{"id":55733,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem"},"modified":"2020-02-18T14:03:52","modified_gmt":"2020-02-18T11:03:52","slug":"evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","title":{"rendered":"L'\u00e9volution du Web Application Firewall : des pare-feux r\u00e9seau aux syst\u00e8mes de protection cloud avec apprentissage automatique","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Dans notre pr\u00e9c\u00e9dent article sur le th\u00e8me du cloud, nous ont racont\u00e9<\/a><\/noindex>, avons discut\u00e9 de la protection des ressources informatiques dans le cloud public et pourquoi les antivirus traditionnels ne sont pas tout \u00e0 fait adapt\u00e9s \u00e0 ces fins. Dans ce billet, nous poursuivrons le sujet de la s\u00e9curit\u00e9 dans le cloud et parlerons de l'\u00e9volution des WAF et de ce qu'il est pr\u00e9f\u00e9rable de choisir : mat\u00e9riel, logiciel ou cloud.\u00a0<\/b><\/p>\n

\"L'\u00e9volution
\n<\/p>\n

Qu'est-ce qu'un WAF<\/h3>\n

\nPlus de 75 % des attaques des hackers ciblent les vuln\u00e9rabilit\u00e9s des applications web et des sites : ces attaques sont g\u00e9n\u00e9ralement invisibles pour les infrastructures et services de s\u00e9curit\u00e9 informatique. Les vuln\u00e9rabilit\u00e9s des applications web comportent, \u00e0 leur tour, des risques de compromission et de fraude des comptes et des donn\u00e9es personnelles des utilisateurs, mots de passe, num\u00e9ros de cartes de cr\u00e9dit. De plus, les vuln\u00e9rabilit\u00e9s sur un site web servent de point d'entr\u00e9e pour les cybercriminels dans le r\u00e9seau d'entreprise.<\/p>\n

Un Web Application Firewall (WAF) est un \u00e9cran de protection qui bloque les attaques sur les applications web : injections SQL, scripting intersite, ex\u00e9cution de code \u00e0 distance, attaques par force brute et contournement d'autorisation (auth bypass). Cela inclut les attaques utilisant des vuln\u00e9rabilit\u00e9s zero-day. Les pare-feu applicatifs assurent la protection en surveillant le contenu des pages web, y compris HTML, DHTML et CSS, et en filtrant les requ\u00eates potentiellement malveillantes via HTTP\/HTTPS.
\n<\/a><\/noindex><\/p>\n

Comment \u00e9taient les premi\u00e8res solutions ?<\/h3>\n

\nLes premi\u00e8res tentatives de cr\u00e9er un Web Application Firewall ont eu lieu au d\u00e9but des ann\u00e9es 90. On sait qu'au moins trois ing\u00e9nieurs ont travaill\u00e9 dans ce domaine. Le premier est le professeur d'informatique Gene Spafford de l'Universit\u00e9 Purdue. Il a d\u00e9crit l'architecture d'un pare-feu applicatif avec proxy et a publi\u00e9 celle-ci en 1991 dans le livre \u00ab La s\u00e9curit\u00e9 UNIX en pratique \u00bb<\/a><\/noindex>.<\/p>\n

Le deuxi\u00e8me et le troisi\u00e8me \u00e9taient des sp\u00e9cialistes de la s\u00e9curit\u00e9 informatique, William Cheswick et Marcus Ranum des Bell Labs. Ils ont d\u00e9velopp\u00e9 l'un des premiers prototypes de pare-feu applicatifs. Sa diffusion \u00e9tait assur\u00e9e par la soci\u00e9t\u00e9 DEC \u2014 le produit a \u00e9t\u00e9 lanc\u00e9 sous le nom de SEAL (Secure External Access Link). <\/p>\n

Mais SEAL n'\u00e9tait pas une solution WAF compl\u00e8te. C'\u00e9tait un pare-feu r\u00e9seau classique avec une fonctionnalit\u00e9 \u00e9tendue \u2014 la capacit\u00e9 de bloquer les attaques sur FTP et RSH. Pour cette raison, le premier produit consid\u00e9r\u00e9 comme une solution WAF aujourd'hui est celui de Perfecto Technologies (plus tard Sanctum). En 1999, elle a pr\u00e9sent\u00e9e<\/a><\/noindex> le syst\u00e8me AppShield. \u00c0 l'\u00e9poque, Perfecto Technologies d\u00e9veloppait des solutions de s\u00e9curit\u00e9 pour le commerce \u00e9lectronique, et leur nouveau produit ciblait les magasins en ligne. AppShield \u00e9tait capable d'analyser les requ\u00eates HTTP et de bloquer les attaques en fonction de politiques de s\u00e9curit\u00e9 dynamiques.<\/p>\n

