Comme toutes les vulnérabilités qui font la une, la récente vulnérabilité MOVEit pourrait inciter les entreprises à réagir rapidement de manière très tactique. De même, elle pourrait pousser les fournisseurs à se comporter en « chasseurs d’ambulances ». Malgré la pression qui incite à réagir de manière tactique, une réponse stratégique constitue une bien meilleure approche.
La sécurité des applications et des API est un enjeu de la plus haute importance pour les entreprises. C’est également un sujet relativement complexe, dont il est plus facile de parler que d’assurer une mise en œuvre efficace. C’est pourquoi les entreprises font généralement appel à un partenaire stratégique afin de se protéger contre un éventail de menaces aussi large que possible, des plus élémentaires aux plus sophistiquées. Les administrations régionales et locales ainsi que les établissements d’enseignement supérieur (SLED), en particulier, détiennent de nombreuses données sensibles et précieuses auxquelles des attaquants déterminés cherchent activement à accéder.
Avant de pouvoir protéger nos applications et nos API, nous devons savoir ce qu’elles sont et où elles se trouvent. C’est ce que l’on appelle la découverte des API. Malgré tous nos efforts pour contrôler et surveiller le cycle de vie du développement et du déploiement, des infrastructures, applications et API inconnues apparaissent constamment à l’insu des équipes informatiques et de sécurité, et sans leur soutien. C’est pourquoi la découverte est si importante.
En supposant que nous ayons une assez bonne visibilité sur les applications et les API dont nous disposons et sur leur emplacement, nous pouvons alors nous concentrer sur leur protection contre les menaces liées à la sécurité et à la fraude. Il s’agit notamment de les protéger contre l’exploitation des vulnérabilités, la fraude et l’utilisation abusive de la logique métier, les accès non autorisés, les violations de données, le vol de données à caractère personnel ou d’autres données sensibles, ainsi que les attaques automatisées. Un partenaire de confiance spécialisé dans ce niveau avancé de protection peut constituer un atout considérable pour une entreprise.
Parmi ces fonctionnalités de protection avancées figurent notamment les proxys d’applications, la limitation du débit et les listes de contrôle d’accès (ACL) rapides, les pare-feu d’applications web (WAF), la protection contre les attaques DDoS, la défense contre les bots, les certificats automatiques, la détection des utilisateurs malveillants, le routage des URI, les politiques de service, les moniteurs synthétiques, la prise d’empreinte TLS, l’identification des appareils, la protection contre la falsification de requêtes intersites, entre autres.
Collaborer avec un partenaire de confiance permet aux entreprises de mieux se protéger contre les attaques qui ont fait la une hier, celles qui la font aujourd’hui et celles qui la feront demain, plutôt que de se prémunir uniquement contre la menace dont tout le monde parle à l’instant T. L’actualité du jour sera vite remplacée par celle de demain, et les entreprises qui ne s’y seront pas préparées devront une nouvelle fois gérer la situation dans l’urgence.
Consultez cette ressource pour en savoir plus et contactez l’équipe F5 afin de planifier une démonstration.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.