F5 ASM : login enforcement et brute force

La politique doit connaître la page ou l’endpoint de login et les critères de résultat. Un login applicatif peut renvoyer 200 en cas d’échec comme de succès ; le seul code HTTP ne suffit donc pas toujours. Les noms des champs et le marqueur de réussite doivent correspondre à l’application.

Login enforcement contrôle un parcours attendu. La protection brute force s’intéresse aux tentatives et à leurs anomalies, notamment depuis une source ou plusieurs sources.

Mesurez les erreurs normales, les sources partagées et les usages automatiques autorisés. Des seuils trop faibles peuvent toucher un réseau d’entreprise derrière une même IP. Vérifiez les modes et les actions réellement appliquées ; la documentation indique qu’en transparent la mitigation brute force n’est pas exécutée.

Recettez avec des comptes dédiés, des succès et quelques échecs contrôlés. Suivez les rapports spécifiques et l’expérience de reconnexion, sans soumettre les comptes de production à une série de tentatives.

Ces repères permettent de relier le besoin à la configuration et aux observations. Comparer les objets réellement attachés au service avant de modifier un réglage.

Le backend renvoie 200 avec un message d’erreur pour un mot de passe incorrect. Si le WAF interprète tout 200 comme un succès, la mesure est fausse. Définissez un marqueur de résultat fiable puis vérifiez le rapport avec une tentative de recette identifiée.

Expliquez la décision du schéma, puis recherchez dans la référence les objets qui la produisent. Pour ASM, justifiez aussi ce qui changerait si un prérequis échouait : une réponse DNS, une décision WAF et une autorisation d’accès ne se vérifient pas au même endroit.

Revenir au parcours F5 ASM pour lire les guides voisins et leurs exemples.