À mesure que les organisations opèrent leur transformation numérique et développent leurs portefeuilles d’applications, les défis de sécurité évoluent et se multiplient eux aussi. Dans le rapport de F5 « État de la stratégie applicative en 2022 », nous avons constaté que de nombreuses organisations doivent aujourd’hui surveiller plus d’applications que jamais, souvent entre 200 et 1 000 !
Ce nombre élevé multiplie les surfaces d’attaque potentielles, ce qui rend les applications actuelles particulièrement vulnérables aux acteurs malveillants. Cette vulnérabilité s’aggrave lorsqu’une application web doit gérer une augmentation du trafic. Pour réduire au minimum les temps d’arrêt (ou, mieux encore, les éliminer !), il est essentiel d’élaborer une stratégie qui donne la priorité à la sécurité.
WAF : votre première ligne de défense
Dans notre webinaire « Visualisez, gérez et faites évoluer facilement la sécurité de vos applications avec F5 NGINX », nous expliquons pourquoi un pare-feu d’applications web (WAF) est l’outil de prédilection pour sécuriser et protéger les applications web. En surveillant et en filtrant le trafic, un WAF constitue la première ligne de défense pour protéger les applications contre les attaques sophistiquées de couche 7, telles que les attaques par déni de service distribué (DDoS).
Les fonctionnalités WAF suivantes garantissent une solution robuste de sécurité des applications :
- Validation du protocole HTTP et du trafic
- Protection des données
- Blocage automatisé des attaques
- Intégration facile des politiques dans les pipelines CI/CD
- Visualisation centralisée
- Gestion des configurations à grande échelle
Mais pendant que le WAF surveille les applications, comment votre équipe surveille-t-elle le WAF ? Et que se passe-t-il lorsque vous déployez plusieurs WAF au sein d’une flotte pour faire face à de nombreuses attaques ? Dans le webinaire, nous répondons à ces questions et réalisons également une démonstration en temps réel.
En avant-goût du webinaire, nous examinons dans cet article deux conclusions clés pour vous aider à commencer à gérer votre parc de WAF à grande échelle :
Améliorez la visibilité grâce à NGINX Management Suite
La réussite de toute stratégie WAF dépend du niveau de visibilité dont disposent les équipes chargées de mettre en œuvre et de gérer les WAF lors de leur création, de leur déploiement et de leur modification. C’est là qu’intervient un plan de gestion centralisé. Plutôt que d’obliger vos équipes à examiner chaque WAF séparément, il est important de disposer d’une interface centralisée permettant de surveiller tous vos WAF. Grâce à cette visibilité centralisée, vous pouvez prendre des décisions éclairées concernant les attaques en cours et obtenir facilement les informations nécessaires pour affiner vos politiques de sécurité.
En outre, il est essentiel que vos équipes SecOps, Platform Ops et DevOps partagent une stratégie claire et cohérente. Lorsque ces trois équipes collaborent à la configuration et à la maintenance de vos WAF, vous renforcez la sécurité de vos applications à grande échelle.
Voici les avantages que chaque équipe tire de l’utilisation de notre plan de gestion, F5 NGINX Management Suite, qui s’intègre facilement à NGINX App Protect WAF :
- SecOps – Bénéficie d’une visibilité centralisée sur la sécurité des applications et la conformité, de la possibilité d’appliquer des politiques uniformes à toutes les équipes et d’une prise en charge d’une stratégie de décalage à gauche.
- Opérations de plateforme – Peut fournir une assistance en matière de sécurité des applications à plusieurs utilisateurs, une visibilité centralisée sur l’ensemble du parc de WAF et des pratiques DevOps évolutives à l’échelle de toute l’entreprise.
- DevOps – Peut automatiser la sécurité au sein du pipeline CI/CD, déployer facilement et rapidement la sécurité des applications et offrir une meilleure expérience client en développant des applications plus fiables et moins vulnérables aux attaques.
