Pare-feu applicatif (WAF) : à quoi ça sert, et qui en a vraiment besoin
Un pare-feu applicatif se place devant une application web et filtre les attaques qui la visent, elle, plutôt que le réseau autour. Son utilité dépend de ce que vous exposez sur Internet, de la technologie utilisée et du risque : pour beaucoup de PME, ce n'est pas la première priorité.
- Un WAF protège une application web précise. Un pare-feu classique protège une frontière de réseau. Ce ne sont pas les mêmes objets.
- Il devient utile dès que vous exposez publiquement une application : portail client, boutique, extranet, formulaire qui touche une base de données.
- Sans application publique, il n'apporte rien. Nous le disons plutôt que de vous en vendre un.
Ce qu'un WAF fait, concrètement
Une application web reçoit en permanence des requêtes venues d'Internet. La grande majorité sont légitimes ; une petite partie essaie de lui faire faire quelque chose qu'elle n'était pas censée faire — lire une base de données, contourner une authentification, injecter du code qui s'exécutera chez un autre visiteur.
Le WAF lit ces requêtes avant qu'elles atteignent l'application et bloque celles qui correspondent à des schémas d'attaque connus. Il travaille au niveau du contenu de la requête, pas au niveau de l'adresse d'où elle vient.
Ce qui le distingue d'un pare-feu classique
| Pare-feu de réseau | Pare-feu applicatif (WAF) | |
|---|---|---|
| Ce qu'il protège | La frontière du réseau | Une application web précise |
| Ce qu'il regarde | Adresses, ports, protocoles | Le contenu de la requête |
| La question qu'il pose | Cette connexion a-t-elle le droit d'entrer ? | Cette requête essaie-t-elle de détourner l'application ? |
| Ce qu'il ne voit pas | Ce qui se passe dans une requête autorisée | Tout ce qui ne passe pas par l'application |
| Qui en a besoin | Toute entreprise avec un réseau | Celles qui exposent une application publique |
Une entreprise qui a une application web publique a généralement besoin des deux, et ils ne sont pas interchangeables. C'est la confusion la plus fréquente sur ce sujet.
Qui en a besoin, et qui n'en a pas besoin
- Vous en avez besoin si vous exposez une application. Portail client, boutique en ligne, extranet fournisseur, espace membre, ou tout formulaire public qui écrit dans une base de données.
- Vous en avez besoin si l'application traite des renseignements personnels. La Loi 25 ne nomme aucune technologie, mais une application qui manipule des données de clients est un endroit où il faut pouvoir expliquer ce qui la protège.
- Un site vitrine n'en a généralement pas besoin en priorité. Un site qui présente votre entreprise sans traiter de données doit d'abord être tenu à jour. Un WAF peut toutefois se justifier s'il repose sur un CMS et des extensions souvent visés par des attaques automatisées, s'il est déjà ciblé, ou si une interruption vous coûterait cher.
- Si tout est chez un éditeur, la protection lui revient en grande partie. Si vos applications sont des services en ligne exploités par leur éditeur, celui-ci prend en charge une grande partie de la sécurité de l'application. Il vous reste à vérifier les protections incluses, à configurer correctement le service et à protéger vos accès.
Ce qu'un WAF ne fait pas
Autant le dire tout de suite : un WAF est une protection ciblée, pas un périmètre de sécurité.
- Il ne corrige pas l'application. Il filtre les tentatives d'exploitation d'une faille. La faille reste. Un WAF qui sert de pansement permanent est un projet de correction repoussé.
- Il ne protège pas ce qui ne passe pas par lui. Un accès administrateur direct, une base de données exposée ou un poste compromis lui sont invisibles.
- Il ne remplace pas les mises à jour. La grande majorité des applications compromises le sont par une composante non mise à jour.
- Il ne lit pas ses propres alertes. Comme tout équipement, il consigne. Encore faut-il que quelqu'un regarde.
La question à poser avant d'en acheter un
Avant le produit, l'inventaire. Beaucoup d'entreprises découvrent à cette étape qu'elles exposent une application dont plus personne ne s'occupait — un ancien extranet, un outil interne rendu accessible pendant la pandémie, un formulaire branché sur une base de données.
La bonne première question n'est pas « quel WAF », c'est « qu'est-ce que nous exposons publiquement, et qui en est responsable ». La réponse rend souvent le choix du produit évident, et elle ferme parfois le sujet en retirant une application qui n'avait plus lieu d'être en ligne.
Vous exposez une application, et vous ne savez pas ce qui la protège ?
30 minutes pour faire l'inventaire de ce que vous exposez publiquement et de ce qui le protège aujourd'hui — même si la conclusion est que vous n'avez besoin de rien de plus.