Pare-feu applicatifs (WAF) : rôles et fonctionnement

Pourquoi votre application web a besoin de plus qu'un pare-feu

Vous disposez d'un pare-feu réseau traditionnel, mais votre application web est toujours attaquée. Pourquoi ? Parce que les pare-feu réseau opèrent aux couches 3 et 4, inspectant les adresses IP et les ports. Ils ne peuvent pas faire la différence entre une requête de connexion légitime et une charge utile d'injection SQL cachée dans un champ de formulaire. C'est là qu'intervient un pare-feu applicatif (WAF).

Un WAF se place entre vos utilisateurs et votre serveur web, analysant le trafic HTTP/HTTPS au niveau de la couche 7. Il inspecte les requêtes et les réponses à la recherche de motifs indiquant des attaques—comme l'injection SQL, le cross-site scripting (XSS) ou les téléchargements de fichiers malveillants—et les bloque avant qu'elles n'atteignent votre application.

Que fait exactement un WAF ?

Considérez un WAF comme un agent de sécurité pour votre trafic web. Ses fonctions principales incluent :

• Filtrage des requêtes malveillantes : Il examine les en-têtes, les cookies, les chaînes de requête et les corps POST à la recherche de signatures d'attaques connues.
• Application de politiques de sécurité : Vous définissez des règles—comme bloquer les requêtes provenant de certains pays ou limiter la taille des requêtes.
• Protection contre le Top 10 de l'OWASP : De nombreux WAF sont livrés avec des ensembles de règles préconfigurés pour atténuer les vulnérabilités courantes telles que l'injection, l'authentification défaillante et l'exposition de données sensibles.
• Limitation de débit et atténuation des bots : Il peut limiter les requêtes excessives provenant d'une seule IP ou bloquer les bots malveillants connus.
• Journalisation et alertes : Il enregistre les requêtes bloquées pour analyse et peut déclencher des alertes en cas d'activité suspecte.

Important : un WAF n'est pas une solution miracle. Il complète les pratiques de codage sécurisé mais ne les remplace pas. Un WAF bien configuré peut toutefois fournir une couche de défense critique, en particulier pour les applications héritées ou lors d'exploits zero-day.

Comment fonctionnent les WAF : les fondements techniques

Les WAF analysent le trafic selon deux méthodes principales : la détection par signature et la détection par anomalie.

Détection par signature

Cette méthode repose sur une base de données de motifs d'attaques connus. Par exemple, une règle peut rechercher la chaîne ' OR '1'='1 dans un paramètre de requête, ce qui est une tentative classique d'injection SQL. Les WAF à signature sont rapides et efficaces contre les menaces connues, mais peuvent manquer des attaques nouvelles.

Détection par anomalie

Les WAF à anomalie établissent une base de référence du trafic normal et signalent les écarts. Par exemple, si un utilisateur soumet soudainement une requête POST de 10 Mo à un point de terminaison de connexion, c'est anormal. Cette approche peut détecter des attaques inconnues mais peut générer des faux positifs.

La plupart des WAF modernes combinent les deux méthodes, souvent en utilisant l'apprentissage automatique pour améliorer la précision. Ils analysent également les requêtes HTTP en composants (méthode, URL, en-têtes, corps) et appliquent des règles à chaque partie.

Options de déploiement : où réside un WAF ?

Vous pouvez déployer un WAF de plusieurs façons, chacune avec des compromis :

Pour la plupart des applications web modernes, un WAF cloud ou une solution basée sur l'hôte comme ModSecurity est le choix pratique. Les WAF cloud sont particulièrement attractifs pour les petites équipes car ils gèrent l'infrastructure et les mises à jour des règles.

Principaux ensembles de règles WAF et l'OWASP Core Rule Set

Si vous utilisez ModSecurity, vous l'associerez probablement à l'OWASP Core Rule Set (CRS). Le CRS est un ensemble de règles de détection d'attaques génériques qui offrent une protection contre le Top 10 de l'OWASP. Il inclut des règles pour :

• Injection SQL
• Cross-site scripting
• Inclusion de fichier local
• Exécution de code à distance
• Injection PHP
• Fixation de session

Cependant, le CRS peut être agressif. Vous devrez l'ajuster pour éviter de bloquer le trafic légitime. Commencez en mode détection seule, examinez les journaux et activez progressivement les règles de blocage.

