Alors que les entreprises poursuivent la migration de leurs activités vers le cloud, il est plus crucial que jamais de déployer des contrôles robustes de sécurité des applications, capables de répondre aux défis propres à cet environnement et à un paysage des menaces en constante évolution. Le manque de rapidité dans le traitement des vulnérabilités et des failles de sécurité constitue un excellent exemple de ce type de défi.
Le rapport 2024 « État des stratégies applicatives de F5 » révèle que 50 % des personnes interrogées estimaient que « le déploiement des correctifs et des mises à jour sur l’ensemble des systèmes et logiciels concernés prend trop de temps et que les outils ou processus permettant de réagir rapidement aux attaques zero-day font défaut ». Il n’est donc pas surprenant que la « rapidité » soit le principal avantage de la sécurité en tant que service lorsqu’il s’agit de garantir le bon fonctionnement des applications.
SecureIQLab a récemment publié son rapport « 2024 Cloud WAAP CyberRisk Validation Report » et évalué de nombreux fournisseurs de solutions de pare-feu pour applications web et de sécurité des API, notamment F5 Distributed Cloud Web Application and API Protection (WAAP).
Processus de test de SecureIQLab
Ils ont notamment testé l’efficacité de la sécurité, l’efficacité opérationnelle et la capacité à éviter les faux positifs, tout en mettant en évidence les principaux facteurs de différenciation de chaque fournisseur de technologies. SecureIQLab a testé des solutions WAAP cloud en exposant des applications et des API à 3 500 attaques issues de référentiels du secteur tels que l’OWASP Top 10 et MITRE ATT&CK. Ils ont évalué 80 fonctionnalités de ces solutions WAAP, notamment le déploiement, la gestion et l’évolutivité, établissant ainsi une nouvelle référence en matière de validation de la cybersécurité selon les normes de l’AMTSO.
Le résultat : F5 Distributed Cloud WAAP réussit avec un score parfait
F5 Distributed Cloud Web Application and API Protection (WAAP) obtient la certification « Secure by Design » de SecureIQLab et fait partie des sept fournisseurs ayant réussi l’évaluation des vulnérabilités WAAP avec un score parfait. La solution affiche d’excellents résultats en matière d’efficacité de la sécurité et d’efficacité opérationnelle, avec :
- Score de sécurité global de 98,54 % (parmi les deux solutions les plus performantes)
- Note d’efficacité opérationnelle de 93 % (parmi les trois meilleures)
- Score maximal de 99,37 pour le WAF OWASP, sans aucun faux positif
Des informations plus détaillées sur les critères de test sont présentées pour chacun des principaux domaines de sécurité évalués :
Protection des API
Les API sont exposées à des attaques similaires à celles qui ciblent les applications web, car elles présentent des vulnérabilités communes, telles que des failles d’injection, des problèmes d’authentification et des risques d’exposition des données dus à une validation inadéquate des entrées et à des mesures de sécurité insuffisantes. Le test de sécurité des API a évalué l’efficacité de F5 Distributed Cloud API Security pour empêcher les accès non autorisés aux données sensibles sur six protocoles d’API, au moyen de plus de 70 attaques issues du Top 10 des risques de sécurité des API de l’OWASP 2023. Les notes, fondées sur les pourcentages d’efficacité de la sécurité, allaient de 1 à 5 et indiquaient différents niveaux de protection. Les résultats servent de référence pour les normes de sécurité des API du secteur WAAP. Le rapport souligne que la protection des API de F5 contre les risques de l’OWASP est supérieure à la moyenne.
Protection contre les bots
Les experts du domaine et les data scientists de F5 étudient en permanence les outils des attaquants, ainsi que les signaux comportementaux et environnementaux, et utilisent des technologies avancées de ML pour détecter rapidement les changements d’outils des attaquants et déployer des modèles actualisés afin de contrer les attaques en temps réel. F5 Distributed Cloud Bot Defense a été testé contre cinq types d’attaques de bots, dont deux répertoriés par l’OWASP, provenant d’Asie et d’Amérique du Nord. Les résultats ont révélé que la géolocalisation n’affectait pas l’efficacité du produit en matière de sécurité, avec des scores d’attaques de bots allant de 0 % à 100 %. F5 a obtenu un score parfait en matière de protection contre les bots et a enregistré des performances nettement supérieures à la moyenne du groupe.
