Déployez WAF à la périphérie du réseau et RASP au sein de l'environnement d'exécution de l'application pour mettre en place une défense en profondeur contre les attaques web.
Alibaba Cloud propose deux niveaux de protection :
Web Application Firewall (WAF) — filtre le trafic malveillant à la périphérie du réseau.
Runtime Application Self-Protection (RASP) — détecte les attaques depuis l'intérieur de l'environnement d'exécution de l'application.
Déployez ces deux solutions conjointement pour assurer une défense en profondeur.
Menaces courantes pesant sur les applications web
Les applications web qui acceptent des saisies utilisateur constituent des cibles potentielles. Les attaquants exploitent des failles telles qu'une validation incorrecte des paramètres ou l'exécution dynamique de code.
|
Menace |
Description |
|
Injection SQL |
L'exécution de code SQL malveillant dans les champs de saisie permet d'effectuer des opérations non autorisées sur la base de données afin de voler, modifier ou supprimer des données. |
|
Cross-site scripting (XSS) |
Des scripts malveillants injectés dans les pages web s'exécutent dans le navigateur d'autres utilisateurs, entraînant un détournement de session et des fuites de données. |
|
Téléchargement de Webshell |
Les attaquants exploitent les vulnérabilités liées au téléchargement de fichiers pour placer un webshell sur le serveur et en prendre le contrôle à distance. |
|
Injection de commandes |
Des commandes système d'exploitation injectées via les entrées de l'application permettent d'exécuter des commandes arbitraires sur le serveur. |
|
Traversal de chemin |
La manipulation des références de chemin d'accès aux fichiers permet d'accéder à des fichiers et répertoires situés en dehors du périmètre prévu. |
|
Inclusion de fichier |
L'inclusion locale ou distante de fichiers force l'application à charger et exécuter des fichiers non désirés. |
|
Cross-site request forgery (CSRF) |
Cette technique incite les utilisateurs authentifiés à soumettre des requêtes non intentionnelles qui exécutent des actions à leur insu. |
Architecture de défense : WAF + RASP
WAF et RASP assurent la protection à différents niveaux. Leur combinaison permet de couvrir les menaces qu'aucune des deux solutions ne pourrait traiter isolément.
|
Niveau |
Technologie |
Fonctionnement |
Protège contre |
|
Périphérie du réseau (première ligne de défense) |
WAF |
Inspecte les requêtes et réponses HTTP/HTTPS avant qu'elles n'atteignent l'application. S'appuie sur des règles actualisées et une analyse basée sur l'IA pour bloquer les modèles d'attaque connus. |
Injections SQL, XSS, signatures d'exploits connues, modèles de requêtes malveillantes |
|
Environnement d'exécution de l'application (deuxième ligne de défense) |
RASP |
S'intègre directement dans l'environnement d'exécution de l'application (comme une JVM). Intercepte les fonctions clés pour surveiller le comportement réel de l'application. |
Vulnérabilités zero-day, attaques via trafic chiffré, webshells en mémoire, attaques contournant la détection au niveau réseau |
Première ligne de défense : WAF
WAF inspecte tout le trafic HTTP/HTTPS entrant. Ses règles constamment mises à jour et son analyse basée sur l'IA bloquent les modèles d'attaque connus avant que les requêtes n'atteignent les serveurs backend.
Sélectionnez une édition WAF
Sélectionnez une édition WAF en fonction de l'échelle de votre site web et du volume de trafic.
|
Édition |
Cas d'utilisation |
|
Pro |
Petits et moyens sites web sans exigences de sécurité particulières |
|
Business |
Sites web d'entreprise exposés sur Internet avec des exigences de sécurité élevées |
|
Enterprise |
Grands sites web d'entreprise à fort trafic ou avec des exigences de sécurité personnalisées |
Consultez Plans et éditions WAF pour une comparaison détaillée.
