À mesure que le paysage des menaces évolue, nos contrôles et contre-mesures de sécurité doivent eux aussi s’adapter. Les menaces périmétriques les plus avancées visant la perte ou l’exfiltration de données se manifestent au niveau de la couche applicative, ce qui réduit considérablement l’efficacité de la plupart des pare-feu de nouvelle génération (NGFW) et des systèmes de prévention des intrusions (IPS). Ce phénomène est aggravé par le fait que la plupart des communications migrent vers des canaux de données chiffrés, qui sont mal pris en charge par les NGFW ou les IPS, en particulier à grande échelle. Les pare-feu d’applications Web (WAF) sont spécialement conçus pour analyser chaque requête HTTP au niveau de la couche applicative, avec un déchiffrement complet du trafic SSL/TLS.
Ces dernières années, la plupart des technologies WAF sont restées globalement inchangées et reposent toujours sur des systèmes de détection passifs basés sur le filtrage, à l’instar des technologies NGFW et IPS apparentées. Les systèmes WAF vérifient la conformité aux protocoles (pour s’assurer que la requête est correctement formée) et comparent les signatures (pour s’assurer qu’elle ne contient aucun élément malveillant connu) afin de filtrer et de bloquer les attaques potentielles. Des fonctionnalités supplémentaires ont été ajoutées pour prendre en compte les sessions et les utilisateurs afin de lutter contre le détournement de session et les attaques par force brute. Des flux de réputation des adresses IP sont également utilisés pour tenter de filtrer les sources identifiées comme malveillantes, telles que les botnets, les services d’anonymisation et d’autres menaces. Ces technologies restent toutefois largement passives en périphérie du centre de données et ne disposent que de capacités très limitées pour interroger le client.
Nous savons plusieurs choses sur le paysage actuel des menaces :
- La plupart des menaces sont par nature automatisées. Les attaquants automatisent la recherche de vulnérabilités. Ils automatisent l’accaparement de ressources, par exemple l’achat de billets ou de baskets destinés à être revendus sur le marché gris. Les attaques par déni de service distribué (DDoS) sont entièrement automatisées afin de générer des volumes de trafic malveillant supérieurs à 1 Tbit/s, désormais monnaie courante. L’automatisation est difficile à détecter, car elle est souvent conçue pour imiter le trafic légitime et passer inaperçue. Des technologies telles que CAPTCHA ont été utilisées pour détecter ce type d’automatisation, mais ces méthodes de vérification perdent en efficacité au fil du temps et nuisent à l’expérience des utilisateurs légitimes.
- Bourrage d’identifiants est un type particulier d’attaque automatisée qui exploite les milliards de combinaisons connues de noms d’utilisateur et de mots de passe issues de violations de données antérieures. Selon de récents rapports sur les menaces, l’utilisation d’identifiants volés était le type d’attaque applicative le plus répandu en 2017. Ces attaques tirent parti de la réutilisation des mots de passe, une pratique courante chez l’internaute moyen. Le bourrage d’identifiants est particulièrement difficile à détecter, car non seulement ces requêtes semblent normales, mais elles sont aussi délibérément menées « à faible cadence et sur la durée » afin de ne pas être détectées comme une attaque par force brute.
- Les logiciels malveillants sont omniprésents et servent à exploiter les failles des navigateurs ainsi que les vulnérabilités de leurs utilisateurs. Ils peuvent être diffusés de nombreuses façons, des pièces jointes aux e-mails aux liens malveillants publiés sur les réseaux sociaux ou dans des publicités. Les machines ainsi compromises sont utilisées pour attaquer d’autres sites web, notamment à des fins d’attaques DDoS, de vol de données et d’accaparement de ressources. Les méthodes de détection et d’atténuation disponibles sont limitées, sauf si la machine cliente est gérée par une équipe expérimentée en sécurité informatique.
- Les attaques DDoS ne sont pas uniquement de nature volumétrique. De nombreuses attaques visent à épuiser les ressources à un niveau donné de la pile applicative, qu’il s’agisse des serveurs d’applications, des intergiciels ou de la base de données principale. Ces situations peuvent être difficiles à détecter, car le trafic satisfait à la plupart des contrôles standard de validation des entrées.
En termes simples, ces attaques contournent pratiquement tous les mécanismes de détection traditionnels des WAF, car elles ne semblent souvent présenter aucune anomalie. Les flux de réputation des adresses IP ont une efficacité limitée en raison du nombre presque inépuisable de cibles faciles à compromettre, notamment les modems câble, les appareils IoT, les instances de serveurs de cloud public, entre autres. Les informations relatives aux adresses sources évoluent trop rapidement pour que même un flux alimenté de manière participative puisse lutter efficacement contre le niveau d’automatisation caractéristique de ces vecteurs d’attaque. Un pare-feu d’applications web plus avancé est clairement nécessaire pour contrer ces menaces.
La bonne nouvelle, c’est que la technologie WAF avancé est disponible depuis déjà un certain temps. Il y a près de dix ans, F5 a été le pionnier d’une technologie permettant de détecter, sans CAPTCHA, les bots qui tentaient d’extraire les données tarifaires des sites de vente en ligne, avec le lancement de la protection Web Scraping en 2009. F5 a progressivement perfectionné cette technologie et l’a étendue pour donner naissance à ce que l’on appelle aujourd’hui Proactive Bot Defense, lancé en 2015. Proactive Bot Defense (PBD) permet d’interroger le client à l’origine de la requête afin de vérifier qu’un utilisateur humain disposant d’un navigateur légitime est bien présent. Cette solution est bien plus efficace que le blocage des botnets connus en fonction de leur adresse IP.
Avec sa nouvelle offre F5 Advanced WAF, F5 enrichit sa technologie WAF, leader du marché, en y intégrant les fonctionnalités nécessaires pour lutter contre les menaces en constante évolution dans le domaine de la sécurité des applications. Advanced WAF comprend :
- Défense proactive contre les bots. En combinant des techniques de pointe d’empreinte numérique et de défi-réponse avec d’autres analyses comportementales, PBD permet de détecter et de bloquer les menaces automatisées au niveau de la session.
- DoS comportemental de couche 7 : détection et protection. Le WAF avancé est capable d’établir dynamiquement le profil du trafic et de créer des signatures correspondant aux schémas de trafic anormaux, afin de bloquer les attaques DoS de couche 7 avant qu’elles n’affectent votre application.
- DataSafe protection des identifiants. DataSafe chiffre dynamiquement le contenu des pages afin d’empêcher les attaques de type « man-in-the-browser », généralement causées par des logiciels malveillants. DataSafe chiffre également les identifiants de manière dynamique au fur et à mesure de leur saisie afin de protéger l’utilisateur au niveau du navigateur.
- SDK mobile Anti-Bot : intégration. Les techniques utilisées par Proactive Bot Defense permettent d’identifier les navigateurs légitimes. Or, les applications mobiles n’utilisent pas de navigateur. Le SDK mobile Anti-Bot permet aux organisations de lutter contre les bots à l’aide de techniques avancées, même sur les points de terminaison d’API mobiles.
F5 Advanced WAF est une plateforme de sécurité dédiée qui offre les fonctionnalités de sécurité des applications les plus avancées actuellement disponibles sur le marché. F5 s’engage à fournir des solutions de sécurité des applications à la pointe de la technologie afin de contrer même les attaques les plus sophistiquées. Attendez-vous à de nouvelles avancées sur la plateforme Advanced WAF à l’avenir.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.