Comment configurer un WAF de base avec ModSecurity et Nginx

Voici un exemple simplifié de déploiement de ModSecurity avec Nginx sur Ubuntu. Cela vous donne un WAF basé sur l'hôte.

1. Installez ModSecurity et le connecteur Nginx :

   sudo apt install libmodsecurity3 libnginx-mod-http-modsecurity

2. Activez le module dans Nginx : Ajoutez load_module modules/ngx_http_modsecurity_module.so; en haut de /etc/nginx/nginx.conf.
3. Téléchargez l'OWASP CRS :

   git clone https://github.com/coreruleset/coreruleset.git /etc/nginx/modsec/coreruleset

4. Configurez ModSecurity : Créez /etc/nginx/modsec/main.conf avec :

   Include /etc/nginx/modsec/modsecurity.conf
   Include /etc/nginx/modsec/coreruleset/crs-setup.conf
   Include /etc/nginx/modsec/coreruleset/rules/*.conf

5. Activez ModSecurity dans votre bloc serveur :

   server {
       modsecurity on;
       modsecurity_rules_file /etc/nginx/modsec/main.conf;
       ...
   }

6. Testez et rechargez Nginx :

   sudo nginx -t && sudo systemctl reload nginx

Après la configuration, surveillez /var/log/modsec_audit.log pour les requêtes bloquées. Ajustez les règles en ajoutant des exclusions pour les faux positifs.

Limites des WAF et bonnes pratiques

Un WAF n'est pas infaillible. Les attaquants peuvent contourner les WAF en utilisant des astuces d'encodage, de l'obfuscation ou en exploitant des failles logiques que les signatures ne détectent pas. De plus, un WAF ne peut pas protéger contre les attaques qui ne passent pas par HTTP, comme l'accès direct à la base de données.

Pour tirer le meilleur parti de votre WAF :

• Maintenez les règles à jour : De nouvelles vulnérabilités apparaissent régulièrement ; mettez à jour vos ensembles de règles.
• Surveillez et ajustez : Examinez régulièrement les journaux et ajustez les règles pour réduire les faux positifs.
• Utilisez-le dans le cadre d'une stratégie de défense en profondeur : Combinez avec un codage sécurisé, des correctifs réguliers et un accès au moindre privilège.
• Testez votre WAF : Utilisez des outils comme OWASP ZAP ou Burp Suite pour voir si votre WAF bloque les attaques courantes.

FAQ

Un WAF peut-il remplacer les pratiques de codage sécurisé ?

Non. Un WAF est une couche supplémentaire. Il peut bloquer de nombreuses attaques, mais les vulnérabilités de votre code peuvent toujours être exploitées si le WAF est contourné ou mal configuré. Suivez toujours les directives de codage sécurisé.

Un WAF va-t-il ralentir mon site web ?

Il peut ajouter une légère latence, surtout s'il est basé sur le cloud ou effectue une inspection approfondie. Cependant, les WAF modernes sont optimisés, et les avantages en matière de sécurité l'emportent généralement sur l'impact mineur sur les performances. Les WAF basés sur l'hôte comme ModSecurity peuvent être optimisés pour la performance.

Comment choisir entre un WAF cloud et un WAF auto-hébergé ?

Tenez compte de votre budget, de l'expertise de votre équipe et de vos besoins de conformité. Les WAF cloud sont plus faciles à configurer et à mettre à l'échelle, tandis que les WAF auto-hébergés offrent plus de contrôle et gardent les données sur votre infrastructure. Pour les petites équipes, les WAF cloud sont souvent plus pratiques.

Prêt à analyser vos journaux Nginx et voir quelles attaques votre WAF bloque ? Utilisez notre Analyseur de journaux Nginx gratuit pour analyser et visualiser vos journaux rapidement.