Quand les correctifs ne suivent plus le rythme et que la protection ne peut pas attendre

Nirav ShahVice-président senior, marketing des produits et des solutions | F5

Pendant des années, la sécurité des applications a reposé sur un postulat bien établi : lorsqu’une vulnérabilité est découverte, les organisations disposent du temps nécessaire pour évaluer le risque, développer ou obtenir un correctif, le tester et le déployer avant que des attaquants ne puissent exploiter la faille.

L’intelligence artificielle rend cette hypothèse de plus en plus dangereuse.

L’IA accélère la découverte de vulnérabilités, la reconnaissance, le développement de codes d’exploitation et l’automatisation des attaques. À mesure que ces capacités se perfectionnent, les attaquants peuvent repérer et exploiter des failles à une vitesse que les processus traditionnels de sécurité et de développement n’ont jamais été conçus pour égaler. Dans certains cas, l’exploitation commence avant même que les vulnérabilités ne soient rendues publiques.

Les implications vont bien au-delà de la nécessité d’appliquer les correctifs plus rapidement. Les organisations doivent repenser la protection de leurs applications et de leurs API lorsque le temps nécessaire pour corriger une vulnérabilité peut largement dépasser celui dont les attaquants ont besoin pour l’exploiter. C’est un sujet que j’aborde en profondeur dans ma session « Le WAAP dans le monde post-Mythos », proposée dans le cadre du sommet virtuel accessible à la demande F5 Post-Mythos Security Summit.

Comme je l’explique dans ma session, la réponse consiste d’abord à reconnaître que la protection immédiate et la correction définitive des vulnérabilités sont deux défis distincts. Voici trois pistes pour aider les responsables de la sécurité à repenser leur approche alors que cet écart continue de se creuser.

1. Reconnaître que l’écart d’exposition est devenu structurel

Les équipes de sécurité ont consacré des années à améliorer la gestion des vulnérabilités et à accélérer le déploiement des correctifs. Ces efforts restent essentiels. Mais il existe une limite fondamentale à la vitesse à laquelle les organisations peuvent modifier leurs applications et leur infrastructure en toute sécurité.

Les correctifs doivent être évalués, testés et déployés. Les équipes de développement doivent tenir compte des dépendances applicatives, de la stabilité opérationnelle et du risque qu’un correctif d’urgence entraîne de nouveaux problèmes. Pour les entreprises qui gèrent des milliers d’applications dans de multiples environnements, ces processus sont nécessairement complexes.

Pendant ce temps, l’IA change la donne du côté des attaquants.

La capacité croissante à automatiser la découverte et l’exploitation des vulnérabilités permet aux attaquants d’agir à la vitesse des machines, tandis que les défenseurs restent tributaires des cycles de développement et des exigences opérationnelles. Même les équipes de sécurité les plus efficaces ne peuvent combler ce décalage en demandant simplement à leurs collaborateurs de travailler plus vite.

Il en résulte une période d’exposition structurelle. Les vulnérabilités peuvent devenir exploitables bien avant que les organisations ne soient en mesure de déployer des correctifs définitifs en toute sécurité. Et à mesure que l’IA progresse, cette période d’exposition risque de devenir encore plus difficile à gérer.

La question à laquelle les responsables de la sécurité doivent répondre n’est plus seulement de savoir comment accélérer le déploiement des correctifs, mais aussi comment protéger leur organisation lorsque ces correctifs ne peuvent pas être déployés assez rapidement.

2. La protection et la remédiation nécessitent des délais différents

Pour relever ce défi, un changement d’approche s’impose. Traditionnellement, la gestion des vulnérabilités s’est largement concentrée sur la remédiation : identifier la faille, définir sa priorité et l’éliminer aussi rapidement que possible. Mais lorsque l’exploitation d’une faille peut survenir avant qu’un correctif ne soit disponible, les organisations ne peuvent pas se permettre de faire dépendre entièrement leur protection de la remédiation.

Elles doivent dissocier les deux. La remédiation définitive corrige la vulnérabilité sous-jacente. La protection immédiate, quant à elle, vise à empêcher les attaquants d’exploiter cette vulnérabilité pendant que les mesures correctives sont mises en œuvre.

Cette distinction est particulièrement importante pour les applications critiques pour l’activité. Déployer précipitamment en production un correctif non testé peut engendrer des risques opérationnels. Toutefois, retarder son déploiement pour respecter les procédures établies de gestion des changements peut laisser l’organisation exposée.

L’application de correctifs virtuels permet de répondre à ce dilemme. En mettant en place des mesures de protection en dehors de l’application vulnérable, les organisations peuvent bloquer les techniques d’exploitation connues sans modifier immédiatement le code sous-jacent.

Il est important de souligner que l’application de correctifs virtuels ne remplace pas la correction des vulnérabilités. Elle n’élimine pas non plus toutes les voies d’attaque possibles. Son intérêt réside dans la réduction de l’exposition aux risques pendant que les équipes de développement et de sécurité effectuent les travaux nécessaires à une correction définitive.

