Web Application Firewall (WAF) Best Practices

El problema con las bases de datos y el acceso a datos

Para muchas compañías, los datos sensibles se almacenan en varias bases de datos backend y se acceden a través de aplicaciones sitio web y API. Estos datos se comparten entre los equipos relevantes , pero a medida que la arquitectura de los equipos creció con el tiempo, el número y el tipo de dispositivos que acceden a ellos empezaron a escalar mucho más allá del seguimiento manual.

Sin una forma de monitorizar las transacciones online que se realizan en la capa de aplicaciones, las aplicaciones quedan como objetivos principales para atacantes que buscan explotar vulnerabilidades y acceder a datos valiosos.

Mejores prácticas de WAF

Como principio fundamental, cada aplicación sitio web debe ser lo más segura posible durante todo el desarrollo. Sin embargo, la vulnerabilidad no es un paisaje estático:

• La vulnerabilidad posterior a la implementación puede aparecer sin previo aviso, especialmente en aplicaciones que dependen de componentes de código abierto.

Y cuando se descubre que el código de la aplicación es inseguro, puede ser demasiado costoso o exigir demasiado tiempo de inactividad desconectarlo y solucionar los problemas principales del código fuente.

Así es como los WAF pueden ayudar a mantener la seguridad sitio web de las aplicaciones a pesar de los riesgos potenciales.

#1: Integrar con infraestructura central y preexistente

Para garantizar la seguridad, los WAF deben integrar de forma fluida en tu infraestructura existente. Los WAF deben ser flexibles, adaptar fácilmente y ofrecer protección para tu aplicación y usuarios, sin requerir cambios radicales.

Esto no significa que los WAFs deban instalar sin una supervisión cuidadosa.

Modelo de Hub y Radios

Por ejemplo, si tu compañía depende de un modelo de hub y radio, y muchos usuarios y bases de datos se gestionan desde un solo lugar, realmente solo hay un lugar donde instalar el WAF. Debe instalar en una infraestructura estable y central, como un aparato hardware.

Esto proporciona una base de fiabilidad en el rendimiento, que las reglas de seguridad pueden adaptar a su alrededor.

Infraestructura descentralizada o de rápido crecimiento

En cambio, si tu organización tiene una infraestructura descentralizada o de rápido crecimiento, como la de una tienda online de comercio electrónico, un WAF distribuido sería una mejor opción.

Que un producto WAF se despliegue en múltiples aplicaciones no significa que tenga que ser complejo de gestionar: herramientas de seguridad modernas como Check Point WAF permiten gestionarlo todo desde una plataforma central, manteniendo las cosas simples.

#2: Establecer criterios de rendimiento

Llevar un control del rendimiento de la WAF es vital para su gestión a largo plazo, y es mejor establecerlo desde el principio de la vida de tu WAF.

En cuanto al rendimiento técnico, esto puede ser tan básico como el rendimiento a plazo real de la WAF: vigila en:

• El número de usuarios simultáneos de la aplicación
• La cantidad de solicitudes HTTP por unidad de tiempo de media y en los picos de carga

Para apoyar esto, activa el registro dentro de tu WAF y conéctalo a un sistema central de gestión de logs (sigue leyendo para las mejores prácticas de integración). Con estas métricas que te dan una comprensión en tiempo real del rendimiento de las reglas, estás preparado para el éxito en WAF.

#3: Introducir roles específicos de WAF

La capacidad de WAF para proteger la aplicación proviene casi por completo de una correcta implementación y del mantenimiento continuo de sus normas; por lo tanto, es importante aclarar de quién es esta responsabilidad. Si contratas a un contratista responsable de la puesta en marcha puntual de un nuevo WAF, su propio conocimiento de las capacidades del WAF debe ajustar a tus propios requisitos de infraestructura.

Para el mantenimiento a largo plazo de los reglamentos WAF, aclara quién y con qué frecuencia serán revisados. Para ayudar en esto, es importante establecer los vínculos entre WAF y los mecanismos más amplios de tu compañía.

En cuanto a seguridad, tu SOC más amplio debe tener un:

• Establecer flujo de trabajo para gestionar alertas
• KPIs adecuados para los plazos de gestión de alertas

En el lado del desarrollo de la aplicación, las reglas deben desarrollar en conjunto con los protocolos y requisitos de la aplicación específica; es esencial una colaboración entre el equipo WAF y DevOps.

Si la documentación de tu solicitud incluye a los propietarios del servicio, este proceso se vuelve mucho más rápido.

#4: Ajusta las reglas de tu WAF

Las herramientas WAF seguras vienen con listas preconfiguradas que pueden poner rápidamente. También eres libre de elegir tu tipo de reglamento: la lista negra depende únicamente de identificar y bloquear tráfico malicioso. Poner en la lista blanca bloquea todo excepto el tráfico verificablemente seguro.

La inclusión en listas blancas es el método más seguro, pero no necesariamente es adecuada para la implementación exacta de tu WAF.

Ajustar el conjunto de reglas de tu WAF a la implementación específica de tu aplicación es esencial para prevenir falsos positivos y reducir la complejidad de las reglas. Para lograrlo, es posible:

• Entra en la herramienta WAF
• Definir excepciones a través del panel de control

Pero ten en cuenta cómo tu proveedor de WAF gestiona estas normas a la hora de instalar actualizaciones.

Normalmente, si defines tus exclusiones de reglas WAF como código a través de PowerShell o la línea de control, el ajuste de reglas puede mantener incluso luego de actualizar los conjuntos de reglas.

#5: Integrar con otras herramientas de seguridad

Un Sistema de prevención de intrusiones (IPS) es una solución de seguridad situada aún más en números rojos para identificar y mitigar actividades maliciosas que puedan eludir un firewall.

Sistema de prevención de intrusiones

Se puede configurar para informar, bloquear o descartar tráfico sospechoso de manera similar, pero integrando estas dos soluciones, es posible incorporar el enfoque de denegar o permitir el WAF con parte del conocimiento contextual de la aplicación que ofrece IPS.

Para mejorar la protección, también podrías integrar una solución basada en la nube diseñada para defender de ataques de Denegación de Servicio Distribuida (DDoS). Cuando un WAF integrado detecta un intento de DDoS, puede redirigir el tráfico a la plataforma de protección DDoS, que está adecuadamente equipada para manejar ataques a gran escala que consumen recursos, manteniendo así tu red segura.

Y aún hay más actualizaciones posibles...

Entrega de contenido en rojo

Dado que los WAF están situados en el borde rojo, un WAF alojado en nubes también puede incluir una función Content Delivery red (CDN) para almacenar en caché los datos del sitio web y mejorar los tiempos de carga. La CDN emplea múltiples Puntos de Presencia (PoP) distribuidos globalmente, y por tanto garantiza un mejor rendimiento para los usuarios al servirles desde la ubicación más cercana.

Información de seguridad y gestión de eventos

Por último, integrar con un sistema de Gestión de Información y Eventos de Seguridad (SIEM) permite una monitorización y análisis centralizados de los eventos de seguridad. El WAF puede enviar registros y alertas siempre que se active una regla a la plataforma SIEM, donde se agregan con datos de otras herramientas de seguridad, como:

• Firewalls
• Sistema de prevención de intrusiones (IPS)
• Software antivirus

Esto permite a los equipos de seguridad detectar patrones, correlacionar eventos y clasificar los incidentes por riesgo.

Estas integraciones te permiten ampliar los conjuntos de reglas solicitud por solicitud para obtener una visibilidad completa de tu postura general de seguridad, con detección de amenazas en tiempo real y la capacidad de generar reportes detallados para fines de cumplimiento y auditoría.