• Passer au contenu principal
  • Passer à la barre latérale principale
  • Passer au pied de page
  • Accéder à Pirate Bays
  • Accéder à RARBG Torrent
  • Accéder à KickassTorrent
  • Trouver les mots-clés les + recherchés
Logo Des Geeks Et Des Lettres

Des Geeks et des lettres

L'impact des technologies numériques sur l'individu

Les pare-feu d’application Web (WAF)

Rédigé par Mallory Lebel le 7 juin 2020

Définition d'un WAF

Sommaire

  1. Qu’est-ce qu’un pare-feu d’application Web (WAF) ?
    1. Définition
    2. En quoi le WAF est-il un organe de sécurité
    3. Comment fonctionne le WAF ?
  2. Les différents types de pare-feu pour applications web
    1. Les WAF en réseau
    2. Les WAF basés sur l’hôte
    3. Les WAF hébergés en nuage
    4. WAF vs. Pare-Feu
  3. Avantages du WAF
    1. Avantages par rapport à un pare-feu
    2. Les attaques prévenues par un WAF
    3. Pourquoi un WAF est important
    4. Un WAF en complément
    5. WAF commerciaux ou open source ?

Qu’est-ce qu’un pare-feu d’application Web (WAF) ?

Définition

Un pare-feu d’application web (WAF) est un pare-feu qui:

  • surveille
  • filtre
  • bloque

…les paquets de données lorsqu’ils se déplacent vers et depuis un site internet ou une application web.

Un WAF peut être basé sur:

  • un réseau
  • un hôte
  • ou un nuage

Il est souvent déployé par un proxy inversé et placé devant un site internet une application. Fonctionnant comme un appareil réseau ou un service cloud, le WAF inspecte chaque paquet et des règles prédéfinies pour analyser la logique des applications web et filtrer le trafic potentiellement dangereux susceptible de faciliter les exploits web.

Schema Waf - Internet

En quoi le WAF est-il un organe de sécurité

Les pare-feu d’applications web consituent un contrôle de sécurité commun utilisé par les entreprises pour:

  • protéger les systèmes web contre les exploits
  • les infections par des logiciels malveillants
  • l’usurpation d’identité
  • et d’autres menaces ou vulnérabilités

Grâce à des inspections personnalisées, un WAF est capable de détecter et de prévenir immédiatement plusieurs des failles de sécurité des applications web les plus dangereuses. Les pare-feu de réseau traditionnels et autres systèmes de détection d’intrusion (IDS) / prévention des intrusions (IPS) ne sont pas toujours en mesure de le faire.

Les WAF sont particulièrement utiles aux entreprises qui fournissent des produits ou des services sur internet:

  • les achats en ligne
  • les services bancaires en ligne
  • et d’autres interactions entre clients et partenaires commerciaux

Comment fonctionne le WAF ?

Le WAF analyse les requêtes HTTP (Hypertext Transfer Protocol) et applique un ensemble de règles pour séparer les codes bénins des codes malveillants.

Les parties principales des conversations HTTP qu’un WAF analyse sont les requêtes GET et POST.

  • Les requêtes GET sont utilisées pour récupérer des données sur le serveur
  • Les requêtes POST sont utilisées pour envoyer des données à un serveur afin de changer son état

Un WAF peut adopter 2 approches différentes pour analyser et filtrer le contenu de ces requêtes HTTP

 → Liste blanche :  L’approche de la liste blanche signifie que le WAF refuse par défaut toutes les demandes et n’autorise que les demandes dont on sait qu’elles sont fiables.

La liste blanche fournit une liste d’adresses IP dont on sait qu’elles sont sûres. La liste blanche est moins gourmande en ressources que la liste noire. L’inconvénient de la liste blanche est qu’elle peut bloquer involontairement un trafic bénin. Si elle permet de couvrir un large territoire et peut être efficace, elle peut aussi être imprécise.

 → Liste noire :  L’approche de liste noire consiste à laisser passer les paquets et utiliser des signatures prédéfinies pour bloquer le trafic web malveillant et protéger les vulnérabilités.

Il s’agit d’une liste de règles qui indiquent les paquets malveillants. La liste noire est plus appropriée pour les sites web et les applications web publics car ils reçoivent beaucoup de trafic d’adresses IP inconnues.

L’inconvénient de la liste noire, c’est qu’elle est plus gourmande en ressources. Elle nécessite plus d’informations pour filtrer les paquets en fonction de caractéristiques spécifiques, par opposition à un filtrage par défaut sur des adresses IP de confiance.

 → Sécurité hybride :  Un modèle de sécurité hybride utilise à la fois des éléments de la liste noire et de la liste blanche.

Quel que soit le modèle de sécurité utilisé par un WAF, il fonctionne toujours pour analyser les interactions HTTP et réduire / éliminer le trafic malveillant avant qu’il n’atteigne le serveur.

sql-injection-attacks


Les différents types de pare-feu pour applications web

Les WAF en réseau

Les WAF en réseau sont généralement basés sur du matériel et peuvent réduire la latence car ils sont installés localement dans les locaux via une appliance dédiée.

