F5 a renforcé les capacités de sécurité de sa plateforme pour bloquer les tentatives d’exploitation lorsqu’une vulnérabilité n’a pas encore reçu de correctif définitif. La société intègre la détection d’anomalies, l’intelligence artificielle basée sur des agents et de nouvelles fonctionnalités de patching virtuel à son Web Application Firewall (WAF), afin de réduire le délai entre la détection d’une faille et la protection effective du service.
Les clés du nouveau patching virtuel de F5 en 30 secondes
- F5 renforce son WAF avec détection d’anomalies, apprentissage automatique et intelligence de menace basée sur des agents.
- Le patching virtuel permet de bloquer certaines voies d’exploitation sans modifier immédiatement le code vulnérable.
- Lors de tests internes, F5 affirme avoir atteint une efficacité de détection de 98 % et un taux de faux positifs de 1 %.
- Distributed Cloud Web App Scanning peut générer des protections ciblant des vulnérabilités détectées.
- Le patch virtuel est une mesure temporaire : la vulnérabilité sous-jacente doit toujours faire l’objet d’une correction définitive.
Ce dispositif répond à un enjeu de plus en plus pressant avec l’usage croissant de l’intelligence artificielle en cybersécurité. Les mêmes outils qui assistent chercheurs et développeurs pour repérer des failles peuvent aussi réduire le temps nécessaire pour analyser une vulnérabilité, en étudier les conditions d’exploitation et élaborer des attaques.
F5 affirme que les modèles d’IA avancés raccourcissent le délai entre la découverte d’une vulnérabilité et son exploitation. Face à cela, la société propose de transférer une partie de la réponse directement au trafic de l’application : empêcher qu’une requête malveillante parvienne au code vulnérable pendant que les développeurs préparent, testent et déploient le véritable correctif.
Qu’est-ce qu’un patch virtuel et quelles protections offre-t-il ?
Un patch virtuel ne modifie pas le logiciel vulnérable.
Au lieu de cela, il insère une règle ou un contrôle de sécurité en amont de l’application pour reconnaître et bloquer les requêtes qui tentent de tirer parti d’une faille spécifique. Un WAF se positionne idéalement pour cela, car il inspecte les requêtes avant qu’elles n’atteignent l’application protégée.
Cela peut être utile lorsqu’une organisation connaît une vulnérabilité mais ne peut pas immédiatement mettre à jour son système.
Une correction classique peut nécessiter de modifier le code, de tester les dépendances, de vérifier que la nouvelle version n’introduit pas de régressions, puis de suivre une procédure interne de gestion des changements. Dans des applications d’entreprise devant rester accessibles en permanence, ce processus peut prendre plus de temps que ce qu’un attaquant mettrait à tester une faille récemment divulguée.
F5 souhaite réduire ce délai.
Son système permet d’utiliser des signatures existantes ou de créer des règles personnalisées associées à un CVE (Common Vulnerabilities and Exposures), une voie d’attaque, une méthode HTTP, une entête ou un paramètre précis.
La protection peut s’appliquer via F5 WAF for Distributed Cloud et s’étendre à des environnements hybrides avec F5 WAF for BIG-IP.
Mais il existe une différence essentielle entre atténuer une exploitation et corriger une vulnérabilité.
Si une règle du WAF empêche une requête malicieuse d’atteindre le code vulnérable, cela réduit l’exposition à cet vecteur d’attaque. Le problème original persiste dans l’application et devrait être corrigé par une mise à jour définitive dès que possible.
C’est pourquoi F5 présente le patching virtuel comme une solution temporaire : une façon de gagner du temps, mais pas un remplacement durable pour la gestion des vulnérabilités.
L’IA analyse chaque requête à la recherche de comportements anormaux
F5 améliore également l’analyse préalable à la décision de bloquer ou non le trafic.
Son WAF utilise la classification par apprentissage automatique et un moteur neuronal d’évaluation des risques, qui examine chaque requête dès son arrivée et lui attribue une note.
L’objectif est de diminuer la dépendance exclusive aux signatures connues.
Les signatures restent efficaces quand un motif d’attaque identifiable existe, mais présentent des limites face à des tentatives inconnues ou des variations conçues pour contourner des règles statiques.
F5 affirme que cette notation dynamique peut aider à détecter des tentatives contre des vulnérabilités de type zero-day, des attaques d’injection et des chaînes d’exploitation polymorphes, même si l’efficacité réelle dépendra du type d’attaque, de l’application et de la configuration.
La société ajoute maintenant la détection d’anomalies à Distributed Cloud WAF.
Cette fonctionnalité apprend les schémas statistiques habituels de chaque application et compare les nouvelles requêtes à cette référence. Une déviation ne signifie pas automatiquement une attaque, mais peut fournir une indication de risque pour une requête donnée.
Ce mode de fonctionnement soulève également un problème classique de tout système de détection comportementale : distinguer une activité malveillante d’un usage légitime mais peu courant.
Les faux positifs sont particulièrement sensibles dans un WAF. Trop d’alertes peuvent générer du bruit, tandis que des blocages sur du trafic légitime ont un impact direct sur les clients et services.