Environ au m\u00eame moment qu'AppShield (en 2002), le premier WAF open source est apparu. Il s'agit de ModSecurity<\/a><\/noindex>. Il a \u00e9t\u00e9 cr\u00e9\u00e9 dans le but de populariser les technologies WAF et est toujours soutenu par la communaut\u00e9 IT (voici son d\u00e9p\u00f4t sur GitHub<\/a><\/noindex>). ModSecurity bloque les attaques sur les applications en se basant sur un ensemble standard d'expressions r\u00e9guli\u00e8res (signatures) \u2014 des outils pour valider les requ\u00eates selon un mod\u00e8le \u2014 OWASP Core Rule Set<\/a><\/noindex>.<\/p>\n

En fin de compte, les d\u00e9veloppeurs ont atteint leur objectif \u2014 de nouvelles solutions WAF ont commenc\u00e9 \u00e0 \u00e9merger sur le march\u00e9, y compris celles bas\u00e9es sur ModSecurity.<\/p>\n

Trois g\u00e9n\u00e9rations \u2014 d\u00e9j\u00e0 de l'histoire<\/h3>\n

\nOn distingue g\u00e9n\u00e9ralement trois g\u00e9n\u00e9rations de syst\u00e8mes WAF, qui ont \u00e9volu\u00e9 avec le d\u00e9veloppement des technologies.<\/p>\n

La premi\u00e8re g\u00e9n\u00e9ration<\/b>. Fonctionne avec des expressions r\u00e9guli\u00e8res (ou des grammaires). ModSecurity en fait partie. Le fournisseur du syst\u00e8me \u00e9tudie les types d'attaques sur les applications et cr\u00e9e des mod\u00e8les qui d\u00e9crivent les requ\u00eates l\u00e9gitimes et potentiellement malveillantes. Le WAF se confronte \u00e0 ces listes et d\u00e9cide quoi faire dans une situation donn\u00e9e \u2014 bloquer le trafic ou pas.<\/p>\n

Un exemple de d\u00e9tection bas\u00e9e sur des expressions r\u00e9guli\u00e8res est le projet d\u00e9j\u00e0 mentionn\u00e9 Core Rule Set<\/a><\/noindex> open source. Un autre exemple est Naxsi<\/a><\/noindex>, qui est \u00e9galement open source. Les syst\u00e8mes bas\u00e9s sur des expressions r\u00e9guli\u00e8res pr\u00e9sentent plusieurs inconv\u00e9nients, notamment lorsqu'il s'agit de d\u00e9tecter une nouvelle vuln\u00e9rabilit\u00e9 o\u00f9 l'administrateur doit cr\u00e9er manuellement des r\u00e8gles suppl\u00e9mentaires. Dans le cas d'une infrastructure IT de grande envergure, le nombre de r\u00e8gles peut atteindre plusieurs milliers. G\u00e9rer un tel volume d'expressions r\u00e9guli\u00e8res est assez difficile, sans parler du fait que leur v\u00e9rification peut r\u00e9duire les performances du r\u00e9seau.<\/p>\n

Les expressions r\u00e9guli\u00e8res pr\u00e9sentent \u00e9galement un niveau d'erreurs assez \u00e9lev\u00e9. Le linguistique c\u00e9l\u00e8bre Noam Chomsky a propos\u00e9 une classification des grammaires, la divisant en quatre niveaux de complexit\u00e9 conditionnels. Selon cette classification, les expressions r\u00e9guli\u00e8res ne peuvent d\u00e9crire que des r\u00e8gles de pare-feu qui ne pr\u00e9voient pas d'\u00e9carts par rapport au mod\u00e8le. Cela signifie que les attaquants peuvent facilement \u00ab tromper \u00bb un WAF de premi\u00e8re g\u00e9n\u00e9ration. L'une des m\u00e9thodes pour y rem\u00e9dier consiste \u00e0 ajouter des caract\u00e8res sp\u00e9ciaux aux requ\u00eates des applications, qui n'affectent pas la logique des donn\u00e9es malveillantes, mais qui violent la r\u00e8gle de signature.<\/p>\n

