Guide technique : connexions Web App Shield

Préparer les connexions des journaux, actions, configurations, identités et éventuels produits de sécurité des bases. Les exemples doivent être validés pour le produit, la version et la licence choisis.

Commencez par la vue des connexions, puis choisissez la section utile. Chaque section contient une interface ou un exemple de configuration ; vérifiez les prérequis et limites avant utilisation.

Vue des connexions →

ProtectionPar serviceConfirmer produit, sites et fonctions.
Bases de donnéesSelon le produitVérifier les moteurs de la version choisie.
JournauxÀ mesurerVérifier délai, exhaustivité et reprise.
AccèsDroits limitésConfigurer identifiants et responsabilités des certificats.

1 Architecture de sécurité à deux plans

Distinguez protection du trafic web et produits de sécurité des bases sous licence distincte. Choisissez un composant pour examiner l’interface et le format prévus.

Inspecteur de plans et de composants

Choisissez un plan, puis un composant, pour voir sa fonction, son protocole de sortie et son modèle de données.

Topologie du plan applicatif en périphérie150+ PoP mondiaux
Cœur Cloud WAFAppSec

Inspection du trafic en une passe sur plus de 150 PoP, neutralisant en ligne le Top 10 OWASP, les règles personnalisées et les menaces zero-day.

Protocole de sortie principal
HTTPS / TLS 1.3
Modèle de données / schéma
CEF / LEEF / JSON

2 Sortie de télémétrie et protocoles

Choisissez canal, format et destination pris en charge. Le graphique de délais est illustratif : mesurez livraison complète et délai de bout en bout lors de la recette.

Latence par canal de livraison

Latence moyenne de transport des journaux, en secondes — plus bas, c’est plus rapide.

  • Splunk HEC12 s
  • Streaming Kafka1 s
  • Syslog TLS3 s
  • Dépôt objet S345 s
  • API pull SIEM180 s

À retenir : les mécanismes push (Splunk HEC, Kafka) ingèrent en moins de 15 secondes ; l’interrogation par API subit des délais par lots et une limitation de débit (HTTP 429).

Mappage des champs par format de journal

CEF:0|Imperva|Incapsula|1.0|20001|SQL Injection Attempt|7|cs12=BLOCK cs17=CVE-2023-1234 fileType=SQLi filePermission=Rule_1092 c-ip=198.51.100.45 cn1=403 cs-sessionid=sess_8893412a

Champs d’extension éditeur mappés

  • cs12 / cs-responseactionDécision de mitigation finale appliquée (PASSED, BLOCK, CAPTCHA).
  • cs17 / cs-cveCVE corrélée par la Threat Research.
  • fileType / filePermissionClassification de l’attaque (SQLi, XSS) et identifiant de signature déclenchée.
  • c-ip / cn1IP source du client et code de statut HTTP retourné.

Enveloppe cryptographique hybride

Les PoP compressent et chiffrent symétriquement les journaux bruts, puis enveloppent la clé avec votre clé publique RSA.

  1. Compression de la charge utileLes journaux bruts sont compressés en micro-lots au PoP de périphérie.
  2. Chiffrement symétrique AES-256Chaque lot est chiffré avec une clé de session symétrique générée.
  3. Enveloppement de clé RSALa clé de session est chiffrée avec la clé publique RSA fournie par l’entreprise.
  4. Contrôle d’intégrité MD5L’en-tête du fichier porte une somme MD5 pour détecter toute altération.

3 SIEM et lacs de données de sécurité

Choisissez la plateforme d’analyse et vérifiez connecteur, correspondance des données et accès. Les étapes sont des exemples de configuration, pas la preuve d’une connexion active.

Pipeline d’intégration Microsoft Sentinel

Pipeline d’extraction serverless : une Azure Function App déployée dans le tenant du client récupère les journaux via l’API SIEM d’Imperva et les normalise dans Log Analytics.

  1. Déclencheur temporisé et lecture de Key VaultL’Azure Function s’exécute selon le planning et récupère les identifiants d’API et la clé privée RSA dans Azure Key Vault.
  2. Récupération via l’API et déchiffrementSe connecte à l’API SIEM d’Imperva en TLS, télécharge le lot compressé et le déchiffre en mémoire.
  3. Ingestion dans Log AnalyticsEnvoie les enregistrements CEF normalisés à l’API d’ingestion Azure Monitor, vers l’espace de travail Log Analytics.
  4. Normalisation par le parseur ASIMLe parseur ImpervaWAFCloud mappe les champs CEF bruts sur le schéma CommonSecurityLog pour la chasse inter-charges de travail.

