Les médias parlent beaucoup des attaques DDoS toujours plus massives — il faut dire que ces assauts réseau se prêtent bien aux titres accrocheurs évoquant des « botnets de la taille de l’Étoile de la mort » et des attaques battant des « records mondiaux » —, mais pour la plupart des entreprises et des grandes organisations, il existe tout un éventail d’attaques visant les applications qui sont tout aussi préoccupantes. Il suffit de consulter la page de la catégorie « Attaque » sur OWASP.org (le projet ouvert de sécurité des applications web) pour découvrir une liste de plus de 70 techniques utilisées par les attaquants pour exploiter les vulnérabilités des applications.
Bon nombre de ces attaques portent des noms intéressants, voire amusants — attaque par force brute, usurpation, bourrage d’identifiants, attaque de l’homme du milieu, détournement d’onglets — mais en réalité, les attaques applicatives n’ont rien de drôle. En 2017, par exemple, le coût moyen supporté par une entreprise américaine victime d’une violation de données s’élevait à 7,35 millions de dollars. Et les violations de données ne sont que la conséquence la plus visible d’une catégorie d’attaques parmi d’autres. Il faut également tenir compte du coût des perturbations ou des interruptions du réseau, des dépenses liées à la mobilisation de votre personnel informatique pour limiter les dégâts alors qu’il pourrait se consacrer à l’innovation, ainsi que des pertes subies lorsque vos employés, partenaires et clients ne peuvent pas se connecter pour travailler, vendre vos services ou acheter vos produits.
Mais que peut faire une organisation face à cette situation ? Il n’est évidemment pas question de renoncer purement et simplement à utiliser des applications. Aujourd’hui, les entreprises de toutes tailles s’appuient sur des applications web pour pratiquement tout : améliorer la productivité des employés, faciliter l’application des politiques de l’entreprise, analyser d’énormes volumes de données et gérer aussi bien la paie que les comptes fournisseurs. Malheureusement, les attaquants potentiels savent à quel point ces applications sont précieuses pour votre organisation et sont plus déterminés que jamais à mettre hors service ou à compromettre vos applications web les plus critiques.
Pour la plupart des organisations, la première ligne de défense est un pare-feu d’applications web (WAF). Notre dernier rapport sur l’état de la fourniture d’applications montre que 98 % des personnes interrogées protègent au moins une partie de leur portefeuille d’applications à l’aide d’un WAF, et que plus de 40 % en protègent au moins la moitié.
En tant que leader du secteur des WAF, F5 se réjouit de voir le reste du monde se rallier enfin à ce que nous préconisons depuis des années. Mais on ne devient pas un leader du secteur en se reposant sur ses lauriers. C’est pourquoi nous cherchons sans cesse de nouveaux moyens de renforcer encore davantage la sécurité de vos applications. Par exemple, notre solution Advanced WAF, récemment annoncée, va plus loin que jamais pour offrir une sécurité des applications de premier ordre. Advanced WAF assure une protection contre les bots (en allant au-delà des signatures et de la réputation pour bloquer les attaques automatisées en constante évolution), empêche la prise de contrôle des comptes (grâce au chiffrement au niveau de la couche applicative) et protège les applications contre les attaques par déni de service (DoS) en s’appuyant sur l’apprentissage automatique et l’analyse comportementale pour une grande précision.
Il est également important pour nous de collaborer avec d’autres leaders du secteur afin d’offrir à nos clients communs une solution plus performante et plus sécurisée que celles que chacun de nous pourrait proposer seul. WhiteHat Security est l’un de ces partenaires. WhiteHat propose des solutions de gestion des risques liés aux sites web qui protègent les données, garantissent la conformité et réduisent la période d’exposition aux risques. Ces solutions s’intègrent parfaitement à la nouvelle solution Advanced WAF de F5 afin de renforcer la capacité des entreprises à protéger les données de leurs clients comme leurs données internes.
Notre solution conjointe (voir la figure ci-dessus) utilise l’API ouverte de F5 pour intégrer Advanced WAF à WhiteHat Sentinel. Dans ce type de déploiement, Sentinel assure une analyse dynamique continue, avec le soutien d’une équipe d’experts du Threat Research Center qui vérifie chaque vulnérabilité afin d’éliminer pratiquement tous les faux positifs. Parallèlement, Advanced WAF assure la protection WAF ainsi qu’un large éventail de fonctionnalités de visibilité et de création de rapports. Grâce à une intégration minutieuse, Advanced WAF exploite les renseignements fournis par Sentinel pour corriger automatiquement les vulnérabilités, souvent avant même que des correctifs du code ne soient disponibles.
Résultat : une sécurité complète de bout en bout des applications web, qui contribue à assurer la continuité de l’activité et à favoriser la croissance.
En savoir plus :
Déployez un programme complet de sécurité des applications web – Intégration de WhiteHat et F5
Principaux critères à prendre en compte lors du choix d’un pare-feu pour applications web – Livre blanc de F5
Que pouvez-vous faire dès aujourd’hui pour prévenir une faille de sécurité ? – Analyse technique de WhiteHat
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.