Solutions sécurisées de mise à disposition d’applications avec la protection DDoS F5 BIG-IP

Griff ShelleyResponsable marketing produit III

Les embouteillages ne sont jamais agréables. Mais les embouteillages numériques sont probablement encore pires. Combien de fois cela vous est-il arrivé ? Vous saisissez votre identifiant et votre mot de passe pour consulter le solde de votre compte dans l’application mobile de votre banque, mais rien ne s’affiche, si ce n’est l’éternel cercle de chargement. Votre navigateur tente de se connecter au serveur de votre banque tandis que vous attendez, de plus en plus fébrile à chaque seconde.

Malheureusement, ce phénomène est loin d’être rare. Partout dans le monde, les banques, quelle que soit leur taille, subissent des attaques par déni de service distribué (DDoS) à une fréquence alarmante. Et dans une certaine mesure, cela peut se comprendre. Une bonne stratégie de sécurité et de mise à disposition des applications repose sur un ensemble de technologies et de pratiques qui fonctionnent de concert afin d’offrir aux utilisateurs finaux une expérience applicative rapide, fiable et sécurisée. De par leur nature, les applications complexes, comme celles généralement utilisées par les banques, présentent de nombreux vecteurs propices à différents types d’attaques. Rien que l’année dernière, les établissements financiers européens ont enregistré une hausse de 73 % des attaques DDoS par rapport à l’année précédente. Les attaques DDoS — autrement dit, des embouteillages numériques délibérément provoqués par des acteurs malveillants — visent à épuiser les ressources du système jusqu’à ce que le serveur ciblé tombe en panne ou ralentisse au point d’empêcher le trafic légitime d’accéder aux applications dont il a besoin. C’est comme si quelqu’un provoquait délibérément un embouteillage (bien réel) pour vous empêcher d’arriver à l’heure au travail. Il est donc facile de comprendre les conséquences néfastes de ces attaques : pertes de revenus, atteinte à la réputation des entreprises et frustration des clients, qui risquent d’abandonner votre application au profit de celle d’un concurrent si le chargement de votre page ou de votre application prend plus de deux secondes.

La menace croissante : les attaques DDoS volumétriques

C’est là que ces types d’attaques passent du simple mal de tête à la migraine : il existe des dizaines de variantes d’attaques DDoS que des acteurs malveillants peuvent lancer contre une application, en ciblant plusieurs couches du modèle OSI et en semant le chaos aussi bien chez les utilisateurs que chez les fournisseurs d’applications. C’est une sorte de parodie macabre de Baskin-Robbins : 31 parfums de déni de service. Mais la variante d’attaque DDoS la plus courante et la plus exaspérante, particulièrement répandue au niveau de la couche Transport (couche 4 du modèle OSI), est l’attaque DDoS volumétrique. Si les caractéristiques des attaques DDoS volumétriques varient, le résultat reste le même : l’attaquant inonde le serveur cible de trafic afin de saturer son processeur et sa mémoire, provoquant ainsi des dysfonctionnements et une interruption du service pour tout client connecté, qu’il soit légitime ou non. Le plus exaspérant, c’est qu’elles coûtent peu cher et que presque toute personne ayant accès au dark web peut en lancer une. Pour seulement quelques dollars de l’heure, un attaquant peut mettre hors service une application ou un site web, ce qui peut faire perdre aux victimes des millions de dollars de chiffre d’affaires.

Pourquoi ces attaques sont importantes : leur coût

Il va sans dire que ce type d’attaque complique la vie des utilisateurs qui tentent d’accéder aux applications dont ils ont besoin au quotidien. Mais dans ces situations, une autre partie est sans doute encore plus exaspérée : les équipes NetOps et SecOps qui œuvrent en coulisses pour assurer la disponibilité et la sécurité des applications. Pour elles, une attaque DDoS, quelle qu’elle soit, est bien plus qu’un simple désagrément : elle peut perturber un mois entier, bouleverser d’autres projets et nécessiter un temps précieux, des moyens financiers et des ressources humaines considérables pour y remédier.

