Comparer les services de cloud distribués F5

Atténuez les vulnérabilités des applications et des API avec la technologie WAF de base de F5, soutenue par notre moteur de signature avancé contenant plus de 8 500 signatures pour les CVE, ainsi que d'autres vulnérabilités et techniques connues, notamment les signatures de bots identifiées par F5 Labs et les chercheurs en menaces.

Combinaison de violations, d'évasions et de contrôles de conformité du protocole http. 

Modèle probabiliste auto-apprenant qui supprime les déclencheurs de faux positifs.

Les utilisateurs peuvent masquer les données sensibles dans les journaux de requêtes en spécifiant le nom de l'en-tête http, le nom du cookie ou le nom du paramètre de requête. Seules les valeurs sont masquées. Par défaut, les valeurs des paramètres de requête card, pass, pwd et password sont masquées.

Lorsqu'une demande ou une réponse est bloquée par le WAF, les utilisateurs ont la possibilité de personnaliser la page de réponse de blocage envoyée au client.

L'utilisateur peut spécifier quels codes d'état de réponse HTTP sont autorisés.

La limitation du débit contrôle le débit des requêtes entrant ou sortant d'une origine d'application. La limitation du débit peut être contrôlée pour les applications à l'aide d'identifiants clés : adresse IP, nom du cookie et/ou nom de l'en-tête HTTP. 

Analyse les menaces IP et publie un ensemble de données dynamiques de millions d'adresses IP à haut risque gérées par F5, pour protéger les points de terminaison des applications contre le trafic entrant provenant d'adresses IP malveillantes. Les catégories de traitement IP incluent les sources de spam, les exploits Windows, les attaques Web, les botnets, les scanners, le déni de service, le phishing et bien plus encore.

Data Guard empêche les réponses HTTP/HTTPS d'exposer des informations sensibles, telles que les numéros de carte de crédit et les numéros de sécurité sociale, en masquant les données. 

Règles qui définissent les identifiants de signature et les types de violations/attaques qui doivent être exclus du traitement WAF en fonction de critères de correspondance spécifiques. Les critères de correspondance spécifiques incluent le domaine, le chemin et la méthode. Si la demande du client correspond à tous ces critères, le WAF exclura le traitement des éléments configurés dans le contrôle de détection.

Permet aux utilisateurs de configurer/spécifier facilement les domaines sources appropriés et autorisés.

La protection des cookies offre la possibilité de modifier les cookies de réponse en ajoutant les attributs SameSite, Secure et Http Only.

 Le moteur WAF inspecte les requêtes GraphQL à la recherche de vulnérabilités et bloque le trafic en fonction de la base de données de signatures F5.

Contrôles du pare-feu réseau permettant aux utilisateurs de bloquer le trafic entrant provenant de sources spécifiques ou d'appliquer des limites de débit au trafic réseau provenant d'une source spécifique. Les protections améliorées permettent de filtrer le trafic en fonction de l'adresse source, du port source, de l'adresse de destination, du port de destination et du protocole.

Atténuation des attaques volumétriques multicouches, comprenant une combinaison de règles d'atténuation prédéfinies avec automatisation et nettoyage avancé de l'atténuation DDoS routé avec analyse complète des paquets via la publicité de route BGP ou la résolution DNS faisant autorité.

Détection d'anomalies et alerte sur les modèles et tendances de trafic anormaux sur les applications et les points de terminaison d'API, en tirant parti de l'apprentissage automatique avancé (ML) pour détecter les pics, les baisses et autres changements dans le comportement des applications et des API au fil du temps en analysant les taux de demande, les taux d'erreur, la latence et le débit avec la possibilité de refuser ou de limiter le débit des points de terminaison.

Fonctionnalité basée sur l'apprentissage automatique (ML) qui permet de configurer l'atténuation automatique du trafic anormal de couche 7 en fonction de l'analyse du comportement individuel du client et des performances de l'application au fil du temps, y compris les taux de requêtes, les taux d'erreurs, la latence, etc.

Les attaques « lentes et faibles » monopolisent les ressources du serveur, n'en laissant aucune disponible pour répondre aux demandes des utilisateurs réels. Cette fonctionnalité permet la configuration et l'application des valeurs de délai d'expiration de la demande et du délai d'expiration de l'en-tête de la demande.  

