerce électronique sont régulièrement la cible d’attaques de bots malveillants. Celles-ci comprennent notamment l’accaparement des stocks (également appelé « bots Grinch »), la fraude aux cartes-cadeaux, le blocage des stocks, la revente spéculative, le scraping, le bourrage d’identifiants et les attaques DDoS de couche 7. Le constat est simple : les détaillants ne peuvent pas pérenniser leur activité si les biens et services ne peuvent pas être vendus aux bons clients, au juste prix et au bon moment.
Santé
La numérisation croissante du secteur médical a élargi la surface d’attaque dont disposent les acteurs malveillants. Les données de recherche d’Imperva Research Labs ont récemment révélé une hausse de 372 % du trafic de robots malveillants ciblant les sites de santé. Dans le même temps, la part du trafic provenant d’utilisateurs humains légitimes sur les sites de santé a diminué. Parallèlement, le taux de trafic de robots malveillants sur ces sites est passé de 18,9 % à 26,8 %. Cette dangereuse tendance à deux vitesses ne peut perdurer, quel que soit le secteur d’activité, et tout particulièrement dans celui de la santé.
Les hôpitaux, les compagnies d’assurance maladie, les laboratoires, les prestataires de soins de santé et les entreprises pharmaceutiques stockent tous des informations médicales sensibles. Ils restent donc particulièrement exposés aux cyberattaques menées par des bots. Malheureusement, les perturbations des services de santé ne se limitent pas à l’indisponibilité des systèmes médicaux : elles peuvent entraîner des sanctions réglementaires, réduire la capacité du prestataire à fournir des soins et même mettre des vies en danger.
Télécommunications
Alors que le secteur des télécommunications a rapidement adopté la 5G, l’edge computing et les technologies IoT, il figure parmi les secteurs ayant connu la plus forte hausse des attaques DDoS en 2020, avec une augmentation de 210 % par rapport à 2019, les opérateurs télécoms et les FAI étant les plus durement touchés par les bots malveillants, à hauteur de 45,7 %.
De nombreux opérateurs télécoms adoptent désormais la virtualisation des fonctions réseau afin de s’affranchir des équipements physiques et d’exécuter leurs réseaux sous forme logicielle sur des processeurs. Cette évolution accroît leur vulnérabilité, notamment face aux charges générées par d’importants volumes de trafic lors d’une attaque DDoS.
Services financiers
Le bourrage d’identifiants et d’autres attaques automatisées visant les applications web et mobiles, les API et les fichiers OFX (Open Financial Exchange) entraînent des prises de contrôle de comptes et des fraudes à la création de nouveaux comptes, occasionnant ainsi d’importantes pertes financières liées à la fraude. Les attaques de bourrage d’identifiants à grande échelle peuvent également nuire aux performances des sites, voire provoquer leur indisponibilité.
Par défaut, les applications fintech tierces non gérées sont autorisées par les utilisateurs à se connecter aux applications des établissements financiers comme s’il s’agissait de véritables utilisateurs. En l’absence d’une visibilité, d’une gestion et de contrôles appropriés, ces outils peuvent générer une charge inutile sur les applications. Les cybercriminels les utilisent également comme vecteur d’attaque pour dissimuler le bourrage d’identifiants.
La fraude manuelle, dans laquelle les fraudeurs imitent de vrais utilisateurs, prennent le contrôle de comptes ou créent de nouveaux comptes frauduleux. Les attaques menées par des humains ciblent souvent des comptes à forte valeur, les pirates se tournant vers la prise de contrôle manuelle lorsque l’automatisation échoue.
Quel que soit le secteur d’activité, la lutte contre les bots est un défi qui doit être relevé de manière collaborative. Nous avons abordé ce sujet dans un précédent article, dans lequel nous soulignons la nécessité de délaisser la sécurité centralisée dans les environnements modernes, virtualisés et axés sur les applications.
Ne faites pas cavalier seul
Comme le recommande Forrester, « une défense globale contre les bots exige que toutes les parties concernées collaborent. L’équipe e-commerce doit faire part de ses exigences en matière d’expérience client dans le cadre de la défense contre les bots et informer l’équipe de sécurité des événements à venir susceptibles d’entraîner une augmentation du trafic généré par les bots. »
Ce commentaire montre que les organisations doivent reconnaître le rôle de chaque partie concernée dans la compréhension des risques liés aux bots malveillants et dans la réponse à y apporter. Autre exemple : les équipes chargées de la sécurité et du développement d’applications doivent collaborer afin de s’adapter aux attaquants qui remanient leurs méthodes hostiles pour contourner les contre-mesures, sans pour autant mettre en place des dispositifs de protection qui compliquent l’expérience et frustrent les utilisateurs (clients).
Il est également essentiel de tirer parti des relations avec les partenaires pour porter la discussion et les actions jusqu’au comité de direction. C’est à ce niveau que les possibilités de montée en gamme et de vente croisée sont les plus nombreuses. Il est plus facile de s’appuyer sur le budget d’un projet de modernisation existant que de chercher à obtenir des engagements supplémentaires pour une solution unique. Nous abordons ce point plus en détail dans un article précédent, où nous recommandons de se tourner vers l’extérieur comme moyen pertinent de créer un écosystème efficace de lutte contre la fraude.
