Cette rubrique répond aux questions fréquemment posées concernant la fonctionnalité de protection des applications dans Security Center.
Quelle est la différence entre la protection des applications et le WAF ?
La protection des applications RASP (Runtime Application Self-Protection) et le Web Application Firewall (WAF) sont deux technologies distinctes de protection des applications. Le RASP excelle dans la protection contre les attaques ciblant les serveurs, telles que les attaques zero-day et les attaques via un trafic chiffré. Le WAF est particulièrement efficace pour se défendre contre les attaques basées sur le trafic au niveau frontal. Les capacités de sécurité de ces deux technologies sont complémentaires ; nous vous recommandons donc de configurer à la fois la protection des applications et le WAF.
Élément | Protection des applications (RASP) | WAF |
Focus | Sécurise l'application en interne, quelle que soit la source du trafic. | Filtre et bloque les attaques en fonction des signatures de trafic au niveau réseau. |
Périmètre de protection courant | Les deux solutions offrent une défense contre les vulnérabilités web courantes, telles que l'injection SQL, l'exécution de code à distance, l'inclusion de fichiers et les webshells. | |
Spécialisation | Protège contre les vulnérabilités zero-day, les attaques via un trafic complexe encodé ou chiffré, les webshells en mémoire, les menaces hors protocole HTTP et les mouvements latéraux au sein d'un réseau interne. | Protège contre les attaques par déni de service (DoS) (par exemple, les attaques CC), les attaques de robots d'exploration et les scanners, et assure le contrôle d'accès ainsi que la sécurité des API. |
Méthode de détection | Analyse le comportement de l'application pour détecter les attaques. | Met en correspondance et filtre le trafic en fonction des signatures d'attaque. |
Déploiement | Sur le serveur, intégré directement dans l'environnement d'exécution de l'application. | Au niveau de la passerelle périphérique ou en ligne avant le serveur. Non intrusif. |
Impact sur les performances | Consomme des ressources serveur. | Consomme des ressources WAF. Aucun impact sur les performances de l'application ou du serveur d'origine. |
Remédiation | Applique un correctif virtuel et peut identifier la ligne de code exacte exploitée. | Applique un correctif virtuel et signale la signature de la tentative d'exploitation. |
Prévention des vulnérabilités zero-day | Pris en charge par défaut. | Nécessite des règles personnalisées basées sur le modèle d'exploitation spécifique. |
Comment vérifier qu'une application est protégée ?
Connectez-vous à la console Security Center.
Dans le volet de navigation de gauche, choisissez . Dans le coin supérieur gauche de la console, sélectionnez la région de vos actifs : Chinese Mainland ou Outside Chinese Mainland.
Sur la page Application Protection, cliquez sur l'onglet Application Configurations. Localisez le groupe d'applications cible et cliquez sur le nombre affiché dans la colonne Authorized Process.
Dans le panneau des détails de l'instance, consultez la liste des applications protégées.
Si l'identifiant de processus (PID) de votre application apparaît dans la liste, votre application est protégée.
Sur la page Instance Details, vérifiez que le PID de votre serveur cible figure dans le tableau et que la colonne Status affiche l'indicateur vert Online (Autorisé). Cela confirme que l'application est correctement protégée.
La protection des applications a-t-elle un impact sur les performances ?
La protection des applications a un impact minimal sur les performances, la compatibilité et la stabilité du système. Lors des tests de performance, l'activation de la protection des applications a entraîné une surcharge CPU inférieure à 1 %, une utilisation supplémentaire de la mémoire inférieure à 50 Mo et une augmentation de la latence de l'application inférieure à 1 milliseconde.
Pour garantir davantage la stabilité, la protection des applications intègre des mécanismes de sécurité tels qu'un disjoncteur logiciel. Pour plus d'informations, consultez la rubrique Activer la protection des applications.
Comment choisir un mode de protection ?
Les attaques détectées par la protection des applications constituent de réelles menaces de sécurité. Contrairement à la détection traditionnelle basée sur le trafic, le taux de faux positifs est extrêmement faible. Par conséquent, prenez toutes les attaques détectées au sérieux. Par défaut, la protection des applications fonctionne en mode Monitor. Une fois que vous avez vérifié que votre application s'exécute de manière stable, vous pouvez passer en mode Block.
Pourquoi aucune donnée d'attaque n'est-elle affichée ?
Cela peut se produire pour deux raisons :
L'application cible n'est pas entièrement intégrée. Activez à nouveau la protection pour le processus de l'application. Pour plus d'informations, consultez la rubrique Activer la protection des applications.
Aucune attaque réelle n'a eu lieu. Contrairement à un pare-feu traditionnel qui alerte sur la base de signatures malveillantes, la protection des applications ne signale que les attaques vérifiées ayant un impact réel. Par exemple, une attaque exploitant une vulnérabilité PHP est inoffensive dans un environnement Java et ne serait pas signalée. Une attaque vérifiée par la protection des applications signifie qu'un attaquant a probablement contourné vos défenses périmétriques. Bien que vous ne constatiez peut-être pas un volume élevé de ces attaques, chacune d'entre elles constitue un événement critique nécessitant une attention immédiate. Bloquez l'attaque ou corrigez la vulnérabilité sous-jacente.
Quelle est la différence entre la détection des faiblesses et la vérification des mots de passe faibles dans les contrôles de référence ?
La fonctionnalité de détection des faiblesses analyse le comportement d'exécution et la mémoire d'une application pour identifier les risques potentiels. La fonctionnalité de contrôle de référence analyse les configurations système pour détecter les risques de sécurité, tels que les benchmarks CIS, la conformité à la protection classifiée et la détection de fichiers statiques.
Pourquoi l'activation de la protection des applications échoue-t-elle ?
L'activation de la protection peut échouer pour les raisons suivantes :
Si un logiciel antivirus est installé sur l'hôte, il peut mettre en quarantaine l'agent Security Center ou l'agent RASP. Vérifiez votre logiciel antivirus pour le confirmer.
Sur un serveur Linux, vérifiez si le mot de passe du compte root a expiré.
Comment déterminer si mon service est bloqué par la protection des applications ?
Si vous constatez une exception d'exécution AliCloudRaspSecurityException dans les journaux de votre service, cela signifie que le RASP a détecté une menace de sécurité potentielle et a bloqué le processus correspondant. Pour autoriser ce comportement, ajoutez le processus à une liste d'autorisation. Pour plus d'informations, consultez la rubrique Créer des règles de liste d'autorisation.