F5 Distributed Cloud App Firewall prend en charge l'inspection des deux protocoles API les plus populaires : GraphQL et REST.

Apprentissage automatique avancé, permet le balisage et l'analyse du trafic des points de terminaison d'API (requêtes et réponses) pour les applications afin de découvrir les points de terminaison d'API et d'effectuer une analyse comportementale. Cela inclut les schémas de demande et de réponse, la détection des données sensibles et l’état d’authentification. Fourniture d'ensembles d'API d'inventaire et d'ombre avec génération de spécifications OpenAPI (OAS).

Intégrer dans les référentiels de code. L'apprentissage automatique avancé permet l'analyse automatique du code d'application afin de découvrir et de documenter les points de terminaison de l'API. Cela inclut la génération automatisée de spécifications OpenAPI (OAS).

Importez des fichiers de spécifications OpenAPI pour définir des groupes d'API et définir des règles pour contrôler l'accès et appliquer le comportement des API.

La fonctionnalité d'application des spécifications API permet un modèle de sécurité positif pour les API, permettant à l'organisation d'appliquer facilement le comportement API souhaité en fonction des caractéristiques des demandes API valides. Ces caractéristiques sont utilisées pour valider les données d'entrée et de sortie pour des éléments tels que le type de données, la longueur minimale ou maximale, les caractères autorisés ou les plages de valeurs valides.

Inclut la capacité d'apprendre et de détecter le type d'authentification et l'état des points de terminaison de l'API, ainsi que la notation des risques de l'API.  La fonctionnalité Score de risque des points de terminaison API fournit aux utilisateurs une mesure complète du risque associé à leurs points de terminaison API. Le score de risque est calculé à l’aide de diverses techniques, telles que la découverte de vulnérabilités, l’impact de l’attaque, la valeur commerciale, la probabilité d’attaque et les contrôles d’atténuation. Cela aide les organisations à évaluer et à hiérarchiser les vulnérabilités des API afin d’identifier rapidement les API qui nécessitent des mesures de sécurité supplémentaires.

Les organisations peuvent contrôler de manière granulaire la connectivité des points de terminaison API et les types de requêtes. Ils peuvent identifier, surveiller et bloquer des clients et des connexions spécifiques ou définir des seuils particuliers. Il s'agit notamment du blocage de la liste (blocage) en fonction de l'adresse IP, de la région/du pays, de l'ASN ou de l'empreinte digitale TLS, ainsi que de règles plus avancées définissant des critères de correspondance spécifiques guidant les interactions des applications et des API avec les clients, notamment la méthode HTTP, le chemin, les paramètres de requête, les en-têtes, les cookies, etc. Ce contrôle granulaire des connexions et des requêtes API peut être effectué pour des API individuelles ou pour un domaine entier.

La limitation du débit contrôle le débit des requêtes entrant ou sortant des points de terminaison de l'API.

Détectez les modèles de données PII génériques (carte de crédit, numéro de sécurité sociale) ou moins courants et personnalisés (adresses, noms, numéros de téléphone) dans les réponses API, puis masquez les données sensibles ou bloquez les points de terminaison API qui transmettent des informations sensibles.  

Identifiez les points de terminaison d'API impactés par des régimes réglementaires et de conformité spécifiques et découvrez, marquez et signalez des données sensibles spécifiques. Incluant plus de 400 types de données associés à plus de 20 cadres différents (PCI-DSS, HIPPA, GDPR, etc.) lorsqu'ils sont observés dans le code API et/ou via le trafic.

Le moteur de signature WAF inclut des signatures uniques pour les menaces automatisées et les techniques de bot, notamment les robots d'exploration, les attaques DDoS/DoS et bien plus encore.

Protège les applications contre les attaques automatisées en exploitant JavaScript et les appels API pour collecter la télémétrie et atténuer les attaques sophistiquées avec une analyse ML constante des données de signal pour répondre rapidement au réoutillage des robots, aux mises à jour dynamiques des modèles de détection en temps réel conçus pour protéger contre tous les cas d'utilisation des robots, par exemple le bourrage d'informations d'identification, la prise de contrôle de compte, les faux comptes, etc.

