FortiWeb : Pare-feux d’applications Web (WAF)

Une sécurité totale et performante des applications Web

Disponibles en:
  • Appareil
  • Machine Virtuelle
  • Hébergé
  • Nuage
  • Conteneur

Présentation de FortiWeb

Les applications Web non protégées constituent une passerelle d'entrée pour les hackers et les attaques. L'approche multicouche et corrélée de FortiWeb protège vos applications Web contre de nombreuses vulnérabilités et notamment celles du Top 10 OWASP. Lorsqu'associé au service de sécurité des applications web des FortiGuard Labs, vous êtes protégés contre les vulnérabilités applicatives, bots et URL malveillantes. Nos deux moteurs de détection heuristique sécurisent vos applications contre des menaces évoluées telles que l'injection SQL, le cross-site scripting, le dépassement de tampon, le cookie poisonning, les sources malveillantes et les attaques de déni de service.

 

L'actualité de FortiWeb

Version logicielle 5.9.0 de FortiWeb

12/3/2018 : Les machines virtuelles FortiWeb sont disponibles en mode BYOL (bring your own license) ou à la demande (facturation à l'utilisation). Visitez la marketplace d'Azure et retrouvez FortiWeb.

 

FortiWeb On-Demand sur Azure Marketplace

19/3/2018 : Disponibilité de la version 5.9 du logiciel de FortiWeb, avec de nouvelles fonctionnalités : VM FortiWeb sur Azure, analyse des fichiers transmis par FTP et sandbox de détection des menaces.  Voir les notes de version

 

Fortinet intègre de nouvelles fonctionnalités de Machine Learning au pare-feu d'application web FortiWeb pour une détection comportementale des menaces

06/05/2018 : Un machine learning intelligent offre un processus en deux étapes pour détecter les attaques par un pare-feu d'application web autonome. Lire le communiqué de presse.

 

Vidéos de FortiWeb

Fortinet Web Application Security

Dynamic patching of web-based applications to defend against threats that target known and unknown vulnerabilities.

Voir
FortiWeb 6.0 with AI-Base Machine Learning
Protecting Web Applications with FortiWeb


Informations produit sur FortiWeb

Qu'il s'agisse d'assurer la conformité à des règles ou de protéger des applications critiques hébergées, les pare-feux applicatifs FortiWeb offrent des fonctionnalités évoluées qui protègent les applications web contre les menaces connues et inconnues. À l'aide d'une approche multi-couche et corrélée, FortiWeb déploie une sécurité intégrale pour vos applications web internes et externes et les protège des menaces, notamment celles répertoriées dans le Top 10 OWASP. FortiWeb bénéficie de deux moteurs de détection, basés sur l'intelligence artificielle, et capables de détecter les menaces avec un taux minimal de faux-positifs.

 

   

Fonctionnalités et avantages

checkmark icon

Une protection éprouvée des applications web

FortiWeb protège contre nombre de menaces, celles du Top-10 OWASP et les attaques DDoS notamment, et sécurise vos applications web critiques.
intelligent icon

L'intelligence artificielle au service de la détection des menaces

Au-delà des mises à jour régulières des signatures et des autres couches de sécurité, les deux moteurs de détection, basés sur l'intelligence artificielle de FortiWeb, détectent et neutralisent les attaques zero day
Icon security fabric

Intégration avec la Security Fabric

Intégration avec les pare-feux FortiGate et avec FortiSandbox pour assurer une protection contre les menaces APT
analytics icon

Traitement analytique évolué et graphique

Les outils de reporting graphique de FortiWeb offrent une analyse détaillée des sources d'attaque, ainsi que d'autres éléments clés, pour ainsi définir une visibilité absente des autres outils WAF. 
icon benefits tools

Outils de gestion des faux-positifs 

Des outils évolués minimisent la gestion au quotidien des règles et des listes d'exception pour s'assurer que seul le trafic indésirable est neutralisé.
high performance icon

Accélération matérielle

FortiWeb offre des performances optimales en matière de fonctions WAF et de chiffrement/déchiffrement.

Modèles et spécifications de FortiWeb


Le pare-feu d'applications web FortiWeb est proposé sous différents formats et modèles, des appliances matérielles d'entrée de gamme à des machines virtuelles sophistiquées adaptées au cloud.

