Ailos Cooperative renforce la sécurité des applications et des API avec F5
La coopérative brésilienne Ailos a une stratégie de transformation numérique visant à étendre les services financiers qui favorisent la croissance économique des particuliers, des entreprises et des centres urbains. L’objectif est d’atteindre 2 millions de clients d’ici 2025. Réputée pour son innovation, Ailos a été le pionnier des transferts instantanés et gratuits, antérieurs à PIX, le système de paiement instantané de la Banque centrale brésilienne. L'organisation protège ses actifs numériques avec F5 Distributed Cloud Services.
Défi commercial
Fondée il y a 20 ans à Santa Catarina, au Brésil, la coopérative Ailos sert 1,6 million de clients dans tout le pays. Dans des villes comme Presidente Getúlio, 90 % de la population sont des clients d'Ailos. Reconnaissant leur rôle dans cet écosystème, les dirigeants d’Ailos ont réorganisé les processus et les applications pour améliorer l’expérience du service client. Ils se sont également concentrés sur la construction d’une infrastructure évolutive pour soutenir l’expansion commerciale future de la coopérative.
Dans le cadre de ce parcours, l’environnement bancaire principal d’Ailos s’appuie sur une application monolithique héritée qui coexiste avec des applications cloud modernes sur AWS et Azure. La Coopérative s’appuie également sur MuleSoft, une plateforme cloud native qui facilite la publication d’API. Les clients accèdent à ces applications et services via le site Web et l'application mobile d'Ailos.
Les processus de développement, de publication et de consommation d’applications et d’API de la coopérative Ailos adhèrent aux meilleures pratiques DevSecOps. Alors que l’équipe Ailos conçoit les applications, le développement se fait en collaboration avec des partenaires tiers et doit répondre aux exigences hautement agiles du secteur des services financiers. Pour garantir l’intégrité des données, l’entreprise avait besoin d’une solution multicloud qui offrirait une visibilité et un contrôle consolidés pour toutes ses API et applications, quel que soit l’endroit où elles étaient déployées.
De plus, la sécurité des données critiques qui résident sur site et dans le cloud nécessite une plateforme intégrée capable de servir l’infrastructure distribuée de l’organisation. La latence était un facteur clé dans le choix d’une solution. Par exemple, si un homme d’affaires de Santa Catarina se rendait en Allemagne, la plateforme Ailos en Europe devrait offrir des performances comparables à celles observées au Brésil.
Enfin, les dirigeants d’Ailos ont concentré leurs futurs investissements technologiques sur le SaaS et les logiciels afin de réduire les dépenses d’investissement. Ils visaient à traiter toutes les ressources, y compris la sécurité numérique, comme des logiciels pour améliorer la flexibilité et l’efficacité de la gestion. En adoptant une plate-forme de sécurité et de performance basée sur un logiciel capable de fournir des informations sur l'ensemble des applications héritées et des API modernes, Ailos visait à rationaliser la gestion de son environnement en pleine croissance et à éliminer progressivement les tâches de gestion manuelles à forte intensité de main-d'œuvre sur diverses plates-formes. Ailos a lancé un appel d'offres début 2023 pour trouver la bonne solution pour atteindre ces objectifs ambitieux.
Solution
Pendant des années, la coopérative Ailos s'est appuyée sur F5 BIG-IP Local Traffic Manager (LTM) et F5 BIG-IP Application Security Manager (ASM) pour garantir les performances et la sécurité de son application principale. Cependant, l’essor des applications modernes et la prolifération des API ont fait naître la nécessité d’adopter un modèle de sécurité axé sur le cloud. Après avoir mené plusieurs évaluations de preuve de concept (POC) avec plusieurs fournisseurs, les dirigeants d'Ailos ont choisi de déployer F5 Distributed Cloud Services pour protéger 200 applications et des milliers d'API.