Des applications adaptatives dans le cloud pour lutter contre les bots
Accepter la fraude ne devrait pas être la position par défaut. Retarder le lancement d’applications pour procéder après coup aux vérifications de sécurité nécessaires n’est pas non plus judicieux sur le plan commercial. Il vaut mieux chercher à « déplacer la sécurité vers l’amont » dans le processus de développement et adopter des plates-formes cloud sécurisées telles que Google Cloud afin de moderniser le développement d’applications, d’améliorer la disponibilité et d’accélérer la mise sur le marché d’applications sécurisées et adaptatives.
Cette approche est essentielle, car les architectures d’applications modernes ont élargi la surface d’attaque, tandis que l’automatisation a permis aux attaquants d’exploiter plus efficacement les menaces répertoriées dans le Top 10 de l’OWASP. Les fraudeurs tirent parti de cette exposition et de l’automatisation ; les menaces automatisées nécessitent des défenses automatisées.
Sécurisez les applications adaptatives avec F5 et Google Cloud
Google Cloud est un fournisseur de services cloud plus flexible et sécurisé, qui privilégie l’open source, ce qui en fait la plateforme idéale pour migrer les infrastructures et moderniser les applications. C’est également la plateforme la plus adaptée au multicloud, qui offre des fonctionnalités novatrices autour de Kubernetes, du big data et de l’analytique. Google Cloud a toujours fait de la sécurité une priorité ; la sécurité robuste et le chiffrement de pointe de la plateforme permettent aux entreprises de stocker et d’analyser en toute sécurité des informations personnelles identifiables sensibles.
La protection contre les bots de F5, conçue pour tirer parti des innovations de Google Cloud, notamment la plateforme d’analyse de données BigQuery, la plateforme de machine learning TensorFlow ainsi que les pipelines de traitement de données Google Cloud Dataflow et Pub/Sub, aide à relever les défis liés aux menaces grâce à une sécurité proactive et multicouche qui bloque et élimine le trafic des bots malveillants avant qu’il n’atteigne votre réseau. Elle permet de contrer les bots qui tentent de prendre le contrôle de comptes, de repérer des vulnérabilités ou de lancer des attaques par déni de service ciblant les couches réseau et applicative. La protection contre les bots de F5 contribue également à réduire la charge que votre réseau doit supporter lorsqu’il tente de gérer ce trafic supplémentaire.
Réagissez aux activités de menace adaptatives des attaquants
Anticiper la sécurité dans le cycle de développement et automatiser les réponses à l’aide d’actions prédéfinies ne suffit pas. Il est inacceptable de se contenter d’une gestion des bots qui ne dissuade pas les cybercriminels ou qui impose aux clients un parcours semé d’obstacles, les conduisant finalement à abandonner leurs transactions et entraînant ainsi une perte de chiffre d’affaires. La sécurité doit au contraire s’adapter aux attaquants qui modifient leurs outils pour contourner les contre-mesures, sans nuire à l’expérience utilisateur.
Avec la protection contre les bots de F5, vous pouvez réagir de manière dynamique à mesure que les applications et les attaquants s’adaptent aux exigences opérationnelles et à l’évolution des menaces. Notre solution améliore considérablement les résultats de l’entreprise en réduisant fortement les pertes liées à la fraude et en offrant de meilleures expériences client, tout en optimisant l’efficacité opérationnelle et la veille stratégique. Nous sommes idéalement placés pour accompagner les applications, depuis leur code source dans le cloud jusqu’aux clients, grâce à un ensemble unique de solutions reposant sur quatre piliers :
1. Gardez une longueur d’avance sur les menaces
La multiplication des architectures, des environnements cloud et des intégrations tierces a considérablement élargi la surface d’attaque. Chaque jour, des vulnérabilités majeures affectant les applications sont rendues publiques, et les attaquants les intègrent rapidement à des frameworks d’automatisation afin de les détecter et de les exploiter à des fins lucratives.
2. Intégrer la sécurité
Une sécurité applicative efficace est automatisée et intégrée. L’automatisation améliore son efficacité en mettant en place et en stabilisant les contrôles de sécurité plus tôt dans le cycle de développement. Elle permet ainsi d’obtenir une meilleure efficacité tout en réduisant les interventions manuelles. L’intégration allège également la charge pesant sur les ressources de sécurité.
3. Accélérez la mise sur le marché
Les entreprises ont besoin d’une sécurité cohérente et automatisée pour gérer efficacement la complexité croissante de la sécurisation des applications sur différentes architectures, différents clouds et différents frameworks de développement, tout en suivant le rythme du développement applicatif.
4. Assurez le bon fonctionnement du réseau
Le moteur d’IA/ML le plus éprouvé sur le terrain recueille des signaux propriétaires impossibles à falsifier et les classe en tirant les enseignements de plus de deux milliards d’attaques par jour. Il en résulte une protection avancée et complète qui empêche le trafic malveillant de submerger le réseau, tout en garantissant que le trafic légitime et les transactions qui en découlent se poursuivent sans délai.
Pour anticiper les défis liés aux bots auxquels votre réseau — et votre entreprise — sont confrontés, prenez un moment pour en savoir plus sur notre page consacrée à F5 et Google Cloud Platform (GCP).
Source :
1 Source : Forrester, « State of Online Fraud And Bot Management », janvier 2021, étude commandée par Google
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.