Les applications modernes nécessitent un ensemble de fonctionnalités avancées pour protéger efficacement l’ensemble de leur surface d’attaque. Les pare-feu d’applications web (WAF) jouent toujours un rôle, mais à mesure que les applications évoluent et que les API se multiplient, des moyens supplémentaires sont nécessaires pour surveiller, suivre et sécuriser l’ensemble de la surface applicative, notamment un réseau croissant de connexions API.
Quelques limites potentielles des WAF pour assurer la sécurité des API
Bien que les WAF soient des outils précieux pour la sécurité des API, tous ne se valent pas et certains présentent des limites en matière de protection des API. Ces limites peuvent notamment inclure :
- Gestion des autorisations d’API complexes : Les API utilisent souvent des mécanismes d’autorisation plus complexes que l’authentification traditionnelle basée sur les sessions employée dans les applications web. Les WAF peuvent avoir des difficultés à gérer des schémas d’autorisation complexes tels qu’OAuth 2.0, les JWT (jetons web JSON) ou l’authentification personnalisée basée sur des jetons.
- Analyse des variations de protocoles et de charges utiles : Les API peuvent utiliser différents protocoles (REST, GraphQL, SOAP) et formats de charges utiles (JSON, XML), avec des structures de données et des schémas différents. Les WAF peuvent ne prendre en charge que de manière limitée l’analyse et la validation de ces variations, ce qui peut réduire la visibilité et augmenter le nombre de faux positifs — ou de faux négatifs — lors de la détection des menaces.
- Limitation du débit : La limitation du débit des API est essentielle pour se protéger contre les comportements abusifs et l’épuisement des ressources des API. Les WAF peuvent rencontrer des difficultés à limiter précisément le débit du trafic des API en raison de la nature dynamique des requêtes API et de la nécessité d’appliquer cette limitation en fonction de paramètres propres à chaque API.
- Analyse des attaques spécifiques aux API : Les API sont vulnérables à des vecteurs d’attaque spécifiques, tels que la pollution de paramètres, les attaques par injection propres aux API ou les scénarios d’utilisation abusive des API. Les WAF peuvent ne pas disposer de règles ou d’heuristiques spécialisées permettant de détecter et d’atténuer efficacement ces attaques spécifiques aux API.
- Fonctionnalités de gestion des API : Les WAF se concentrent principalement sur les aspects liés à la sécurité et peuvent ne pas disposer des capacités complètes de gestion des API nécessaires à la gouvernance, à la documentation et au versionnage des API, ainsi qu’aux fonctionnalités de portail pour les développeurs.
Renforcer les WAF pour la sécurité des API
Il est important de noter que, si les WAF restent la pierre angulaire de la sécurité des applications et constituent une couche fondamentale pour la protection des API, d’autres mesures sont nécessaires. Les entreprises envisagent et mettent en œuvre diverses approches pour de multiples raisons : coûts, complexité, idées reçues et méconnaissance de la manière de sécuriser correctement les API, entre autres. De nombreuses entreprises complètent leurs WAF existants par des passerelles API afin de créer, gérer et publier leurs API, tout en appliquant des politiques d’utilisation et en contrôlant les accès. C’est un bon point de départ, mais de nombreuses lacunes subsistent dans leur dispositif de sécurité des API.
Alors, quelle est la prochaine étape ? Comment gérer les API inconnues ou fantômes ? Qu’en est-il du contrôle granulaire des points de terminaison d’API ? Et des API tierces que vous ne contrôlez pas nécessairement ? Prenons simplement le cas des API inconnues… ou fantômes. Celles-ci peuvent amener une organisation à rechercher un outil spécialisé de découverte des API et de détection des vulnérabilités afin de compléter son dispositif et de couvrir tous les aspects de la sécurité des API.
Vous voyez où cela nous mène ? Les choses deviennent très vite extrêmement complexes. Certaines organisations disposant du budget, de l’expertise et des ressources nécessaires privilégient les meilleures solutions dans chaque domaine, mais pour la plupart, couvrir la surface d’attaque liée à la sécurité des API à l’aide d’un assemblage de solutions disparates ne fait que perpétuer l’un des plus grands défis en matière de sécurité : la COMPLEXITÉ. L’ajout de solutions ponctuelles supplémentaires peut rapidement devenir ingérable, sans compter qu’il complique considérablement la mise en place d’une surveillance et d’une visibilité efficaces.
Comment les WAAP peuvent aider à assurer une sécurité complète des applications et des API
C’est là qu’interviennent les solutions de protection des applications web et des API (WAAP) Pourquoi ajouter davantage de technologies indépendantes, provenant probablement de fournisseurs différents et incapables de corréler efficacement les informations, à votre écosystème de sécurité des applications déjà complexe ? C’est ce qui explique l’évolution vers les offres WAAP et leur développement. Les solutions WAAP modernes peuvent répondre en partie aux besoins de sécurité des environnements applicatifs modernes, basés sur des microservices, multicloud et hybrides, en combinant les fonctionnalités des WAF traditionnels à des fonctions spécialisées essentielles à la surveillance et à la sécurisation des API, le tout au sein d’une solution unifiée (souvent proposée sous forme de SaaS).
Idées reçues courantes sur les solutions WAAP et leur capacité à surveiller et à protéger les API
Certaines idées reçues prétendent que les WAAP ne disposent pas des fonctionnalités nécessaires pour assurer une sécurité complète des API. Parmi les mythes que vous avez peut-être entendus, on affirme notamment que les WAAP ne peuvent pas surveiller et suivre les API dans le temps ni détecter les anomalies, qu’elles ne disposent pas de capacités d’apprentissage avancées pour suivre les points de terminaison nouveaux ou changeants des applications et des API, ou encore qu’elles ne peuvent pas suivre et déterminer les intentions des utilisateurs finaux.
Ces affirmations sont tout simplement fausses. De nombreuses solutions WAAP modernes, telles que F5 Distributed Cloud WAAP, sont dotées de fonctionnalités d’IA et de machine learning qui assurent des fonctions essentielles de sécurité des API, telles que la découverte automatique des API, l’application des schémas, la détection des anomalies liées aux utilisateurs et aux API, et bien plus encore. Contrairement à de nombreux produits de sécurité spécialisés uniquement dans les API, qui reposent sur une analyse hors bande, les solutions WAAP analysent le trafic et bloquent le trafic des applications et des API au sein d’une solution en ligne unique. Il n’est pas nécessaire de diffuser ni de répliquer les données vers une ou plusieurs solutions distinctes, ce qui risquerait de retarder l’analyse, la détection et l’atténuation des menaces.
Pour en savoir plus sur F5 Distributed Cloud WAAP et ses fonctionnalités de sécurité des API, consultez notre site web ainsi qu’une courte démonstration de la solution en action.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.