Activez la sécurité en tant que code avec NGINX App Protect WAF
Instance Manager est le module principal de NGINX Management Suite. Il permet de gérer de manière centralisée et à grande échelle les politiques de sécurité de NGINX App Protect WAF. Lorsque votre équipe DevOps peut facilement utiliser les politiques de sécurité gérées par l’équipe SecOps, elle peut commencer à adopter une culture DevSecOps en intégrant immédiatement la sécurité à toutes les étapes du pipeline CI/CD et en intervenant plus tôt dans le cycle de développement.
Adopter une approche « shift left » et gérer de manière centralisée votre parc de WAF signifie :
- Une politique de sécurité déclarative (au format JSON, fournie par les SecOps) permet aux DevOps d’utiliser nativement les outils de CI/CD.
- Votre politique de sécurité peut être déployée dans l’application depuis un outil de développement.
- Les équipes SecOps et DevOps peuvent gérer leurs fichiers de manière indépendante.
Avec le WAF NGINX App Protect indépendant de la plateforme, vous pouvez facilement adopter une approche « shift left » et automatiser l’intégration de la sécurité dans le pipeline CI/CD. Pour en savoir plus, regardez ce court extrait du webinaire :
Regardez le webinaire complet à la demande
Pour approfondir ces sujets et découvrir la démonstration en temps réel de dix minutes, regardez notre webinaire à la demande Visualisez, gérez et faites évoluer facilement la sécurité de vos applications avec F5 NGINX.
Outre les conclusions présentées dans cet article, le webinaire aborde les sujets suivants :
- Considérations supplémentaires pour la gestion à grande échelle d’un parc de WAF
- Comment la visibilité sur les principales violations du WAF, les attaques et les CVE vous aide à déterminer comment ajuster les politiques
- Comment réduire les erreurs de stratégie grâce à une visibilité et une gestion centralisées du WAF
- Détails sur l’automatisation de la sécurité en tant que code
Prêt à essayer NGINX Management Suite pour gérer vos WAF ? Demandez votre essai gratuit de 30 jours.
À propos des auteurs
Articles de blog associés
Tendances actuelles des technologies cloud natives, de l’ingénierie de plateforme et de l’IA
Découvrez les principaux enseignements tirés des réponses à l’enquête annuelle F5 NGINX sur les dernières tendances en matière de technologies cloud natives, de sécurité, d’ingénierie de plateforme et d’IA.
Quels contrôleurs Ingress NGINX sont affectés par les vulnérabilités CVE-2022-4886, CVE-2023-5043 et CVE-2023-5044 ?
Lorsque de nouvelles CVE sont signalées, il est facile de ne plus savoir si elles concernent un outil de contrôleur Ingress NGINX particulier, car il existe plusieurs projets. Cet article présente les CVE et explique comment distinguer les différents projets de contrôleurs Ingress afin de dissiper toute confusion.
Votre API est-elle en temps réel ? Testez sa latence avec l’outil rtapi de NGINX
Votre API répond-elle aux requêtes en moins de 30 ms ? Si ce n’est pas le cas, il ne s’agit pas d’une API en temps réel offrant la faible latence exigée par la grande majorité des organisations. Mesurez la latence de votre API avec l’outil rtapi de NGINX et découvrez comment NGINX peut l’aider à offrir une réactivité en temps réel.
Un testeur d’expressions régulières pour NGINX et NGINX Plus
Le testeur d’expressions régulières (regex) pour NGINX et NGINX Plus vous évite de tâtonner en vous indiquant si une expression régulière utilisée dans un bloc location ou map correspond aux valeurs comme prévu. Il génère la configuration appropriée et affiche les valeurs des groupes de capture.
Caches partagés avec les clusters de cache NGINX Plus, partie 1
Optimisez la capacité de votre cache web en le répartissant entre plusieurs serveurs de cache web NGINX ou NGINX Plus. Découvrez comment procéder dans cet article.
Introduction aux microservices
Les microservices suscitent actuellement beaucoup d’intérêt. Cet article de blog est le premier d’une série de sept consacrée à la conception, au développement et au déploiement de microservices.