Ces dernières années, les API sont devenues l’approche de facto pour bâtir l’économie moderne des applications. Ces interfaces logicielles se sont imposées comme le principal moyen de permettre aux systèmes, aux applications et aux appareils de communiquer et de partager un vaste éventail de données et de fonctionnalités. En substance, les API sont devenues la route de la soie moderne de l’information et donnent véritablement aux clients les moyens d’exploiter des solutions combinant les meilleurs outils de différents fournisseurs.
Parmi les organisations interrogées dans le cadre du rapport annuel de MuleSoft, le « Connectivity Benchmark Report », 80 % utilisent des API publiques et/ou privées. Parmi les avantages cités figurent notamment une productivité accrue (54 %), une innovation renforcée (47 %) et des économies de coûts (34 %). Selon l’enquête, les API génèrent également des revenus importants pour les entreprises qui les publient, représentant en moyenne 31 % de leur chiffre d’affaires total.
Cependant, tout n’est pas rose. Étude de F5 Labs a révélé que les incidents de sécurité liés aux API survenus au premier semestre 2020 étaient en passe de dépasser le nombre total d’incidents enregistrés au cours des deux années précédentes. L’un des principaux défis auxquels sont confrontées les équipes DevOps tient aux nombreuses failles possibles en matière de sécurité des API, qu’il s’agisse de l’absence totale d’authentification devant les points de terminaison des API, de mécanismes d’authentification et d’autorisation défaillants ou encore de simples erreurs de configuration.
La question qui se pose maintenant est la suivante : comment sécuriser l’ensemble de vos activités liées aux API ? Dans cet article de blog, nous expliquons pourquoi une approche de « sécurité en tant que code » axée sur NGINX App Protect est essentielle pour protéger vos API et s’intègre parfaitement à votre pipeline CI/CD, aux côtés des solutions d’autres fournisseurs de sécurité auxquelles vous faites désormais confiance.
Les API sont au service des employés comme des partenaires
Selon les données de ProgrammableWeb, plus de 20 000 API privées, partenaires et publiques sont utilisées et permettent le fonctionnement des applications sur lesquelles nous comptons au quotidien. L’intérêt des API — et, par extension, des microservices conteneurisés dans lesquels elles s’exécutent ou auxquels elles se connectent — réside dans leur capacité à rendre les fonctionnalités et les données de vos logiciels accessibles à un large éventail d’utilisateurs, notamment vos collaborateurs ainsi que l’ensemble de vos partenaires stratégiques et commerciaux. (Cette approche séduit naturellement aussi les équipes DevOps, qui peuvent sélectionner les fournisseurs les mieux adaptés à leurs besoins spécifiques.)
Par exemple, de nombreuses entreprises s’appuient sur des API privées et partenaires pour permettre l’informatique en libre-service. En rendant les ressources informatiques faciles à trouver et réutilisables, davantage de membres de l’organisation peuvent accomplir plus de tâches sans devoir systématiquement faire appel aux équipes DevOps. Lorsqu’elle est correctement mise en œuvre, l’informatique en libre-service offre une plus grande agilité, accélère la mise sur le marché, favorise des solutions centrées sur le client faisant intervenir divers fournisseurs, améliore l’efficacité et l’innovation, et génère des revenus à plus forte marge.
Cette dynamique existe également du côté du développement et de la production : les logiciels conteneurisés et les API permettent à l’équipe DevOps d’interagir avec un large éventail de partenaires. Parmi ceux-ci figurent des partenaires spécialisés dans la gestion des identités et des accès (IAM), tels que Okta, AuthO et Microsoft, ainsi que des partenaires spécialisés dans la gestion du cycle de vie, tels que MuleSoft, Akana et Kong.
La sécurité comme code, les politiques comme protection
Dans les environnements CI/CD actuels, dynamiques et en constante évolution, les développeurs et les équipes DevOps ont besoin d’une approche globale pour protéger les applications web et les API, ainsi que d’outils de sécurité applicative qui les aident à mettre en œuvre des solutions et à déployer des logiciels rapidement et en toute sécurité. Les équipes doivent sécuriser leur code tout en maintenant une intégration étroite avec les partenaires de leur choix en matière de gestion des accès et du cycle de vie.
Au cours des dernières années, à mesure que le DevOps a évolué vers le DevSecOps, une tendance s’est dessinée en faveur de la mise en œuvre de la sécurité en tant que code. Autrement dit, les entreprises commencent à prendre conscience de la nécessité d’intégrer la sécurité à chaque aspect des nouveaux logiciels, plutôt que de la considérer comme un élément ajouté une fois le développement terminé. Cela inclut notamment des pratiques telles que :
- Automatiser la sécurité chaque fois que possible, en l’intégrant directement au pipeline CI/CD
- Faire de la sécurité un garde-fou plutôt qu’un point de contrôle (c’est-à-dire fournir des conseils et des outils au lieu de simplement accorder ou refuser l’accès)
- Collaborer avec différents partenaires afin de garantir que les solutions de sécurité sont cohérentes, centralisées et accessibles en libre-service, quel que soit l’environnement, y compris dans les environnements distribués et conteneurisés
La « sécurité en tant que code » consiste à intégrer la sécurité à chaque aspect d’un nouveau logiciel, plutôt que de simplement l’ajouter à la fin.
