Web Application Firewall (WAF) Best Practices

O problema com bancos de dados e acesso a dados

Para muitas empresas, dados sensíveis são armazenados em diversos bancos de dados de back-end e acessados por meio de aplicativos da web e APIs. Esses dados são compartilhados entre as equipes relevantes , mas, à medida que a arquitetura das equipes cresceu ao longo do tempo, o número e os tipos de dispositivos que acessam esses dados começaram a aumentar muito além do rastreamento manual.

Sem uma forma de monitorar as transações online que ocorrem na camada de aplicação, as aplicações tornam-se alvos fáceis para atacantes que buscam explorar vulnerabilidades e obter acesso a dados valiosos.

Melhores práticas de WAF

Como princípio fundamental, toda aplicação web deve ser o mais segura possível durante todo o seu desenvolvimento. No entanto, a vulnerabilidade não é um cenário estático:

• Vulnerabilidades pós-implantação podem surgir sem aviso prévio, especialmente em aplicativos que dependem de componentes de código aberto.

E quando se descobre que o código de um aplicativo é inseguro, pode ser muito caro ou exigir muito tempo de inatividade para tirá-lo do ar e corrigir os problemas principais no código-fonte.

Eis como os WAFs podem ajudar a manter a segurança de aplicativos da web, apesar dos riscos potenciais.

#1: Integrar com a infraestrutura central pré-existente

Para garantir a segurança, os WAFs precisam se integrar perfeitamente à sua infraestrutura existente. Os WAFs devem ser flexíveis, adaptando-se facilmente e oferecendo proteção para seu aplicativo e usuários, sem exigir mudanças drásticas.

Isso não significa que os WAFs devam ser instalados sem uma supervisão cuidadosa.

Modelo Hub-And-Spoke

Por exemplo, se sua empresa depende de um modelo em estrela (hub-and-spoke), e muitos usuários e bancos de dados são gerenciados a partir de um único local, existe apenas um local para instalar o WAF. Ele precisa ser instalado em uma infraestrutura central e estável, como um dispositivo de hardware.

Isso fornece uma base de confiabilidade de desempenho, em torno da qual as regras de segurança podem então ser adaptadas.

Infraestrutura descentralizada ou de rápido crescimento

Em contrapartida, se a sua organização possui uma infraestrutura descentralizada ou de rápido crescimento, como a de uma loja de comércio eletrônico online, um WAF distribuído seria mais adequado.

O simples fato de um produto WAF ser implementado em vários aplicativos não significa que ele precise ser complexo de gerenciar – ferramentas de segurança modernas como Check Point WAF permitem que você gerencie tudo a partir de uma plataforma central, mantendo as coisas simples.

#2: Tenha critérios de desempenho definidos

Acompanhar o desempenho do WAF é vital para sua gestão a longo prazo, e o ideal é estabelecer isso logo no início do ciclo de vida do seu WAF.

Em relação à capacidade de processamento técnico, isso pode ser tão básico quanto a capacidade de processamento real do WAF: fique de olho em:

• O número de usuários simultâneos do aplicativo
• Quantidade de requisições HTTP por unidade de tempo, em média e em horários de pico de carga.

Para isso, habilite o registro de logs no seu WAF e conecte-o a um sistema central de gerenciamento de logs (leia mais sobre as melhores práticas de integração). Com essas métricas, que lhe proporcionam uma compreensão em tempo real do desempenho das regras, você estará preparado para o sucesso do WAF.

#3: Introduzir funções específicas do WAF

A capacidade do WAF de proteger um aplicativo decorre quase inteiramente da implementação correta e da manutenção contínua de suas regras; portanto, é importante esclarecer de quem é a responsabilidade por isso. Se você contratar um prestador de serviços responsável pela instalação pontual de um novo WAF, o conhecimento que ele tem das capacidades do WAF precisa estar alinhado com os seus requisitos de infraestrutura.

Para a manutenção a longo prazo dos conjuntos de regras do WAF, esclareça quem e com que frequência estes serão revistos. Para ajudar nisso, é importante estabelecer as ligações entre o WAF e os mecanismos mais amplos da sua empresa.

