¿Había oído del firewall de aplicaciones web (WAF)? En la era de los servicios en la nube, es el pilar de la seguridad de su negocio.
No importa que se desempeñe o no en el sector de TI. Lo más probable es que haya oído el término “firewall”. Bien puede ser un dispositivo físico (hardware) o un programa (software). Está diseñado para monitorear, filtrar y controlar el tráfico de red que entra y sale de los puertos. También se puede configurar por medio de reglas de seguridad.
Como podrá deducir, los firewalls son la base de la seguridad de su red.
Sin embargo, hay más de un tipo de firewall. En este blog, nos enfocaremos en uno particular: el firewall de aplicaciones web o WAF. Exploraremos sus funciones, su importancia, cómo se distingue de un firewall estándar y qué lo compone.
¿Qué es un firewall de aplicaciones web (WAF)?
Hace 40 años, un firewall bastaba para proteger la red interna de cualquier amenaza externa. Esto cambió con la llegada de la nube. Lo anterior se debe a que múltiples aplicaciones no pueden estar aisladas. Requieren estar conectadas a internet.
Esta nueva necesidad dio origen al firewall de aplicaciones web (WAF) a finales de los 90. Desde ese entonces, el WAF ha evolucionado para ubicarse en el espacio justo en medio del usuario y la aplicación para protegerla de solicitudes maliciosas.
¿Pero qué es puntualmente un firewall de aplicaciones web (WAF)? Es una solución centralizada —bien puede ser un software, un dispositivo o un servicio— que protege las aplicaciones web contra las vulnerabilidades de seguridad más comunes. Estas últimas son listadas por la fundación Open Web Application Security Project (OWASP).
¿Qué servicios ofrece?
La protección contra estas amenazas es posible gracias a los servicios que ofrece el firewall de aplicaciones web (WAF). IBM lista algunas de las funciones del servicio:
-
Aplicaciones web proxy
-
Autenticación y autorización con o sin cifrado de cookies
-
Protección de scripts entre sitios (XSS)
-
Gestión de tiempo de espera de sesión
-
Proceso y filtrado de entrada de valor de nombre
-
Proxy de servicio de destino
-
Autenticación perimetral para las aplicaciones web
-
Terminación TLS
-
Servicios de autenticación y autorización
-
Limitación de velocidad
-
Inicio de sesión y aplicación de tiempo de espera excedido
-
Proceso de entrada de valor de nombre codificado en URL
-
Filtrado de protocolo HTTP y HTTPS
-
Protección contra amenazas
-
Manejo de cookies y errores
-
Proceso de contenido XML y no XML
Estos servicios protegen al DNS, el Protocolo de transferencia de archivos (FTP), el Protocolo simple de transferencia de correo (SMTP), Secure Shell (SSH) y Telnet.
Adicionalmente, los WAF pueden identificar y bloquear el tráfico de bots maliciosos con un conjunto avanzado de métodos de verificación. Estos incluyen JavaScript, CAPTCHA, interpretación de dispositivos y algoritmos de interacción humana.
¿Cómo funciona WAF?
Un firewall de aplicaciones web (WAF) funciona inspeccionando solicitudes HTTP y HTTPS, y aplicando reglas predefinidas para identificar tráfico malicioso. Con este fin, el WAF analiza los siguientes elementos clave de las conversaciones HTTP y HTTPS:
-
Solicitudes GET: recuperan datos del servidor.
-
Solicitudes POST: envían datos al servidor para cambiar su estado.
-
Solicitudes PUT: envían datos al servidor para actualizar o crear.
-
Solicitudes DELETE: sirven para borrar datos del servidor.
En el caso que el WAF encuentre una coincidencia con la base de datos de amenazas de OWASP, bloqueará la solicitud y enviará una alerta al equipo de seguridad.
¿Cuáles son los componentes del firewall de aplicaciones web (WAF)?
Un firewall de aplicaciones web (WAF) suele tener los siguientes componentes:
-
Políticas de firewall de aplicaciones web: abarcan la configuración general del servicio WAF. Incluyen las funciones de gestión de origen y detección de bots.
-
Origen: el servidor host identifica el origen de las peticiones para aplicar las reglas de protección y demás funciones. Estas se definen en la política de WAF.
-
Reglas de protección: las reglas de protección se pueden configurar para permitir, bloquear o registrar solicitudes de red cuando cumplen los criterios especificados en una regla de protección. El WAF sugerirá nuevas reglas.
-
Gestión de bots: el WAF tiene funciones para detectar, bloquear o permitir el tráfico de bots. Incluyen la verificación de JavaScript, CAPTCHA y listas blancas.