Throughput
25 Mbps
Ports
4x GE RJ45
Throughput
100 Mbps
Ports
4x GE RJ45, 4x GE SFP
Throughput
250 Mbps
Ports
4x GE RJ45 (2 ports bypass), 4x GE SFP
Throughput
1 Gbps
Ports
2x GE SFP, 6x GE RJ45 (4 ports bypass)
Throughput
1,3 Gbps
Ports
2x 10 GE SFP+, 2x GE RJ45, 4x GE RJ45 bypass, 4x GE SFP
Throughput
2,5 Gbps
Ports
2x 10 GE SFP+, 4x GE RJ45 bypass, 4x GE SFP
Throughput
5 Gbps
Ports
4x 10 GE SFP+, 8x GE RJ45 bypass, 4x GE SFP
Throughput
20 Gbps
Ports
8x GE RJ45 bypass, 4x GE SFP, 2x 10G SFP+ bypass, 2x 10G SFP+
VMware, Microsoft Hyper-V, Citrix XenServer, Open Source Xen, KVM, Amazon Web Services (AWS) et Microsoft Azure. Merci de consulter le Guide d'installation de FortiWeb VM pour les versions compatibles.

Throughput
25 Mbps
vCPU
1
Throughput
100 Mbps
vCPU
2
Throughput
500 Mbps
vCPU
4
Throughput
2 Gbps
vCPU
8
Les performances réelles peuvent être différentes selon la configuration système et le trafic réseau. Les performances ont été mesurées sur un serveur Dell PowerEdge R710 server (2 processeurs Intel Xeon E5504 2.0 GHz et 4 Mo Cache) sous VMware ESXi 5.5 avec 4 Go de vRAM alloués à l'appliance virtuelle FortiWeb dotée de 4 vCPU et 8 vCPU et 4 Go de vRAM alloués à l'appliance virtuelle FortiWeb dotée de 2 vCPU.
Compatible Amazon Web Services (AWS) et Microsoft Azure, avec mode BYOL (bring your own license) ou à la demande (facturation à l'utilisation). Consultez les marketplaces d'AWS et d'Azure pour plus d'informations :
FortiWebCloud est un pare-feu applicatif (WAF) pratique, simple à déployer et convivial, mis à jour en permanence. Pour les entreprises souhaitant un déploiement accéléré d'un WAF tout en minimisant les opérations de maintenance, FortiWebCloud se dimensionne pour répondre aux exigences de trafic, tout en proposant une gestion matérielle et logicielle simple. FortiWebCloud offre des niveaux cumulables de bande passante, de 5 à 500 Mbps et vous permet de choisir le nombre de sites nécessaires, via un abonnement cumulable de 1 à 50 sites.
 
Déjà client de FortiWebCloud ? Merci de cliquer ici pour accéder au service.

Services de sécurité FortiGuard pour FortiWeb

FortiWeb tire parti de plusieurs services de sécurité FortiGuard pour protéger les applications web. Ces abonnements annuels peuvent être souscrits à la carte ou proposés dans le cadre d'une offre packagée avec la solution FortiWeb.

FG Web App

Web Application Security

Le service de sécurité des applications web de FortiGuard utilise des informations sur les vulnérabilités applicatives les plus récentes, les bots, les URL suspectes et les modèles de données, ainsi que des moteurs de détection heuristique spécialisés pour sécuriser la couche applicative.

FG AntiBotnet

Réputation des IP & sécurité anti-botnet

Le service de réputation des adresses IP FortiGuard agrège les données des IP de sources malveillantes à partir du réseau multisite de Fortinet, constitué de capteurs de menaces, CERT, MITRE, concurrents coopératifs et autres sources globales : les informations sur les sources hostiles sont ainsi actualisées. Les informations en quasi-temps réel provenant de différentes passerelles réseau, associées aux recherches des FortiGuard Labs à l'échelle mondiale renforcent la sécurité des organisations et neutralisent les attaques de façon proactive.

FG Antivirus

Anti-virus

Le service anti-virus FortiGuard assure la protection contre les virus et logiciels espions les plus récents, et contre les menaces au niveau du contenu. La solution utilise des moteurs de détection avancée pour empêcher que les attaques, nouvelles ou en évolution, ne pénètrent sur votre réseau et n'accèdent aux ressources de valeur.

Icon cloudsandbox

FortiSandbox Cloud

Le service cloud FortiSandbox détecte les menaces avancées, via une analyse dynamique qui identifie les programmes malveillants inconnus. La veille décisionnelle générée par FortiCloud Sandbox est mise à disposition de l'ensemble des fonctions de sécurité du réseau, pour lutter plus efficacement contre les menaces.