La plupart des grands fournisseurs de WAF en réseau permettent la réplication des règles et des paramètres sur plusieurs appareils, ce qui rend possible le déploiement, la configuration et la gestion à grande échelle.

Le plus grand inconvénient de ce type de produit WAF est son coût : il y a une dépense d’investissement initiale, ainsi que des coûts opérationnels permanents pour la maintenance.

Les WAF basés sur l’hôte

Les WAF basés sur l’hôte peuvent être entièrement intégrés dans le code de l’application elle-même.

Les avantages de la mise en œuvre d’un WAF basé sur l’hôte sont un coût moindre et des options de personnalisation accrues.

Mais les WAF basés sur l’hôte peuvent être difficiles à gérer car ils nécessitent des bibliothèques d’applications et dépendent des ressources du serveur local pour fonctionner efficacement. C’est pourquoi il peut être nécessaire d’augmenter les ressources en personnel, y compris celles des développeurs, des analystes système et des DevOps/DevSecOps.

Les WAF hébergés en nuage

Les WAF hébergés en nuage offrent une solution à faible coût pour les organisations qui souhaitent un produit clé en main nécessitant un minimum de ressources pour la mise en œuvre et la gestion.

Les WAF en nuage sont faciles à déployer, disponibles sur abonnement et ne nécessitent souvent qu’un simple système de nom de domaine (DNS) ou un changement de proxy pour rediriger le trafic des applications.

Bien qu’il puisse être difficile de confier à un fournisseur tiers la responsabilité de filtrer le trafic des applications web d’une organisation, cette stratégie permet de protéger les applications sur un large éventail de sites d’hébergement. En outre, ces fournisseurs tiers disposent des informations les plus récentes sur les menaces et peuvent aider à identifier et à bloquer les dernières menaces à la sécurité des applications.

WAF vs. Pare-Feu

Pare-feu est un terme général désignant un micrologiciel qui défend un réseau informatique en filtrant les paquets de données entrants.

Dans le cadre de cette définition large, il existe plusieurs catégories qui se différencient par le type de protection qu’elles fournissent et la manière dont elles le font:

  • filtrage de paquets
  • inspection d’état
  • proxy
  • NGFW

Un WAF est une autre catégorie de pare-feu qui se différencie par la façon dont il filtre spécifiquement les paquets de données.

Le WAF est unique parce qu’il se concentre uniquement sur les attaquants basés sur le web au niveau de la couche application, alors que d’autres types (tels que le filtrage de paquets et l’inspection) ne sont pas capables de se défendre contre ces attaques.

Un WAF ressemble à un pare-feu proxy, mais il se concentre plus particulièrement sur la logique applicative de la couche 7.

Lecture complémentaire

SIEM : définition et guide pour les débutants

Application Gateway Waf


Avantages du WAF

Avantages par rapport à un pare-feu

Un WAF présente un avantage par rapport aux pare-feu traditionnels

Il offre une plus grande visibilité sur les données d’application sensibles qui sont communiquées à l’aide de la couche d’application HTTP

Il peut prévenir les attaques de la couche applicative qui contournent normalement les pare-feu traditionnels du réseau.

Les attaques prévenues par un WAF

  • Les attaques de type XSS (Cross-site scripting) permettent aux attaquants d’injecter et d’exécuter des scripts malveillants dans le navigateur d’un autre utilisateur.
  • Les attaques par injection de langage de requête structuré (SQL) peuvent affecter toute application qui utilise une base de données SQL. Elles permettent aux attaquants d’accéder à des données sensibles et de les modifier éventuellement.
  • Le piratage de session Web permet aux attaquants de détourner un identifiant de session et de se faire passer pour un utilisateur autorisé. Un ID de session est normalement stocké dans un cookie ou un localisateur de ressources uniformes (URL).
  • Les attaques par déni de service distribué (DDoS) submergent un réseau en l’inondant de trafic jusqu’à ce qu’il soit incapable de servir ses utilisateurs. Les pare-feu de réseau et les WAF peuvent tous deux gérer ce type d’attaque mais leur approche est différente.

Un autre avantage du WAF est qu’il peut défendre les applications web sans nécessairement avoir accès au code source de l’application.

Alors qu’un WAF basé sur l’hôte peut être intégré au code de l’application, un WAF hébergé dans le nuage est capable de défendre l’application sans y avoir accès. En plus, un WAF en nuage est facile à déployer et à gérer. Il fournit des solutions de correctifs rapides qui permettent aux utilisateurs de personnaliser rapidement leurs paramètres pour s’adapter aux menaces nouvellement détectées.

Les attaques prévenues par un WAF

Pourquoi un WAF est important

Un WAF est important pour le nombre croissant d’entreprises qui fournissent des produits sur Internet:

  • banquiers en ligne
  • fournisseurs de plateformes de réseaux sociaux
  • développeurs d’applications mobiles

En effet, il permet d’éviter les fuites de données.