Les services déployés par Ailos incluent F5 Distributed Cloud Network Connect, Distributed Cloud DNS Load Balancer et Distributed Cloud App Stack. Cette infrastructure est déployée dans un modèle SaaS hybride. Pour les applications publiques, Distributed Cloud Network Connect fournit une prestation de services basée sur SaaS entre les clouds publics AWS, Azure et MuleSoft sur le réseau mondial F5 vers les sites régionaux Edge gérés par F5, garantissant un support continu pour les processus dépendant des clouds publics Ailos.
Pendant ce temps, dans les centres de données sur site, Ailos a choisi de déployer un progiciel F5 Customer Edge (CE) pour prendre en charge l'application sur site de l'entreprise, supprimant ainsi toute dépendance vis-à-vis des sites Regional Edge pour la prestation de services tout en garantissant que l'application n'est pas annoncée publiquement sur Internet. Le CE fonctionne de manière automatisée, à l'image d'un mini-PoP dans les centres de données Ailos. La gestion du cycle de vie de ces instances est gérée depuis la console SaaS centrale. Ensemble, ces modèles de déploiement offrent une approche hybride pour protéger et améliorer les performances de l’ensemble du catalogue d’applications et d’API Ailos.
L'infrastructure cloud mondiale F5 garantit performances et sécurité aux clients Ailos du monde entier. Qu'ils accèdent au centre bancaire Ailos depuis Santa Catarina ou Berlin, les clients interagissent via le site Web ou l'application de l'entreprise. L'accès est rigoureusement filtré et vérifié par plusieurs instances de services cloud distribués, qui utilisent l'IA et l'apprentissage automatique (ML) pour des analyses comportementales précises, garantissant des performances optimales tout en protégeant l'expérience numérique. Par la suite, le trafic est acheminé vers un cloud privé ou public Ailos, où les applications et les API sont traitées pour répondre aux besoins des clients. La solution F5 Distributed Cloud Web Application and API Protection (WAAP) joue un rôle crucial dans l'identification et la lutte contre les attaques potentielles sur les applications et les API Ailos.
L’importance stratégique des API au sein de l’écosystème numérique Ailos a également conduit à la mise en œuvre de la sécurité des API Cloud distribuées avec des capacités de découverte d’API. Cette plateforme cloud native fonctionne 24h/24 et 7j/7, fournissant des informations complètes sur les API publiées et consommées dans le monde entier. L’une de ses principales caractéristiques est sa capacité à identifier les API fantômes (API non conformes et souvent non documentées ou non prises en charge en cours d’utilisation) tout en distinguant les API légitimes essentielles à l’entreprise. Les contrôles automatisés empêchent les développeurs d'Ailos d'accéder aux API tierces qui pourraient compromettre la sécurité.
Dans le cadre de la migration vers les services cloud distribués, Ailos a remanié ses politiques de sécurité pour établir une gestion durable de ses réseaux distribués, de ses applications et de ses API. Cette transition aidera Ailos à terme à abandonner son application monolithique et à s’appuyer uniquement sur des systèmes basés sur le cloud.
Résultats
Réduisez de 75 % le temps consacré à la gestion d’environnements divers et distribués.
L'introduction de F5 Distributed Cloud Services a marqué le début d'une nouvelle ère pour Ailos, simplifiant la gestion des environnements hétérogènes et distribués via une plate-forme unique. La solution fournit des informations sur les applications et les API de l'ensemble de l'infrastructure réseau, depuis les environnements sur site hébergeant le cœur bancaire d'origine jusqu'aux clouds publics AWS, Azure et MuleSoft.
« Nous avons commencé par une analyse des risques actuels et futurs de notre environnement et, à partir de là, nous avons cherché une solution qui soutiendrait l'expansion de notre activité », explique Sidnei Fernando da Silveira, CISO chez Ailos. « Nous avons conclu qu’une solution intégrée avec une faible complexité administrative était essentielle. F5 Distributed Cloud Services s'est avéré être une solution fiable, améliorant la productivité de notre équipe et offrant une visibilité complète des différents environnements, le tout géré à partir d'une seule plateforme.
