Los CISO no compran firewalls de aplicaciones web (WAF) por sus funcionalidades, sino para reducir el riesgo empresarial sin ralentizar la organización. Sin embargo, en muchas empresas, las soluciones WAF se estancan en un punto conocido: el WAF está implementado y las alertas no dejan de llegar, pero la activación del modo de bloqueo se retrasa porque el ajuste es costoso, requiere la colaboración de distintos equipos y conlleva riesgos.
Mientras tanto, los atacantes no esperan. Sondean las API, automatizan el uso indebido de credenciales y emplean técnicas de evasión que eluden conjuntos de reglas diseñados para el tráfico de ayer. Los WAF han evolucionado para responder a esta realidad. Comprender esa evolución ayuda a explicar por qué los WAF basados en IA se están convirtiendo en un punto de inflexión práctico: reducen el tiempo necesario para obtener protección, disminuyen la carga operativa y mejoran los resultados de seguridad sin generar más fricción para los clientes.
“Los CISO deberían evaluar las soluciones WAF en función de los resultados empresariales —la rapidez con la que la organización puede activar y mantener el modo de bloqueo, la eficacia con la que se detienen las amenazas en aplicaciones y API, y el mínimo impacto sobre el tráfico legítimo de los clientes—, en lugar de basarse en la amplitud de las funcionalidades individuales.”
Generación 1: protección basada en firmas y con amplias opciones de control
Los WAF de primera generación sentaron las bases de la seguridad web: una sólida cobertura frente a amenazas conocidas mediante firmas y la aplicación de protocolos. Destacaban por bloquear vulnerabilidades comunes (por ejemplo, SQLi y XSS), asociarlas a CVE mediante amplios motores de firmas, garantizar el cumplimiento de HTTP y aplicar políticas y medidas de observabilidad coherentes en todas las aplicaciones. También incorporaron importantes medidas de protección operativa, como ocultar datos confidenciales en los registros, personalizar las páginas de bloqueo, gestionar los códigos de respuesta permitidos, utilizar fuentes de reputación de IP y proteger los datos confidenciales incluidos en las respuestas.
El reto surgió a medida que las aplicaciones se volvieron más dinámicas y la superficie de ataque se desplazó hacia las API, los bots y la automatización. Los modelos basados en firmas plantean una disyuntiva operativa fundamental:
- Endurecer las reglas para detectar más ataques genera un mayor número de falsos positivos y provoca interrupciones en la actividad empresarial.
- Relajar las reglas para reducir las interrupciones aumenta los falsos negativos y el riesgo de brechas de seguridad.
En la práctica, esto se convierte en un coste de ajuste: los equipos de seguridad clasifican las alertas, los desarrolladores comprueban si el tráfico es legítimo y los equipos de plataforma implementan excepciones. Este ciclo se repite para cada aplicación, cada versión y, a menudo, cada entorno. El resultado es un retraso en la activación del modo de bloqueo, una protección incoherente y una brecha cada vez mayor entre lo que el WAF podría detener y lo que realmente detiene en producción.
Generación 2: De la «inspección de solicitudes» al «comportamiento de usuarios y sesiones»
Las capacidades de los WAF de segunda generación fueron más allá de la inspección de la carga útil para identificar y rastrear las sesiones de usuario mediante múltiples señales: la dirección IP del cliente, la huella digital TLS, las cookies, las cabeceras HTTP y otros identificadores. Este cambio es importante porque muchos ataques modernos no se presentan como una única «solicitud maliciosa», sino como comportamientos que se desarrollan a lo largo del tiempo: reconocimiento, automatización, patrones de abuso o sondeos lentos y persistentes.
Al realizar un seguimiento de las sesiones y asignar un nivel de riesgo a los usuarios en función de su comportamiento, los WAF de segunda generación mejoraron la detección de bots y clientes abusivos y permitieron aplicar medidas de mitigación, como desafíos o bloqueos temporales. Esto redujo la dependencia exclusiva de las firmas estáticas.
Pero, incluso con una mayor visibilidad del comportamiento, muchos CISO siguen encontrándose con la misma barrera para la adopción: la confianza a la hora de aplicar las medidas. Saber que algo es «sospechoso» no se traduce automáticamente en una decisión que no vaya a interrumpir el tráfico legítimo. Los equipos siguen debatiendo sobre umbrales, excepciones e interacciones entre reglas, especialmente cuando las aplicaciones y las API cambian cada semana.
Generación 3: WAF basados en IA y aplicación de políticas orientada a resultados
Los WAF de tercera generación introducen un modelo operativo diferente: decisiones basadas en el riesgo e impulsadas por una puntuación de riesgo del WAF basada en IA. En lugar de obligar a los equipos a interpretar un laberinto de coincidencias de firmas, infracciones y compromisos de ajuste, el WAF evalúa varias señales por cada solicitud y asigna un nivel de riesgo. Ese nivel de riesgo se convierte en el criterio básico para aplicar las medidas de protección.
Esto hace que la conversación del CISO pase de «¿Cómo ajustamos el WAF?» a «¿Qué nivel de riesgo estamos dispuestos a aceptar para esta aplicación, endpoint o función empresarial?»
Los resultados prácticos son significativos:
- Protección más rápida: Los clientes pueden pasar antes al modo de bloqueo, ya que las decisiones se basan en un análisis por capas en lugar de en frágiles activadores de una única regla.
- Menos carga operativa: Un menor número de excepciones manuales y de ajustes caso por caso reduce las fricciones entre los equipos de SecOps, AppSec, desarrollo y plataforma.
