Un firewall de aplicaciones web (WAF, por sus siglas en inglés) es un dispositivo de hardware, dispositivo virtual o servicio basado en la nube que reside delante o antes de las aplicaciones orientadas a la Web para detectar y proteger contra una variedad de ataques maliciosos. Un WAF se centra en el tráfico de aplicaciones web (HTTP/S) y protege las aplicaciones en las zonas de la red orientadas a Internet.
Un WAF puede utilizar muchas técnicas para entender si se debe permitir el paso del tráfico a una aplicación o se debe bloquear, incluyendo algoritmos de comportamiento (aprendizaje automático y un modelo de seguridad positiva) o un modelo de seguridad negativa.
Por último, los WAF están pasando de ser herramientas independientes a ofertas de protección de aplicaciones web y API (WAAP, por sus siglas en inglés) totalmente integradas que incluyen un conjunto de funciones, como protección de API, gestión de bots y funciones de mitigación, protección contra DDoS para capa de aplicación 7, seguridad de aplicaciones web y mucho más.
La autoprotección de la aplicación en tiempo de ejecución (RASP) es un agente o biblioteca vinculada que asegura una aplicación individual en tiempo real. Las herramientas y bibliotecas RASP pasan a formar parte de la aplicación y deben ejecutarse como parte del tiempo de ejecución de la misma, lo que afecta a la sobrecarga de la inicialización y al rendimiento de la aplicación.
La transición de un WAF tradicional a WAAP y la mejora de la postura de seguridad de su aplicación con RASP es la mejor práctica recomendada para la mayoría de las organizaciones. Esto protege las aplicaciones individuales de ciertas amenazas utilizando RASP mientras protege todas las aplicaciones orientadas a la web utilizando un WAF o WAAP.
Normalmente, un WAF/WAAP es la principal defensa antes de que una ciberamenaza pueda llegar a una aplicación. Una RASP y la codificación de la aplicación protegerán una aplicación si una ciberamenaza llega a ella.
Según cómo se desarrolle un WAF o WAAP y de sus capacidades, los WAF y WAAP también pueden incluir muchas de las funcionalidades de RASP o utilizar las propias bibliotecas de RASP.
Cuadro comparativo: WAF versus RASP
| |
WAF |
RASP |
| Enfoque |
Aplicaciones web |
Aplicación individual |
| Cómo funciona |
Escaneo de tráfico en línea o fuera de ruta del tráfico hacia las API y las aplicaciones |
Tráfico en tiempo real desde una aplicación |
| Protección |
Tanto el comportamiento como la estática en muchas aplicaciones web |
Comprobación heurística y estática de los datos de entrada |
| Implementación |
Independiente en una topología híbrida |
Coubicado o como una biblioteca vinculada con la aplicación protegida |
| Visibilidad y registros |
Entre aplicaciones |
Para una aplicación específica |
Recursos adicionales