WAF: Web Application Firewall - DCIT TECNOLOGIA
A segurança das aplicações web é um tema muito pouco comentado no Brasil. No entanto, é um tema muito importante para proteção de ataques mal-intencionados.
Além disso, a cada ataque realizado por uma aplicação que possui Web Application Firewall, são gerados logs com as informações para serem analisadas posteriormente pelos desenvolvedores.
Atualmente, a WAF vem sendo muito utilizado por ser específico para ataques web, ao contrário do firewall, que é voltado para uma infraestrutura local ou em nuvem, sendo suficiente para prevenir os principais tipos de ameaças, as quais estão: quebra de autenticação e seção, injeção de vírus, XSS (Cross-site scripting), quebra de controle de acesso, perda das configurações de segurança, exploração de dados sensíveis, ataque de insuficiência de proteção (semelhante ao ataque de negação de serviço), cross-site request forgery (ataque de um clique ou montagem de sessão).
A segurança das aplicações web também pode diminuir vulnerabilidades já conhecidas por outros componentes do sistema, a proteção de api's desprotegidas e economia de tráfego e infraestrutura, bloqueando acessos necessários.
A Web Application Firewall, apesar de uma ótima defensora para a sua aplicação web, não é impenetrável, podendo ser invadida por algumas ferramentas de ataque, como a de Pentest, que é capaz de enganar uma WAF bem configurada.
Porém, na maioria dos casos, ela será muito efetiva e importante, sendo atualmente um dos métodos mais eficazes para a proteção de sites. Portanto, exemplos como hospedagem na nuvem, uso de ssl, firewall e ips não fornecem o mesmo nível de proteção, o que pode dar a falsa sensação de segurança para quem desenvolveu a aplicação.
Outros pontos positivos da WAF, são a melhor visibilidade do tráfego e facilidade em dar manutenção e implantação. A primeira se faz importante devido a WAF te apresentar, em tempo real, todas as requisições suspeitas que foram feitas para o servidor da aplicação, a fim de monitorar o tráfego de entrada.
A partir disso, a WAF oferece registro abrangente, capturando os dados completos do cabeçalho de cada solicitação da web inspecionada, para uso em automação de segurança, análise ou auditoria. Já a segunda, cabe a facilidade de manutenir e implantar durante o desenvolvimento, visto que não há a necessidade de possuir softwares adicionais, além de não precisar de certificado SSL/TLS para gerenciamento e configuração de DNS e proxy reverso. Tudo isso pode ser feito de maneira centralizada e ainda ser reutilizado em outras aplicações, da maneira que desejar.
A WAF, como vários outros softwares, possui diversas versões, de acordo com a empresa que fornece o serviço. Uma delas é a Amazon Web Services, a qual é responsável pelo AWS WAF, que possui vários benefícios em relação a outros, como:
personalização de regras para tráfegos específicos;
possibilidade de uso de regras pré-configuradas, que são atualizadas de acordo com novos problemas que vierem a acontecer;
API própria, que automatiza a criação, implantação e manutenção;
controle de bots comuns e difundidos com o AWS WAF Bot Control e, por meio de uma solução CDN, protege aplicações feitas pelo Amazon CloudFront.
A segurança das aplicações web pode ser utilizada por uma aplicação de rede, na nuvem ou por meio de um plug-in de servidor, dependendo do fornecedor do serviço, havendo vantagens e desvantagens entre si:
WAF na nuvem:
Funciona assim como o AWS WAF, sendo fornecido por meio de uma assinatura e com uma interface, de acordo com as necessidades do usuário, e de fácil personalização. É o mais ofertado atualmente, por ser de valor acessível e abrangente, com uma boa escalabilidade dentro da aplicação.
WAF de host:
É executado a partir de um software que pode ser integrado à aplicação, de modo a reduzir custos. Sendo assim, para que ele esteja bem configurado, é necessário que as bibliotecas e plug-ins locais sejam compatíveis com a linguagem que for utilizada, visto que a má gestão de versões, pode deixar o aplicativo vulnerável.
WAF de rede:
É a versão mais comum e tradicional, visto que se trata de uma solução em hardware para proteger várias aplicações de uma vez só. Essa modalidade foi feita para ser executada localmente, onde a WAF de rede possui uma central de configuração das aplicações, para agilizar o processo e ter maior controle sobre o que está sendo protegido. Em contrapartida, por necessitar de um hardware para o seu funcionamento, tende a ser uma solução de maior custo do que as citadas anteriormente.
Por fim, cabe citar a importância de um time com conhecimento nas regras de negócio do software, para assim administrar a utilização da WAF de maneira inteligente, com relação às configurações. Desse modo, os resultados alcançados com essa ferramenta serão potencializados.
Nosso time de especialistas está preparado para proteger e assegurar suas aplicações web. Entre em contato para saber mais.