Avoir trop d’applications élargit-il votre surface d’attaque ?
“Peut-on avoir trop d’applications ? À partir de combien est-ce trop ? Savez-vous seulement combien vous en avez ou, pire encore, qui y a accès ? Une récente étude d’IDG a révélé qu’une entreprise possède en moyenne 1 742 applications, dont environ 60 % sont développées en interne. Face à l’augmentation constante du nombre d’applications, les entreprises cherchent à mettre en place le libre-service, l’automatisation et une gestion centralisée.”
Une surface d’attaque croissante
Bien entendu, les applications sont essentielles au fonctionnement de votre entreprise. Lorsqu’elles sont bien conçues, elles peuvent rendre presque toutes les tâches et tous les processus plus rapides et plus simples. Mais peut-on abuser des bonnes choses ? Apparemment, oui. Les professionnels des opérations informatiques peinent à suivre l’évolution constante des architectures applicatives, des plateformes et des normes technologiques modernes. Par conséquent, la sécurité, la visibilité et la conformité des applications deviennent des préoccupations croissantes.
C’est précisément ce qu’a constaté une grande entreprise de transport. À une époque où la prolifération des applications n’était pas encore considérée comme un problème, ce géant du transport et des services de bureau a évalué son portefeuille applicatif et découvert qu’il comptait plus de 2 600 applications, conséquence à la fois d’une vaste campagne d’acquisitions et d’une croissance rapide. Fait tout aussi préoccupant, il a recensé plus de 14 000 interfaces personnalisées donnant accès à ces applications. La surface d’attaque que représente un si grand nombre d’applications constitue un risque considérable qu’aucune entreprise ne devrait avoir à gérer seule, et ce n’est là que l’un des nombreux risques majeurs associés à ce type de prolifération applicative.
“Une étude récente d’IDG a révélé qu’une entreprise possède en moyenne 1 742 applications, dont environ 60 % sont développées en interne.”
Risques et solutions
Grâce à un environnement de développement d’applications extrêmement propice, il est désormais possible de passer de l’idée initiale à la preuve de concept en quelques semaines. Cette rapidité a notamment pour conséquence de transférer en amont, vers les développeurs et au détriment des professionnels des réseaux et de la sécurité, la responsabilité des décisions relatives au développement et au déploiement des applications, y compris celles qui ont une incidence sur la sécurité et la conformité. Si cette évolution favorise la rapidité, en libérant un potentiel d’innovation jusque-là inexploité et en renforçant la compétitivité des organisations, d’importantes menaces de sécurité, exigences de conformité et préoccupations opérationnelles subsistent.
Les nouvelles parties prenantes privilégient les options cloud natives et open source à faible coût au détriment de solutions plus robustes gérées par des experts du domaine. Ce choix découle d’une préoccupation légitime : la dépendance à l’égard d’autres équipes pourrait créer des frictions dans le processus et ralentir le rythme de l’innovation. Cependant, cette approche entraîne souvent une prolifération des outils de sécurité et de gestion, un manque de visibilité sur les performances des applications et d’importantes difficultés à respecter les exigences de conformité réglementaire.
Prolifération des outils de sécurité et de gestion
Selon notre rapport 2019 sur l’état des services applicatifs, environ 87 % des entreprises utilisent des déploiements multicloud et ont tendance à recourir aux outils mis à disposition par leur fournisseur de cloud. Elles utilisent donc plusieurs interfaces natives pour résoudre essentiellement le même problème, ce qui entraîne des difficultés liées aux différences de fonctionnalités, de politiques et d’interfaces de gestion, et accroît ainsi les risques pour l’entreprise.
À cela s’ajoutent non seulement le nombre considérable d’applications que les organisations doivent gérer, mais aussi leur complexité. Il en résulte une surface d’attaque accrue — autrement dit, une zone de vulnérabilité potentielle en matière de sécurité — à laquelle les entreprises comme la vôtre sont confrontées. Aujourd’hui, vous devez composer avec différents frameworks web, tels que node.js et HTML5, ainsi qu’avec des serveurs d’applications et des serveurs web. Les différents navigateurs ont accès à différentes applications. Chaque couche de complexité supplémentaire entraîne davantage de vulnérabilités et de risques à gérer.
