Fortinet Web Application Security
Dynamic patching of web-based applications to defend against threats that target known and unknown vulnerabilities.
VoirFortiWeb : Pare-feux d’applications Web (WAF)
Présentation de FortiWeb
Les applications Web non protégées constituent une passerelle d'entrée pour les hackers et les attaques. L'approche multicouche et corrélée de FortiWeb protège vos applications Web contre de nombreuses vulnérabilités et notamment celles du Top 10 OWASP. Lorsqu'associé au service de sécurité des applications web des FortiGuard Labs, vous êtes protégés contre les vulnérabilités applicatives, bots et URL malveillantes. Nos deux moteurs de détection heuristique sécurisent vos applications contre des menaces évoluées telles que l'injection SQL, le cross-site scripting, le dépassement de tampon, le cookie poisonning, les sources malveillantes et les attaques de déni de service.
L'actualité de FortiWeb
Version logicielle 5.9.0 de FortiWeb
06/05/2018 : Un machine learning intelligent offre un processus en deux étapes pour détecter les attaques par un pare-feu d'application web autonome. Lire le communiqué de presse.
12/3/2018 : Les machines virtuelles FortiWeb sont disponibles en mode BYOL (bring your own license) ou à la demande (facturation à l'utilisation). Visitez la marketplace d'Azure et retrouvez FortiWeb.
FortiWeb On-Demand sur Azure Marketplace
19/3/2018 : Disponibilité de la version 5.9 du logiciel de FortiWeb, avec de nouvelles fonctionnalités : VM FortiWeb sur Azure, analyse des fichiers transmis par FTP et sandbox de détection des menaces. Voir les notes de version.
Fortinet intègre de nouvelles fonctionnalités de Machine Learning au pare-feu d'application web FortiWeb pour une détection comportementale des menaces
Informations produit sur FortiWeb
Qu'il s'agisse d'assurer la conformité à des règles ou de protéger des applications critiques hébergées, les pare-feux applicatifs FortiWeb offrent des fonctionnalités évoluées qui protègent les applications web contre les menaces connues et inconnues. À l'aide d'une approche multi-couche et corrélée, FortiWeb déploie une sécurité intégrale pour vos applications web internes et externes et les protège des menaces, notamment celles répertoriées dans le Top 10 OWASP. FortiWeb bénéficie de deux moteurs de détection, basés sur l'intelligence artificielle, et capables de détecter les menaces avec un taux minimal de faux-positifs.
Fonctionnalités et avantages
Une protection éprouvée des applications web
FortiWeb protège contre nombre de menaces, celles du Top-10 OWASP et les attaques DDoS notamment, et sécurise vos applications web critiques.
L'intelligence artificielle au service de la détection des menaces
Au-delà des mises à jour régulières des signatures et des autres couches de sécurité, les deux moteurs de détection, basés sur l'intelligence artificielle de FortiWeb, détectent et neutralisent les attaques zero day
Intégration avec la Security Fabric
Intégration avec les pare-feux FortiGate et avec FortiSandbox pour assurer une protection contre les menaces APT
Traitement analytique évolué et graphique
Les outils de reporting graphique de FortiWeb offrent une analyse détaillée des sources d'attaque, ainsi que d'autres éléments clés, pour ainsi définir une visibilité absente des autres outils WAF.
Outils de gestion des faux-positifs
Des outils évolués minimisent la gestion au quotidien des règles et des listes d'exception pour s'assurer que seul le trafic indésirable est neutralisé.
Accélération matérielle
FortiWeb offre des performances optimales en matière de fonctions WAF et de chiffrement/déchiffrement.
Modèles et spécifications de FortiWeb
Le pare-feu d'applications web FortiWeb est proposé sous différents formats et modèles, des appliances matérielles d'entrée de gamme à des machines virtuelles sophistiquées adaptées au cloud.
