Qu’est-ce qu’une signature ?
En général, une signature désigne une « signature manuscrite ou numérique ». Dans le contexte de la programmation, une signature désigne les informations utilisées pour identifier une méthode, telles que son nom, les types, le nombre et l’ordre de ses paramètres, ainsi que son type de retour (les définitions peuvent varier selon le langage de programmation). Toutefois, dans le contexte de la sécurité informatique, une signature désigne les schémas caractéristiques d’activités malveillantes, telles que les logiciels malveillants ou les accès non autorisés. Les fichiers qui regroupent ces schémas sont appelés fichiers de signatures, et la fonctionnalité qui utilise les signatures pour détecter et bloquer les attaques est appelée fonctionnalité de détection par signatures.
L’utilisation de signatures pour se protéger contre les attaques repose généralement sur une approche par liste noire, qui consiste à tenir à jour une liste des menaces connues afin de bloquer les activités dangereuses. Cette méthode présente l’avantage de permettre une réponse fiable et rapide aux attaques connues. Elle ne permet toutefois pas de contrer les attaques inconnues ni les nouvelles menaces qui ne figurent pas encore sur la liste noire.
Pour remédier à cette limitation, il est recommandé de combiner l’approche par liste noire avec une approche par liste blanche. Avec une liste blanche, seules les activités explicitement autorisées sont permises. En autorisant les activités figurant sur la liste blanche, en bloquant les schémas répertoriés sur la liste noire et en considérant tout le reste comme une zone grise nécessitant une vérification, il est possible de mettre en place une stratégie de défense plus complète.
BIG-IP de F5 exploite à la fois des signatures de type liste noire pour identifier les schémas d’attaque et des listes blanches pour le trafic légitime, ce qui permet de détecter et de prévenir efficacement les attaques.