Spécifications techniques

Modèle d’intégration
Azure Function App (Python), déclencheur temporisé
Modèle de normalisation
ASIM (table CommonSecurityLog)
Authentification
ID + clé d’API ; clé privée RSA dans Key Vault
Périmètre de télémétrie
Cloud WAF, bots, ATO, DDoS, journaux d’audit

4 SOAR bidirectionnel et réponse automatisée

Précisez les événements déclencheurs et les actions à approuver. Les messages montrent une structure ; validez authentification, reprises et actions autorisées avant usage.

Simulateur de playbook de réponse aux incidents

Choisissez une attaque pour parcourir la détection, l’envoi du webhook, l’enrichissement et l’application.

  1. Étape 1: DétectionMoteur Attack AnalyticsAttack Analytics regroupe une rafale de 45 000 req/s venant de 12 pays en un seul narratif de DDoS L7 actif.Moteur : Attack Analytics
  2. Étape 2: EnvoiWebhook sortantLe webhook HTTPS sortant se déclenche avec son jeton d’authentification à secret partagé.Protocole : webhook HTTPS
  3. Étape 3: EnrichissementRequête du playbook SOARLe playbook Cortex XSOAR interroge l’API REST d’Imperva pour obtenir les chemins d’URL les plus attaqués.Cible : plateforme SOAR
  4. Étape 4: ApplicationChangement dynamique de politiqueUne commande API fait passer la règle WAF du mode alerte à un défi JavaScript dynamique actif.Statut : mitigé
Charge utile du webhook sortantTLS 1.3 · secret partagé vérifié
{
  "event_type": "WebsiteDdosStart",
  "account_id": "10023456",
  "site_name": "checkout.enterprise.com",
  "threat_level": "CRITICAL",
  "rps_peak": 45000,
  "mitigation_method": "Dynamic Adaptive Challenge"
}

5 DevSecOps, IaC et CI/CD

Relisez et testez les configurations avant application. Le code généré est un point de départ ; vérifiez versions, paramètres, identifiants et retour arrière.

Générateur HCL Terraform

Réglez les paramètres ; le HCL à droite suit.

Provider Terraform imperva/incapsula (v3.39.0)IaC déclarative
resource "incapsula_site_v3" "production_site" {
  name       = "api.enterprise.com"
  type       = "PUBLIC_CLOUD"
  cloud_type = "AWS"
}

resource "incapsula_data_centers_configuration" "dc_config" {
  site_id = incapsula_site_v3.production_site.id

  data_center {
    name       = "primary_origin"
    ip_or_host = "10.0.12.44"
    server {
      ip     = "10.0.12.44"
      active = true
    }
  }
}

resource "incapsula_waf_security_rule" "custom_protection" {
  site_id     = incapsula_site_v3.production_site.id
  rule_action = "api.rule_action.block"
  name        = "Enforce-Security-Policy"
  filter      = "Header.User-Agent == 'BadBotEngine' | Header.Authorization == ''"
}

Gérer la création du site, la validation du certificat SSL et le provisionnement des règles par Terraform élimine la dérive de configuration du pipeline CI/CD.

Synchronisation du schéma OpenAPI et sécurité positive

Dans le pipeline de déploiement (GitLab CI, GitHub Actions), les développeurs poussent la spécification OpenAPI (Swagger) mise à jour vers le module Imperva API Security via son API REST.

  • Impose en périphérie les routes, méthodes HTTP et types de paramètres valides.
  • Détecte les API fantômes : des points de terminaison actifs non documentés.
  • Identifie les API zombies : des routes dépréciées qui reçoivent encore du trafic.

Capteurs RASP dans la charge de travail

Les micro-agents Runtime Application Self-Protection (RASP) se déploient dans le runtime applicatif (JVM, .NET CLR, Node.js, pods Kubernetes) sans règle réseau en périphérie.

  • Surveillent les tampons mémoire, l’accès au système de fichiers et les requêtes brutes vers la base.
  • Neutralisent les exploits zero-day (désérialisation, injection SQL) en temps réel.
  • Mitigation dans le thread, sans aller-retour vers la périphérie.

6 Fédération d’identité, PKI d’entreprise et mTLS à deux niveaux

Séparez connexion administrateur et authentification du transport. Vérifiez les fonctions du produit, notamment les deux connexions d’un montage TLS mutuel.

Flux mTLS à deux niveaux

Choisissez une étape de la poignée de main pour la mécanique d’authentification client et d’injection d’en-tête.

Niveau 1 : mTLS client-vers-ImpervaIdentité entrante à haute assurance

Conçu pour les applications bancaires mobiles, les API B2B et les réseaux IoT. Le client établit une poignée de main mutuelle TLS 1.3 avec le PoP Imperva le plus proche. Le PoP vérifie les listes de révocation (CRL) et authentifie l’autorité de certification du client.