En d’autres termes, les organisations doivent pouvoir réagir aux menaces immédiates sans que chaque incident de sécurité impose le déploiement en urgence d’une nouvelle version de l’application. Cela nécessite une approche architecturale de la protection des applications.

3. L’architecture doit combler le fossé

Lorsque les menaces évoluent plus vite que les cycles de développement et de déploiement des applications, la protection doit pouvoir fonctionner indépendamment de ces cycles.

C’est là que la protection moderne des applications web et des API (WAAP) (https://www.f5.com/solutions/web-app-and-api-protection) joue un rôle de plus en plus déterminant. En intégrant des contrôles de sécurité sur le chemin des données applicatives, la WAAP peut aider les organisations à détecter et à bloquer les activités malveillantes avant qu’elles n’atteignent les applications vulnérables. Des fonctionnalités telles que les pare-feu applicatifs web, la sécurité des API, la protection contre les bots et l’atténuation des attaques DDoS offrent des couches de protection complémentaires.

L’avantage architectural est considérable. Les organisations peuvent mettre en place des mesures de protection sans nécessairement attendre que le code des applications soit modifié, ce qui laisse aux équipes de développement davantage de temps pour analyser les vulnérabilités et mettre en œuvre des correctifs pérennes.

Mais le défi se complexifie.

Les environnements applicatifs actuels ne se limitent plus aux applications web traditionnelles. Les entreprises dépendent de plus en plus des API, des applications fondées sur l’IA et des agents autonomes, qui introduisent de nouvelles interactions, de nouvelles dépendances et de nouvelles surfaces d’attaque potentielles. Parallèlement, les attaques renforcées par l’IA compliquent la tâche des équipes de sécurité lorsqu’il s’agit de distinguer les activités malveillantes du trafic légitime.

Se contenter d’ajouter des règles de sécurité ou de générer davantage d’alertes n’est pas une solution durable. La protection doit devenir plus intelligente et adaptative, sans surcharger les équipes de sécurité ni perturber les activités légitimes de l’entreprise.

La capacité à identifier précisément les menaces, à réduire les faux positifs et à appliquer des mesures de protection adaptées devient donc de plus en plus importante. Cela souligne également la nécessité d’une architecture capable d’assurer une protection cohérente dans l’ensemble des applications et des environnements.

En fin de compte, les organisations ne peuvent pas résoudre un problème de sécurité qui évolue à la vitesse des machines en se contentant de renforcer leurs effectifs ou d’accélérer les processus existants. Elles ont besoin d’une architecture conçue pour protéger les applications le temps que les systèmes sous-jacents se mettent à niveau.

Découvrez ma session sur la protection des applications lorsque les correctifs ne suivent plus le rythme

L’IA transforme en profondeur les liens entre la découverte des vulnérabilités, leur exploitation et leur correction. Les organisations doivent continuer à améliorer leurs processus de déploiement des correctifs, mais elles ont également besoin de moyens pour protéger leurs applications et leurs API lorsque des correctifs définitifs ne sont pas immédiatement disponibles.

Lors de ma session « Le WAAP dans le monde post-Mythos » au F5 Post-Mythos Security Summit, j’explore comment les solutions WAAP modernes peuvent aider les organisations à faire face à cette nouvelle réalité. Je montre comment la protection basée sur l’IA et l’application de correctifs virtuels peuvent aider les organisations à remédier aux vulnérabilités en périphérie du réseau, sans attendre de modifications du code des applications. J’examine également comment ces fonctionnalités s’inscrivent dans une approche plus globale de la protection des applications, des API et de l’IA contre des menaces toujours plus sophistiquées.

Pour visionner ma session, inscrivez-vous ici.

À propos de l’auteur

Nirav ShahVice-président senior, marketing des produits et des solutions | F5

Nirav Shah est vice-président senior et responsable du marketing des produits et solutions chez F5, où il définit l’orientation stratégique en matière de sécurité des applications et de l’IA. Avant de rejoindre F5, il a passé onze ans chez Fortinet, où il a occupé plusieurs postes de direction, notamment à la tête des solutions SASE optimisées par l’IA, des solutions SOC et des solutions de réseau sécurisé. Son vaste parcours comprend également des fonctions importantes chez Cisco Systems, où il a piloté des initiatives majeures dans le domaine du SD-WAN. Fort de plus de vingt ans d’expérience dans le secteur de la cybersécurité, il a fait ses preuves dans le lancement de produits qui redéfinissent le marché et dans la constitution d’équipes hautement performantes, en alignant le développement des produits sur les ventes et le marketing afin de maximiser leur impact. Expert reconnu et ancien étudiant de l’USC, il intervient fréquemment lors de conférences professionnelles et contribue régulièrement à des publications de premier plan sur la convergence entre l’IA et la cybersécurité, tout en restant engagé dans l’accompagnement des professionnels émergents de la cybersécurité.

Autres articles de Nirav Shah