Un WAF, o firewall de aplicaciones web, es un dispositivo de seguridad virtual, un servicio en la nube diseñado para proteger a las organizaciones a nivel de aplicación mediante el filtrado, la supervisión y el análisis del tráfico del protocolo de transferencia de hipertexto (HTTP) y del protocolo de transferencia de hipertexto seguro (HTTPS) entre las aplicaciones web e Internet.
Vea este episodio de Radware Minute con Uri Dorot, de Radware, para saber qué es un firewall de aplicaciones web, por qué es importante tener uno, cómo funciona y qué debe buscar al elegir uno.
Un WAF protege las aplicaciones web de ataques como la falsificación entre sitios, la falsificación de solicitudes del lado del servidor, la inclusión de archivos y la inyección SQL, entre otros. Además, protege las aplicaciones y los sitios web contra vulnerabilidades, explotaciones y ataques de día cero. Los ataques a las aplicaciones son la causa principal de filtraciones, son el gateway a sus valiosos datos. Con el WAF adecuado, puede bloquear con éxito la serie de ataques que pretenden exfiltrar datos que comprometen a los sistemas.
Cuando se implementa un WAF frente a una aplicación web, se coloca un escudo protector entre la aplicación web e Internet que supervisa todo el tráfico entre la aplicación y el usuario final. Un WAF protege las aplicaciones web filtrando, monitorizando y bloqueando cualquier tráfico HTTP/S malicioso que se dirija a la aplicación web y también evita que cualquier dato no autorizado salga de la aplicación, adhiriéndose a un conjunto de políticas que ayudan a determinar qué tráfico es malicioso y qué tráfico es seguro. Al igual que un servidor proxy actúa como intermediario para proteger la identidad de un cliente, en una implementación tradicional, un WAF funciona de forma similar pero a la inversa (llamado proxy inverso), actuando como intermediario que protege al servidor de la aplicación web de un cliente potencialmente malicioso.
Los WAF aplican por lo general tres enfoques a la seguridad:
Lista blanca: una "lista de permitidos" que utiliza algoritmos de aprendizaje automático y modelos de comportamiento para definir qué tráfico deja pasar el WAF. Después, bloquea el resto.
Lista negra: una "lista de bloqueados" basada en firmas actualizadas contra vulnerabilidades conocidas que define qué tipo de tráfico rechaza el WAF. El resto se acepta.
Enfoque híbrido: el WAF se basa en una combinación de modelos de seguridad positivos y negativos: una combinación de listas de permitidos y bloqueados que determina lo que pasa.
La principal diferencia entre un firewall y un firewall de aplicaciones web es que un firewall suele estar asociado a la protección de las capas de red y transporte (capas 3 y 4). Sin embargo, un firewall de aplicaciones web proporciona protección a la capa 7.
Un WAF se puede implementar de varias maneras, cada una con sus propias ventajas y desventajas. Existen tres tipos de WAF:
- Un WAF basado en la red suele estar basado en hardware. Como se instala localmente, minimiza la latencia, pero también requiere el almacenamiento y el mantenimiento del equipo físico.
- Un WAF basado en software es gestionado por un proveedor de servicios que ofrece el WAF como seguridad como servicio
Los WAF basados en la nube ofrecen una opción asequible y fácil de implementar; suelen ofrecer una instalación lista para usar que es tan sencilla como un cambio de DNS para redirigir el tráfico. Los WAF basados en la nube también tienen un costo inicial mínimo, ya que los usuarios pagan mensual o anualmente por la seguridad como servicio. Los WAF basados en la nube también pueden ofrecer una solución que se actualiza constantemente para proteger contra las amenazas más recientes sin ningún trabajo o costo adicional por parte del usuario. El inconveniente de un WAF basado en la nube es que los usuarios ceden la responsabilidad a un tercero.
Lo ideal es que un WAF ofrezca la opción de implementarse en línea, donde la solución puede servir como "intermediario", o como un servicio fuera de ruta (OOP) basado en API. Una implementación OOP basada en API puede ofrecer varias ventajas únicas que le permiten ser optimizada para entornos multi-cloud. Permite que las peticiones de las aplicaciones vayan directamente del cliente al servidor de aplicaciones sin interrupción. Las ventajas son: menor latencia, ausencia de redirección de tráfico, aumento del tiempo de actividad y protección integral en entornos heterogéneos.
