Prenez une longueur d'avance sur la sécurité des applications Web en migrant de BIG-IP ASM vers F5 Advanced WAF
À mesure que la technologie des application évolue, le paysage des menaces évolue également. Des mesures de sécurité robustes doivent suivre le même chemin. Malheureusement, les attaques application Web sont une réalité et se produisent chaque minute dans le monde entier. De plus, de nouveaux vecteurs d’attaque ciblant les applications mobiles et les API apparaissent. Aujourd’hui plus que jamais, des outils complets de sécurité Web et API sont nécessaires.
F5 continue d'investir dans la sécurité des applications Web et des API, avec un large portefeuille de solutions pour protéger les applications où qu'elles soient déployées. Suite à l'évolution du portefeuille WAF, F5 a officiellement placé BIG-IP Application Security Manager (ASM) en statut de fin de vente (EoS) à compter du 1er avril ( Annonce de support F5 – K72212499 ).
F5 proposait initialement l'ASM à partir de 2004. Notre portefeuille WAF s'est considérablement élargi depuis lors pour inclure F5 Advanced WAF , F5 Silverline Managed WAF et NGINX App Protect (NAP). Nous voulons nous assurer que vous obtenez la meilleure solution de F5 qui répond à vos besoins spécifiques tout en rationalisant nos offres. Advanced WAF est la première offre WAF depuis son introduction, car il inclut toutes les fonctionnalités de BIG-IP ASM en plus de plusieurs capacités étendues.
En tant que client BIG-IP ASM, vous pouvez continuer à consommer ASM jusqu'à la fin de votre contrat ou de votre abonnement (si vous le souhaitez) sans aucun impact. Vous pourrez renouveler votre contrat de service en fonction de votre licence initialement achetée. Mais vous ne serez plus éligible à l'achat ou à l'échange contre une nouvelle licence BIG-IP ASM à compter de la date de fin de service.
Une autre alternative, et peut-être meilleure pour les nombreuses raisons énumérées ci-dessous, est que les clients existants effectuent une mise à niveau vers la version Advanced WAF 14.1 ou supérieure (ou changent de licence s'ils exécutent ASM 14.1) sans frais à compter de la date de fin de service. Étant donné Advanced WAF est basé sur la même technologie éprouvée que BIG-IP ASM, la migration est simple. Pour tirer parti de cette migration gratuite, réactivez simplement votre clé de licence et, après la migration, vous commencerez à voir les indicateurs de fonctionnalité Advanced WAF répertoriés ici :
Le Advanced WAF de F5 offre une meilleure convivialité et des améliorations de protection des application , notamment de nouvelles configurations guidées qui simplifient le déploiement, des tableaux de bord qui offrent une meilleure visibilité, des capacités de protection DoS L7 étendues, une fonction DataSafe qui protège les champs de données sensibles contre toute compromission en temps réel et une protection des API. Certaines augmentations telles que les campagnes de menaces sont également disponibles sous forme de modules complémentaires à l'achat une fois qu'une licence a été réactivée et mise à niveau vers la version BIG-IP 14.1 ou supérieure. Un autre avantage de cette migration gratuite est que vous continuerez simplement à payer les frais de support associés à votre achat initial . Vos conditions d’assistance ASM continueront de s’appliquer après votre migration vers Advanced WAF: excellente nouvelle ! Veuillez noter que la migration gratuite s'applique uniquement à Advanced WAF version 14.1 ou supérieure. Pour en savoir plus sur l'activation de votre clé de licence et obtenir des détails supplémentaires sur les différences entre la licence Advanced WAF et ASM, veuillez visiter DevCentral .
Une autre raison pour laquelle vous devriez migrer du BIG-IP ASM de fin de vente vers F5 Advanced WAF est la protection améliorée des API et l'intégration avec les cadres de développement application modernes.
