A medida que las empresas siguen trasladando sus operaciones a la nube, resulta más crucial que nunca implementar controles sólidos de seguridad de las aplicaciones que respondan a los retos específicos de este entorno y a un panorama de amenazas en constante evolución. La falta de rapidez a la hora de abordar vulnerabilidades y brechas de seguridad es un claro ejemplo de uno de estos retos.
El informe de 2024 «F5 State of Application Strategy Report» reveló que el 50 % de los encuestados consideraba que «se tarda demasiado en aplicar parches y actualizaciones en todos los sistemas y programas afectados, y faltan herramientas o procesos para responder rápidamente a los ataques de día cero». Por tanto, no sorprende que la «rapidez» sea la principal ventaja de la seguridad como servicio a la hora de garantizar el buen estado de las aplicaciones.
SecureIQLab ha publicado recientemente su informe «2024 Cloud WAAP CyberRisk Validation Report», en el que ha evaluado a numerosos proveedores de firewalls de aplicaciones web y seguridad de API, entre ellos F5 Distributed Cloud Web Application and API Protection (WAAP).
Proceso de pruebas de SecureIQLab
En concreto, evaluaron la eficacia de la seguridad, la eficiencia operativa y la capacidad de evitar falsos positivos, y destacaron los principales elementos diferenciadores de cada proveedor tecnológico. SecureIQLab probó soluciones WAAP en la nube exponiendo aplicaciones y API a 3500 ataques basados en marcos de referencia del sector como OWASP Top 10 y MITRE ATT&CK. Validaron 80 funcionalidades de estas soluciones WAAP, entre ellas el despliegue, la gestión y la escalabilidad, estableciendo un nuevo estándar para la validación de la ciberseguridad conforme a las normas de AMTSO.
El resultado: F5 Distributed Cloud WAAP supera la prueba con una puntuación perfecta
Protección de aplicaciones web y API (WAAP) de F5 Distributed Cloud obtiene la calificación «Secure by Design» de SecureIQLab al ser uno de los siete proveedores que superaron con una puntuación perfecta la evaluación de vulnerabilidades de WAAP. Destaca tanto por su eficacia en materia de seguridad como por su eficiencia operativa, con los siguientes resultados:
- Puntuación de seguridad completa del 98,54 % (entre los dos mejores)
- Calificación de eficiencia operativa del 93 % (entre los tres primeros)
- Puntuación máxima de 99,37 para WAF OWASP, sin falsos positivos
Se ofrece más información sobre los criterios de prueba de cada una de las principales áreas de seguridad evaluadas:
Protección de API
Las API son susceptibles a ataques similares a los que sufren las aplicaciones web, ya que comparten vulnerabilidades como fallos de inyección, problemas de autenticación y riesgos de exposición de datos debido a una validación de entradas inadecuada y a medidas de seguridad insuficientes. La prueba de seguridad de API evaluó la eficacia de F5 Distributed Cloud API Security para impedir el acceso no autorizado a datos confidenciales en seis protocolos de API mediante más de 70 ataques incluidos en el Top 10 de riesgos de seguridad de API de OWASP de 2023. Las puntuaciones, basadas en los porcentajes de eficacia de la seguridad, oscilaron entre 1 y 5, lo que indica distintos niveles de protección, y los resultados sirvieron como referencia para los estándares de seguridad de API del sector de WAAP. El informe destaca que la protección de seguridad de API de F5 frente a los riesgos de OWASP es superior a la media.
Defensa contra bots
Los expertos en el sector y los científicos de datos de F5 investigan continuamente las herramientas de los atacantes, así como las señales de comportamiento y del entorno, y utilizan técnicas avanzadas de aprendizaje automático para detectar rápidamente los cambios en sus tácticas y desplegar modelos actualizados que mitiguen los ataques en tiempo real. F5 Distributed Cloud Bot Defense se sometió a pruebas frente a cinco tipos de ataques de bots, incluidos dos de OWASP, procedentes de ubicaciones de Asia y Norteamérica. Los resultados revelaron que la geolocalización no afecta a la eficacia de seguridad del producto, con puntuaciones de ataques de bots que oscilaron entre el 0 % y el 100 %. F5 obtuvo una puntuación perfecta en protección contra bots y logró resultados considerablemente superiores a la media del grupo.