Diferencia entre un firewall estándar y un WAF
La diferencia clave entre un firewall estándar y un WAF es la capa de seguridad en la que opera cada uno. Por un lado, un WAF blinda contra los ataques en la Capa 7 del modelo OSI. Este es el nivel de aplicación. Por otro lado, un firewall estándar opera en las Capas 3 y 4. Estas se enfocan en la transferencia de datos y el tráfico de red.
Como se mencionó, el WAF protege las aplicaciones web al enfocarse en filtrar el tráfico de HTTP y HTTPS. Sin dicho servicio, un actor malicioso con una dirección IP pública podría acceder a la red interna de la organización a través de las vulnerabilidades de sus aplicaciones web. ¿Pero qué hace el firewall estándar?
En resumen, establece una barrera entre el tráfico de red externo e interno. Esto implica separar los recursos internos de los que interactúan con el internet. También define el tráfico permitido en la red. Incluso puede bloquear usuarios por medio de políticas.
¿Por qué es importante tener un firewall de aplicaciones web (WAF)?
Los firewalls de aplicaciones web (WAF) son cruciales para la seguridad de las empresas, independientemente del sector. Lo anterior incluye minoristas, bancos, salud y redes sociales. Protegen datos sensibles, previenen filtraciones, impiden que código malicioso sea inyectado al servidor y ayudan a cumplir normativas de cumplimiento.
Son esenciales para la protección de sitios web, aplicaciones móviles y API.
Evitar ataques en el código de las aplicaciones web es todo un desafío. Por eso es necesario realizar un mantenimiento riguroso, además de revisar y supervisar, en varias capas de la topología de la aplicación.
También puede interesarle: ¡Protege tu empresa! Cinco factores clave para elegir la mejor herramienta SIEM
Un WAF centralizado puede ayudar a simplificar la administración de la seguridad. También proporciona a los administradores un mejor control de la protección contra amenazas y mayores oportunidades de reaccionar.
Sí, tener un WAF es un paso vital en la era de los servicios en la nube. Aun así, no es la solución para todos sus problemas de seguridad en aplicaciones web. Por ese motivo, es recomendable complementar el WAF con otras herramientas de seguridad.
Las herramientas de gestión de eventos e información de seguridad (SIEM) de ManageEngine pueden ayudar con la detección y prevención de ataques contra sus aplicaciones web. Al trabajar de la mano de con su WAF, reforzará su seguridad.
¿Contra qué amenazas lo puede proteger un firewall de aplicaciones web (WAF)?
Como se mencionó, el listado de amenazas a las que tienen que hacer frente los equipos de seguridad está en constante cambio. Aun así, no quiere decir que no haya amenazas recurrentes que ―afortunadamente― pueden ser mitigadas por un WAF.
-
DoS directa: intento de interrumpir una red, un servicio o un servidor abrumándolo con una inundación de tráfico de Internet para agotar sus recursos. Puede ser difícil de detectar, ya que el tráfico no siempre es malicioso.
-
Inyección de SQL: los actores de amenaza ejecutan declaraciones SQL maliciosas. Estas controlan el servidor de base de datos detrás de una aplicación web. Lo anterior permite a los atacantes acceder a datos sensibles.
-
XSS: este problema de seguridad web permite a los actores de amenaza tomar la identidad de un usuario legítimo y tomar el control de sus datos y funciones.
-
Acceso no autorizado: a través del robo de credenciales y cuentas comprometidas, atacantes logran acceder a la red. Lo anterior es consecuencia del uso de contraseñas débiles, ingeniería social y amenazas internas.
-
Ataques de intermediario (MITM): los actores interceptan el tráfico entre la red y los sitios externos o dentro de la red. Suele ser el resultado de protocolos de comunicación inseguros que les permiten robar datos y secuestrar cuentas.
-
Escalamiento de privilegios: tras obtener acceso a la red, los atacantes utilizan el escalamiento de privilegios para ampliar su alcance en el sistema.
Ante estas amenazas, Log360 —nuestra suite de SIEM— puede ayudar a prevenirlas por medio de su función de UEBA (User and Entity Behavior Analytics). A través del análisis de logs potenciado por machine learning, la solución puede alertar sobre cualquier desviación del comportamiento normal. De esta forma, los técnicos pueden tomar acciones preventivas.
¡Ahora ya sabe qué es un firewall de aplicaciones web (WAF) y por qué es tan importante! En la siguiente parte de este blog, le enseñaremos los diferentes tipos de WAF y cuáles son los factores que debe considerar a la hora de desplegar uno.