De nombreuses données sensibles, telles que les données des cartes de crédit et les dossiers des clients, sont stockées dans des bases de données back-end accessibles par le biais d’applications web. Les attaquants ciblent fréquemment ces applications pour accéder aux données associées.

Un WAF en complément

Bien que le WAF soit important, il est plus efficace lorsqu’il est associé à d’autres composants de sécurité, notamment les IPS, les IDS et les pare-feu classiques ou de nouvelle génération (NGFW).

Un modèle de sécurité d’entreprise complet positionnerait idéalement :

  • un WAF
  • d’autres types de pare-feu tels que les NGFW
  • des composants de sécurité tels que les IPS et les IDS

WAF commerciaux ou open source ?

Il existe des options WAF commerciales et open source.

  • Les vendeurs commerciaux les plus populaires sont F5, Barracuda et Cloudflare.
  • Les fournisseurs de logiciels libres les plus populaires sont ModSecurity, Naxsi et WebKnight.
Qu'est-ce qu'un pare-feu d'application web ?
Sending
Merci de penser à noter l'article
5 (1 vote)
  • Comment prévenir le piratage domotique de votre maison ?

Mes autres entrées sur le sujet: Cybersécurité

Je vous conseille l'hébergement WPEngine

  • Hébergeur spécialisé dans Wordpress
  • Vitesse et CDN inclus
  • Tous les thèmes StudioPress inclus et gratuits

WPEngine Speed Test

SEMrush est l'outil SEO ultime pour :

  • traquer vos concurrents
  • absorber leurs mots-clés
  • trouver les vôtres
  • dégotter vos backlinks
SEMrush : Audit SEO de site

Utilisez notre moteur de recherche

Qui suis-je ?

DES GEEKS ET DES LETTRES aide les gens à protéger leur liberté en leur fournissant des conseils, des guides et un soutien qui aident les citoyens à protéger leurs communications, leurs actions et leurs discussions numériques. Cela inclut des conseils sur le chiffrage du courrier électronique, la cybersécurité et le cryptage des données.

Notre ambition ? Que les gens aient la liberté de vivre leur vie sans craindre d'être surveillés. Les tendances technologiques sont en constante évolution, et la cybersécurité ne fait pas exception à la règle. Rester informé est un élément crucial pour une utilisation sûre d'internet. Les lecteurs peuvent découvrir ici des sujets importants liés à la sécurité du web, se plonger dans les meilleurs produits de sécurité et mettre en pratique ce qu'ils ont appris.

Leave a Reply

Annuler la réponse

Barre latérale principale

Newsletter

Recevez nos articles dans votre messagerie pour ne rien rater

A lire aussi

Bannière LinkedIn modification

Comment choisir et changer sa bannière LinkedIn

Publié le 20 février 2021

Qwant le moteur de recherche

Qwant : vos recherches neutres, sans suivi, sans filtre

Publié le 8 février 2021

Pages utiles

  • Les auteurs du blog
  • A propos
  • Blog
  • Mentions légales
  • Plan du site
  • Contactez-nous

Je vous conseille l'hébergement WPEngine

  • Hébergeur spécialisé dans Wordpress
  • Vitesse et CDN inclus
  • Tous les thèmes StudioPress gratuits

WPEngine Speed Test

Footer

À propos

Vous êtes surveillé. De multiples organisations privées et publiques surveillent et enregistrent vos activités en ligne.

DesGeeksetdeslettres.com fournit des outils et des connaissances pour protéger votre vie privée contre la surveillance massive mondiale. Ce blog anime depuis 2009 une communauté florissante d'individus soucieux de la protection de la vie privée et s'informe au jour le jour des nouvelles avancées en matière de protection de vos données en ligne.

Notre but : rechercher et recommander les meilleures solutions logicielles pour notre communauté.

→ Les 7 meilleurs émulateurs d’iOS pour PC

La transparence

La transparence est notre plus grande valeur et c’est ce qui nous distingue du reste de la communauté. Les modifications rédactionnelles apportées à ce blog et aux produits que nous recommandons sont toujours discutées dans la section des commentaires, grâce au formulaire de contact ou encore via nos réseaux sociaux comme Facebook ou Twitter.

Ce blog tient à remercier les centaines de lecteurs, contributeurs et vérificateurs de faits qui s’assurent que nos recommandations sont solides et fiables.

De même, nous ne pourrions rien faire sans nos entreprises affiliées ainsi que les membres de la communauté qui aident à partager nos nouvelles et à faire passer le mot. Je vous remercie du fond du coeur!

Recherche

Articles les plus populaires

  • Pirater Netflix
  • Aspirer un site gratuit
  • Erreurs VPN les plus courantes
  • Où trouver ses torrents français
  • Télécharger une vidéo Facebook privée
  • La différence Proxy / VPN

© DES GEEKS ET DES LETTRES blog français depuis 2009 Facebook Twitter Pinterest Newsletter

Desgeeksetdeslettres.com est un site web à vocation populaire qui fournit des informations pour protéger la sécurité et la confidentialité de vos données.

Ne confiez jamais votre vie privée à une entreprise, chiffrez toujours vos données.