Lo ideal es que un WAF combine modelos de seguridad positivos y negativos para proporcionar una protección integral, que incluya poder mitigar los ataques conocidos a las aplicaciones web, como las violaciones de acceso, los ataques camuflados detrás de las CDN, las manipulaciones y ataques a las API, las mencionadas inundaciones HTTP/S y los asaltos de fuerza bruta, entre otros. Además, esta combinación también proporciona protección contra ataques y vulnerabilidades desconocidas, como los ataques de día cero.
Un firewall de aplicaciones web también debe aprovechar los algoritmos de aprendizaje automático basados en el comportamiento para crear y optimizar las políticas de seguridad en tiempo real para lograr una protección integral, a la vez que se producen mínimos o ningún falso positivo. Esta capacidad también debe proporcionar la detección y protección automática de nuevas aplicaciones, a medida que se añaden a una red.
Otras capacidades clave que debe incluir un WAF:
- Las funciones principales deben incluir el filtrado del tráfico de red basado en el geobloqueo, los grupos de IP, la lista de bloqueo, la lista de permitidos, la lista blanca y la lista negra
- Hallazgo y protección de API, que proporciona visibilidad, cumplimiento y mitigación de todas las formas de abuso y manipulación de API, ya sea para entornos locales o alojados en la nube
- Built-in DDoS protection to stop the aforementioned application-layer DDoS attacks
- La capacidad de integrarse con soluciones de gestión de bots para detectar e integrar bots sofisticados que parecen humanos
- Mecanismos de prevención de fuga de datos para ocultar automáticamente información confidencial del usuario, como información personal identificable (PII, por sus siglas en inglés)
Muchas organizaciones se enfrentan a mayores riesgos de seguridad en el nivel de las aplicaciones debido a las metodologías de desarrollo ágil, el cambio a la nube, el aumento del uso de software basado en la Web o aplicaciones SaaS y las fuerzas laborales remotas. La incorporación de un WAF permite a las organizaciones hacer frente a los ataques dirigidos a las aplicaciones web y a las interfaces de programación de aplicaciones (API).
Si bien los WAF no protegen a las organizaciones de todas las amenazas digitales, sí abordan las que se dirigen al nivel de las aplicaciones, incluidas las vulnerabilidades de las aplicaciones de OWASP Top 10. Estas pueden incluir:
- Secuencia de comandos en sitios cruzados (XSS, por sus siglas en inglés): Un ataque de inyección de código en el que un adversario inserta código malicioso dentro de un sitio web legítimo. El código se lanza entonces como un comando script infectado en el navegador web del usuario, permitiendo al atacante robar información sensible o hacerse pasar por el usuario.
- Ataques DDoS en la capa de las aplicaciones: Un ataque DoS o DDoS volumétrico centrado en la capa de las aplicaciones. Entre los ejemplos más comunes se encuentran las inundaciones HTTP/S, los ataques SSL, los ataques de lentitud y los ataques de fuerza bruta.
- Inyección SQL: un ataque de inyección SQL es similar al XSS ya que los adversarios aprovechan una vulnerabilidad conocida para inyectar sentencias SQL maliciosas en una aplicación. Esto, a su vez, permite al hacker extraer, alterar o borrar información.
- Ataques de día cero: un ataque de día cero se produce cuando un hacker explota una vulnerabilidad de seguridad desconocida o un fallo de software antes de que el desarrollador del mismo haya publicado un parche.
Según la investigación de Quadrant Knowledge Solutions, los siguientes son los principales factores que impulsan el mercado de WAF:
- Los proveedores de WAF que desean mejorar su oferta están integrando sus productos con sistemas de gestión de eventos e información de seguridad (SIEM, por sus siglas en inglés), pruebas de seguridad de aplicaciones (AST, por sus siglas en inglés) y gestión de acceso web (WAM, por sus siglas en inglés).
- Los proveedores proporcionan soluciones de WAF que se basan en un modelo de seguridad positiva y utilizan un algoritmo de aprendizaje automático para analizar las solicitudes HTTP.
- Gracias al aumento de equipos de IoT, es probable que las organizaciones inviertan en soluciones WAF para cumplir las normas de privacidad de datos, que incluyen funciones específicas de IoT como la toma de huella digital en el equipo y la validación de protocolos.
- Las empresas buscan una inteligencia contra amenazas mejorada, una protección WAF ampliada y una variedad de integraciones inmediatas.
- Existe un interés por nuevos métodos de detección para prevenir los ataques web y minimizar los falsos positivos.
Productos y servicios de Radware