Qu’est-ce qu’un pare-feu d’applications web (WAF) ?
Un pare-feu d’applications web (WAF) protège les applications web contre diverses attaques de la couche applicative, telles que le cross-site scripting (XSS), l’injection SQL et l’empoisonnement des cookies, entre autres. Les attaques visant les applications sont la principale cause des violations de données : elles constituent la porte d’entrée vers vos précieuses données. Avec un WAF adapté, vous pouvez bloquer tout un éventail d’attaques visant à exfiltrer ces données en compromettant vos systèmes.
Comment fonctionne un pare-feu d’application web (WAF) ?
Un WAF protège vos applications web en filtrant, en surveillant et en bloquant tout trafic HTTP/S malveillant à destination de l’application web, et empêche toute donnée non autorisée de quitter l’application. Pour ce faire, il applique un ensemble de politiques permettant de déterminer quel trafic est malveillant et quel trafic est sûr. Tout comme un serveur proxy sert d’intermédiaire pour protéger l’identité d’un client, un WAF fonctionne de manière similaire, mais en sens inverse — on parle alors de proxy inverse — en servant d’intermédiaire pour protéger le serveur de l’application web contre les clients potentiellement malveillants.
Les WAF peuvent se présenter sous la forme d’un logiciel ou d’un équipement, ou être fournis en tant que service. Les politiques peuvent être personnalisées pour répondre aux besoins spécifiques de votre application web ou de votre ensemble d’applications web. Bien que de nombreux WAF nécessitent une mise à jour régulière des politiques afin de remédier aux nouvelles vulnérabilités, les progrès de l’apprentissage automatique permettent à certains WAF de se mettre à jour automatiquement. Cette automatisation devient de plus en plus essentielle à mesure que le paysage des menaces gagne en complexité et en ambiguïté.
Les proxys inverses, qui s’intercalent entre les clients (tels que les navigateurs web) et les serveurs back-end (tels que les serveurs d’applications ou d’autres serveurs web), peuvent également être utilisés pour mettre en cache les réponses des serveurs back-end. Cela permet d’améliorer les performances des applications web en réduisant les temps de réponse pour les ressources fréquemment consultées et en allégeant la charge des serveurs back-end. Les réponses mises en cache peuvent être fournies plus rapidement que celles générées dynamiquement par les serveurs back-end. La mise en cache par proxy inverse peut également améliorer l’évolutivité et l’utilisation des ressources, en particulier pendant les périodes de fort trafic ou lors de la diffusion de contenu statique.
La différence entre un pare-feu d’application web (WAF), un système de prévention des intrusions (IPS) et un pare-feu de nouvelle génération (NGFW)
Un IPS est un système de prévention des intrusions, un WAF est un pare-feu d’applications web et un NGFW est un pare-feu de nouvelle génération. Quelles sont les différences entre ces trois solutions ?
Un IPS est un produit de sécurité à vocation plus générale. Il repose généralement sur des signatures et des politiques, ce qui signifie qu’il peut détecter les vulnérabilités et les vecteurs d’attaque connus à partir d’une base de données de signatures et de politiques établies. L’IPS définit une norme à partir de cette base de données et de ces politiques, puis envoie des alertes dès qu’un trafic s’en écarte. Les signatures et les politiques s’enrichissent au fil du temps, à mesure que de nouvelles vulnérabilités sont découvertes. En règle générale, un IPS protège le trafic associé à différents types de protocoles, tels que DNS, SMTP, TELNET, RDP, SSH et FTP. Un IPS intervient et assure généralement une protection au niveau des couches 3 et 4, à savoir les couches réseau et session, bien que certains puissent offrir une protection limitée au niveau de la couche application (couche 7).
