Plateforme de lancement du pare-feu avancé pour applications web (WAF)

Pourquoi les organisations ont-elles besoin d’un WAF ?

Aujourd’hui, les entreprises développent leurs activités en utilisant des applications web et hébergées dans le cloud. Il est donc indispensable de disposer d’un pare-feu d’applications web (WAF) robuste et agile pour les protéger contre les menaces de sécurité.

À mesure que ces applications web et cloud se généralisent, les attaques deviennent de plus en plus sophistiquées et fréquentes, menaçant les données et les opérations critiques des entreprises. Il devient ainsi beaucoup plus difficile pour les administrateurs et les équipes de sécurité de se tenir informés des dernières attaques et mesures de protection. Dans le même temps, ils doivent respecter des exigences strictes de conformité applicables au commerce en ligne (par exemple, la norme de sécurité des données de l’industrie des cartes de paiement, PCI DSS), protéger les applications web stratégiques contre les attaques courantes telles que les injections SQL, les attaques DDoS et les attaques zero-day multiformes, et permettre le partage sécurisé des données entre les environnements traditionnels et cloud.

Que faut-il pour déployer un WAF ?

Les entreprises peuvent combiner plusieurs techniques afin de garantir une détection précise sans bloquer le trafic légitime. Traditionnellement, la configuration de WAF la plus répandue repose sur un modèle de sécurité négatif, qui autorise toutes les transactions à l’exception de celles contenant une menace ou une attaque. La sécurité négative utilise des signatures et des règles conçues pour détecter les menaces et attaques connues. La base de données des règles de signature est particulièrement volumineuse, car les connaissances sur les attaques se sont accumulées au fil des années. Ce modèle offre une excellente protection prête à l’emploi en bloquant les menaces courantes, notamment les injections web, les menaces du Top 10 de l’OWASP, les attaques de type cross-site scripting (XSS), et bien plus encore.

Ces dernières années, les modèles de sécurité positive ont gagné en popularité. Cette approche bloque tout le trafic et n’autorise que les transactions reconnues comme valides et sûres. Elle repose sur une validation stricte du contenu et une analyse statistique, qui peuvent s’avérer plus efficaces pour prévenir les menaces zero-day et l’exploitation des vulnérabilités. Pour être véritablement efficace, une approche de sécurité positive nécessite une connaissance approfondie de l’application et de ses usages prévus.

Défis

Plusieurs étapes interdépendantes à réaliser

Les modèles positifs et négatifs permettent tous deux d’atteindre un équilibre délicat entre « sécurité » et « fonctionnalité ». Toutefois, aucun de ces deux modèles de sécurité ne peut, à lui seul, offrir la solution la plus économique dans toutes les situations ou tous les environnements. Associée aux exigences métier, une approche intégrée combinant les modèles positif et négatif peut permettre aux organisations de maximiser le retour sur investissement de toute mise en œuvre d’une politique de sécurité.

Prendre les bonnes décisions pour déployer un WAF répondant au mieux aux objectifs de l’entreprise peut s’avérer difficile. Les contraintes de temps et de ressources entrent généralement en conflit avec la nécessité de disposer d’un savoir-faire suffisant et d’une bonne maîtrise du produit choisi.

Lors de la planification et de la réalisation d’un projet de mise en œuvre d’un service WAF, le client devra suivre plusieurs étapes :

1. Élaborer la stratégie WAF « la plus appropriée » et la faire approuver par toutes les parties prenantes internes.
2. Utiliser efficacement le produit WAF afin de mettre en œuvre l’ensemble approprié de politiques et de paramètres.
3. Planifier le déploiement du service WAF, souvent sur plusieurs centaines d’applications.
4. Planifier les opérations quotidiennes du service et la gestion de son cycle de vie en production.

Chaque étape présente des défis communs

• Les exigences (ou attentes) de l’entreprise en matière de sécurité ne tiennent pas toujours pleinement compte des contraintes techniques, opérationnelles et liées aux ressources. La tentation est alors de chercher à atteindre un objectif de haut niveau en élaborant une stratégie très sophistiquée avant de s’assurer que l’organisation a mis en place tous les éléments nécessaires pour rendre cet objectif réalisable. Dans de nombreux cas, une évaluation neutre et une analyse de la situation peuvent être nécessaires pour résoudre ce problème.
• Il n’est pas toujours facile de trouver le juste équilibre entre la disponibilité des applications, exigée par les responsables métier, et le niveau de protection requis par l’équipe du RSSI. Par exemple, les responsables métier ne veulent pas que leurs applications soient bloquées en raison de faux positifs ou de politiques WAF trop restrictives. Là encore, une évaluation et une analyse impartiales et éclairées de la situation peuvent aider les organisations à trouver le bon équilibre et à préparer des plans d’atténuation afin de limiter les éventuelles répercussions sur la production.
• Il est vivement recommandé de suivre les formations proposées par les éditeurs de logiciels ou d’obtenir des certifications sur leurs produits, mais cela ne remplacera jamais la pratique dans le contexte réel de l’entreprise, en tenant compte de ses objectifs et de ses contraintes.
• L’une des questions auxquelles les clients sont très souvent confrontés est de savoir comment sécuriser un grand nombre d’applications. Toutefois, bien souvent, le volume en lui-même n’est pas le principal problème. En revanche, la qualité et l’exhaustivité des informations disponibles pour chaque application peuvent réellement entraver un projet de WAF et doivent conduire à approfondir la réflexion sur la stratégie de conception et de mise en œuvre. Une expérience des déploiements de WAF sera extrêmement utile pour déterminer les critères pertinents, caractériser et regrouper les applications, ainsi que pour adapter la conception globale du service WAF et sa stratégie de mise en œuvre.
• Souvent, les clients oublient de prendre en compte dès le départ les étapes ultérieures afin de garantir la faisabilité et la maintenabilité de la solution. Il s’agit probablement de l’erreur la plus fréquente (à savoir concevoir et planifier la solution sans étudier les conséquences des modèles de conception et de mise en œuvre retenus sur son exploitation à long terme dans un environnement de production). Un exemple courant est la sous-estimation des ressources nécessaires pour maintenir des politiques WAF très sophistiquées, alors que l’ensemble de l’environnement est régulièrement soumis à des changements de toutes sortes : menaces, mesures d’atténuation, nouvelles versions des applications, etc.

