Sauver une vie : Ajouter un WAF

Bon, peut-être que ce titre est un peu exagéré. Une sécurité cohérente des application sauve rarement une vie, mais les vulnérabilités auxquelles vous êtes exposé sans elle peuvent vous coûter du temps, de l'argent et votre réputation.

La protection des applications contre les menaces s’est avérée être une tâche difficile. Certains types de vulnérabilités sont suffisamment anciens pour avoir déjà atteint l'âge de la fin du lycée et continuent de compromettre les applications(et, plus important encore, les données) aujourd'hui. Selon une étude récente de F5, la confiance dans la protection des applications a diminué de 4 % sur un an, passant de 45 % en 2017 à 41 % en 2018 (SOAD 2018). Cependant, dans cette même étude, 43 % des personnes interrogées ont déclaré que la sécurité était la pire chose sans laquelle déployer une application. Un sur trois (36 %) prévoit de protéger moins d’un quart de ses applications avec un pare-feu application Web (WAF). La couverture continue de baisser à chaque quartile, avec un peu plus d’un sur dix (13 %) indiquant une protection de 100 % de leurs applications. 

Que signifient ces statistiques pour les équipes NetOps réelles, vivantes et respirantes ? D’une part, cela signifie beaucoup plus de travail pour créer des politiques de sécurité personnalisées et jouer à Whack-a-Mole lorsque de nouvelles menaces trouvent des moyens de compromettre de nouvelles applications. Cela signifie également moins de temps dans la journée pour réaliser des projets qui stimuleront réellement l’entreprise. Cela entraîne des problèmes de moral qui ralentissent la productivité et nuisent à la rétention des employés.

Alors, quelle est la solution ? Outre les pratiques de codage sécurisées, l’analyse statique des vulnérabilités et les tests de pénétration automatisés, le WAF a été un outil cohérent et utile dans la lutte pour la sécurité des application . Les WAF sont sans aucun doute une excellente idée : ils protègent vos applications en examinant les demandes et les réponses des application pour détecter les menaces, en analysant le comportement, en atténuant les attaques par déni de service distribué (DDoS), en détectant les robots et en empêchant exfiltration de données sensibles.

Le problème pour de nombreuses entreprises réside dans la mise en œuvre. Mettre en place des services WAF devant les applications s’est avéré difficile, chronophage et a entraîné trop de frictions. Dans un monde idéal, chaque application, où qu’elle se trouve, aurait des services WAF déployés dans le cadre de la chaîne d’outils de déploiement, avec au moins un niveau de protection de base. Si vous examinez de plus près les pertes de données, un pourcentage important d’entre elles, même les plus spectaculaires, auraient pu être évitées grâce à des mesures de sécurité relativement simples.

Pouvons-nous arriver au point où toutes vos applications bénéficieront d’un WAF puissant et sécurisé ? Est-ce un objectif possible et réaliste ? Avec F5 BIG-IP Cloud Edition, c'est peut-être possible. BIG-IP Cloud Edition apporte un certain nombre d'innovations qui rendent l'ajout d'un WAF à chaque application non seulement possible, mais vraiment pratique. Avec BIG-IP Cloud Edition, votre équipe de sécurité peut créer un catalogue de politiques pour couvrir la plupart des applications, et votre équipe d'exploitation peut joindre ces politiques à des modèles. Mieux encore, vos équipes d'application peuvent choisir le modèle à utiliser pour leur application à partir d'un catalogue de services, puis gérer elles-mêmes le déploiement des services de distribution et de sécurité des application . Les services sont fournis par des instances F5 BIG-IP plus légères et à mise à l'échelle automatique, déployées à la demande et dédiées à une seule application. Les instances BIG-IP sont dimensionnées et tarifées de manière optimale pour en faire une architecture entièrement pratique, même pour les organisations disposant de centaines ou de milliers d'applications.

Avec BIG-IP Cloud Edition, les services de sécurité sont déployés de manière transparente aux côtés d'autres services de diffusion application nécessaires tels que l'équilibrage de charge ou l'optimisation du réseau. BIG-IP Cloud Edition apporte également une observabilité et une surveillance améliorées avec des tableaux de bord personnalisés, pour les propriétaires application qui se soucient des performances des applications et les administrateurs qui se soucient à la fois des applications et de l'infrastructure.

Bien qu'il y aura toujours des applications qui nécessiteront des politiques de sécurité personnalisées et ajustées à la main (ce qui est parfaitement possible avec BIG-IP Cloud Edition), la plupart ne justifient pas le temps et les efforts nécessaires à leur création. Parce que la meilleure forme de sécurité est celle que vous utilisez réellement. Attendez, oubliez ça ; la meilleure sorte de sécurité est celle que vous obtenez sans rien avoir à faire du tout.

Pour en savoir plus, rendez-vous sur f5.com/cloudedition .