L’analyse de Daniel Devegili, analyste en sécurité de l’information chez Ailos, indique une réduction de 75 % du temps consacré à la gestion des multiples environnements de l’entreprise. Il explique : « Avant d’adopter F5 Distributed Cloud Services, nous devions exploiter quatre plateformes différentes et ensuite effectuer des actions manuelles pour corréler les données générées par chaque tableau de bord afin d’avoir une vue holistique de l’environnement. »
Obtenez une visibilité API de 100 %
L’une des principales préoccupations était de renforcer la sécurité des API des services financiers d’Ailos, qui sont confrontées à des menaces croissantes. « Une réaffectation budgétaire a été effectuée pour inclure dans l'appel d'offres des technologies dynamiques et automatisées permettant d'identifier et de bloquer les API malveillantes », a déclaré Silveira.
« Avec F5 Distributed Cloud API Security, l'équipe de cybersécurité d'Ailos a obtenu une visibilité à 100 % des API », déclare Devegili. Plusieurs types d’attaques, notamment les attaques DDoS, ciblent les API. La solution F5 agit de manière prédictive pour identifier ces menaces, en distinguant même les API fantômes des API légitimes. Le blocage automatisé rationalise le travail des développeurs Ailos, qui peuvent désormais consommer des API pré-vérifiées par F5.
De plus, les responsables d'Ailos bénéficient désormais d'une visibilité quotidienne sur les environnements sur site et dans le cloud public ainsi que sur les applications et API associées. Grâce à un tableau de bord unique, ils peuvent effectuer des analyses granulaires et optimiser les ressources de leur application. Cette approche simplifiée permet à l’équipe de se concentrer sur l’innovation et l’amélioration des services financiers numériques sécurisés.
Ailos peut également comparer les gains obtenus en migrant vers les services cloud distribués F5 à partir de la précédente solution matérielle de la coopérative. Devegili déclare : « L'entreprise est désormais passée de la visibilité à l'observabilité dans laquelle les données de plusieurs plateformes sont croisées dans F5 Distributed Cloud Services, générant un diagnostic précis et granulaire de ce qui se passe avec les API de l'entreprise. »
Accélérez la publication d’applications et d’API de 120 %
La dépendance de l’entreprise aux pages Web et aux applications pour les transactions financières fait du développement de logiciels le cœur de son activité. C’est pourquoi Silveira considère l’établissement d’un pipeline de développement aligné sur les meilleures pratiques DevSecOps comme l’un des principaux fronts de cybersécurité de son entreprise. « Aujourd’hui, 60 % de nos efforts sont concentrés sur ce domaine. Les questions de protection des infrastructures sont bien traitées et représentent donc 40 % de notre attention.
Distributed Cloud WAAP a été déployé dans le cadre d’une stratégie plus large visant à renforcer la sensibilisation des développeurs à la sécurité des applications et des API. L’automatisation qui en résulte garantit que les développeurs n’auront accès qu’aux composants logiciels qui ont déjà été vérifiés et autorisés à être utilisés dans le pipeline de développement de l’entreprise par Distributed Cloud API Security.
Selon Devegili, le résultat de cette stratégie a accéléré la publication sécurisée des applications et des API Ailos. Il déclare : « Nous avons obtenu un gain de 120 % dans la vitesse du processus de publication des applications et des API. »
- Réduisez de 75 % le temps consacré à la gestion d’environnements divers et distribués.
- Obtenez une visibilité API de 100 %
- Accélérez la publication d’applications et d’API de 120 %
- Sécuriser un environnement multi-cloud pour les applications et les API
- Identifier et bloquer automatiquement les API malveillantes
- Développement rapide et sécurisé d'applications et d'API