FA/PDP – DAKAR 2015 Thème: Web Application Firewall
FA/PDP – DAKAR 2015 INTRODUCTION Disponibles directement sur internet, utilisant de plus en plus du code partagé et traitant bien souvent des données sensibles (données bancaires, données clients…), les applications web sont devenues une cible privilégiée d’attaques pour les cybercriminels
FA/PDP – DAKAR contexte Les attaques de la couche applicative comme l'injection SQL, l'exécution de fichiers malveillants et le cross-site scripting, peuvent infiltrer un site Web en vue de le détériorer, ce qui a pour effet de réduire ses performances et d'exposer votre entreprise à des violations de données. Ces attaques visent plusieurs types de fonctionnalités au sein de votre site, qu'il s'agisse de cibler directement le site Web ou de transférer la logique vers une base de données en vue de compromettre les informations qu'elle contient.
FA/PDP – DAKAR contexte
FA/PDP – DAKAR Plan i.Qu’est ce qu’un WAF? ii.Comment ça marche ? iii.Mode de fonctionnement iv.Comment choisir son WAF? v.Comment se prémunir des attaques WEB vi.Conclusion
FA/PDP – DAKAR Quelque définition? Application web WEB 2.0
FA/PDP – DAKAR Qu’est ce qu’un WAF? Définition Un WAF constitue une mesure de sécurité applicative déployée entre un client Web et un serveur Web pour analyser en profondeur chaque requête et réponse pour toutes les formes de trafic Web communes. Un WAF identifie le trafic anormal ou malveillant pour l'isoler et le bloquersécurité applicative
FA/PDP – DAKAR Comment ça marche ?
9. Intégré au serveur Web: qui sont directement embarqués au sein du serveur lui-même. Mode Parallèle/Sonde: ils adoptent le fonctionnement d’un IDS afin de détecter et d’émettre des alarmes en cas d’intrusion. Mode Intrusif/Reverse Proxy/réseau: le suivi des sessions, l’authentification et l’autorisation, les fonctionnalités réseaux avancées et bien sur sa capacité de réécriture des URLs. Comment ça marche ?
FA/PDP – DAKAR Comment choisir son WAF?
FA/PDP – DAKAR Comment choisir son WAF?
FA/PDP – DAKAR Quelques attaques?
FA/PDP – DAKAR Comment se prémunir des attaques WEB Conformité protocolaire le WAF s’assure de la bonne conformité protocolaire en contrôlant l’entête http, les champs de formulaire, l’URL, etc 1.1. Protection contre les injections SQL pour les attaques de type injection (SQL Injection, OS Command Injection, LDAP Injection, …), les WAFs se basent principalement sur des signatures d’attaques en utilisant du « pattern matching » afin d’identifier un comportement anormal Protection DDOS 3.3. Prévention du vol de session HTTP 4.4. Elle se base sur 2 principaux piliers : un contrôle comportemental en analysant le nombre de requêtes par seconde (par utilisateur ou global), le temps de réponse des serveurs. le chiffrement SSL permet d’éviter le vol de cookies par un sniffer. Ensuite le pare-feu peut également proposer un mécanisme de protection des cookies par signature ou par chiffrement. le pare-feu empêche à la fois la visualisation et la manipulation des cookies.
FA/PDP – DAKAR Comment se prémunir des attaques WEB Valider les inputs des users Utiliser des schémas d’encodage Bien configurer le firewall Avoir un plan de RDP surtout contre les attaques de type DOS Haute disponibilité Security Information Events Management
FA/PDP – DAKAR conclusion De par la richesse de ses fonctions de sécurité il est vrai qu’un pare-feu applicatif peu se rendre très utile voire obligatoire dans certaines situations mais il ne faut pas pour autant en négliger l’aspect sécurité lors de l’élaboration d’une application, le fameux « Secure by design ».
FA/PDP – DAKAR Bonus Salaire Ingénieur sécurité web Un jeune diplômé peut espérer gagner entre et euros bruts par an et mieux encore un jeune cadre peut toucher jusqu'à euros bruts par an, et jusqu'à euros bruts par an pour un cadre confirmé ou dans le cadre d'expertise très spécialisée.
FA/PDP – DAKAR webographie informatique-specialite-securite-des-systemes-dinformation html informatique-specialite-securite-des-systemes-dinformation html navigation-sur-linternet/
MERCI