Fastly
Fastly est une plateforme cloud de pointe conçue pour créer, sécuriser et fournir des expériences numériques rapides et …
Fastly est une plateforme cloud de pointe conçue pour créer, sécuriser et fournir des expériences numériques rapides et évolutives. Elle combine un CDN moderne, des fonctionnalités de sécurité robustes comme un WAF de nouvelle génération, et un environnement de calcul sans serveur puissant. Fastly aide les entreprises à améliorer leurs performances, à renforcer leur sécurité et à innover au plus près de leurs utilisateurs, avec des solutions spécifiques pour le e-commerce, le streaming et les applications basées sur l'IA.
À propos de Pare-feu d'applications web
Un pare-feu d'applications web (WAF) est un outil de sécurité qui filtre, surveille et bloque le trafic HTTP/S malveillant à destination et en provenance d'une application web. Contrairement aux pare-feu réseau traditionnels qui opèrent à des couches réseau inférieures, un WAF fonctionne à la couche application (Couche 7) pour protéger contre des attaques web spécifiques telles que l'injection SQL, le cross-site scripting (XSS) et l'inclusion de fichiers. En inspectant le contenu de chaque requête et réponse web, ces outils fournissent une couche de défense essentielle pour les sites web, les API et les services en ligne. De nombreux WAF modernes exploitent l'IA et l'apprentissage automatique pour identifier et bloquer les menaces nouvelles et zero-day en analysant les modèles de trafic et en détectant les anomalies en temps réel.
Fonctionnalités Clés
- Protection OWASP Top 10 : Fournit des règles et des filtres dédiés pour atténuer les risques de sécurité les plus critiques des applications web, tels que les failles d'injection et l'authentification défaillante.
- Atténuation des Bots : Identifie et bloque le trafic automatisé malveillant, y compris les scrapers, les bots de credential stuffing et les bots de spam, tout en autorisant les bots légitimes comme les robots des moteurs de recherche.
- Atténuation des attaques DDoS au niveau applicatif : Absorbe et filtre les attaques par déni de service distribué (DDoS) à haut volume ciblant la couche application (par exemple, les inondations HTTP) pour garantir la disponibilité du service.
- Sécurité des API : Protège les API en appliquant la validation de schéma, la limitation de débit et en bloquant les requêtes qui exploitent les vulnérabilités courantes des API.
- Patching Virtuel : Permet aux administrateurs d'appliquer une protection immédiate contre les vulnérabilités nouvellement découvertes sans modifier le code source de l'application.
Cas d'Utilisation
Les WAF sont essentiels pour toute organisation ayant une présence web publique. Ils sont largement utilisés par les plateformes de commerce électronique pour protéger les données des clients et les transactions de paiement, par les entreprises SaaS pour sécuriser leurs applications et API, et par les institutions financières pour se conformer aux réglementations de sécurité. Les systèmes de gestion de contenu (CMS) comme WordPress et Joomla bénéficient également grandement de la protection WAF contre les vulnérabilités courantes des plugins et des thèmes.
Comment Choisir
Lors de la sélection d'un pare-feu d'applications web, considérez le modèle de déploiement (basé sur le cloud, sur site ou hybride) qui correspond le mieux à votre infrastructure. Évaluez sa capacité à personnaliser les règles de sécurité et le taux de faux positifs, car des règles trop agressives peuvent bloquer le trafic légitime. Évaluez également son impact sur les performances et la latence de l'application, ses capacités de journalisation et de reporting pour l'analyse de sécurité, et son intégration avec d'autres outils de sécurité comme les systèmes SIEM.
Pare-feu d'applications webCas d'utilisation
Protéger les sites de commerce électronique contre la fraude au paiement
Un gestionnaire de plateforme de commerce électronique utilise un WAF pour sécuriser son processus de paiement. Le WAF inspecte tout le trafic entrant vers la passerelle de paiement, identifiant et bloquant les bots malveillants qui tentent des attaques de credential stuffing ou de carding. Il applique un patching virtuel pour protéger contre les vulnérabilités connues dans le logiciel du panier d'achat et utilise la limitation de débit pour prévenir les attaques par force brute sur les pages de connexion. Cela garantit la sécurité des données de paiement des clients, maintient la conformité PCI DSS et prévient les transactions frauduleuses qui pourraient entraîner des pertes financières importantes.
