Au cours des cinq dernières années, F5 NGINX a eu le plaisir de proposer à ses clients le module WAF NGINX ModSecurity pour NGINX Plus, offrant une protection contre les catégories courantes de vulnérabilités grâce à l’ensemble de règles de base OWASP ModSecurity (CRS). Toutefois, en raison de récents changements concernant la prise en charge de ModSecurity WAF par des tiers, nous avons le regret d’annoncer que NGINX ModSecurity WAF arrivera en fin de vie (EoL) le 31 mars 2024.
Notre décision s’explique en partie par la récente annonce de Trustwave, l’organisation qui assure la maintenance de ModSecurity, selon laquelle, à compter du 1er juillet 2024, elle cessera de :
- Cesser de prendre en charge le code open source de ModSecurity et le WAF
- Rendre à la communauté open source la responsabilité de la maintenance du code ModSecurity
- Ne plus fournir de règles commerciales
Par ailleurs, bien que le projet OWASP ModSecurity Core Rule Set (CRS) prévoie de continuer à prendre en charge ModSecurity, il réoriente ses efforts vers un nouveau WAF appelé Coraza, car les actions de Trustwave et son annonce concernant la modification de la prise en charge suscitent des inquiétudes quant à la viabilité du projet ModSecurity.
NGINX ModSecurity WAF repose sur la version open source de ModSecurity v3 et bénéficie de notre assistance et de nos tests, qui garantissent le bon fonctionnement du module NGINX ModSecurity WAF avec NGINX Plus. Toutefois, nous n’assurons pas la maintenance du code de ModSecurity lui-même, et l’absence de support de Trustwave, conjuguée à la baisse des contributions au projet open source ModSecurity, laisse les clients de NGINX Plus avec un produit susceptible de ne pas répondre à leurs exigences en matière de sécurité et de stabilité.
NGINX est arrivé en fin de commercialisation (EoS) et a cessé de vendre NGINX ModSecurity WAF le 1er avril 2022. Si vous êtes client et disposez d’une licence active, vous pouvez renouveler votre abonnement et bénéficier d’une assistance complète, y compris des mises à jour du package NGINX ModSecurity WAF, jusqu’à la date de fin de vie (EoL), fixée au 31 mars 2024. NGINX prévoit de proposer des mises à jour du package NGINX ModSecurity jusqu’au 31 mars 2024, afin de laisser aux clients suffisamment de temps pour migrer vers une nouvelle solution. Votre responsable de compte vous contactera directement pour discuter de vos futurs besoins en matière de solution de sécurité des applications. Si vous souhaitez contacter votre responsable de compte à tout moment, veuillez nous contacter. Depuis le 1er avril 2023, aucun renouvellement supplémentaire n’est accepté.
L’engagement en faveur de l’open source reste au cœur de l’ADN de NGINX
Bien que le produit NGINX ModSecurity WAF arrive en fin de vie, nous restons déterminés à participer à la communauté open source et à la soutenir. NGINX accorde une grande importance à la collaboration et à l’innovation des membres de la communauté open source qui œuvrent à faire progresser et à améliorer la technologie. Nous sommes convaincus que l’open source favorise une adoption plus large des principes fondamentaux de sécurité et profite à tous en réduisant la surface d’attaque de l’infrastructure applicative mondiale.
Conformément à ces valeurs, NGINX continue de piloter les projets NGINX Open Source et NGINX Unit. Nous sommes très fiers de nos efforts en matière de sécurité, tout en reconnaissant qu’une équipe plus large est nécessaire pour sécuriser le tissu technologique sur lequel nous comptons tous de plus en plus au quotidien. À ce titre, nous sommes heureux de soutenir des projets open source qui renforcent directement la sécurité d’Internet, notamment en parrainant les projets OWASP Core Rule Set (CRS), Let’s Encrypt et Open SSL.
La transformation numérique a-t-elle modifié vos besoins en matière de sécurité ?
Vous avez peut-être initialement choisi NGINX ModSecurity WAF comme version prise en charge du WAF open source ModSecurity afin de protéger vos applications contre les grandes catégories de vulnérabilités à l’aide de l’OWASP CRS, ou de respecter les exigences de conformité PCI DSS dans le cadre d’une mise en œuvre WAF standard. Toutefois, au cours des deux dernières années, la pandémie de COVID‑19 a contraint les organisations à accélérer leur transformation numérique pour répondre à la demande, alors que les entreprises comme les consommateurs se sont tournés vers l’achat et la consommation en ligne de biens et de services.
Face à la multiplication des cyberattaques visant les applications web et les API, le moment est peut-être venu de réévaluer vos attentes envers un WAF et de mettre en œuvre un niveau plus complet de protection, de fiabilité et de performances, indispensable pour stimuler la croissance de votre entreprise. Nous proposons F5 NGINX App Protect WAF comme solution de sécurité alternative capable d’évoluer avec votre entreprise.
