Je passe beaucoup de temps à échanger avec les clients, et l’un des sujets qu’ils abordent fréquemment est la complexité croissante de l’environnement applicatif qu’ils gèrent, ainsi que les difficultés rencontrées pour le maintenir en bon état de fonctionnement. Cela se comprend : de nombreuses entreprises gèrent désormais un portefeuille complexe d’applications sur site, dans le cloud public et dans des environnements hybrides ou multicloud, et ces applications reposent sur un nombre toujours croissant de composants matériels, logiciels et de services.
L’exploitation d’un environnement aussi vaste constitue un défi, même dans des conditions optimales. Chacun de ces composants nécessite une surveillance attentive, ainsi qu’une maintenance et des mises à jour régulières. À cela s’ajoutent les problèmes imprévus — pannes, dégradations de service et vulnérabilités nécessitant l’application de correctifs — qui peuvent entraîner des interruptions de service et avoir des répercussions négatives sur l’activité. De nombreuses organisations ont mis en place des processus pour gérer ces événements, mais j’entends régulièrement dire que tout ce que nous pouvons faire pour réduire au minimum l’impact des imprévus est extrêmement précieux.
C’est pour cette raison que nous modifions notre façon de communiquer publiquement sur les problèmes de sécurité affectant nos produits logiciels, notamment nos gammes de produits BIG-IP et NGINX. Désormais, lorsque nous aurons des CVE ou des failles à divulguer, nous le ferons selon un calendrier trimestriel prévisible. Ces nouvelles notifications trimestrielles de sécurité permettront de regrouper la communication publique sur les vulnérabilités et les failles de sécurité à une date annoncée à l’avance chaque trimestre, afin que les clients puissent planifier d’éventuelles opérations de maintenance pour garantir leur protection.
Les correctifs de sécurité continueront d’être intégrés aux versions de maintenance de l’ensemble de nos produits logiciels, et nous recommandons vivement à nos clients de toujours utiliser la version la plus récente de leurs logiciels F5 afin d’optimiser la sécurité et les performances de leurs systèmes. Nous sommes conscients de la charge opérationnelle qu’implique la mise à jour de systèmes complexes. En faisant coïncider la communication des problèmes de sécurité avec une date publiée à l’avance, nous permettons à nos clients de planifier de manière proactive d’éventuelles opérations de maintenance.
Dans certains cas, il sera nécessaire de divulguer des vulnérabilités en dehors des notifications de sécurité trimestrielles, par exemple lors de la publication de correctifs dans les projets open source de F5. Dans ces cas, nous informerons nos clients au moyen d’une alerte de sécurité. Comme dans le cadre de notre approche actuelle, les alertes de sécurité comprendront un avis de sécurité ainsi que toutes les informations nécessaires pour permettre aux clients de comprendre leur exposition au problème et les mesures qu’ils peuvent prendre pour y remédier.
Pour plus de clarté, F5 ne divulgue aujourd’hui aucun problème de sécurité. Si nous avons des vulnérabilités à divulguer, nous publierons notre première notification trimestrielle de sécurité le 19 janvier 2022. Pour en savoir plus sur ce changement et notre politique de gestion des vulnérabilités, veuillez cliquer ici.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.