En-tête de transfert injecté :

X-Imperva-Client-Cert-SAN: SubjectAltName: email:api-client@enterprise.com, CN=MobileAppClientV2

Fédération d’identité SAML 2.0

Fédère l’authentification administrative avec Microsoft Entra ID, Okta et ADFS. Les assertions d’attributs mappent les groupes de sécurité de l’annuaire sur des niveaux RBAC granulaires et sur les périmètres de conformité Data Level Security (DLS) de la Data Security Fabric.

Vérifier les fonctions cryptographiques

Vérifiez protocoles, certificats et algorithmes de chaque connexion dans la documentation actuelle. Une étiquette de chiffrement classique ne prouve pas une fonction post-quantique.

7 Data Security Fabric et le parc de bases de données

L’audit des bases est un périmètre produit distinct de la protection web. Vérifiez moteurs, licences, droits et exports dans la documentation actuelle.

Répartition du périmètre des bases

Catégories de stockage surveillées à travers les architectures avec et sans agent.

  • Relationnel (Oracle, SQL Server)45 %
  • DBaaS cloud (RDS, Azure SQL)25 %
  • Big data (Snowflake, BigQuery)18 %
  • NoSQL (MongoDB, Cassandra)12 %

Capacité clé : le moteur sonargd du DSF Hub exécute l’analyse comportementale (UEBA) pour détecter les anomalies des utilisateurs privilégiés et les altérations de schéma sans alourdir la licence SIEM.

Catalogue des bases prises en charge

  • Oracle (RAC et Exadata)Agent / sans agent
    Surveille l’IPC en mémoire partagée locale et les instances cloud.
  • Microsoft SQL ServerAgent / sans agent
    Suivi d’audit complet pour SQL Server sur site et Azure SQL.
  • Amazon RDS et AuroraPasserelle sans agent
    Ingère les flux d’audit CloudWatch sans logiciel sur l’hôte.
  • PostgreSQL et AlloyDBAgent / sans agent
    Analyse SQL approfondie sur PostgreSQL open source et entreprise.
  • SnowflakePasserelle sans agent
    Collecte d’audit pour l’entrepôt de données cloud d’entreprise.
  • MongoDB et CouchbaseSans agent / agent
    Surveillance des requêtes JSON de bases documentaires et analyse UEBA.
  • Google BigQueryPasserelle sans agent
    Ingestion de l’audit de l’entrepôt serverless via les API GCP.
  • Apache CassandraPasserelle à agent
    Suivi de l’activité de l’anneau NoSQL distribué.
  • SAP HANAPasserelle à agent
    Audit de base en mémoire et application des politiques.
  • Databricks et HadoopPasserelle sans agent
    Audit des requêtes du lac de données et prévention des fuites.

Courtier de streaming Kafka et sortie vers la business intelligence

Au-delà de l’envoi des journaux au SIEM, le DSF Hub agit comme courtier de données d’entreprise : le moteur intégré rsyslog-kafka diffuse les enregistrements d’audit enrichis vers des topics Apache Kafka ou Azure Event Hubs, tandis que Tableau et Power BI se connectent en ODBC/JDBC pour le reporting de conformité pluriannuel.

Sortie Kafka sous la secondeTélémétrie de base de données au format JSON livrée à Apache Kafka pour les moteurs antifraude temps réel.
Connectivité ODBC / JDBCLes responsables conformité interrogent l’historique des accès directement depuis Power BI et Tableau.
Coffre froid à long termeFichiers d’audit partitionnés et compressés exportés vers S3 ou Blob pour les obligations réglementaires de sept ans (SOX, PCI).

8 Matrice d’intégration et feuille de route

Utilisez la matrice pour planifier interfaces, directions et formats. Convenez des vérifications et responsables de chaque étape ; les valeurs d’exemple ne sont pas des engagements.

