Qu'est-ce qu'un pare-feu applicatif (WAF) ?

Ce qui le distingue d'un pare-feu classique

Un pare-feu réseau décide à partir de l'adresse et du port : il laisse passer le trafic web vers le port 443, et c'est tout ce qu'il sait en dire. Or une injection SQL ou une attaque XSS arrive précisément par ce port, sous la forme d'une requête web parfaitement ordinaire en apparence. Le pare-feu applicatif travaille un cran plus haut, au niveau du protocole HTTP : il ne regarde pas d'où vient la requête, mais ce qu'elle contient.

Comment il fonctionne

1. 1

   La requête arrive au pare-feu, pas à votre serveur

   Dans un WAF en reverse-proxy — le modèle de Zyre — votre nom de domaine pointe vers le pare-feu. Chaque visiteur s'y connecte d'abord.

2. 2

   Elle est comparée à un jeu de règles

   Chemin, paramètres, corps de formulaire, cookies : chaque partie est décodée puis comparée à des motifs d'attaque. Le décodage compte autant que les règles — un attaquant encode son contenu précisément pour qu'il ne ressemble à rien.

3. 3

   Elle est relayée, ou refusée

   Une requête saine est transmise à votre serveur, qui ne voit aucune différence. Une requête malveillante reçoit une page de blocage, et l'événement est journalisé : quelle règle, quelle adresse, quel chemin.

Ce qu'il arrête

• Les injections : injection SQL (lire ou modifier la base de données par un champ de formulaire), injection de commandes système, injection de modèles.
• Le cross-site scripting (XSS) : du code JavaScript glissé dans un paramètre pour s'exécuter dans le navigateur d'un autre visiteur.
• La traversée de chemin : des ../ pour remonter l'arborescence et lire un fichier du serveur.
• Les fichiers exposés par erreur : .env, dépôt .git, sauvegardes .sql ou .zip oubliées à la racine — les premières adresses qu'un robot teste.
• Les scanners et la surcharge applicative : outils d'attaque reconnaissables, et adresses qui enchaînent trop de requêtes.

L'essentiel de ces attaques est automatisé : elles ne visent pas une entreprise en particulier, elles testent tout ce qui répond sur internet. C'est pour cela qu'un petit site est attaqué autant qu'un grand.

Ce qu'il n'arrête pas

C'est une couche de défense, pas la seule. Elle a deux mérites qu'aucune autre n'a : elle protège tout de suite, sans toucher au code, et elle continue de protéger quand une faille est publiée avant que vous ayez eu le temps de mettre à jour.

Les trois formes de WAF

La différence entre la première et la deuxième forme est détaillée dans WAF ou plugin de sécurité.

Ce qui compte pour en choisir un

• Les faux positifs. Un WAF qui bloque vos vrais clients coûte plus cher qu'il ne protège. Il doit permettre d'observer avant de bloquer, et d'expliquer chaque blocage. Voir les modes d'inspection et les faux positifs.
• Des règles adaptées à votre technologie : les attaques contre WordPress ne sont pas celles contre Laravel.
• La sortie. Comment repartir le jour où vous changez d'avis ? Un service qui garde l'adresse de votre serveur doit vous la rendre. Voir quitter Zyre.
• Ce qui est conservé de votre trafic, et où.