La solution F5

Les services professionnels de F5 personnalisent la solution en fonction de votre environnement

L’ensemble complet des fonctionnalités de BIG-IP Advanced WAF, notamment les multiples méthodes de déploiement (dont le générateur de politiques basé sur le trafic réel), l’apprentissage manuel et des fonctions avancées telles que l’intégration d’outils d’analyse des vulnérabilités, les signatures d’attaque, la prévention des attaques par force brute, l’application de règles de géolocalisation, la détection des bots, l’atténuation des attaques DDoS et bien plus encore, permet de créer rapidement des configurations adaptées aux besoins, qui peuvent ensuite évoluer et être améliorées afin de faire face à des menaces en constante évolution et de répondre aux exigences les plus strictes des clients.

F5 Professional Services a spécialement créé le service Advanced WAF Launchpad pour les clients qui ont acheté, et parfois même provisionné, le module Advanced WAF de BIG-IP, mais qui n’ont pas encore déployé de service WAF efficace (par exemple, avec seulement quelques politiques en mode transparent).

Le service Advanced WAF Launchpad permet aux clients de bénéficier de l’expertise et de l’expérience des services professionnels de F5 afin de les aider à résoudre les problèmes propres à leurs cas d’utilisation et à mener à bien un projet de mise en œuvre d’Advanced WAF.

Périmètre du service

Le service implique une collaboration entre un expert en sécurité de F5 Professional Services et les équipes du client chargées de la sécurité, de l’infrastructure, du réseau et de la gestion des applications.

Le service poursuit un double objectif : élaborer une stratégie de mise en œuvre de politiques Advanced WAF adaptée aux besoins, en s’appuyant sur les bonnes pratiques de F5, et transmettre au client un savoir-faire et une expertise qu’il pourra directement mettre en pratique.

Approche de prestation du service

Ce service consiste en une mission de deux jours au cours de laquelle sont abordés les aspects théoriques et pratiques des fonctionnalités, des déploiements et des exigences de gestion d’Advanced WAF, afin que les clients disposent de l’assurance et des compétences nécessaires pour mettre en œuvre des solutions Advanced WAF efficaces garantissant une sécurité optimale des applications.

Étape 1 : stratégie de conception et de déploiement d’Advanced WAF

Le premier jour de la mission débute par une séance de travail réunissant les architectes de sécurité, les concepteurs, les ingénieurs, les équipes d’exploitation et les autres parties prenantes chargées de la gestion des politiques de sécurité d’Advanced WAF. Le consultant F5 pilotera la collecte des données et l’analyse impartiale du contexte et des objectifs existants, formulera des recommandations et présentera les bonnes pratiques, puis mènera une réflexion approfondie afin d’élaborer une stratégie globale de conception et de mise en œuvre.

À la fin de cette première journée, le consultant F5 préparera un rapport présentant les constats et les recommandations.

Étape 2 : Création et mise en œuvre de la politique

Cette étape consiste à créer une politique et à l’appliquer à un serveur virtuel afin de protéger une application web donnée. Elle peut être réalisée en une seule fois ou divisée en plusieurs sous-tâches distinctes, selon la stratégie de mise en œuvre de la politique choisie.

Par exemple, la mise en œuvre d’une politique dans l’environnement de test d’un client à l’aide de la méthode de déploiement rapide peut être effectuée en une seule session, tandis que la génération d’une politique à l’aide de l’Automatic Policy Builder (c’est-à-dire lorsque du trafic « réel » peut être analysé sur une période prolongée) peut être divisée en une première sous-tâche visant à configurer la politique de base, puis en une autre sous-tâche ultérieure visant à ajuster la politique et à passer en mode blocage.

Conclusion

L’accompagnement en direct par un consultant qualifié disposant de l’expertise et de l’expérience requises s’est très souvent révélé être la meilleure solution pour mettre un projet de déploiement d’un service WAF sur la bonne voie et aider les propriétaires d’Advanced WAF à prendre des décisions éclairées et efficaces.

Pour plus d’informations sur le service Launchpad de BIG-IP Advanced WAF, veuillez contacter les services professionnels de F5.

PUBLIÉ LE 21 MARS 2018