Cloud WAF

Définition

Un Cloud WAF (Web Application Firewall cloud) est un service de sécurité applicative filtrant et monitorant le trafic HTTP/HTTPS destiné aux applications web et APIs hébergées dans le cloud. Il protège contre les attaques OWASP Top 10 (injections SQL, XSS, CSRF, LFI/RFI), les bots malveillants, et les attaques DDoS de couche 7, sans nécessiter l'installation de logiciels sur les serveurs applicatifs. Les Cloud WAFs se positionnent entre les utilisateurs et les applications, inspectant chaque requête HTTP/HTTPS avant de la transmettre au backend. Ils fonctionnent en mode proxy inverse : le nom DNS de l'application résout vers le WAF, qui transmet les requêtes légitimes vers le backend et bloque les requêtes malveillantes. Cette position permet d'absorber les attaques sans impacter les serveurs backend. Les principaux Cloud WAFs incluent : AWS WAF (intégré avec CloudFront, API Gateway, ALB, AppSync), Azure Front Door WAF (CDN + WAF global), Azure Application Gateway WAF v2 (WAF régional pour les applications Azure), Google Cloud Armor (WAF intégré dans Google Cloud Load Balancing), et des solutions tierces comme Cloudflare WAF, Akamai Kona Site Defender, Imperva WAF, et F5 Distributed Cloud Services. Les Cloud WAFs proposent deux types de règles. Les Managed Rule Sets (règles préconfigurées par le provider) couvrent les menaces connues avec une mise à jour automatique : OWASP CRS (Common Rule Set), Known Bad Inputs, bot signatures, CVE-specific rules. Les Custom Rules permettent de définir des politiques spécifiques à l'application : rate limiting par IP, filtrage par pays (geo-blocking), allowlisting de plages IP partenaires, et validation de paramètres HTTP. L'optimisation d'un Cloud WAF passe par la réduction des faux positifs (requêtes légitimes bloquées) et la confirmation que les vraies attaques sont bloquées. Le mode Detection (log sans bloquer) suivi du mode Prevention (blocage) est la progression standard. Les faux positifs s'éliminent via des règles d'exclusion ciblées (exclure une règle spécifique pour une URI spécifique), pas en désactivant des règles entières.