Alors, comment gérer ce risque ? En changeant de perspective.
Nous avons toujours eu à cœur de sécuriser le réseau. Mais il est également temps de nous concentrer sur la sécurité des applications. Les pare-feu d’applications web, en particulier, constituent un moyen courant de gérer la sécurité applicative. En effet, les cybercriminels ne ciblent pas uniquement le réseau. Après tout, même si le réseau est sécurisé, il leur suffit d’exploiter une faille dans une application pour s’introduire dans le système.
Reprenons l’exemple de cette entreprise de transport. N’importe qui dans le monde peut accéder à son site web pour répondre à ses besoins d’expédition. Cela représente des milliards de personnes. Même si le réseau est entièrement verrouillé, l’application pourrait constituer une porte d’entrée, puisque tout le monde est autorisé à l’utiliser. Le risque le plus important concernerait donc cette application, et non son réseau soigneusement protégé. Pour de nombreuses entreprises, l’application est actuellement le maillon faible. Et les pirates le savent.
Vous devez créer des services applicatifs standardisés pouvant être fédérés à l’échelle mondiale sans entraver l’innovation des équipes de développement décentralisées. Adoptez et favorisez l’automatisation afin d’intégrer la sécurité dès la conception, avec des politiques de sécurité définies et gérées par des experts du domaine, puis stockées sous forme d’artefacts dans des dépôts de code source afin d’être utilisées dans les pipelines d’automatisation CI/CD, plutôt que codées en dur ou configurées manuellement après coup. Pour accélérer davantage, et en toute sécurité, la mise sur le marché des applications, il est essentiel de ne coder que ce qui est nécessaire et de tirer parti de services d’infrastructure réutilisables, tels que l’authentification et les pare-feu d’applications web.
“Vous voulez connaître un secret qui risque de vous surprendre ? La plupart des organisations sont incapables de dire ce qui se passe avec leurs applications à un instant donné. Elles ignorent combien d’applications elles possèdent, et savent encore moins où elles sont hébergées ou qui y a accès.”
Manque de visibilité sur les applications
En mars 2019, plus de 2,1 millions d’applications étaient disponibles pour les utilisateurs d’Android. L’App Store d’Apple
propose plus de 1,8 million d’applications. Et cela ne tient pas compte des millions d’applications d’entreprise qui ont été développées et déployées. Au total, il existe probablement aujourd’hui plus d’un milliard d’applications en service dans le monde.
Vous voulez connaître un secret stupéfiant ? La plupart des organisations sont incapables de dire ce qui se passe avec leurs applications à un instant donné. Elles ignorent combien d’applications elles possèdent, sans même parler de l’endroit où elles sont hébergées ou des personnes qui y ont accès. Même pour les applications les plus importantes, les organisations disposent rarement d’une visibilité constante sur leurs performances (par exemple, leur disponibilité ou la latence côté utilisateur final) ou sur l’endroit où chercher en cas de problème.
Quelle que soit votre stratégie, l’objectif doit être de déterminer comment déployer et gérer les applications de manière cohérente dans l’ensemble de vos différents silos d’infrastructure. La meilleure façon d’y parvenir — et de bénéficier d’une visibilité sur les chemins empruntés par toutes vos applications — consiste à s’appuyer sur un ensemble cohérent de services applicatifs multicloud. Des outils communs vous aideront à réduire les risques, à améliorer la reproductibilité et à limiter les défauts en réutilisant autant que possible des services cohérents, en particulier dans les architectures multicloud. Déployés dans l’ensemble de votre environnement applicatif, ces services cohérents doivent permettre une inspection complète de tout le trafic transitant par le chemin de données, afin de faciliter le dépannage en cas de problème, ainsi que l’interception et le blocage du trafic malveillant.
Cette cohérence, ainsi que la visibilité offerte par cette approche, contribue également à fluidifier la collaboration entre les différentes équipes opérationnelles qui doivent travailler ensemble pour garantir la sécurité et les performances optimales des applications.