F5 garantit que, dans ses tests internes, son WAF doté d’IA a atteint une efficacité de détection de 98 % et réduit à 1 % le taux de faux positifs. Ces chiffres proviennent du fabricant et leur application en environnement réel peut varier.
De la détection d’une vulnérabilité à la bloquer son exploitation
Une autre composante de la stratégie consiste à relier la découverte d’une vulnérabilité à la protection lors de l’exécution.
F5 Distributed Cloud Web App Scanning (WAS) peut identifier des vulnérabilités exposées, des API non protégées et certains défauts de logique métier. Lorsqu’il repère un problème susceptible d’être atténué, il peut être utilisé pour activer un patch virtuel spécifique.
L’objectif est d’accélérer un processus traditionnellement long : un scanner découvre une faille, génère une alerte, l’équipe de sécurité la révise, en détermine la priorité et configure ensuite une solution de protection.
F5 souhaite automatiser une partie de cette démarche.
Il intègre l’intelligence de menace basée sur des agents, issue de la technologie Fletch, acquise par F5.
Ce système combine des informations externes sur les menaces émergentes ou les vulnérabilités exploitées avec les événements observés dans les applications spécifiques de chaque organisation.
Cela vise à résoudre un problème récurrent : pour une vulnérabilité nouvelle, chaque entreprise ne porte pas le même risque.
Le contexte est important.
Une vulnérabilité critique dans un composant non utilisé par une organisation n’a pas la même priorité qu’une faille affectant une application exposée à Internet et faisant l’objet d’attaques en cours.
F5 souhaite que le système aide à définir quelles menaces sont pertinentes pour chaque environnement et propose des mesures d’atténuation pouvant devenir des patches virtuels.
Cependant, l’automatisation augmente aussi l’importance de conserver un contrôle sur les décisions de blocage. Une mauvaise recommandation automatique sur du trafic en production peut entraîner des problèmes de disponibilité, il est donc crucial de minimiser les faux positifs et de permettre une revue des mesures d’atténuation.
L’IA réduit le temps de réaction
Ce qui se cache derrière cette annonce va au-delà d’une simple version améliorée de WAF.
L’intelligence artificielle accélère plusieurs aspects de la sécurité informatique. Elle peut analyser du code, suivre des modifications, détecter des motifs vulnérables et aider à élaborer des preuves de concept. Si ces capacités profident aux défenseurs, elles peuvent aussi être exploitées pour étudier des cibles et accélérer la mise en place d’attaques.
Il devient nécessaire de reconsidérer le temps que peut rester une vulnérabilité exposée avant qu’un correctif classique ne soit appliqué.
F5 propose de différencier temporairement deux besoins : atténuer d’abord l’attaque dans le trafic, puis corriger le logiciel ultérieurement, tout en restant conforme aux procédures d’actualisation appropriées.
La société complète cette stratégie avec F5 Insight for Application Delivery and Security Platform (ADSP), destiné à accompagner les équipes d’exploitation dans le processus de mise à jour de l’infrastructure F5.
Les nouvelles capacités du WAF basées sur l’IA sont disponibles dans Distributed Cloud via F5 ADSP. Le patching virtuel et l’intégration entre Distributed Cloud WAS et F5 WAF for BIG-IP sont également accessibles, tandis que la détection d’anomalies et l’intelligence de menace basée sur des agents sont déployées graduellement chez les clients Distributed Cloud WAF.
L’efficacité réelle de cette approche dépendra de la précision de la protection temporaire, capable de bloquer efficacement sans causer de perturbations excessives.
Le patch virtuel permet de réduire le délai d’exposition. Cependant, une règle fondamentale reste inchangée : bloquer l’accès à une vulnérabilité ne suffit pas à la supprimer.
Questions fréquentes
Qu’est-ce qu’un patch virtuel en cybersécurité ?
Il s’agit d’une protection appliquée en amont du logiciel vulnérable, généralement à travers des technologies comme un WAF, pour bloquer certaines voies d’exploitation sans modifier immédiatement le code source. C’est une mesure provisoire jusqu’à l’application d’un correctif définitif.
F5 utilise-t-il l’intelligence artificielle pour décider quel trafic bloquer ?
Oui. F5 emploie l’apprentissage automatique, un moteur d’évaluation des risques et la détection d’anomalies pour analyser les requêtes. Elle intègre aussi de l’intelligence de menace basée sur des agents pour mieux contextualiser les vulnérabilités et proposer des mesures d’atténuation.
Un patch virtuel peut-il remplacer une mise à jour de sécurité ?
Non. Le patch virtuel peut réduire temporairement l’exposition à certaines attaques, mais la vulnérabilité demeure dans le logiciel. Il est nécessaire de mettre à jour ou corriger le logiciel pour éliminer sa cause profonde.
Quelle efficacité a le WAF avec IA de F5 ?
F5 affirme qu’en interne, leur WAF doté d’IA a atteint une efficacité de détection de 98 % avec seulement 1 % de faux positifs. Ces chiffres sont fournis par le fabricant et peuvent varier selon les environnements réels.
Source : F5