Matrice d’intégration architecturale

DomaineSystème cibleDirectionProtocole / interfaceFormat de donnéesObjectif architectural
SIEMSplunk Enterprise / CloudSortantHTTPS / HEC APIJSON, CEFIngestion des événements bruts et mappage Splunk CIM
SIEMMicrosoft SentinelEntrantREST API (Azure Function)CEF (ASIM)Récupération automatisée des journaux et corrélation avec Defender
SIEMIBM QRadarSortantSyslog over TLS (TCP 6514)LEEFFlux de renseignement sur les menaces et offenses Sense Analytics
SIEMElastic SecurityEntrantFilebeat / S3 pluginJSON (ECS)Stockage des journaux dans Elasticsearch pour la chasse aux menaces
StorageAmazon S3SortantS3 REST object APICompressed JSON / CEFStockage froid chiffré et flux découplés vers le lac de données
SOARPalo Alto Cortex XSOARBidirectionnelREST API / webhooksJSONBlocage d’IP, invalidation de sessions, triage automatisés
SOARSplunk SOAR / ChronicleBidirectionnelREST API / webhooksJSONPlaybooks automatisés de confinement des menaces
IaCHashiCorp TerraformEntrantProvider API (imperva/incapsula)HCL / JSON stateProvisionnement déclaratif des sites, règles et certificats SSL
CI/CDGitLab / GitHub ActionsEntrantREST API / OpenAPIJSON / YAMLSynchronisation de la sécurité positive et découverte des API fantômes
WorkloadKubernetes / pod RASPIn-appRASP micro-sensorNative system callsNeutralisation des exploits zero-day dans le runtime
ITSMServiceNowBidirectionnelServiceNow Table APIJSONCréation automatisée d’incidents SIR et synchronisation CMDB
ITSMJira Service ManagementSortantJira REST APIJSONSuivi des autorisations de scripts pour la conformité PCI DSS
IdentityOkta / Entra IDEntrantSAML 2.0 / SCIMXML assertionsSSO administratif et mappage des rôles RBAC
PKIThales CipherTrustBidirectionnelNative registration tokenCrypto objectsGestion du cycle de vie des clés de bases de données et tokenisation
PKIGlobalSign CAEntrantAutomated ACME / DNSX.509 certificatesÉmission et renouvellement des certificats SSL/TLS en périphérie
SASECato NetworksPeeringRemote port forwardingEncapsulated TCP/IPSécurisation des ressources d’origine privées sans IP publique
StreamingApache KafkaSortantKafka protocol / rsyslogJSON / audit logsStreaming haut débit de l’audit des bases vers l’analytique
BITableau / Power BIEntrantODBC / JDBCSQL tabularReporting de conformité pluriannuel

Mise en œuvre en quatre phases

  1. Phase 1Fondation identité et PKI
    • Fédération SSO SAML 2.0
    • Bouclier d’origine mTLS à deux niveaux
    • Mise en place SSL ACME GlobalSign
    • Préparation cryptographique PQC
  2. Phase 2Télémétrie et activation du SOC
    • Pipelines de dépôt vers le stockage objet
    • Parseurs SIEM (ASIM / CIM)
    • Webhooks sortants vers le SOAR
    • Alertes ChatOps en temps réel
  3. Phase 3DevSecOps et politique en tant que code
    • Déploiement du provider Terraform
    • Synchronisation du schéma OpenAPI dans le CI/CD
    • Capteurs RASP dans la charge de travail
    • Découverte automatique des API fantômes
  4. Phase 4Extension hybride des données DSF
    • Infrastructure centrale DSF Hub
    • Passerelles cloud sans agent
    • Déploiement des agents hôtes sur site
    • Streaming Kafka sous la seconde

Source : Thales Cyber Security — Enterprise Security & Data Fabric Ecosystem. Chiffres de l’éditeur tels que publiés. ALT-F1 est le partenaire belge d’Imperva : nous ouvrons le compte, réglons les règles et construisons ces intégrations avec vos équipes. Le document original est conservé dans le dépôt du site (docs/imperva/).

Demandez comment cela s’applique à votre organisation Web Application Security

Les sigles utilisés ici: WAF, DDoS, API, DNS, CDN, SIEM, SOAR, TLS
WAF — Web Application Firewall
Un filtre qui contrôle les requêtes vers votre site et bloque celles qui sont suspectes avant l’application.
DDoS — Distributed Denial of Service
Une attaque qui utilise de nombreuses sources pour saturer un site ou un service.
API — Application Programming Interface
Une façon convenue pour une application de demander des données ou des actions à une autre.
DNS — Domain Name System
Relie un nom comme alt-f1.be à l’adresse du service que le visiteur veut atteindre.
CDN — Content Delivery Network
Un réseau qui peut garder des copies du contenu d’un site près des visiteurs pour le diffuser plus vite.
SIEM — Security Information and Event Management
Rassemble les journaux de plusieurs systèmes pour les rechercher et relier les événements.
SOAR — Security Orchestration, Automation and Response
Relie les outils de sécurité et automatise des actions répétitives, comme ouvrir un dossier ou bloquer une adresse.
TLS — Transport Layer Security
Chiffre une connexion entre systèmes, par exemple entre un navigateur et un site web.

Tous les sigles et leurs explications →