Services Cloud distribués : mise à niveau de la sécurité sans effort pour F5.com
Après plus de cinq ans de protection du site Web F5.com avec les services de sécurité gérés F5 Silverline, l'entreprise a migré vers les nouveaux et plus puissants services cloud distribués F5. La transition, invisible pour les utilisateurs, a amélioré la sécurité et la visibilité tout en offrant un accès facile à une multitude de fonctionnalités supplémentaires de produits et de services gérés.
Défi commercial
Les annonces de fin de vie de technologies populaires peuvent faire grimacer les équipes informatiques. C’est une réalité difficile de la vie qui nécessite une transition, mais qui ne doit pas nécessairement causer de maux de tête.
Par exemple, avec le retrait des services de sécurité gérés F5 Silverline prévu pour 2025, F5 lui-même devait migrer ses sites Web mondiaux sur le domaine F5.com vers la protection et les capacités supérieures des services cloud distribués F5. D’autres portails F5 populaires, tels que NGINX.com, étaient déjà protégés par des services cloud distribués lorsque l’opportunité du site phare s’est présentée.
« Nous comprenons les préoccupations de nos clients en matière de transition, car nous devons parfois le faire nous-mêmes », explique Melinda Hansell, directrice principale du marketing de F5 responsable du site Web.
Le package de solutions de sécurité gérées connu sous le nom de Distributed Cloud Web Application and API Protection (WAAP) a été sélectionné comme remplacement approprié. La migration concernait les sites en langues étrangères de l'entreprise dans le monde entier ainsi qu'en Amérique du Nord, tous hébergés sur des serveurs cloud publics, y compris le site Web de l'entreprise en Chine, qui se trouve derrière le projet Golden Shield de la Chine, parfois appelé son « Grand pare-feu ». Le changement affecterait quatre environnements différents, du développement et des tests à la préparation et à la production. Chacun impliquait des configurations différentes en matière d’accès et de sécurité.
Parce qu’une transition en douceur était primordiale, la planification a commencé fin 2023. Les principales préoccupations comprenaient le maintien d’une sécurité constante face aux attaques de routine tout en évitant tout impact même momentané sur les clients ou les autres utilisateurs pendant la transition.
Bien qu’ils ne soient pas une cible particulièrement fréquente de cyberattaques, les sites sont certainement confrontés aux attaques automatisées et autres qui ont frappé la plupart des organisations ces dernières années. « Des attaques DDoS majeures avec un trafic très élevé nous frappent environ tous les deux mois et sont écrasées », explique Ilia Lebedenko, responsable informatique senior. Les attaques mineures sont plus fréquentes. L’atténuation des attaques DDoS est donc devenue un élément important de la solution.
L'équipe de projet impliquée n'avait aucun contact préalable ni aucune connaissance des services cloud distribués. Elle a donc dû faire face à une courbe d'apprentissage liée aux capacités, aux exigences, aux risques et aux impacts de la solution.
Solutions
Le déploiement initial comprenait un pare-feu d'application Web (WAF) dans le cloud distribué et une atténuation des attaques DDoS dans le cloud distribué. La migration nécessitait principalement d’apprendre comment ces produits de sécurité fonctionnaient, de tester les fonctionnalités et d’ajuster les configurations dans les environnements de développement et de test de l’entreprise avant de passer à l’étape des enjeux plus élevés et aux environnements de production.
« Nous avons eu du soutien », explique Briana Sanchez, ingénieure logicielle senior chez F5, qui a joué un rôle central. « L’équipe Distributed Cloud Services a été très réactive tout au long du processus de migration. Mais notre équipe a dû apprendre à connaître et à comprendre la solution car nous sommes les propriétaires du site qui connaissent les flux de trafic et le fonctionnement de tout ce qui concerne le site. Si nous rencontrions des problèmes, ce ne serait pas aussi simple que de dire : « Hé, répare-moi ça. »
Par exemple, Sanchez a remarqué que la solution Distributed Cloud gérait les règles de pare-feu d’application de manière quelque peu différente de celle de Silverline. Le dépannage avec l’équipe d’assistance des services cloud distribués a permis de clarifier ce qui se passait dans les coulisses afin que les ajustements appropriés puissent être effectués.
Les connaissances qui en ont résulté se sont avérées inestimables. Sanchez déclare : « Au moment où nous sommes arrivés à la production, nous avions pratiquement tout en place et documenté. » La documentation comprenait divers cas d’utilisation, flux de travail de trafic et configurations. Cela aidera à maintenir l’alignement à l’avenir, lorsque l’équipe prévoit de déployer rapidement davantage de fonctionnalités de services cloud distribués.
« J’ai appris à bien connaître la solution et à la comprendre à tel point que je n’ai plus vraiment besoin de demander de l’aide maintenant », explique Sanchez. En conséquence, la protection des services cloud distribués a été mise en service pour l’environnement de production sans problème, ni même sans attendre la fin des heures ouvrables, en mars 2024. À ce moment-là, le changement équivalait à actionner un interrupteur vers la nouvelle configuration.