Protection contre les attaques DDoS
Les attaques par déni de service distribué (DDoS) de couche 7 et par déni de service (DoS) de couche 7, qui utilisent des connexions TCP valides, sont difficiles à détecter ; les tests de F5 Distributed Cloud DDoS Mitigation face à deux attaques DDoS de couche 7 et à cinq attaques DoS de couche 7 ont donné des scores allant de 57 % à 100 %.
Résilience opérationnelle
F5 Distributed Cloud WAAP a également été soumis à des tests de résilience opérationnelle portant sur 103 scénarios de test de résilience utilisant trois vecteurs d’attaque distincts, dans le but de bloquer des attaques inédites. Le score de résilience, qui correspond au pourcentage d’attaques bloquées sur l’ensemble des attaques, s’est établi entre 54,9 % et 99,3 %, démontrant ainsi sa capacité à résister à différentes variantes d’attaques et à en absorber les effets. F5 s’est classé ex æquo en tête avec un taux de blocage de 99,3 % et a obtenu des résultats nettement supérieurs à la moyenne.
Sécurité intrinsèque
SecureIQLab a évalué la sécurité du produit WAAP cloud afin de s’assurer qu’il n’augmente pas la surface d’attaque des environnements protégés et que ses privilèges ne peuvent pas être exploités. La solution WAAP de F5 Distributed Cloud a été soumise à 11 techniques d’évaluation des vulnérabilités. Sept des 12 solutions WAAP testées (dont celle de F5) ont obtenu un score parfait de 100 % lors de l’évaluation des vulnérabilités WAAP. Grâce à ce score de 100 %, SecureIQLab attribue à F5 la mention « Secure by Design » (« Sécurisé dès la conception »).
Efficacité opérationnelle
L’efficacité opérationnelle est essentielle pour déployer et gérer efficacement les solutions WAAP, tout en limitant au minimum les ressources mobilisées et les coûts d’exploitation. SecureIQLab a évalué l’efficacité opérationnelle des solutions de sécurité WAF et API dans différents domaines, à l’aide d’un système de notation fondé sur les fonctionnalités afin d’attribuer une note globale à chaque catégorie et d’aider les entreprises à choisir des solutions qui optimisent la sécurité sans perturber leurs processus métier. SecureIQLab souligne que F5 affiche une efficacité opérationnelle supérieure à la moyenne pour ses opérations liées aux API, avec des notes maximales dans deux des sept catégories.
Éviter les faux positifs
Les solutions WAAP doivent distinguer efficacement les transactions commerciales légitimes des activités malveillantes afin d’éviter les faux positifs, susceptibles de perturber les opérations de l’entreprise. La détection des utilisateurs malveillants de F5, fondée sur l’IA et le machine learning, permet d’évaluer et de noter dynamiquement les risques associés aux menaces potentielles en fonction d’attributs comportementaux et de signatures. F5 Distributed Cloud WAAP a été soumis à plus de 6 500 cas de faux positifs simulant le comportement normal des utilisateurs afin d’évaluer sa capacité à différencier avec précision le trafic légitime des menaces. Plus le score d’évitement des faux positifs est élevé, plus l’impact sur l’efficacité opérationnelle est faible.
Conçu pour protéger les environnements hybrides d’aujourd’hui
Les entreprises ont besoin d’une sécurité complète des applications, adaptée à leurs exigences spécifiques, quels que soient l’emplacement d’hébergement de leurs applications et API ou le lieu de résidence de leurs utilisateurs. Le modèle de fourniture SaaS hybride de F5 prend en charge aussi bien les applications internes que celles accessibles au public, et permet d’étendre le déploiement aux environnements de cloud privé et sur site. La solution WAAP de F5 Distributed Cloud comprend un WAF doté d’une détection des utilisateurs malveillants basée sur l’IA et le machine learning, ainsi que des fonctionnalités intégrées de découverte et de protection des API, de protection contre les attaques DDoS et de lutte contre les bots. Elle assure ainsi une protection complète des applications web et des API, avec une gestion centralisée. Face au grand nombre de solutions de sécurité des applications disponibles sur le marché, le rapport de SecureIQLab aide à identifier celles qui offrent une grande efficacité et génèrent moins de faux positifs. Il fournit ainsi aux clients des indications claires sur les fournisseurs à prendre en compte lors de l’évaluation de solutions potentielles visant à améliorer leur posture globale de sécurité des applications.
Pour plus de détails, téléchargez le rapport ici ou contactez F5 pour découvrir comment F5 Distributed Cloud WAAP peut être utile à votre organisation.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.