Avec les modèles de développement Agile en place, il est devenu difficile pour SecOps de suivre le rythme des développeurs applications et des équipes DevOps pour mettre en œuvre correctement les contrôles de sécurité. Les applications modernes sont composées de microservices et d’API et utilisent des logiciels open source, ce qui augmente les risques et la surface de menace. Un récent eBook de Gartner désigne le maillage de cybersécurité comme le numéro 1 de la sécurité et du risque de cette année (2021). Pourquoi la sécurité continue-t-elle d’être un défi ?
Les processus de développement contemporains sont basés sur des principes d’intégration continue/développement continu (CI/CD), où les contrôles de sécurité, en particulier WAF, sont souvent placés à la fin ou en dehors du cycle de vie de développement logiciel (SDLC). Ainsi, si DevOps rencontre un échec de test à l’étape « Opération », cela est traité comme une mauvaise configuration de sécurité. Cela peut créer des tensions entre DevOps et SecOps (une fois de plus) et forcer DevOps à revenir au code, à le réparer, puis à continuer à déployer, à exploiter et à surveiller, ce qui entraîne une perte de temps de mise sur le marché et une réduction de avantage compétitif.
Cependant, lorsque nous déplaçons les contrôles de sécurité vers la gauche du pipeline CI/CD, DevOps et SecOps partagent la responsabilité de la sécurité tout au long du processus et traitent toute « mauvaise configuration de sécurité » comme des cas d’utilisation de test manquants dans la phase de développement.
Pour mieux répondre à cette situation, F5 peut aligner la construction et l’établissement de la base de référence de la politique WAF dans le processus de développement. F5 utilise une approche qui permet de fournir des contrôles d'infrastructure et de politique de sécurité sous forme de code sous la forme d'une API déclarative. Cela permet aux clients F5 Advanced WAF d'automatiser à la fois le déploiement des application et les politiques WAF, comme illustré dans le diagramme ci-dessous :
Et tout comme le code source de application , les politiques F5 WAF peuvent résider dans un référentiel, permettant à SecOps de posséder et de maintenir des contrôles de sécurité communs qui peuvent être intégrés dans le pipeline de développement comme n'importe quel autre élément de code. Cette approche aide DevOps et SecOps à combler les lacunes opérationnelles et à mettre les applications sur le marché plus rapidement, avec un coût moindre et une efficacité de sécurité plus élevée. Consultez ce guide de solution pour en savoir plus sur l'automatisation de la sécurité pour DevOps avec F5 Advanced WAF.
Une autre option pour les clients BIG-IP ASM qui souhaitent migrer est NGINX App Protect (NAP), qui fournit la technologie F5 WAF sur la plate-forme NGINX . NGINX App Protect est simple, léger et facile à utiliser, offrant une sécurité éprouvée d' Advanced WAF, car le moteur Advanced WAF sert de base à NGINX App Protect.
Le moteur Advanced WAF de F5 constitue également la base des services de sécurité des application Web de F5, notamment Silverline Managed WAF, qui fournit les contrôles de sécurité des applications robustes d' Advanced WAF en tant que service entièrement géré. En incorporant le moteur Advanced WAF dans Silverline, les clients peuvent facilement appliquer les politiques de sécurité ASM actuelles à Silverline Managed WAF.
Le moteur F5 Advanced WAF permet aux politiques de protection WAF cohérentes d'être portables dans n'importe quel environnement, y compris les clouds publics/privés, sur site et même les environnements hybrides. La familiarité de l'interface utilisateur, les politiques similaires et la création de politiques dans les offres F5 exploitant le moteur F5 Advanced WAF (F5 Advanced WAF, Silverline Managed WAF et NGINX App Protect) offrent aux clients une expérience simple, unifiée et cohérente dans l'ensemble du portefeuille WAF de F5.
Pour en savoir plus sur la migration depuis BIG-IP ASM, veuillez contacter F5 ou votre partenaire de distribution concerné. De plus, assistez au prochain webinaire en direct à 10h PT le mardi 15 juin : Mettez à niveau votre protection Advanced WAF F5 et arrêtez le trafic de robots indésirables .