Des règles au risque : l’évolution des WAF et l’essor des résultats optimisés par l’IA

Debrup GhoshChef de produit principal | F5

Les RSSI n’achètent pas de pare-feu applicatifs web (WAF) pour leurs fonctionnalités : ils les achètent afin de réduire les risques pour l’entreprise sans ralentir l’organisation. Pourtant, dans de nombreuses entreprises, les solutions WAF se retrouvent dans une impasse bien connue : le WAF est déployé, les alertes affluent, mais l’activation du mode blocage est retardée, car son réglage est coûteux, implique plusieurs équipes et comporte des risques.

Pendant ce temps, les attaquants n’attendent pas. Ils sondent les API, automatisent l’utilisation abusive d’identifiants et recourent à des techniques d’évasion qui contournent les ensembles de règles conçus pour le trafic d’hier. Les WAF ont évolué pour répondre à cette réalité. Comprendre cette évolution permet d’expliquer pourquoi les WAF basés sur l’IA marquent un tournant concret : ils réduisent le délai de mise en protection, allègent la charge opérationnelle et améliorent les résultats en matière de sécurité sans accroître les frictions pour les clients.

Génération 1 : une protection riche en contrôles et basée sur les signatures

Les WAF de première génération ont établi les fondements de la sécurité web en offrant une protection robuste contre les menaces connues grâce aux signatures et à l’application des protocoles. Ils excellaient dans le blocage des attaques courantes (par exemple, les injections SQL et les attaques XSS), la mise en correspondance avec les CVE au moyen de vastes moteurs de signatures, l’application de la conformité HTTP, ainsi que la mise en œuvre de politiques et d’une observabilité cohérentes dans l’ensemble des applications. Ils ont également apporté d’importantes mesures de protection opérationnelles : masquage des données sensibles dans les journaux, personnalisation des pages de blocage, gestion des codes de réponse autorisés, utilisation de flux de réputation des adresses IP et protection des données sensibles dans les réponses.

Le défi est apparu à mesure que les applications sont devenues plus dynamiques et que la surface d’attaque s’est déplacée vers les API, les bots et l’automatisation. Les modèles basés sur des signatures imposent un compromis opérationnel fondamental :

• Le renforcement des règles pour détecter davantage d’attaques entraîne une hausse des faux positifs et perturbe l’activité.
• Assouplir les règles pour réduire les perturbations entraîne une augmentation des faux négatifs et du risque de violation de données.

Dans la pratique, cela se traduit par une lourde charge de réglage : les équipes de sécurité trient les alertes, les développeurs vérifient la légitimité du trafic et les équipes chargées de la plateforme mettent en place des exceptions. Ce cycle se répète pour chaque application, chaque version et, souvent, chaque environnement. Il en résulte un retard dans l’activation du mode de blocage, une protection incohérente et un écart croissant entre ce que le WAF pourrait bloquer et ce qu’il bloque réellement en production.

Génération 2 : de « l’inspection des requêtes » à « l’analyse du comportement des utilisateurs et des sessions »

Les fonctionnalités des WAF de deuxième génération ne se limitent plus à l’inspection des charges utiles : elles permettent d’identifier et de suivre les sessions utilisateur à l’aide de plusieurs signaux — adresse IP du client, empreinte TLS, cookies, en-têtes HTTP et autres identifiants. Cette évolution est importante, car de nombreuses attaques modernes ne se présentent pas sous la forme d’une seule « requête malveillante ». Elles se manifestent plutôt par des comportements dans la durée : reconnaissance, automatisation, schémas d’abus ou sondages lents et discrets.

En suivant les sessions et en évaluant le risque associé aux utilisateurs en fonction de leur comportement, les WAF de deuxième génération ont amélioré la détection des bots et des clients malveillants, tout en permettant la mise en œuvre de mesures d’atténuation telles que des tests de vérification ou des blocages temporaires. Cela a réduit la dépendance aux seules signatures statiques.

Mais même avec une meilleure visibilité sur les comportements, de nombreux RSSI se heurtent toujours au même obstacle à l’adoption : le manque de confiance dans l’application des mesures de protection. Savoir qu’un comportement est « suspect » ne permet pas automatiquement de prendre une décision sans risquer de perturber le trafic légitime. Les équipes continuent donc de débattre des seuils, des exceptions et des interactions entre les règles, en particulier lorsque les applications et les API évoluent chaque semaine.