Au-delà de leur impact financier, le coût humain de ces attaques ne saurait être sous-estimé. Dans certains cas, les attaques DDoS servent de diversion, permettant aux attaquants d’exfiltrer les informations personnelles des utilisateurs depuis les bases de données de leurs victimes, tout en provoquant un déni de service, ce qui aggrave encore les dommages et les perturbations. Des informations permettant d’identifier une personne (PII) tombent entre les mains d’acteurs malveillants, des entreprises respectables perdent la confiance du public, les équipes opérationnelles de tous types consacrent d’innombrables heures au nettoyage ou aux réparations, tandis que les applications qui constituent le cœur de leur activité subissent des indisponibilités prolongées.

Solutions F5 pour une mise à disposition sécurisée des applications

Mais tout n’est pas si sombre. La solution BIG-IP Local Traffic Manager (LTM) de F5 excelle dans le maintien de la disponibilité et du bon fonctionnement des applications face aux attaques DDoS, en faisant office de tampon entre les applications et les utilisateurs malveillants qui tenteraient de les mettre hors service. Si vous déployez déjà BIG-IP LTM dans votre environnement, vous renforcez la protection de la couche réseau (couche 3) et de la couche 4 grâce à sa capacité à détecter et à atténuer les attaques DDoS au niveau des couches réseau et transport. Il est important de noter que, même si BIG-IP LTM offre une excellente solution de sécurité pour ces couches, son déploiement comme unique solution de sécurité ne constitue pas une stratégie globale de sécurité des applications. Pour faire évoluer votre stratégie de mise à disposition des applications afin de contrer plusieurs types de menaces, l’atténuation des attaques visant la couche applicative (couche 7) doit figurer tout en haut, ou presque, de votre liste de priorités.

En raison de leur caractère furtif, ces types d’attaques peuvent compter parmi les plus problématiques, car elles sont notoirement difficiles à détecter à l’aide des mécanismes de défense traditionnels. Alors qu’une attaque DDoS volumétrique visant la couche transport ou réseau peut se manifester par un afflux soudain de trafic, une attaque de couche 7 peut passer inaperçue, se fondant dans le trafic applicatif légitime et gagnant progressivement en intensité jusqu’à submerger le serveur et l’application, empêchant ainsi le traitement des requêtes issues du trafic applicatif légitime.

Protection complète avec BIG-IP Advanced WAF

Ces facteurs peuvent rendre les attaques DDoS de couche 7 particulièrement épineuses pour les équipes NetOps et SecOps, car elles peuvent mettre hors service des pans entiers d’entreprises en ligne tout en restant indétectées plus longtemps que d’autres types d’attaques DDoS. Pour en savoir plus sur les dommages que ces types d’attaques peuvent causer, consultez l’excellent article de mon collègue Jay Kelley sur l’attaque DDoS de couche 7 qui a perturbé les applications Outlook, OneDrive et Portail Azure de Microsoft. Ainsi, si vous avez besoin d’une protection de couche 7 — ce qui est absolument le cas dès lors que vous prenez en charge des applications pour vos utilisateurs — envisagez d’intégrer BIG-IP Advanced WAF à votre stratégie de mise à disposition des applications. Il s’agit d’un pare-feu d’applications Web (WAF) dédié qui complète tout déploiement BIG-IP LTM, garantissant ainsi une stratégie de sécurité des applications couvrant davantage de couches et vous offrant, ainsi qu’à vos utilisateurs, une tranquillité d’esprit accrue. Pour en savoir plus sur les différents types d’attaques DDoS et les couches du modèle OSI qu’elles affectent, consultez le guide de la CISA sur les attaques DDoS. Si vous souhaitez évaluer les fonctionnalités de BIG-IP Advanced WAF, contactez notre équipe commerciale pour demander une démonstration.

À propos de l’auteur

Griff ShelleyResponsable marketing produit III

Autres articles de Griff Shelley