Sécurité avancée des API pour les infrastructures applicatives modernes
F5 est un fervent défenseur de l’approche de la sécurité en tant que code, qui permet de rendre la sécurité des applications adaptable, évolutive et fiable, et NGINX App Protect joue un rôle important dans sa mise en œuvre. NGINX App Protect associe la sécurité des API aux fonctionnalités fondamentales de notre pare-feu avancé pour applications web (Advanced WAF), leader du marché, ainsi qu’à notre protection contre les bots, afin d’aider les équipes DevOps à :
- Intégrer des contrôles de sécurité non perturbateurs (tels qu’autorisés par l’équipe de sécurité) aux processus d’automatisation et de CI/CD
- Déployer et gérer les contrôles de sécurité des applications dans des environnements distribués tels que les conteneurs et les microservices
- Mettez en œuvre des contrôles de sécurité rentables sans nuire à la rapidité des mises en production ni aux performances des applications
Avec NGINX App Protect, vous déployez la sécurité des applications sous la forme d’un package logiciel léger, également indépendant de l’infrastructure sous-jacente. Le développeur peut ainsi utiliser des politiques déclaratives (« sécurité en tant que code ») pour sécuriser tous les flux entrants et sortants d’une passerelle d’API ou d’un autre contrôleur Ingress. Dans ce modèle, même si une API n’est pas sécurisée par défaut, la sécurité fournie par NGINX App Protect peut être appliquée à plusieurs niveaux, que ce soit au point d’entrée, au sein d’un pod Kubernetes ou entre différents services.
En collaborant avec les autres leaders du secteur privilégiés par nos clients et en s’appuyant sur les fournisseurs et les produits déjà utilisés par les équipes DevOps du monde entier, F5 et NGINX s’engagent à proposer des solutions de pointe pour l’ensemble de l’écosystème applicatif.
Conclusion
Alors que les API deviennent la nouvelle route de la soie pour le partage d’informations et permettent d’établir avec vos utilisateurs des liens sans précédent, NGINX App Protect protège vos applications et vos données contre tout l’éventail des menaces potentielles. NGINX App Protect est conçu pour s’adapter à votre mode de déploiement des applications, notamment grâce à une intégration étroite avec votre écosystème de partenaires. Fonctionnant de manière fluide dans les environnements DevOps, cette solution de pointe intègre des contrôles de sécurité non perturbateurs à l’ensemble des processus d’automatisation DevOps et CI/CD, afin que la sécurité des applications ne soit pas ajoutée après coup ni mise en place comme une solution provisoire, mais intégrée dès le départ.
Prêt à essayer NGINX App Protect par vous-même ? Commencez dès aujourd’hui un essai gratuit de 30 jours ou contactez-nous pour discuter de vos cas d’usage.
À propos de l’auteur
Articles de blog associés
Tendances actuelles des technologies cloud natives, de l’ingénierie de plateforme et de l’IA
Découvrez les principaux enseignements tirés des réponses à l’enquête annuelle F5 NGINX sur les dernières tendances en matière de technologies cloud natives, de sécurité, d’ingénierie de plateforme et d’IA.
Quels contrôleurs Ingress NGINX sont affectés par les vulnérabilités CVE-2022-4886, CVE-2023-5043 et CVE-2023-5044 ?
Lorsque de nouvelles CVE sont signalées, il est facile de ne plus savoir si elles concernent un outil de contrôleur Ingress NGINX particulier, car il existe plusieurs projets. Cet article présente les CVE et explique comment distinguer les différents projets de contrôleurs Ingress afin de dissiper toute confusion.
Votre API est-elle en temps réel ? Testez sa latence avec l’outil rtapi de NGINX
Votre API répond-elle aux requêtes en moins de 30 ms ? Si ce n’est pas le cas, il ne s’agit pas d’une API en temps réel offrant la faible latence exigée par la grande majorité des organisations. Mesurez la latence de votre API avec l’outil rtapi de NGINX et découvrez comment NGINX peut l’aider à offrir une réactivité en temps réel.
Un testeur d’expressions régulières pour NGINX et NGINX Plus
Le testeur d’expressions régulières (regex) pour NGINX et NGINX Plus vous évite de tâtonner en vous indiquant si une expression régulière utilisée dans un bloc location ou map correspond aux valeurs comme prévu. Il génère la configuration appropriée et affiche les valeurs des groupes de capture.
Caches partagés avec les clusters de cache NGINX Plus, partie 1
Optimisez la capacité de votre cache web en le répartissant entre plusieurs serveurs de cache web NGINX ou NGINX Plus. Découvrez comment procéder dans cet article.
Introduction aux microservices
Les microservices suscitent actuellement beaucoup d’intérêt. Cet article de blog est le premier d’une série de sept consacrée à la conception, au développement et au déploiement de microservices.