▼
Throughput |
25 Mbps |
| Ports | 4x GE RJ45 |
Throughput |
100 Mbps |
| Ports | 4x GE RJ45, 4x GE SFP |
Throughput |
250 Mbps |
| Ports | 4x GE RJ45 (2 ports bypass), 4x GE SFP |
Throughput |
1 Gbps |
| Ports | 2x GE SFP, 6x GE RJ45 (4 ports bypass) |
Throughput |
1,3 Gbps |
| Ports | 2x 10 GE SFP+, 2x GE RJ45, 4x GE RJ45 bypass, 4x GE SFP |
Throughput |
2,5 Gbps |
| Ports | 2x 10 GE SFP+, 4x GE RJ45 bypass, 4x GE SFP |
Throughput |
5 Gbps |
| Ports | 4x 10 GE SFP+, 8x GE RJ45 bypass, 4x GE SFP |
Throughput |
20 Gbps |
| Ports | 8x GE RJ45 bypass, 4x GE SFP, 2x 10G SFP+ bypass, 2x 10G SFP+ |
VMware, Microsoft Hyper-V, Citrix XenServer, Open Source Xen, KVM, Amazon Web Services (AWS) et Microsoft Azure. Merci de consulter le Guide d'installation de FortiWeb VM pour les versions compatibles.
Throughput |
25 Mbps |
| vCPU | 1 |
Throughput |
100 Mbps |
| vCPU | 2 |
Throughput |
500 Mbps |
| vCPU | 4 |
Throughput |
2 Gbps |
| vCPU | 8 |
Les performances réelles peuvent être différentes selon la configuration système et le trafic réseau. Les performances ont été mesurées sur un serveur Dell PowerEdge R710 server (2 processeurs Intel Xeon E5504 2.0 GHz et 4 Mo Cache) sous VMware ESXi 5.5 avec 4 Go de vRAM alloués à l'appliance virtuelle FortiWeb dotée de 4 vCPU et 8 vCPU et 4 Go de vRAM alloués à l'appliance virtuelle FortiWeb dotée de 2 vCPU.
Compatible Amazon Web Services (AWS) et Microsoft Azure, avec mode BYOL (bring your own license) ou à la demande (facturation à l'utilisation). Consultez les marketplaces d'AWS et d'Azure pour plus d'informations :
FortiWebCloud est un pare-feu applicatif (WAF) pratique, simple à déployer et convivial, mis à jour en permanence. Pour les entreprises souhaitant un déploiement accéléré d'un WAF tout en minimisant les opérations de maintenance, FortiWebCloud se dimensionne pour répondre aux exigences de trafic, tout en proposant une gestion matérielle et logicielle simple. FortiWebCloud offre des niveaux cumulables de bande passante, de 5 à 500 Mbps et vous permet de choisir le nombre de sites nécessaires, via un abonnement cumulable de 1 à 50 sites.
Déjà client de FortiWebCloud ? Merci de cliquer ici pour accéder au service.
Services de sécurité FortiGuard pour FortiWeb
FortiWeb tire parti de plusieurs services de sécurité FortiGuard pour protéger les applications web. Ces abonnements annuels peuvent être souscrits à la carte ou proposés dans le cadre d'une offre packagée avec la solution FortiWeb.
Web Application Security
Le service de sécurité des applications web de FortiGuard utilise des informations sur les vulnérabilités applicatives les plus récentes, les bots, les URL suspectes et les modèles de données, ainsi que des moteurs de détection heuristique spécialisés pour sécuriser la couche applicative.
Réputation IP et sécurité anti-botnet
Le service de réputation des adresses IP FortiGuard agrège les données des IP de sources malveillantes à partir du réseau multisite de Fortinet, constitué de capteurs de menaces, CERT, MITRE, concurrents coopératifs et autres sources globales : les informations sur les sources hostiles sont ainsi actualisées. Les informations en quasi-temps réel provenant de différentes passerelles réseau, associées aux recherches des FortiGuard Labs à l'échelle mondiale renforcent la sécurité des organisations et neutralisent les attaques de façon proactive.
Antivirus
Le service FortiGuard Antivirus assure une protection contre les virus et logiciels espions les plus récents, et contre les menaces au niveau du contenu. La solution utilise des moteurs de détection avancée pour empêcher que les attaques, nouvelles ou en évolution, ne pénètrent sur votre réseau et n'accèdent aux ressources de valeur.
FortiSandbox Cloud
Le service cloud FortiSandbox détecte les menaces avancées, via une analyse dynamique qui identifie les programmes malveillants inconnus. La veille décisionnelle générée par FortiCloud Sandbox est mise à disposition de l'ensemble des fonctions de sécurité du réseau, pour lutter plus efficacement contre les menaces.