NGINX App Protect WAF – Sécurité avancée pour vos applications et API modernes
NGINX App Protect WAF offre plusieurs avantages :
- NGINX App Protect WAF repose sur le moteur Advanced WAF de F5, éprouvé sur le terrain depuis des décennies par des milliers d’entreprises clientes. Si vous déployez d’autres produits F5, vous bénéficiez d’un point de contact unique pour l’assistance relative à l’ensemble de notre gamme de solutions de sécurité, avec notamment des corrections rapides des bogues et des mises à jour des règles, ainsi que la possibilité d’influer sur notre feuille de route à long terme. En outre, vous pouvez facilement transférer les règles WAF entre les solutions F5 afin de garantir une protection cohérente sur l’ensemble de votre infrastructure.
- Les règles ModSecurity par défaut sont écrites et maintenues par des membres de la communauté open source et sont conçues pour couvrir les vulnérabilités courantes. Les règles de NGINX App Protect WAF reposent sur le large éventail de vulnérabilités et de rapports sur les menaces suivis par F5 Labs. Il en résulte un ensemble de règles plus complet, offrant une meilleure protection des applications pour faire face à l’évolution des menaces.
- Les règles ModSecurity impliquent l’évaluation d’expressions régulières. Ainsi, chaque contrôle supplémentaire que vous activez dégrade directement les performances, vous obligeant à choisir entre de bonnes performances et une protection complète. Les règles NGINX App Protect WAF sont précompilées en bytecode afin d’offrir des performances élevées, quel que soit le nombre de règles activées.
- NGINX App Protect WAF est indépendant de la plateforme, avec une faible empreinte et des besoins limités en ressources, ce qui en fait la solution idéale pour les déploiements dans le cloud.
- NGINX App Protect WAF répond aux besoins des équipes DevOps grâce à des politiques déclaratives pour la « sécurité en tant que code » et à une intégration facile dans votre chaîne d’outils CI/CD.
- NGINX App Protect WAF fournit des contrôles de sécurité cohérents pour les applications web, les microservices, les conteneurs et les API.
Découvrez pourquoi le vendeur de pneus automobiles Reifen.com a choisi NGINX App Protect WAF plutôt que NGINX ModSecurity WAF lorsqu’il a dû améliorer ses performances en ligne et respecter les normes internes et externes en matière de sécurité et de conformité. Comme l’explique Sascha Petranka, consultant e-commerce auprès de Reifen.com : « Nous avons décidé d’opter pour NGINX App Protect WAF, car cette solution nous offrait les meilleures performances, la meilleure solution à long terme et l’expertise combinée de NGINX et de F5. »
Dynamisez votre entreprise grâce à une sécurité optimale des applications
NGINX App Protect WAF peut aider votre organisation à améliorer la sécurité et les performances de ses applications et API, tout en rapprochant les équipes DevOps et SecOps. Cette solution de sécurité légère permet aux entreprises de se protéger contre les attaques ayant un impact sur leur chiffre d’affaires, le vol de données, les atteintes à leur réputation et le non-respect des réglementations. Pour essayer NGINX App Protect WAF, commencez un essai gratuit de 30 jours ou contactez-nous pour discuter de vos cas d’usage.
À propos de l’auteur
Articles de blog associés
Tendances actuelles des technologies cloud natives, de l’ingénierie de plateforme et de l’IA
Découvrez les principaux enseignements tirés des réponses à l’enquête annuelle F5 NGINX sur les dernières tendances en matière de technologies cloud natives, de sécurité, d’ingénierie de plateforme et d’IA.
Quels contrôleurs Ingress NGINX sont affectés par les vulnérabilités CVE-2022-4886, CVE-2023-5043 et CVE-2023-5044 ?
Lorsque de nouvelles CVE sont signalées, il est facile de ne plus savoir si elles concernent un outil de contrôleur Ingress NGINX particulier, car il existe plusieurs projets. Cet article présente les CVE et explique comment distinguer les différents projets de contrôleurs Ingress afin de dissiper toute confusion.
Votre API est-elle en temps réel ? Testez sa latence avec l’outil rtapi de NGINX
Votre API répond-elle aux requêtes en moins de 30 ms ? Si ce n’est pas le cas, il ne s’agit pas d’une API en temps réel offrant la faible latence exigée par la grande majorité des organisations. Mesurez la latence de votre API avec l’outil rtapi de NGINX et découvrez comment NGINX peut l’aider à offrir une réactivité en temps réel.
Un testeur d’expressions régulières pour NGINX et NGINX Plus
Le testeur d’expressions régulières (regex) pour NGINX et NGINX Plus vous évite de tâtonner en vous indiquant si une expression régulière utilisée dans un bloc location ou map correspond aux valeurs comme prévu. Il génère la configuration appropriée et affiche les valeurs des groupes de capture.
Caches partagés avec les clusters de cache NGINX Plus, partie 1
Optimisez la capacité de votre cache web en le répartissant entre plusieurs serveurs de cache web NGINX ou NGINX Plus. Découvrez comment procéder dans cet article.
Introduction aux microservices
Les microservices suscitent actuellement beaucoup d’intérêt. Cet article de blog est le premier d’une série de sept consacrée à la conception, au développement et au déploiement de microservices.