Contexte et objectifs
F5 Inc. et Oracle Corp. ont annoncé, via un memorandum of understanding non contraignant, leur intention d’intégrer la technologie de protection d’applications web et d’API de F5 directement dans Oracle Cloud Infrastructure (OCI). L’accord vise les organisations qui doivent sécuriser des applications critiques sans disposer d’équipes spécialisées en cybersécurité. Selon John Maddison, directeur marketing de F5, les attaques alimentées par l’intelligence artificielle « trouvent et exploitent les vulnérabilités plus rapidement que les entreprises ne peuvent les corriger », d’où la nécessité d’une défense en temps réel.
Intégration technique prévue
La solution de F5 sera intégrée au niveau de l’infrastructure OCI, s’appuyant sur les produits BIG‑IP et NGINX qui sont regroupés sous la Application Delivery and Security Platform. Cette plateforme inclut les outils AI Guardrails et AI Red Team, développés récemment en partenariat avec Forcepoint. Oracle possède déjà un service de Web Application Firewall (WAF) sur OCI, capable de bloquer les bots, les attaques DDoS de couche application et les injections SQL, et qui peut protéger des charges de travail on‑premise ou multi‑cloud. Le communiqué ne précise pas comment les modules F5 coexisteront avec le WAF existant, ni quels produits exacts seront déployés.
Analyse des implications sécuritaires
Le principal avantage annoncé est la capacité de virtual patching grâce à l’AI runtime defense : les systèmes exposés restent protégés jusqu’à ce que des correctifs permanents soient appliqués. Cette approche réduit le « time‑to‑mitigate » des vulnérabilités, un facteur crucial face aux attaques automatisées. En combinant la visibilité de l’infrastructure OCI avec les signatures et les modèles comportementaux de F5, les équipes de sécurité et de plateforme peuvent agir depuis un environnement cloud familier, limitant ainsi la complexité opérationnelle. Le partenariat s’appuie sur une relation de longue date, F5 collaborant avec Oracle depuis 2001 sur la livraison d’applications pour des suites comme E‑Business Suite et PeopleSoft, ce qui suggère une connaissance mutuelle des exigences d’échelle et de performance.
Limites et incertitudes
Le communiqué ne fournit ni date de mise à disposition, ni tarification, ni liste précise des produits F5 qui seront intégrés. L’absence de ces informations rend difficile l’évaluation du retour sur investissement pour les clients. De plus, la coexistence avec le WAF Oracle reste vague ; une redondance ou un conflit de politiques pourrait compliquer la gestion des règles de sécurité. Le caractère non contraignant du MOU implique que l’accord pourrait évoluer ou être abandonné sans préavis. Enfin, la dépendance à l’AI pour le virtual patching introduit le risque de faux positifs ou de contournement si les modèles ne sont pas continuellement entraînés avec des données d’attaque récentes.