Connectez le site web à WAF
WAF 3.0 prend en charge trois types de connexion.
|
Type de connexion |
Fonctionnement |
Idéal pour |
Guide de configuration |
|
Pointez l'enregistrement DNS du domaine vers l'adresse CNAME de WAF. Tout le trafic public transite par WAF avant d'atteindre le serveur. |
Tout serveur d'origine accessible via Internet, hébergé sur Alibaba Cloud, d'autres clouds ou en local. |
||
|
Intègre directement les services Alibaba Cloud avec WAF. Aucune modification DNS n'est requise. |
Services Alibaba Cloud : ECS, ALB, CLB, NLB, API Gateway (APIG), Microservices Engine (MSE), Function Compute (FC) et Serverless App Engine (SAE). |
||
|
Déployez le plugin SDK WAF sur une passerelle auto-gérée telle que Nginx ou APISIX. Le trafic est copié vers un cluster WAF en mode bypass pour la détection sans redirection. |
Déploiements cloud hybrides avec des serveurs web locaux. |
-- |
Remarque : Le mode d'enregistrement CNAME fonctionne pour tout serveur d'origine, quel que soit son emplacement d'hébergement. Le mode cloud natif offre la configuration la plus simple pour les services Alibaba Cloud. Utilisez le mode cloud hybride lorsque le trafic ne peut pas être redirigé via un cluster WAF externe.
Deuxième ligne de défense : RASP
WAF filtre le trafic à la périphérie du réseau, mais certaines attaques échappent à la détection au niveau réseau. Le trafic chiffré, les exploits zero-day et les charges utiles conçues pour contourner les règles basées sur les signatures peuvent passer inaperçus.
RASP s'intègre directement dans l'environnement d'exécution de l'application, par exemple en tant que sonde JVM, et intercepte les fonctions clés pour surveiller le comportement d'exécution. Lorsqu'une requête déclenche une interrogation de base de données, RASP analyse l'instruction SQL réelle, et non seulement la requête réseau. Ce contexte d'exécution rend RASP efficace contre les menaces que WAF ne peut pas détecter seul.
Menaces détectées par RASP mais potentiellement manquées par WAF
|
Menace |
Pourquoi WAF peut la manquer |
Comment RASP la détecte |
|
Vulnérabilités zero-day |
Aucune signature correspondante dans la bibliothèque de règles. |
Surveille le comportement d'exécution pour détecter les appels de fonction anormaux, indépendamment de l'exploit utilisé. |
|
Attaques via trafic chiffré |
Impossible d'inspecter les charges utiles chiffrées de bout en bout. |
Opère après le déchiffrement, en voyant les données réellement traitées. |
|
Webshells en mémoire |
Aucun fichier écrit sur le disque, ce qui rend la détection basée sur les fichiers inefficace. |
Intercepte les opérations mémoire et les appels de fonction pour détecter le code malveillant en mémoire. |
|
Attaques par désérialisation |
Les charges utiles malveillantes dans les objets sérialisés peuvent ne pas correspondre aux signatures WAF. |
Surveille les fonctions de désérialisation et bloque l'exécution de code inattendu. |
Déployez RASP
Activez RASP via la protection des applications de Security Center. RASP se déploie sous forme de sonde ou de module dans l'environnement d'exécution de l'application. Consultez Connexion à la protection des applications.
Comparaison entre WAF et RASP
|
WAF |
RASP |
|
|
Niveau de protection |
Périphérie du réseau |
Environnement d'exécution de l'application |
|
Méthode de détection |
Inspection du trafic HTTP/HTTPS basée sur des règles et l'IA |
Surveillance du comportement d'exécution via l'interception de fonctions |
|
Déploiement |
Externe à l'application (modification DNS, intégration cloud native ou plugin SDK) |
Intégré dans l'environnement d'exécution de l'application (sonde JVM) |
|
Atout |
Bloque les modèles d'attaque connus avant qu'ils n'atteignent l'application |
Détecte les exploits zero-day, les attaques via trafic chiffré et les menaces en mémoire |
|
Limite |
Ne peut pas détecter les attaques qui contournent la correspondance de signatures ou se cachent dans le trafic chiffré |
Protège uniquement l'application dans laquelle il est intégré |
|
Configuration |
Déployez WAF pour filtrer les attaques connues à la périphérie du réseau, et ajoutez RASP pour intercepter les menaces qui échappent à la détection au niveau réseau. Ensemble, ils offrent une protection en couches, de la bordure du réseau jusqu'à l'environnement d'exécution de l'application.