Résumé

  • L’annonce de septembre enrichit la protection à l’exécution par le contexte applicatif et le renseignement sur les menaces. Certaines fonctions sont disponibles, d’autres restent en cours de déploiement.
  • La valeur recherchée réside dans le passage d’un résultat de scan à une protection ciblée. Le correctif virtuel ne répare pas le code : son contrôle et son retrait éventuel comptent aussi.

Le rapport de vulnérabilité peut changer de destinataire sans que l’application exposée change de comportement. F5 cherche à intervenir précisément dans cet intervalle : celui où l’on sait qu’un problème existe, mais où la correction logicielle n’est pas encore prête.

L’annonce du 1er septembre étend les capacités de protection à l’exécution de F5 WAF for Distributed Cloud. La détection d’anomalies propres à l’application et le renseignement agentique sur les menaces ajoutent du contexte à l’évaluation des requêtes. Le correctif virtuel applique ensuite une protection ciblée pendant que les développeurs construisent, testent et déploient la solution durable. Le produit vendu est autant une capacité de décision qu’une capacité d’observation.

Il faut toutefois distinguer les disponibilités. F5 indique que ses nouvelles capacités WAF fondées sur l’IA sur Distributed Cloud, le correctif virtuel et l’intégration entre Web App Scanning et WAF for BIG-IP sont accessibles. La détection d’anomalies et le renseignement agentique sont, eux, en cours de déploiement, avec une disponibilité plus large dans les mois suivants. L’ensemble de l’annonce ne vaut donc pas activation immédiate de chaque fonction pour chaque client.

Le lien entre scan et politique n’est pas apparu en septembre. Un article pratique de juin décrit déjà l’exportation des résultats de Web App Scanning vers BIG-IP Advanced WAF, l’utilisation d’une politique existante ou nouvelle et la sélection des domaines de vulnérabilité à protéger. Les nouveautés s’appuient sur ce parcours ; elles ne démontrent pas que tout résultat est transformé automatiquement en blocage sans décision humaine.

Reste la question du périmètre observé. L’explication publiée en septembre présente des tests assistés par IA capables de mieux interagir avec les formulaires et d’explorer des parcours plus profonds. Mais la documentation de définition d’une application rattache toujours le test à une URL d’entrée et aux identifiants des utilisateurs de test. Les autres noms d’hôte nécessaires doivent figurer dans la liste d’autorisation. Le périmètre ne s’étend pas par défaut à tous les services d’une entreprise.

Cette définition détermine aussi l’unité commerciale. Scan est facturé selon le nombre d’applications testées dans le mois. Multiplier les essais ou les Test Profiles d’une même application ne crée pas d’applications supplémentaires dans le quota. On peut donc approfondir la validation d’un périmètre configuré sans assimiler chaque nouvel essai à une nouvelle unité facturée. Cela ne renseigne pas sur la facture totale d’un client particulier.

Enfin, F5 rappelle dans son guide de juin qu’un correctif virtuel ne supprime pas la faille et qu’une règle incomplète peut être contournée. Journaux, contrôle du trafic légitime et nouveaux scans servent à ajuster la protection, puis à décider quand l’assouplir après réparation. Les chiffres d’efficacité de l’annonce proviennent d’essais internes, non d’une mesure indépendante en production.