- Detección mejorada con pocos falsos positivos: La correlación de múltiples señales ayuda a detectar más ataques y, al mismo tiempo, reduce las molestias para los usuarios legítimos.
Adoptar un enfoque por capas
Los mejores resultados se obtienen combinando las capacidades de WAF de primera, segunda y tercera generación, en lugar de considerarlas alternativas entre sí.
Los controles de primera generación —firmas, cumplimiento de protocolos, protección frente a campañas de amenazas, salvaguardas de datos sensibles y una sólida observabilidad— ofrecen una cobertura muy eficaz frente a vulnerabilidades conocidas y técnicas de explotación habituales, y siguen siendo medidas básicas de seguridad esenciales.
Gen 2 incorpora el reconocimiento de sesiones y el seguimiento del comportamiento para vincular las solicitudes con los recorridos de los usuarios, lo que permite a la plataforma distinguir la automatización abusiva de los patrones de uso normales y reducir la dependencia de excepciones poco robustas para cada URL.
La puntuación de riesgos de 3.ª generación basada en IA integra estas señales en un motor de decisión coherente y orientado a resultados, que correlaciona las coincidencias de firmas, las anomalías de comportamiento y los indicadores contextuales para establecer un único perfil de riesgo por solicitud o sesión. De este modo, los equipos pueden activar antes el bloqueo con confianza y minimizar tanto los falsos negativos como los falsos positivos.
En conjunto, este enfoque por capas ofrece la máxima protección con el mínimo ajuste operativo: controles deterministas para las amenazas conocidas, detección basada en el comportamiento para las amenazas en evolución y aplicación de medidas basada en el riesgo para tomar decisiones precisas a gran escala.
Evaluación de los WAF en función de los resultados empresariales
Como se ha señalado anteriormente, los CISO deben evaluar las soluciones WAF en función de los resultados empresariales —la rapidez con la que la organización puede activar y mantener el modo de bloqueo, la eficacia con la que se detienen las amenazas en aplicaciones y API, y el mínimo impacto sobre el tráfico legítimo de los clientes—, en lugar de basarse en la amplitud de las funcionalidades individuales.
Si se hace correctamente, este enfoque permite que las operaciones dejen de centrarse en debatir firmas y excepciones concretas para pasar a establecer umbrales de riesgo acordes con la tolerancia de la empresa, lo que mejora la protección y mantiene un nivel bajo de falsos positivos en entornos distribuidos.
Para obtener más información sobre F5 Distributed Cloud WAF y sus funcionalidades basadas en IA, visite nuestra página del producto o póngase en contacto con nuestro equipo para programar una demostración.
Sobre el autor
Artículos relacionados del blog
El imperativo empresarial de la IA en un mundo de nube híbrida y multinube
Cómo la IA redefine los patrones de tráfico, el riesgo de las API y el cumplimiento normativo, y por qué el paquete Distributed Cloud Services Enterprise ofrece la profundidad necesaria en entornos híbridos multicloud.
STIG de F5 NGINX: un plan de seguridad para el sector público y los entornos regulados
Descubra cómo las STIG de F5 NGINX proporcionan un modelo de seguridad para el Departamento de Defensa de EE. UU. y los entornos regulados, ayudándole a cumplir la normativa mientras crea una infraestructura sólida de confianza cero con mayor visibilidad y resiliencia.
Cómo el marco AEGIS de Forrester valida un enfoque centrado en la inferencia
El auge de la IA agéntica está transformando el panorama de la seguridad empresarial. Estos agentes de IA autodirigidos funcionan de forma autónoma, toman decisiones en tiempo real y pueden interactuar entre distintos sistemas de maneras para las que las arquitecturas tradicionales de ciberseguridad no fueron diseñadas. Aunque esto abre nuevas posibilidades, también introduce riesgos sistémicos: fallos en cascada, secuestro de objetivos y superficies de ataque hasta ahora invisibles. El reciente […] de Forrester
La nueva superficie de riesgo de la IA: invisible, autónoma y ya está dentro
James White, vicepresidente de Ingeniería de F5 A mediados de 2025, es un buen momento para hacer balance de la adopción de la IA en las empresas y del estado de la seguridad de la IA. El uso de la IA generativa ya es habitual en las empresas En general, las empresas cuentan al menos con unos conocimientos básicos sobre la IA generativa. Entienden qué es y dónde puede […]
Protegiendo el futuro: cómo CalypsoAI se alinea con el Top 10 de OWASP para los LLM
Cuando OWASP publicó su Top 10 de 2025 para grandes modelos de lenguaje (LLM), proporcionó al sector un referente de seguridad muy necesario. Pero los referentes no sirven de nada si no se actúa. CalypsoAI aborda el 80 % del Top 10 de OWASP, dando prioridad a los riesgos reales más urgentes. La plataforma combina protección en tiempo real durante la ejecución y pruebas adversariales exhaustivas, ofreciendo una cobertura inigualable frente a las […]
Implementación de LLM en la empresa: mediante una API local
Por sí solos, sin medidas de protección ni protocolos adicionales de seguridad para la IA, el despliegue de modelos de IA generativa —en particular, modelos de lenguaje de gran tamaño (LLM)— en toda la empresa supone una oportunidad de alto riesgo y grandes beneficios para cualquier organización. Sin embargo, determinar exactamente cómo debe dar su organización este gran paso hacia el ámbito de la IA generativa requiere una planificación minuciosa. Quizá […]