Défis liés à la conformité
Aujourd’hui, de nombreuses organisations, en particulier celles qui exploitent des applications dans plusieurs clouds (comme le font ou prévoient de le faire la grande majorité des organisations), rencontrent d’importantes difficultés pour satisfaire aux exigences de conformité réglementaire.
Comme de nombreuses villes modernes, les besoins numériques de la ville de Bellevue ont considérablement augmenté. Il y a dix ans, seule une poignée de techniciens utilisaient son VPN pour accéder aux systèmes à distance. Aujourd’hui, les 1 600 employés peuvent travailler à distance. Pour les forces de police de la ville, l’accès aux données sensibles relatives aux antécédents judiciaires exige que les systèmes respectent des directives fédérales strictes, notamment la politique fédérale de sécurité des Criminal Justice Information Services (CJIS) et la norme Federal Information Processing Standard (FIPS) associée. Le respect des exigences CJIS et FIPS est contrôlé dans le cadre d’un audit fédéral annuel. Si ces normes ne sont pas respectées, les policiers ne peuvent accéder qu’à certaines informations sur le terrain. En définitive, la ville devait être en mesure de fournir un accès sécurisé et conforme à l’ensemble de ses services.
La solution ? Sans vouloir nous répéter, tout repose une fois encore sur la cohérence. L’intégration de politiques de sécurité cohérentes et auditables au pipeline CI/CD simplifie la mise en conformité et lève ainsi un obstacle majeur qui freine l’adoption des pratiques et des outils DevOps.
Lors de la création et du déploiement des applications, le workflow CI/CD garantit qu’elles sont systématiquement mises en production de manière sécurisée et conforme.
“Quelle que soit votre stratégie, l’objectif doit être de déterminer comment déployer et gérer les applications de manière cohérente dans tous vos différents silos d’infrastructure.”
Perspectives d’avenir
Il ne fait aucun doute que les applications se multiplient. Certains professionnels de l’informatique pourraient parler d’informatique « fantôme » ou « sauvage », car bon nombre de ces applications sont introduites dans l’organisation par les utilisateurs métier plutôt que par le service informatique. Mais ces termes péjoratifs ne permettent pas de résoudre les problèmes qui surviennent lorsque les utilisateurs métier prennent eux-mêmes en charge l’acquisition (ou le développement) d’applications. Il vaut mieux y voir une informatique pilotée par les métiers, fondée sur un partenariat entre les utilisateurs métier et le service informatique afin d’accomplir au mieux la mission de l’entreprise.
La multiplication des applications exige un contrôle cohérent, automatisable et centralisé. Aujourd’hui, il est courant que les actifs applicatifs des entreprises soient dispersés sur différentes plateformes : dans le cloud, dans leurs centres de données privés, sur site ou dans divers environnements SaaS. Les entreprises commencent à disposer d’une vue unifiée de l’ensemble de leur portefeuille applicatif. Grâce à ce niveau de contrôle, les risques deviennent beaucoup plus faciles à gérer.
Le portefeuille étendu et complet de services applicatifs de F5, associé à sa plateforme omniprésente, permet aux entreprises de centraliser et de gérer des services de sécurité et d’infrastructure de niveau professionnel et auditables dans des environnements variés, réduisant ainsi le coût du changement et permettant aux développeurs de se concentrer sur l’innovation.
Contenu associé
LIVRE BLANC
Le labyrinthe du multicloud : 5 principes pour réussir
Tout comme la virtualisation a révolutionné l’infrastructure informatique, l’essor du cloud a une nouvelle fois changé la donne.
BLOG
Il est 22 h. Savez-vous où sont vos applications ?
Les applications sont le vecteur par lequel les entreprises fournissent des biens et des services. Bienvenue dans l’ère du capital applicatif.
WEBINAIRE
Gérer les applications multicloud d’entreprise avec F5
Vous faites face à une prolifération des applications ? Découvrez comment simplifier le déploiement cohérent d’une sécurité de niveau entreprise pour toutes vos applications.
ARTICLE
Simplifiez la gestion des applications multicloud
Il est temps de mettre en œuvre une stratégie de gestion des politiques adaptée à votre organisation et à vos applications. F5 peut vous aider.