Un pare-feu d’applications web (WAF) protège la couche applicative et est spécialement conçu pour analyser chaque requête HTTP/S à ce niveau. Il tient généralement compte de l’utilisateur, de la session et de l’application, et connaît les applications web qu’il protège ainsi que les services qu’elles proposent. Un WAF peut donc être considéré comme un intermédiaire entre l’utilisateur et l’application elle-même, qui analyse toutes les communications avant qu’elles n’atteignent l’application ou l’utilisateur. Les WAF traditionnels veillent à ce que seules les actions autorisées (selon la politique de sécurité) puissent être effectuées. Pour de nombreuses organisations, les WAF constituent une première ligne de défense fiable pour les applications, notamment contre le Top 10 de l’OWASP, la liste de référence des vulnérabilités applicatives les plus courantes. Ce Top 10 comprend actuellement :
- Attaques par injection
- Authentification défaillante
- Exposition de données sensibles
- Entités externes XML (XXE)
- Contrôle d’accès défaillant
- Mauvaises configurations de sécurité
- Cross-Site Scripting (XSS)
- Désérialisation non sécurisée
Téléchargez l’e-book pour savoir comment vous préparer au Top 10 de l’OWASP
Regardez cette courte vidéo sur IPS vs WAF
Un pare-feu de nouvelle génération (NGFW) surveille le trafic sortant vers Internet, notamment celui des sites web, des comptes de messagerie et des services SaaS. En termes simples, il protège l’utilisateur (plutôt que l’application web). Un NGFW applique des politiques basées sur les utilisateurs et enrichit les politiques de sécurité avec des informations contextuelles, tout en proposant des fonctionnalités telles que le filtrage des URL, la protection antivirus et antimalware, voire son propre système de prévention des intrusions (IPS). Alors qu’un WAF est généralement un proxy inverse (utilisé par les serveurs), les NGFW sont souvent des proxys directs (utilisés par des clients tels qu’un navigateur).
Un WAF est-il un proxy inverse ?
Un serveur proxy inverse est un type de serveur proxy généralement placé derrière le pare-feu d’un réseau privé, qui dirige les requêtes des clients vers le serveur back-end approprié. Alors que les proxys protègent généralement les clients, les WAF protègent les serveurs et sont déployés pour sécuriser une application web spécifique. Un WAF peut donc être considéré comme un proxy inverse. Les WAF peuvent prendre la forme d’une appliance, d’un plug-in serveur ou d’un filtre, et être personnalisés pour une application.
Les différentes façons de déployer un WAF
Un WAF peut être déployé de plusieurs façons : tout dépend de l’endroit où vos applications sont déployées, des services dont vous avez besoin, de la manière dont vous souhaitez le gérer, ainsi que du niveau de flexibilité architecturale et de performances requis. Souhaitez-vous le gérer vous-même ou en externaliser la gestion ? Est-il préférable d’opter pour une solution cloud ou souhaitez-vous installer votre WAF sur site ? Le mode de déploiement souhaité vous aidera à déterminer le WAF qui vous convient. Voici les options qui s’offrent à vous.
Modes de déploiement du WAF :
- Solution cloud + service entièrement géré : c’est une excellente option si vous recherchez le moyen le plus rapide et le plus simple de déployer un WAF devant vos applications (en particulier si vous disposez de ressources internes limitées en matière de sécurité et d’informatique).
- Dans le cloud + autogéré : bénéficiez de toute la flexibilité et de la portabilité des politiques de sécurité offertes par le cloud, tout en gardant le contrôle sur la gestion du trafic et la configuration des politiques de sécurité
- Basé dans le cloud + provisionnement automatique : c’est le moyen le plus simple de commencer à utiliser un WAF dans le cloud et de déployer une politique de sécurité de manière simple et économique.
- WAF avancé sur site (appliance virtuelle ou matérielle) — cette solution répond aux exigences de déploiement les plus strictes, lorsque la flexibilité, les performances et des besoins de sécurité plus avancés sont essentiels à la mission
Découvrez-en davantage sur les WAF et sur la manière de protéger vos applications grâce à la technologie Advanced WAF de F5. F5 propose également F5 NGINX App Protect, une application WAF moderne compatible avec F5 NGINX Plus, F5 NGINX Ingress Controller et d’autres serveurs. NGINX Plus fournit également une solution de mise en cache extrêmement évolutive ainsi qu’un proxy inverse permettant de diffuser du contenu statique ou rarement modifié à une grande variété de clients, de manière optimisée et fiable. Le serveur de cache NGINX Plus peut également gérer les réponses dynamiques renvoyées par des langages de script à l’aide de protocoles tels que FastCGI, SCGI et uwsgi.