Credential Stuffing Defense Icon

Défense contre les attaques par identifiants piratés

La solution Fortinet contre les attaques par « credential stuffing » (injection automatique d'identifiants piratés) identifie les tentatives de connexion à l'aide d'identifiants piratés, grâce à un flux à jour d’informations sur ces identifiants. Les administrateurs peuvent configurer les dispositifs pris en charge pour qu’ils exécutent certaines opérations (mise en logs, alertes et neutralisation) en cas de connexion suspecte.

 

Pack de services

Standard

Protection qui offre les services essentiels à la protection de vos applications web : sécurité des applications web, réputation des IP et anti-botnet, et antivirus.

Advanced

Pour une protection optimale des applications web, le pack Advanced intègre tous les services du pack Standard, ainsi que FortiCloud Sandbox et Credential Stuffing Defense (défense contre les attaques par identifiants compromis)

 

Démos produits

product demo fortiweb

FortiWeb Demo

This full working demo lets you explore the many features of our FortiWeb Web Application Firewall (WAF). You’ll quickly see how FortiWeb easily displays system resource utilization and attack logs, and gives you everything you need in the easy-to-use attack console. Be sure to check out our comprehensive web protection profiles and in-depth reporting.

Access the demo

Rapports comparatifs 2017 et SVM de NSS Labs sur les pare-feux WAF

FortiWeb 3000E a été comparé à 5 principaux pare-feux WAF concurrents. Cliquez sur le lien ci-dessous pour connaître les résultats de FortiWeb.

Critères communs

Les produits Fortinet ont reçu les certifications Critères Communs basées sur NDPP, EAL2+ et EAL4+. Les évaluations Critères Communs impliquent une analyse et des tests formels rigoureux pour étudier les aspects de sécurité d’un produit ou d’un système. Une batterie complète de tests est réalisée selon un processus complet et formellement reproductible, afin de confirmer que le produit fonctionne comme le constructeur l’annonce. Les points faibles de sécurité et les vulnérabilités potentielles sont notamment étudiés lors d’une évaluation. Vous trouverez plus d’informations sur les dernières certifications Critères Communs ci-dessous :

Certification d’ICSA Labs : antivirus, pare-feu d’entreprise, IPsec, NIPS, SSL-TLS et pare-feu d’application Web

Les produits FortiGate et FortiWeb sont évalués par rapport aux critères ICSA dans 6 programmes de certification. ICSA Labs gère et sponsorise des forums de sécurité dans l'optique d'assurer le partage d'informations de veille entre les principaux fournisseurs de produits de sécurité. Par ailleurs, ICSA Labs publie des enquêtes, des études sectorielles sur la sécurité et des guides d’achat pour les produits de sécurité.

SVM WAF 2014 de NSS Labs

Dans le tout premier test dédié aux pare-feux d’applications Web, NSS Labs a indiqué un taux global de neutralisation de 99,85 % et un TCO de 2,77 $ par connexion protégée pour FortiWeb-1000D : la Security Value Map a attribué la mention « Recommended » à cette plateforme.

Partenaires technologiques FortiWeb


FortiWeb s'intègre avec de nombreuses solutions proposées par des acteurs majeurs de l'informatique, dans le cadre de la Security Fabric de Fortinet. Les partenaires technologiques de FortiWeb sont les suivants :

Gemalto

Gemalto offre des solutions de sécurité intégrale pour l'entreprise, permettant à ses clients de bénéficier de l’une des meilleures protections pour les identités, les transactions, les paiements et les données numériques (de la périphérie jusqu’au cœur de réseau).

Synthèse de la solution

Hewlett Packard Enterprise

Hewlett Packard Enterprise

Hewlett Packard Enterprise est un leader technologique dont l'ambition est d'aider ses clients à aller plus loin, plus vite. Avec l'offre la plus exhaustive du marché, les technologies et services de HPE aident des clients du monde entier à rendre l’informatique plus efficace, productive et sécurisée.

IBM Security

IBM

IBM Security offre un panel de produits et de services de sécurité sophistiqués et intégrés pour entreprise. Le portefeuille permet aux organisations de gérer efficacement les risques et de se défendre contre les menaces émergentes.

Qualys

Qualys

Qualys, Inc. est un pionnier de solutions cloud de conformité et de sécurité, avec plus de 8 800 clients dans plus de 100 pays. La majorité des entreprises des palmarès Forbes Global 100 et Fortune 100 font confiance à l'éditeur.

Synthèse de la solution

WhiteHat

WhiteHat

Fort de ses technologies avancées et de l’expertise de son Centre de recherche des menaces (TRC), WhiteHat propose des solutions de sécurité applicative qui maîtrise les risques et les coûts et accélèrent le déploiement d’applications et de sites Internet sécurisés.