Génération 3 : WAF optimisés par l’IA et application fondée sur les résultats

Les WAF de troisième génération introduisent un modèle opérationnel différent : des décisions fondées sur les risques, guidées par une évaluation des risques du WAF basée sur l’IA. Au lieu d’obliger les équipes à interpréter un dédale de correspondances de signatures, de violations et de compromis liés au réglage, le WAF évalue plusieurs signaux pour chaque requête et lui attribue un niveau de risque. Ce niveau de risque devient le critère fondamental d’application des règles.

Cela fait évoluer la discussion avec le RSSI de « Comment ajuster le WAF ? » à « Quel niveau de risque sommes-nous prêts à accepter pour cette application, ce point de terminaison ou cette fonction métier ? »

Les résultats concrets sont significatifs :

• Protection plus rapide : Les clients peuvent passer plus rapidement en mode blocage, car les décisions reposent sur une analyse à plusieurs niveaux plutôt que sur des déclencheurs fragiles fondés sur une seule règle.
• Moins de contraintes opérationnelles : La réduction du nombre d’exceptions manuelles et des ajustements au cas par cas limite les frictions entre les équipes SecOps, AppSec, de développement et de plateforme.
• Détection améliorée avec peu de faux positifs : La corrélation de plusieurs signaux permet de détecter davantage d’attaques tout en limitant les perturbations pour les utilisateurs légitimes.

Adopter une approche multicouche

Pour obtenir les meilleurs résultats, il convient de combiner les capacités des WAF de 1re, 2e et 3e générations, plutôt que de les considérer comme interchangeables.

Les contrôles de première génération — signatures, conformité aux protocoles, protections contre les campagnes de menaces, mesures de protection des données sensibles et observabilité robuste — offrent une couverture très efficace contre les vulnérabilités connues et les techniques d’exploitation courantes, et restent des mesures d’hygiène de base indispensables.

La Gen 2 ajoute la prise en compte des sessions et le suivi comportemental afin de relier les requêtes au sein des parcours utilisateur. La plateforme peut ainsi distinguer les automatisations abusives des comportements d’utilisation normaux et moins dépendre d’exceptions fragiles propres à chaque URL.

L’évaluation des risques de 3e génération, optimisée par l’IA, regroupe ensuite ces signaux au sein d’un moteur de décision cohérent et axé sur les résultats. Elle met en corrélation les détections de signatures, les anomalies comportementales et les indicateurs contextuels afin d’établir un niveau de risque unique pour chaque requête ou session. Les équipes peuvent ainsi activer le blocage plus rapidement et en toute confiance, tout en réduisant au minimum les faux négatifs comme les faux positifs.

Ensemble, les différentes couches de cette approche offrent une protection maximale avec un minimum de réglages opérationnels : des contrôles déterministes pour les menaces connues, une détection comportementale pour celles qui évoluent et une application des mesures fondée sur les risques afin de prendre des décisions précises à grande échelle.

Évaluer les WAF en fonction des résultats commerciaux

Comme indiqué précédemment, les RSSI doivent évaluer les solutions WAF en fonction des résultats opérationnels — la rapidité avec laquelle l’organisation peut activer et maintenir le mode de blocage, l’efficacité avec laquelle les menaces sont neutralisées dans les applications et les API, et le faible niveau de perturbation du trafic légitime des clients — plutôt que de l’étendue des fonctionnalités individuelles.

Lorsqu’elle est bien menée, cette approche permet aux équipes opérationnelles de ne plus débattre de signatures et d’exceptions individuelles, mais de définir des seuils de risque adaptés au niveau de tolérance de l’entreprise, renforçant ainsi la protection tout en limitant les faux positifs dans les environnements distribués.

Pour en savoir plus sur F5 Distributed Cloud WAF et ses fonctionnalités basées sur l’IA, consultez notre page produit ou contactez notre équipe pour planifier une démonstration.

À propos de l’auteur

Debrup GhoshChef de produit principal | F5

Autres articles de Debrup Ghosh