Sécuriser les API pour les applications mobiles et web
Une équipe de développement d'un produit SaaS déploie un WAF pour protéger ses API backend, qui sont utilisées à la fois par une application mobile et un tableau de bord web. Le WAF applique un schéma d'API strict, bloquant automatiquement toute requête qui ne se conforme pas à la structure attendue, comme celles tentant de manipuler les paramètres. Il protège également contre les attaques courantes sur les API, telles que l'autorisation défaillante au niveau de l'objet et l'assignation de masse, garantissant qu'un utilisateur ne peut pas accéder ou modifier les données d'un autre utilisateur. Cela fournit une couche de sécurité essentielle sans nécessiter de modifications importantes du code de l'application.
Atténuer les attaques DDoS au niveau de la couche application
Un portail d'actualités en ligne populaire fait face à de fréquentes attaques DDoS au niveau de la couche application, telles que des inondations HTTP, qui submergent ses serveurs web et provoquent des pannes de service. Son équipe informatique met en œuvre un WAF basé sur le cloud. Le réseau mondial du WAF absorbe le volume massif de trafic malveillant avant qu'il n'atteigne l'infrastructure du portail. Il utilise une limitation de débit avancée et une analyse du trafic pour distinguer le trafic légitime des lecteurs de l'attaque, garantissant que le site reste disponible au public même pendant une attaque à grande échelle. Cette défense proactive maintient la disponibilité et protège la réputation du portail.
Prévenir les attaques de prise de contrôle de compte (ATO)
Une entreprise de services financiers utilise un WAF avec une détection avancée des bots pour prévenir les attaques de prise de contrôle de compte sur son portail client. Le WAF analyse le comportement de l'utilisateur, les empreintes digitales de l'appareil et la réputation de l'IP pour identifier les tentatives de connexion suspectes caractéristiques du credential stuffing. Lorsqu'une attaque ATO potentielle est détectée, le WAF peut automatiquement bloquer l'adresse IP incriminée ou présenter un défi CAPTCHA pour vérifier que l'utilisateur est humain. Cela protège les comptes des clients contre les accès non autorisés et la fraude, renforçant la confiance et réduisant la responsabilité de l'entreprise.
Appliquer des correctifs virtuels pour les vulnérabilités zero-day
Une équipe de sécurité apprend l'existence d'une vulnérabilité zero-day critique dans le CMS open-source qui alimente le site web de leur entreprise. En attendant le correctif officiel du fournisseur du CMS, qui pourrait prendre des jours, ils utilisent leur WAF pour appliquer un correctif virtuel. L'administrateur de la sécurité crée une règle personnalisée dans le WAF qui bloque spécifiquement les modèles de trafic tentant d'exploiter cette nouvelle vulnérabilité. Cela offre une protection immédiate et ciblée, comblant efficacement la faille de sécurité et donnant à l'équipe de développement un temps crucial pour tester et déployer la mise à jour logicielle officielle sans exposer le site à une attaque.
Bloquer les bots malveillants et les extracteurs de contenu
Un éditeur en ligne investit massivement dans la création de contenu unique, mais découvre que ses concurrents utilisent des extracteurs automatisés pour le voler et le republier. Ils configurent les fonctionnalités de gestion des bots de leur WAF pour bloquer ces extracteurs. Le WAF utilise des techniques telles que les défis JavaScript, l'empreinte digitale de l'appareil et l'analyse comportementale pour distinguer les visiteurs humains des bots automatisés. Il bloque les agents utilisateurs malveillants connus et les adresses IP des réseaux de bots, tout en s'assurant que les robots d'exploration légitimes des moteurs de recherche peuvent toujours accéder et indexer le site. Cela protège leur propriété intellectuelle et maintient leur classement SEO.