Synthèse de la solution

FAQ

Un système de prévention d'intrusions (IPS) ou un pare-feu peut-il protéger les applications hébergées dans le web ?

Les pare-feux et systèmes IPS nouvelle-génération et de type "application aware" (prise en compte du contexte applicatif) renforcent le niveau de protection, mais cette caractéristique "application aware" sert, pour l'essentiel, à sécuriser et superviser les clients internes qui accèdent à Internet, et non à protéger les applications internes contre les menaces externes. Les pare-feux d'applications web (WAF) sont différents puisqu'ils protègent les applications web internes contre des attaques externes sophistiquées ciblant la couche applicative. Ils offrent un modèle de sécurité à la fois positif et négatif et protègent contre les principales menaces applicatives actuelles (SQL Injection, Cross Site Scripting, accès aux URL, CSRF, attaques par injection et davantage).

Dans quelle mesure le machine learning de FortiWeb dédié à la détection des menaces est-il supérieur aux autres méthodes de détection de menaces ?

Les autres constructeurs utilisent un apprentissage des applications basé sur une méthode d'observation pour automatiser la création de profils et protéger les applications web. L'apprentissage des applications est une méthode intéressante, mais elle présente certaines carences, parmi lesquelles :

  • un fort taux de faux-positifs
  • un travail important pour affiner la précision des analyses
  • des anomalies résultant du trafic légitime non analysé
  • un paramétrage trop agressif ouvre la porte aux attaques
  • tout changement dans l'application exige un nouvel apprentissage conséquent pour éviter des faux-positifs trop importants

La détection comportementale de FortiWeb utilise deux couches de machine learning et des probabilités statistiques pour détecter les anomalies et les menaces de manière distincte. Avec le machine learning, FortiWeb offre une précision des détections des menaces proche de 100 %, et sans devoir mobiliser de ressources pour gérer la solution. Le machine learning rend le pare-feu d'applications web FortiWeb particulièrement autonome. La précision des détections va de pair avec la simplicité d'administration.    

Quel est le modèle de pare-feu WAF dont j'ai besoin ?

Plusieurs facteurs déterminent le modèle WAF le plus pertinent : performances applicatives, nombre d'utilisateurs et nombre de sites à protéger. Vous devriez contacter un partenaire Fortinet pour étudier vos besoins et identifier la solution la plus adaptée.

En quoi FortiWeb Cloud est-t-il différent d'une plateforme FortiWeb déployée sur site ?

FortiWeb Cloud est une solution WAF légère avec un modèle de sécurité de type négatif, tandis que FortiWeb est un pare-feu WAF totalement opérationnel dont le modèle de sécurité est à la fois positif et négatif. La majorité des clients d'un pare-feu WAF dans le cloud recherchent une solution simple et autonome qu'ils peuvent configurer rapidement et utiliser au quotidien, sans devoir subir une administration au quotidien. FortiWeb Cloud répond à ces besoins, puisque la solution offre un panel restreint des fonctionnalités de FortiWeb sur site, tout en simplifiant les tâches de configuration et d'administration.

Faut-il déployer un pare-feu WAF si je dispose déjà d'une passerelle de sécurité web ?

Oui. Une passerelle de sécurité web protège les utilisateurs internes d'une organisation lorsqu'ils accèdent à un site web externe infecté ou à un contenu malveillant situé hors de l'organisation. Un pare-feu WAF protège les applications web contre les attaques initiées depuis l'extérieur. Pour faire simple, une passerelle de sécurité web protège les utilisateurs tandis qu'un pare-feu WAF protège les applications.

FortiWeb WAF vs. WAF embarqué dans un contrôleur de fourniture applicative (ADC)

Une appliance dédiée au WAF ne pèsera pas sur les performances. De plus, FortiWeb dispose de la puissance de traitement nécessaire pour réaliser une détection comportementale des attaques ciblant les applications. Les modules WAF sur des ADC n'offrent que des fonctions WAF de base pour les applications.

FortiWeb assure-t-il le patching des vulnérabilités applicatives ?

Tout à fait. FortiWeb assure le patching temporaire des applications jusqu'au déploiement de patchs officiels pour les vulnérabilités. Ce patching peut être permanent si besoin est. Il est recommandé de remédier à une vulnérabilité de manière permanente. Cependant, ceci est impossible dans certains cas, comme celui des applications obsolètes ou en fin de support.