Defensa contra DDoS
Los ataques distribuidos de denegación de servicio (DDoS) de capa 7 y los ataques de denegación de servicio (DoS) de capa 7 que utilizan conexiones TCP válidas plantean dificultades para su detección; las pruebas de F5 Distributed Cloud DDoS Mitigation frente a dos ataques DDoS de capa 7 y cinco ataques DoS de capa 7 arrojaron puntuaciones de entre el 57 % y el 100 %.
Resiliencia operativa
F5 Distributed Cloud WAAP también se sometió a pruebas de resiliencia operativa mediante 103 casos de prueba de resiliencia que empleaban 3 vectores de ataque únicos, con el objetivo de bloquear ataques desconocidos. La puntuación de resiliencia, que representa el porcentaje de ataques bloqueados respecto al total, osciló entre el 54,9 % y el 99,3 %, lo que demuestra su capacidad para resistir y absorber distintas variantes de ataques. F5 obtuvo la máxima puntuación, compartiendo el primer puesto, con una tasa de bloqueo del 99,3 %, y logró unos resultados notablemente superiores a la media.
Seguridad inherente
SecureIQLab evaluó la seguridad del producto WAAP en la nube para garantizar que no aumentara la superficie de ataque de los entornos protegidos y que sus privilegios no pudieran explotarse. F5 Distributed Cloud WAAP se sometió a pruebas con 11 técnicas de evaluación de vulnerabilidades. Siete de las 12 soluciones WAAP (incluida la de F5) obtuvieron una puntuación perfecta del 100 % en la evaluación de vulnerabilidades de WAAP. Por haber obtenido una puntuación del 100 % en dicha evaluación, SecureIQLab califica a F5 como «seguro desde el diseño».
Eficiencia operativa
La eficiencia operativa es fundamental para implementar y gestionar soluciones WAAP de forma eficaz, garantizando una asignación mínima de recursos y unos costes operativos reducidos. SecureIQLab validó la eficiencia operativa de la seguridad de WAF y API en diversas áreas mediante un sistema de puntuación basado en las capacidades de las funciones, con el fin de ofrecer valoraciones exhaustivas para cada categoría y orientar a las organizaciones en la selección de soluciones que optimicen la seguridad sin interrumpir los flujos de trabajo empresariales. SecureIQLab destaca que F5 demuestra una eficiencia operativa superior a la media en sus operaciones de API y obtiene la máxima puntuación en dos de las siete categorías.
Evitar falsos positivos
Las soluciones WAAP deben distinguir eficazmente entre las transacciones comerciales legítimas y la actividad maliciosa para evitar falsos positivos que puedan interrumpir las operaciones empresariales. La detección de usuarios maliciosos basada en IA/ML de F5 proporciona una evaluación y una puntuación dinámicas del riesgo de las posibles amenazas en función de atributos de comportamiento y basados en firmas. Mediante pruebas con más de 6500 casos de falsos positivos que simulaban el comportamiento normal de los usuarios, se evaluó la capacidad de F5 Distributed Cloud WAAP para diferenciar con precisión el tráfico benigno de las amenazas; una mayor puntuación de prevención de falsos positivos indica un menor impacto en la eficiencia operativa.
Diseñado para proteger los entornos híbridos actuales
Las organizaciones necesitan una seguridad integral para sus aplicaciones que se ajuste a sus requisitos específicos, independientemente de dónde estén alojadas sus aplicaciones y API o de dónde residan sus usuarios. El modelo híbrido de prestación de SaaS de F5 admite tanto aplicaciones internas como de acceso público y permite ampliar la implementación a entornos de nube privada y locales. La solución WAAP de F5 Distributed Cloud incluye un WAF con detección de usuarios maliciosos basada en IA/ML, detección y protección integradas de API, así como mitigación de ataques DDoS y bots, lo que permite ofrecer una protección integral de las aplicaciones web y las API con una gestión centralizada. Dada la gran cantidad de soluciones de seguridad de aplicaciones disponibles en el mercado, el informe de SecureIQLab ayuda a identificar aquellas que ofrecen una alta eficacia y menos falsos positivos, proporcionando a los clientes una orientación clara sobre los proveedores que deben tener en cuenta al evaluar posibles soluciones para mejorar su estrategia general de seguridad de las aplicaciones.
Para obtener más información, descargue el informe aquí o póngase en contacto con F5 para descubrir cómo F5 Distributed Cloud WAAP puede beneficiar a su organización.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.