Exploiter le renseignement pour se protéger contre les attaques réelles (sans aucun effort)

Joel Cohen

Les attaques contre les applications web varient considérablement par leurs méthodes et leurs objectifs. Elles vont des attaques opportunistes reposant sur l’analyse automatisée aux campagnes ciblées et sophistiquées, et peuvent être menées aussi bien par des pirates amateurs que par des organisations de hackers disposant de moyens importants. Face à un éventail d’attaques aussi large, il est nécessaire de disposer d’un ensemble complet d’outils de sécurité pouvant être superposés afin d’assurer une protection robuste, un peu comme le toit d’une cabane protège de la pluie. Les protections désormais incontournables des WAF, ainsi que les signatures et les règles, permettent de bloquer une grande partie de cette « pluie ». Elles sont toutefois moins efficaces face aux campagnes d’attaque sophistiquées, voire ciblées. Selon les recherches de F5 Labs, environ trois vulnérabilités critiques sont publiées chaque jour, ce qui empêche les organisations de rattraper leur retard.

Les campagnes d’attaque sont des activités malveillantes et des exploitations de vulnérabilités coordonnées et planifiées, menées sur une période donnée avec des objectifs définis, généralement contre des cibles précises. Ces cibles ne sont pas nécessairement des organisations nommément désignées ; il peut également s’agir de certains types d’infrastructures web.

Les campagnes sont difficiles à détecter et à contrer. Cela s’explique principalement par deux raisons : soit elles sont ingénieusement conçues pour contourner les règles et signatures WAF habituelles, soit leur détection nécessite de configurer des politiques de sécurité étendues et peu précises, susceptibles de générer des faux positifs, de submerger l’équipe de sécurité et de faire passer l’attaque inaperçue au milieu de toutes ces alertes.

Ce constat n’est peut-être pas nouveau pour nombre d’entre vous, et c’est peut-être la raison pour laquelle vous lisez cet article à la recherche d’une solution. Threat Campaigns de F5 est l’une de ces solutions, et nous allons vous expliquer ici comment elle fonctionne.

F5 Threat Campaigns est un service de renseignement qui détecte et bloque avec précision les campagnes d’attaque actuelles et en cours, avec un taux de faux positifs quasiment nul. Il s’appuie sur une équipe d’experts en sécurité qui se consacre à la détection, à l’analyse et à l’étude approfondie d’attaques réelles en cours dans la nature, grâce à un arsenal d’outils comprenant notamment un réseau mondial de pots de miel constamment attaqués et pris pour cible par des acteurs malveillants.

F5 Threat Campaigns vous offre une protection rapide et préventive contre les campagnes d’attaque en cours, avant qu’elles n’atteignent votre entreprise. F5 Threat Campaigns est facile à utiliser : il suffit de l’activer, sans aucune configuration supplémentaire. Ce service de renseignement fournit des informations contextuelles détaillées sur la nature et l’objectif de la campagne d’attaque. Il est automatiquement mis à jour avec les dernières campagnes publiées par F5.​

F5 Threat Campaigns est un module complémentaire disponible sur abonnement pour F5 BIG-IP Advanced WAF et est inclus avec F5 Distributed Cloud WAF et F5 NGINX App Protect WAF.

Chaque règle de F5 Threat Campaigns est spécifiquement créée pour contrer une campagne d’attaque menée par un cyberadversaire et détectée dans des conditions réelles. Cette approche diffère de celle fondée sur des signatures génériques, qui pourrait, par exemple, tenter de détecter de manière globale plusieurs vulnérabilités et techniques d’exploitation.

Cette approche axée sur des campagnes spécifiques élimine le risque de détections faussement positives, tout en offrant une protection nécessitant peu de maintenance contre les attaques réelles en cours. En outre, grâce au faible risque de faux positifs et à la précision de la campagne, le cycle de publication de F5 pour les nouvelles entrées de campagne est rapide, ce qui réduit le délai entre la détection d’une attaque dans la nature et la protection des clients contre celle-ci.

F5 Threat Campaigns fournit des informations supplémentaires sur la nature de la campagne d’attaque, ses objectifs, les risques qu’elle présente pour les applications et les intentions de l’auteur de l’attaque. Cela aide les équipes de sécurité à mieux comprendre les menaces auxquelles elles pourraient être confrontées, leur mode opératoire et leur origine, ainsi qu’à évaluer les risques.

Il est essentiel de comprendre que F5 Threat Campaigns n’est pas conçu pour détecter une attaque isolée ou aléatoire. Il se concentre plutôt sur des attaques réelles, généralement détectées en grand nombre, qui présentent donc des risques plus étendus pour les utilisateurs. Une attaque isolée ou aléatoire peut, par exemple, correspondre à un attaquant unique qui effectue une injection sur un site, ou à un testeur d’intrusion qui tente d’exploiter une CVE théoriquement exploitable, mais qui n’a jamais été utilisée dans le cadre d’une attaque réelle.

C’est pourquoi un service intelligent tel que F5 Threat Campaigns vient compléter les autres protections WAF, comme les signatures, sans les remplacer. Il constitue une couche supplémentaire offrant une protection spécifique contre les attaques réelles, sans faux positifs ni réglage nécessaire. En superposant des solutions de sécurité telles que Threat Campaigns, F5 peut assurer à votre application une sécurité robuste qui comble les failles que les attaquants pourraient autrement exploiter.

Plus tôt cette année, la carte mondiale de F5 Threat Campaigns a été lancée afin d’aider les entreprises à bénéficier d’une meilleure visibilité sur les campagnes de cyberattaques, grâce au regroupement des informations et des données de télémétrie. Dans un article de blog, Navpreet Gill explique que « la carte mondiale de F5 Threat Campaigns… permet de bénéficier d’une meilleure visibilité sur les campagnes de cyberattaques, grâce au regroupement des informations et des données de télémétrie. »

Veuillez contacter votre partenaire de distribution ou votre responsable de compte F5 pour en savoir plus sur l’ajout d’un abonnement à F5 Threat Campaigns à votre BIG-IP Advanced WAF, ou pour commencer dès aujourd’hui à utiliser F5 Threat Campaigns avec votre solution F5 Distributed Cloud WAF ou NGINX App Protect WAF.

À propos de l’auteur

Joel Cohen

Autres articles de Joel Cohen