Créée en 2017, la société Qonto permet aux entrepreneurs d’utiliser un site associant des outils de paramétrage et des prestations financières. Le nombre de clients du groupe est estimé actuellement à plus de 250 000. Inscrite au Next40 l’année dernière, l’entreprise se présente comme une autre option pour les banques classiques et aux gestions comptables.
Les clients de la start-up Qonto se trouvent dans différents pays en Europe tels que la France, l’Espagne, l’Italie et l’Allemagne. Pour se préserver des cyberattaques, la jeune pousse a installé un premier niveau de sécurité grâce au pare-feu issu de Cloudflare. Ce système de protection permet à l’entreprise exerçant dans le secteur de la fintech de repérer les logiciels malveillants.
Une Plateforme informatique regroupe l’essentiel des missions pour les freelances IT. Ces indépendants qui souhaitent mettre leurs connaissances et compétences au service de la sécurité des entreprises devront s’y inscrire. En tant qu’experts en informatique, des offres spécifiques peuvent leur permettre de collaborer avec une start-up à l’étranger.
La solution WAF de Cloudflare pour sécuriser les données de Qonto
Le chargé de sécurité de l'information chez Qonto, Ayoub El Aassal affirme que :
Tout modèle de sécurité met en œuvre certains principes, comme la défense en profondeur.
Ayoub El Aassal
Ce responsable intègre la société Qonto en 2020. Son premier acte était de déterminer à quelle menace l’entreprise était exposée. Son objectif est de placer la protection appropriée à chaque risque. Ce RSSI pense que :
Il s'agit de mettre en place autant de couches que nécessaire entre les attaquants et les actifs finaux qui ont de la valeur, en l'occurrence les données clients. Dans la sécurité, nous aimons bien utiliser l'image du fromage à trous : le but est d'empiler les tranches sans aligner les trous.
Ayoub El Aassal
Le web application firewall (WAF) est sa première ligne. C’est un pare-feu sécurisant les dispositifs contre d’éventuelles cyberattaques. L’action de ce logiciel s’effectue en trois phases :
- Analyse du flux sur internet ;
- Détection des failles utilisées par les cyberattaques ;
- Identifications des essais d’exploitation des points vulnérables.
C’est la version SaaS de Cloudflare qui a été sélectionnée par Qonto pour garantir le premier palier de sécurisation. Ayoub El Aassal a déjà expérimenté cette solution et apprécie particulièrement ses fonctions d’utilisation et de paramétrage.
3 semaines pour mettre en avant la solution
21 jours ont été nécessaires pour déployer cette solution. Ayoub El Aassal, rajoute :
Si tout est bien préparé, le déploiement est fluide.
Ayoub El Aassal
L’idée, c’est faire transiter le flux reçu via le WAF pour exécuter les conditions avant de recevoir les demandes vers l'infrastructure. Le défi majeur de ce plan est d’insérer la brique utilisable comme fil rouge . Le web application firewall peut être considéré comme un élément sécuritaire. Si c’est le cas, une telle mise en place nécessite de réelles implications sur l’architecture.
Le réglage de cette solution reste indispensable pour ajuster les modalités fixant les trafics qui seront recalés. Il faut donc arriver à limiter le lot des faux positifs au maximum. Pour Ayoub El Aassal, l’offre comprend des dispositions de base qui marchent idéalement, tout en limitant les menaces avec les faux positifs.
Des modalités tirées des référentiels de l’open web application security project (OWASP) sont susceptibles d’être ajoutées. Elles nécessitent plus de personnalisation pour empêcher des faux positifs.
Divers procédés appliqués pour contrer les bots
À propos des dénombrements des comptes, Qonto prend les dispositions nécessaires pour les protéger contre les logiciels malveillants. Pour le RSSI, trois types de cyberattaques par le procédé de la force brute sont répertoriés.
L’une consiste à se servir du credential stuffing en essayant plusieurs listes de code secret ayant fuité grâce aux IP aléatoires . Ce type d’attaque est la plus nuisible. Cependant, pour la contrer, l’entreprise se sert d’un paramétrage de Cloudflare. Ce système est capable d’analyser si les demandes des utilisateurs sont réelles ou générées par un script. Il fonctionne très bien selon Ayoub El Aassal. En l’espace d’un seul mois, 4 500 menaces ont été bloquées provenant des logiciels malveillants de 3 000 IP.
Une autre dite horizontale essaye un unique mot de passe en même temps sur différents comptes. Pour la neutraliser, il est indispensable de repérer l’IP. Et d’arriver à la conclusion que c’est cette même adresse qui envoie les requêtes au serveur Web tout le temps. D’où la nécessité d’employer plusieurs logiques applicatives. Le WAF intègre ce type de solution.
Enfin la dernière, verticale se sert du credential stuffing . Ce système teste plusieurs codes secrets ayant fuité avec différents IP. Elle est cependant plus facile à contrecarrer en usant d’un Cloudflare.
Le futur de WAF façonné par la clientèle
Cette étude à propos des utilisateurs a concerné environ 500 usagers. Elle a permis à l’entreprise de mieux cerner les nécessités et le cadre d’exploitation. Quatre différents moyens de recherche ont été appliqués. En conséquence, plusieurs usagers du monde entier étaient capables de collaborer en ligne à toute heure et n’importe où.
Concernant le tri par carte, les intervenants avaient le droit de rassembler des pièces de navigation. Celles-ci devaient être classifiées par les participants selon leur niveau d’appréciation.
L’essai d'arborescence servait à estimer les capacités d’un environnement de navigation soumis pour un objectif public.
Le rapport de ce concept nécessite une stratégie basée sur des actions pour évaluer l’efficacité et la pertinence de ses éléments.
Les réponses obtenues de cette enquête ont été utiles pour examiner point par point tous ces résultats. Elles ont été nécessaires pour déterminer le profil des participants.
Les données finales de cette recherche avec quatre aspects ont orienté les ajustements sur le WAF.
Les perspectives concernant le WAF
Cette évolution remarquée sera le début afin d’aider tout le monde à prendre en main facilement le WAF de Cloudflare . L’entreprise effectue une estimation des procédés qui améliore les mécanismes pour se décider, notamment, lors de la protection des outils web.
Face aux data qui augmentent et les solutions pour la mise en place de règles, le groupe veut aider les utilisateurs. Ces derniers sauront plus facilement comment réagir face à deux cas de figure :
- L’identification probable d’une attaque ;
- L’application du bon processus qui aidera à isoler cette menace.
Pour ceux qui se posent la question de savoir comment l’obtenir, cette solution est disponible dès maintenant . La nouvelle configuration du WAF est présentée à tous les usagers. En parallèle, la documentation sera mise à jour et servira de guide aux utilisateurs. Ils pourront ainsi optimiser les capacités de leur protection WAF de Cloudflare.