Défense contre les attaques par identifiants compromis
La solution Fortinet contre les attaques par « credential stuffing » (injection automatique d'identifiants piratés) identifie les tentatives de connexion à l'aide d'identifiants piratés, grâce à un flux à jour d’informations sur ces identifiants. Les administrateurs peuvent configurer les dispositifs pris en charge pour qu’ils exécutent certaines opérations (mise en logs, alertes et neutralisation) en cas de connexion suspecte.
Pack de services
Standard
Protection qui offre les services essentiels à la protection de vos applications web : sécurité des applications web, réputation des IP et anti-botnet, et antivirus.
Advanced
Pour une protection optimale des applications web, le pack Advanced intègre tous les services du pack Standard, ainsi que FortiCloud Sandbox et Credential Stuffing Defense (défense contre les attaques par identifiants compromis)
▼
Fiches techniques
Études de cas
Guides solution
Livres blancs
Vidéo
Formation
Product Demos
FortiWeb Cloud WAF as a Service demo
Log into our SaaS portal and explore the many features of our FortiWeb Cloud WAF as a Service. Enjoy comprehensive Web Application Security without the need to manage and maintain appliances or virtual instances.
Access the demoFortiWeb Demo
This full working demo lets you explore the many features of our FortiWeb Web Application Firewall (WAF). You’ll quickly see how FortiWeb easily displays system resource utilization and attack logs, and gives you everything you need in the easy-to-use attack console. Be sure to check out our comprehensive web protection profiles and in-depth reporting.
Complete the form below to access the demo.
Common Criteria
Fortinet products have received NDPP, EAL2+, and EAL4+ based Common Criteria certifications. Common Criteria evaluations involve formal rigorous analysis and testing to examine security aspects of a product or system. Extensive testing activities involve a comprehensive and formally repeatable process, confirming that the security product functions as claimed by the manufacturer. Security weaknesses and potential vulnerabilities are specifically examined during an evaluation. More information on the latest Fortinet Common Criteria Certifications are available below:
ICSA Labs Certified: Antivirus, Corporate Firewall, IPsec, NIPS, SSL-TLS, and Web Application Firewall
FortiGate and FortiWeb products are evaluated against ICSA criteria in 6 popular Certification programs. ICSA Labs manages and sponsors security consortia that provides a forum for intelligence sharing among the leading vendors of security products. In addition, ICSA Labs publishes surveys, security industry studies, and buyer's guides for computer security products.
NSS Labs WAF 2014 SVM
In its first-ever web application firewall testing, NSS Labs reported that the FortiWeb-1000D achieved an overall block rate of 99.85% at $2.77 TCO per protected connection per second that earned the WAF “Recommended” status in their Web Application Firewall Security Value Map.
FortiWeb Ecosystem
FortiWeb provides integration with many leading IT vendors as part of the Fortinet Security Fabric. Below is a list of current FortiWeb Alliance Partners:
Gemalto
Gemalto offers one of the most complete portfolios of enterprise security solutions in the world, enabling its customers to enjoy industry-leading protection of digital identities, transactions, payments, and data – from the edge to the core.
Hewlett Packard Enterprise
Hewlett Packard Enterprise is an industry-leading technology company that enables customers to go further, faster. With the industry’s most comprehensive portfolio, HPE's technology and services help customers around the world make IT more efficient, more productive, and more secure.
- Fortinet-HPE Alliance Brief
- Fortinet-HPE SDN Solution Brief
- Learn more about the Fortinet-HPE Alliance
IBM
IBM Security offers one of the most advanced and integrated portfolios of enterprise security products and services. The portfolio enables organizations to effectively manage risk and defend against emerging threats.
- Fortinet – IBM Security AppScan Solution Brief
- Fortinet – IBM Security QRadar Solution Brief
- Fortinet FortiGate and IBM QRadar Deployment Guide
- FortiGate App For IBM QRadar Technical Solution Guide
- Fortinet - IBM Resilient Technical Deployment Guide
- Learn more about the Fortinet-IBM Security Alliance
Qualys
Qualys, Inc. is a pioneer and leading provider of cloud-based security and compliance solutions with over 8,800 customers in more than 100 countries, including a majority of each of the Forbes Global 100 and Fortune 100.
WhiteHat
Combining advanced technology with the expertise of its global Threat Research Center (TRC) team, WhiteHat delivers application security solutions that reduce risk, reduce cost, and accelerate the deployment of secure applications and websites.