\"L'\u00e9volution
\n
\nDeuxi\u00e8me g\u00e9n\u00e9ration<\/b>. Pour contourner les probl\u00e8mes de performance et de pr\u00e9cision des WAF, des pare-feu d'applications de deuxi\u00e8me g\u00e9n\u00e9ration ont \u00e9t\u00e9 d\u00e9velopp\u00e9s. Ils sont dot\u00e9s de parseurs charg\u00e9s d'identifier des types d'attaques strictement d\u00e9finis (sur HTML, JS, etc.). Ces parseurs fonctionnent avec des jetons sp\u00e9ciaux d\u00e9crivant les requ\u00eates (par exemple, variable, cha\u00eene, inconnu, nombre). Les s\u00e9quences de jetons potentiellement malveillantes sont mises sur une liste s\u00e9par\u00e9e, que le syst\u00e8me WAF v\u00e9rifie r\u00e9guli\u00e8rement. Cette approche a \u00e9t\u00e9 pr\u00e9sent\u00e9e pour la premi\u00e8re fois lors de la conf\u00e9rence Black Hat 2012 sous forme de biblioth\u00e8que C\/C++\u00a0libinjection<\/a><\/noindex>, qui permet de d\u00e9tecter les injections SQL.<\/p>\n

Compar\u00e9es aux WAF de premi\u00e8re g\u00e9n\u00e9ration, les parseurs sp\u00e9cialis\u00e9s peuvent fonctionner plus rapidement. Cependant, ils n'ont pas r\u00e9solu les difficult\u00e9s li\u00e9es \u00e0 la configuration manuelle du syst\u00e8me face \u00e0 l'\u00e9mergence de nouvelles attaques malveillantes. <\/p>\n

\"L'\u00e9volution
\n
\nTroisi\u00e8me g\u00e9n\u00e9ration<\/b>. L'\u00e9volution dans la logique de d\u00e9tection de la troisi\u00e8me g\u00e9n\u00e9ration r\u00e9side dans l'application de m\u00e9thodes d'apprentissage automatique, permettant de rapprocher au maximum la grammaire de d\u00e9tection de la v\u00e9ritable grammaire SQL\/HTML\/JS des syst\u00e8mes prot\u00e9g\u00e9s. Cette logique de d\u00e9tection est capable d'adapter la machine de Turing pour couvrir des grammaires \u00e9num\u00e9rables r\u00e9cursivement. De plus, la t\u00e2che de cr\u00e9er une machine de Turing adaptable \u00e9tait auparavant insurmontable, jusqu'\u00e0 la publication des premi\u00e8res recherches sur les machines de Turing neuronales.<\/p>\n

L'apprentissage automatique offre une opportunit\u00e9 unique d'adapter n'importe quelle grammaire pour couvrir tout type d'attaque sans avoir \u00e0 cr\u00e9er manuellement des listes de signatures, comme cela \u00e9tait n\u00e9cessaire pour la d\u00e9tection de premi\u00e8re g\u00e9n\u00e9ration, et sans avoir \u00e0 d\u00e9velopper de nouveaux tokenizers\/parsers pour de nouveaux types d'attaques, tels que les injections Memcached, Redis, Cassandra, SSRF, comme l'exigeait la m\u00e9thodologie de deuxi\u00e8me g\u00e9n\u00e9ration. <\/p>\n

En combinant les trois g\u00e9n\u00e9rations de logique de d\u00e9tection, nous pouvons dessiner un nouveau diagramme, o\u00f9 la d\u00e9tection de troisi\u00e8me g\u00e9n\u00e9ration est repr\u00e9sent\u00e9e par un contour rouge (fig. 3). Cette g\u00e9n\u00e9ration inclut l'une des solutions que nous mettons en \u0153uvre dans le cloud en collaboration avec \u00ab Onsec \u00bb, le d\u00e9veloppeur de la plateforme de protection adaptative des applications web et des API Valarm. <\/p>\n

Dans la logique de d\u00e9tection, les retours d'informations des applications sont d\u00e9sormais utilis\u00e9s pour l'auto-ajustement. Dans le cadre de l'apprentissage automatique, ce cycle de r\u00e9troaction est appel\u00e9 \u00ab renforcement \u00bb. Il existe g\u00e9n\u00e9ralement un ou plusieurs types de ce renforcement :<\/p>\n