Fournit une protection multiphase pour les applications Web contre le Formjacking, le Magecart, l'écrémage numérique et d'autres attaques JavaScript malveillantes. Ce système de protection multiphasé comprend la détection, l’alerte et l’atténuation.

Transit réseau de couche 3 entre les clouds publics, les centres de données sur site et les sites périphériques distribués.

Intégrez des services de pare-feu réseau tiers tels que BIG-IP et Palo Alto Networks sur plusieurs réseaux cloud.

Isolation granulaire du réseau et microsegmentation pour sécuriser les segments de réseau sur site et sur les réseaux de cloud public.

Cryptage TLS natif pour tous les transits de données sur les réseaux.

Provisionnement et orchestration automatisés des constructions de réseaux de cloud public.

Services d'équilibrage de charge distribués pour les requêtes TCP, UDP et HTTPS entre les clusters d'applications dans les clouds.

Politiques de sécurité granulaires pour contrôler l'accès aux points de terminaison et aux clusters d'API dans les environnements cloud distribués.

Identifiez la disponibilité des services sur les clusters d’applications distribués.

Application de politiques basées sur le routage pour le trafic HTTP et HTTPS.

Cryptage TLS natif pour tous les transits de données sur les réseaux.

La détection des utilisateurs malveillants basée sur l'IA/ML effectue une analyse du comportement des utilisateurs et attribue un score de suspicion et un niveau de menace en fonction de l'activité de chaque utilisateur. Les interactions avec les clients sont analysées en fonction de la façon dont un client se compare aux autres : le nombre de règles WAF respectées, les tentatives d'accès interdites, les échecs de connexion, les taux d'erreur, etc. L'atténuation des utilisateurs malveillants est une réponse adaptative et une capacité de défi basée sur les risques - répondant à différents défis tels que le défi Javascript ou Captcha ou le blocage temporaire en fonction du niveau de menace de l'utilisateur.

Permet la micro-segmentation et la prise en charge de la sécurité avancée au niveau de la couche applicative avec le développement de listes d'autorisation/refus, le filtrage IP géographique et la création de règles personnalisées pour agir sur les demandes entrantes, y compris les critères de contrainte de correspondance et de demande basés sur une variété d'attributs/paramètres Empreinte digitale TLS, géo/pays, préfixe IP, méthode HTTP, chemin, en-têtes et plus encore.

Analysez et mappez automatiquement n'importe quel domaine pour trouver tous les services et infrastructures exposés, y compris les versions de serveur et les systèmes d'exploitation, tout en identifiant les vulnérabilités connues (CVE). Associé à des tests de sécurité des applications dynamiques (DAST) pour exécuter des tests de pénétration automatisés de n'importe quel domaine, afin de découvrir des vulnérabilités inconnues et de fournir des conseils de correction.

Le partage de ressources inter-origines (CORS) est utile dans toutes les situations où le navigateur, par défaut, interdit une demande inter-origines et vous avez un besoin spécifique de les activer. La politique CORS est un mécanisme qui utilise des informations d'en-tête HTTP supplémentaires pour informer un navigateur d'autoriser une application Web exécutée à une origine (domaine) à avoir l'autorisation d'accéder à des ressources sélectionnées à partir d'un serveur à une origine différente.

Identification des adresses IP réelles des clients pour la surveillance, la journalisation, la définition des politiques d'autorisation/refus, etc. Les événements de sécurité et les journaux de demandes afficheront cette adresse IP client réelle comme adresse IP source, lorsque cette fonctionnalité est activée. 

La prise en charge de TLS et de TLS mutuel pour l’authentification avec autorisation basée sur des politiques sur l’équilibreur de charge/proxy offre la possibilité d’appliquer la sécurité de bout en bout du trafic des applications. Mutual TLS prend en charge la possibilité d'envoyer les détails du certificat client aux serveurs d'origine dans les en-têtes de requête x-forwarded-client-cert (XFCC).

L'assistance est fournie par diverses méthodes, notamment par le biais de tickets de console, d'e-mails et d'assistance téléphonique.