FAQ
Un système de prévention d'intrusions (IPS) ou un pare-feu peut-il protéger les applications hébergées dans le web ?
Les pare-feux et systèmes IPS nouvelle-génération et de type "application aware" (prise en compte du contexte applicatif) renforcent le niveau de protection, mais cette caractéristique "application aware" sert, pour l'essentiel, à sécuriser et superviser les clients internes qui accèdent à Internet, et non à protéger les applications internes contre les menaces externes. Les pare-feux d'applications web (WAF) sont différents puisqu'ils protègent les applications web internes contre des attaques externes sophistiquées ciblant la couche applicative. Ils offrent un modèle de sécurité à la fois positif et négatif et protègent contre les principales menaces applicatives actuelles (SQL Injection, Cross Site Scripting, accès aux URL, CSRF, attaques par injection et davantage).
Dans quelle mesure le machine learning de FortiWeb dédié à la détection des menaces est-il supérieur aux autres méthodes de détection de menaces ?
Les autres constructeurs utilisent un apprentissage des applications basé sur une méthode d'observation pour automatiser la création de profils et protéger les applications web. L'apprentissage des applications est une méthode intéressante, mais elle présente certaines carences, parmi lesquelles :
- un fort taux de faux-positifs
- un travail important pour affiner la précision des analyses
- des anomalies résultant du trafic légitime non analysé
- un paramétrage trop agressif ouvre la porte aux attaques
- tout changement dans l'application exige un nouvel apprentissage conséquent pour éviter des faux-positifs trop importants
La détection comportementale de FortiWeb utilise deux couches de machine learning et des probabilités statistiques pour détecter les anomalies et les menaces de manière distincte. Avec le machine learning, FortiWeb offre une précision des détections des menaces proche de 100 %, et sans devoir mobiliser de ressources pour gérer la solution. Le machine learning rend le pare-feu d'applications web FortiWeb particulièrement autonome. La précision des détections va de pair avec la simplicité d'administration.
Quel est le modèle de pare-feu WAF dont j'ai besoin ?
Plusieurs facteurs déterminent le modèle WAF le plus pertinent : performances applicatives, nombre d'utilisateurs et nombre de sites à protéger. Vous devriez contacter un partenaire Fortinet pour étudier vos besoins et identifier la solution la plus adaptée.
En quoi FortiWeb Cloud est-t-il différent d'une plateforme FortiWeb déployée sur site ?
FortiWeb Cloud est une solution WAF légère avec un modèle de sécurité de type négatif, tandis que FortiWeb est un pare-feu WAF totalement opérationnel dont le modèle de sécurité est à la fois positif et négatif. La majorité des clients d'un pare-feu WAF dans le cloud recherchent une solution simple et autonome qu'ils peuvent configurer rapidement et utiliser au quotidien, sans devoir subir une administration au quotidien. FortiWeb Cloud répond à ces besoins, puisque la solution offre un panel restreint des fonctionnalités de FortiWeb sur site, tout en simplifiant les tâches de configuration et d'administration.
Faut-il déployer un pare-feu WAF si je dispose déjà d'une passerelle de sécurité web ?
Oui. Une passerelle de sécurité web protège les utilisateurs internes d'une organisation lorsqu'ils accèdent à un site web externe infecté ou à un contenu malveillant situé hors de l'organisation. Un pare-feu WAF protège les applications web contre les attaques initiées depuis l'extérieur. Pour faire simple, une passerelle de sécurité web protège les utilisateurs tandis qu'un pare-feu WAF protège les applications.
FortiWeb WAF vs. WAF embarqué dans un contrôleur de fourniture applicative (ADC)
Une appliance dédiée au WAF ne pèsera pas sur les performances. De plus, FortiWeb dispose de la puissance de traitement nécessaire pour réaliser une détection comportementale des attaques ciblant les applications. Les modules WAF sur des ADC n'offrent que des fonctions WAF de base pour les applications.
FortiWeb assure-t-il le patching des vulnérabilités applicatives ?
Tout à fait. FortiWeb assure le patching temporaire des applications jusqu'au déploiement de patchs officiels pour les vulnérabilités. Ce patching peut être permanent si besoin est. Il est recommandé de remédier à une vulnérabilité de manière permanente. Cependant, ceci est impossible dans certains cas, comme celui des applications obsolètes ou en fin de support.