Lebedenko déclare : « L'ensemble de la migration de la production a pris 20 minutes maximum. C’était fluide, rapide et simple, presque instantané. Mais des semaines et des mois de travail ont été nécessaires pour y parvenir.
« Le processus peut être beaucoup plus rapide », explique Sanchez, expliquant que l’équipe jonglait avec un certain nombre d’autres projets majeurs en même temps. « C’est ce qui nous a le plus retardé. Mais nous voulions zéro temps d’arrêt et zéro impact sur les utilisateurs, et c’est ce que nous avons obtenu grâce aux efforts que nous avons consacrés à nos environnements inférieurs. »
Résultats
Protégez les sites Web mondiaux contre les menaces en constante évolution
Une fois la migration terminée, Distributed Cloud Services protège tous les sites Web F5.com dans le monde entier.
Le mot que Sanchez utilise pour décrire la sécurité qui en résulte est « puissante ».
« La différence ne réside pas seulement dans le nom de la plateforme », dit-elle. « Silverline était un outil WAF. Les services cloud distribués ne sont pas seulement un WAF, mais également une protection des applications Web et des API. C’est plus robuste.
Les différences techniques entre les solutions incluent une application plus stricte des règles de pare-feu telles que la liste blanche. Sanchez déclare : « Cela me dit qu’en termes de sécurité, les services cloud distribués sont plus renforcés. »
Améliorer la visibilité et la gestion
Elle préfère également de loin l'interface Distributed Cloud Services, affirmant : « Le tableau de bord est beaucoup plus moderne et intuitif. Pour les informations en temps réel et les journaux ou le débogage, c'est plus complet et vous obtenez des tonnes d'informations, comme si une demande a réussi et pourquoi les demandes rejetées ont été rejetées. Parfois, vous avez besoin de ces détails pour résoudre un problème. Des onglets distincts fournissent des mesures de performance et de sécurité par demande. Sanchez déclare : « C’est génial de voir tous les services et la surveillance à votre disposition. »
Lebedenko apprécie également les riches capacités de cartographie de la solution, un autre outil permettant de clarifier les causes profondes, de corriger les problèmes et d’améliorer l’efficacité globale de l’informatique.
Faites confiance à un support technique expert
Sanchez et Lebedenko félicitent tous deux Dylan Syme, ingénieur en fiabilité de site au sein de l'équipe F5 Distributed Cloud Services, qui a pris le temps de répondre aux questions et de discuter des scénarios. Ses longues réponses par courrier électronique aux questions ont également permis de créer une documentation disponible pour l'avenir, notamment lors de l'assistance aux clients externes de F5.
« Il faisait des allers-retours avec Briana comme au ping-pong », raconte Lebedenko. « Elle a obtenu des réponses rapides et exceptionnelles à des e-mails très techniques de la part d'une équipe très réactive. »
Ajoutez facilement de nouvelles fonctionnalités
Enfin, la plateforme Cloud distribuée facilite le déploiement d’autres fonctionnalités intégrées.
« La migration nous a ouvert la voie à l’ajout d’autres fonctionnalités », explique Hansell. Par exemple, les formulaires Web du site devraient bientôt bénéficier de la protection de Distributed Cloud Bot Defense, un autre produit du package de solutions Distributed Cloud WAAP. Ce déploiement ultérieur, que Sanchez qualifie d’« assez simple », devrait éliminer les problèmes antérieurs liés à la soumission de formulaires.
L’équipe prévoit également de déployer Distributed Cloud CDN dans les prochains mois, éliminant ainsi le coût de la solution tierce qui fournit désormais le contenu du site et la mise en cache, mais qui est gérée par une équipe distincte. Les tests pour cette implémentation, qui, selon Sanchez, facilitera la surveillance et accélérera les changements de configuration car elle pourra les effectuer elle-même, sont déjà en cours.
« Le fait d’avoir effectué la migration vers le cloud distribué WAAP a beaucoup aidé à accélérer les deux autres efforts, car nous savons déjà comment fonctionne la plateforme », explique Sanchez. « C’est incroyable. »
Elle conclut : « Et un autre mot serait indolore. »
Des migrations de solutions sans douleur ? Oui s'il vous plait!
Note: Les clients actuels de Silverline souhaitant effectuer leurs propres transitions sans douleur peuvent trouver des recommandations et de l'assistance dans un webinaire gratuit à la demande, « Passer de Silverline aux services cloud distribués F5 ».
- Protégez les sites Web mondiaux contre les menaces en constante évolution
- Améliorer la visibilité et la gestion
- Faites confiance à un support technique expert
- Ajoutez facilement de nouvelles fonctionnalités
- L'impératif de remplacer un produit en fin de vie
- Maintenir la sécurité sans impact sur l'utilisateur
- Éviter la perturbation de projets non liés mais simultanés