WAF (Web Application Firewall)

Qu'est-ce qu'un WAF

Un WAF (Web Application Firewall) est une solution spécialisée pour la sécurité des applications web, des passerelles API et des sites web, opérant au niveau applicatif (L7) du modèle OSI. Contrairement aux pare-feu classiques, qui analysent les adresses IP et les ports, un WAF « regarde » à l'intérieur des requêtes HTTP : méthodes, URI, en-têtes et corps de la requête, afin de décider d'autoriser ou de bloquer le trafic.

En termes simples : si un pare-feu ordinaire est un gardien à l'entrée d'un bâtiment qui vérifie votre badge, alors un WAF est un inspecteur qui contrôle le contenu de votre sac pour s'assurer que vous ne transportez pas d'armes (code malveillant). Un WAF analyse chaque requête adressée à votre site ou application et bloque celles qui sont suspectes.

Le WAF est un élément de protection indispensable pour les entreprises travaillant avec le rouble numérique, le SBP et les systèmes d'information publics, car les interfaces web constituent souvent le principal point d'entrée des pirates. Selon Positive Technologies, plus de 70 % de toutes les attaques contre les applications web en Russie en 2025 étaient liées à des injections SQL et à des vulnérabilités XSS, que le WAF bloque efficacement.

Dans le contexte de la substitution des importations, les solutions WAF russes figurent au Registre des logiciels nationaux et sont certifiées par le FSTEC pour la protection des objets de l'infrastructure critique d'information (CII).

Comment fonctionne un WAF

Un WAF recourt à plusieurs méthodes pour détecter et bloquer les attaques, en temps réel (inline) :

1. Analyse par signatures : comparaison des requêtes entrantes avec une base d'attaques connues (par exemple, injections SQL, XSS, RCE). Les bases sont mises à jour régulièrement (chaque jour ou chaque semaine) et contiennent des milliers de signatures pour différents types d'attaques.
2. Analyse comportementale : l'apprentissage automatique détecte les anomalies dans le trafic : schémas de requêtes atypiques, pics d'activité ou séquences d'actions suspectes. Le système apprend à partir du trafic habituel et repère les écarts.
3. Conformité aux normes : blocage des requêtes qui violent les spécifications du protocole (par exemple, HTTP Smuggling, en-têtes incorrects, méthodes non standard).
4. Protection anti-bots : analyse comportementale (CAPTCHA, analyse temporelle, vérification du User-Agent) pour filtrer le trafic automatisé et se protéger contre les attaques par force brute et DDoS au niveau applicatif.

Un WAF peut fonctionner en « mode apprentissage », lorsque le système collecte uniquement des données sur le trafic légitime et construit un profil de comportement normal, et en « mode blocage », lorsque toutes les requêtes suspectes sont rejetées. Le choix du mode et le réglage fin des règles sont souvent réalisés dans le cadre du service de conception et développement de systèmes automatisés.

Principaux types de WAF

Les solutions WAF se classent selon leur mode de déploiement, qui influe sur les performances, la facilité de gestion et le niveau de sécurité :

• Cloud (Cloud WAF / SaaS) : proposés sous forme d'abonnement. Ils ne nécessitent aucune installation d'équipement côté client, se dimensionnent facilement et se mettent à jour de manière centralisée. Adaptés aux PME et aux entreprises à infrastructure distribuée. Exemples : Cloudflare WAF, AWS WAF.
• Logiciels (On-Premise) : installés sur les serveurs propres à l'entreprise, dans son infrastructure. Ils offrent un contrôle total des données et de la configuration, ce qui est déterminant pour les objets CII et les systèmes gouvernementaux. Exemples : PT Application Firewall (Positive Technologies), ModSecurity.
• Matériels : dispositifs physiques installés dans les centres de données devant les serveurs web. Ils offrent des performances maximales et une faible latence, et conviennent aux systèmes à forte charge. Généralement utilisés par les grandes corporations et les centres de données.

Lors du choix d'un WAF, il est important de prendre en compte son intégration avec l'infrastructure existante : systèmes SIEM pour la collecte des journaux et systèmes de stockage de données pour l'archivage des événements de sécurité.

Pourquoi un WAF est nécessaire et comment il protège

Le WAF protège les applications web contre les menaces les plus courantes décrites dans le Top 10 de l'OWASP :

• Injections (SQL, NoSQL, commandes OS) : blocage des tentatives d'injection de code malveillant dans les requêtes adressées à une base de données ou au système d'exploitation. Par exemple, le blocage de la requête `' OR 1=1 --` dans un paramètre d'URL.
• Cross-Site Scripting (XSS) : prévention de l'injection de code JavaScript dans les pages du site, capable de voler des cookies ou de rediriger l'utilisateur vers un site de phishing.
• Cross-Site Request Forgery (CSRF) : protection contre les attaques qui amènent un utilisateur à effectuer des actions non souhaitées sur un site où il est authentifié (par exemple, transférer de l'argent).
• Attaques DDoS au niveau applicatif (DDoS L7) : filtrage du trafic de bots imitant des requêtes légitimes (par exemple, requêtes GET massives vers des pages lourdes).
• Force brute (devinette de mots de passe) : blocage des multiples tentatives de connexion échouées, protection contre le piratage automatisé des mots de passe.

La mise en place d'un WAF dans le cadre d'un système de sécurité global est souvent accompagnée de tests d'attestation et de formations du personnel via des cours de formation.