Em termos de segurança, seu SOC (Centro de Operações de Segurança) mais amplo precisa ter:

• Defina um fluxo de trabalho para gerenciar alertas.
• Indicadores-chave de desempenho (KPIs) adequados para os prazos de gerenciamento de alertas.

No que diz respeito ao desenvolvimento de aplicações, as regras precisam ser desenvolvidas em conjunto com os protocolos e requisitos específicos da aplicação – a colaboração entre a equipe de WAF e DevOps é essencial.

Se a documentação do seu aplicativo incluir os responsáveis pelos serviços, esse processo se torna muito mais rápido.

#4: Ajuste as regras da sua esposa/namorada

As ferramentas de WAF seguras vêm com listas pré-configuradas que podem ser implementadas e configuradas rapidamente. Você também tem a liberdade de escolher o tipo de conjunto de regras – a lista negra se baseia na identificação e no bloqueio apenas do tráfego malicioso. A lista de permissões bloqueia tudo, exceto o tráfego comprovadamente seguro.

A inclusão em listas de permissão é a abordagem mais segura, mas não é necessariamente adequada para a implementação exata do seu WAF.

Ajustar o conjunto de regras do seu WAF à implantação específica do seu aplicativo é essencial para evitar falsos positivos e reduzir a complexidade das regras. Para alcançar esse objetivo, é possível:

• Acesse a ferramenta WAF.
• Defina exceções através do painel de controle.

Mas, fique atento a como seu provedor de WAF lida com essas regras ao instalar atualizações.

Normalmente, se você definiu as exclusões das regras do WAF como código via PowerShell ou CLI, o ajuste das regras pode ser mantido mesmo após a atualização dos conjuntos de regras.

#5: Integrar com outras ferramentas de segurança

Um Sistema de Prevenção de Intrusão (IPS) é uma solução de segurança colocada mais abaixo na rede para identificar e mitigar atividades maliciosas que possam contornar um firewall.

Sistema de prevenção de intrusão

Ele pode ser configurado para reportar, bloquear ou descartar tráfego suspeito de forma semelhante – mas, ao integrar essas duas soluções, é possível combinar a abordagem de negar ou permitir do WAF com parte da compreensão contextual do aplicativo oferecida pelo IPS.

Para reforçar a proteção, você também pode integrar uma solução baseada em Nuvem, projetada para se defender contra ataques de Negação de Serviço Distribuída (DDoS). Quando um WAF integrado detecta uma tentativa de DDoS, ele pode redirecionar o tráfego para a plataforma de proteção contra DDoS que esteja devidamente equipada para lidar com ataques de grande escala e que consomem muitos recursos, mantendo sua rede segura.

E ainda há mais atualizações possíveis…

Entrega de conteúdo rede

Como os WAFs estão posicionados na borda da rede, um WAF hospedado na Nuvem também pode incluir um recurso de Rede de Distribuição de Conteúdo (CDN) para armazenar em cache os dados do site e melhorar os tempos de carregamento. A CDN utiliza múltiplos Pontos de Presença (PoPs) distribuídos globalmente e, portanto, garante melhor desempenho para os usuários, atendendo-os a partir da localização mais próxima.

Informações de segurança e gerenciamento de eventos

Por fim, a integração com um sistema de Gestão de Informações e Eventos de Segurança (SIEM) permite o monitoramento e a análise centralizados de eventos de segurança. O WAF pode enviar logs e alertas sempre que uma regra for acionada para a plataforma SIEM, onde são agregados com dados de outras ferramentas de segurança, como:

• Firewalls
• Sistema de prevenção de intrusão (IPS)
• Software antivírus

Isso permite que as equipes de segurança detectem padrões, correlacionem eventos e classifiquem incidentes por risco.

Essas integrações permitem expandir conjuntos de regras de solicitação por solicitação para uma visibilidade abrangente de sua postura geral de segurança, com detecção de ameaças em tempo real e a capacidade de gerar relatórios detalhados para fins de conformidade e auditoria.