Les applications sont au centre de la stratégie numérique des organisations modernes. Selon une étude de F5 Labs, les entreprises gèrent en moyenne 983 applications, qui s’étendent souvent sur plusieurs clouds et centres de données. Les applications modernes sont généralement conçues avec des architectures distribuées et construites à l’aide de pratiques de développement agiles jusqu’au niveau des composants. Ce cadre pour l’intégration continue et la livraison continue (CI/CD) permet aux DevOps de gérer le cycle de vie des logiciels avec rapidité et efficacité. Le délai de mise sur le marché étant l’un des principaux indicateurs clés de performance, les DevOps ont adopté des flux de travail modernes automatisés. La sécurité, cependant, est souvent laissée de côté dans le flux de travail de sécurité CI/CD.

L’absence des contrôles de sécurité applicative dans le flux de travail DevOps signifie qu’ils ne sont pas testés en même temps que le code de l’application. Par conséquent, les défauts de sécurité des applications peuvent ne pas être découverts avant que les tests opérationnels ne soient effectués vers la fin du cycle de développement, où la correction des défauts est beaucoup plus coûteuse. Cela peut avoir pour conséquence un retard significatif de la mise sur le marché, des coûts de remédiation plus élevés ou des contrôles de sécurité inadéquats.

Introduire les tests de sécurité plus tôt dans le processus CI/CD est la solution la plus efficace pour combler le fossé entre les équipes chargées des applications et celles chargées de la sécurité. Le défi est de le faire à grande échelle et avec efficacité, ce qui nécessite des changements culturels et technologiques pour prioriser les tests de sécurité opérationnels dans le cadre des phases de développement des applications.

F5 Advanced Web Application Firewall permet d’intégrer les tests opérationnels de sécurité applicative dès le début du processus de développement, ce qui permet de tester de manière exhaustive les spécifications fonctionnelles et les politiques de sécurité dès le début du processus. L’équipe DevOps peut alors découvrir les défauts de sécurité, que ce soit au niveau de la politique de sécurité ou de l’application elle-même, alors que l’application est encore en cours de développement. Si l’équipe découvre des erreurs, elle peut ainsi y remédier plus efficacement et à un coût sensiblement réduit.

La sécurité en tant que code

L’intégration de la sécurité des applications dans le pipeline de développement est facilitée par l’utilisation d’API déclaratives. Ces commandes d’API peuvent être utilisées dans le cadre du pipeline de développement automatisé pour déployer et configurer Advanced WAF. L’automatisation peut être instrumentée par des outils déjà utilisés par les équipes DevOps tels que GitLab, Jenkins et Bitbucket.

Les politiques de sécurité WAF peuvent également être appliquées aux instances WAF existantes en utilisant les mêmes processus d’automatisation. Les politiques de sécurité peuvent être définies sous la forme d’un simple fichier JSON (JavaScript Object Notation), qui peut inclure un pointeur vers le nom et l’emplacement de la politique WAF, généralement dans un référentiel tel que GitHub.