¿Qué hace que un WAF sea avanzado?

Brian A. McHenry

A medida que evoluciona el panorama de amenazas, también deben hacerlo nuestros controles y contramedidas de seguridad. Las amenazas perimetrales más avanzadas relacionadas con la pérdida o la exfiltración de datos se producen en la capa de aplicación, lo que reduce considerablemente la eficacia de la mayoría de los cortafuegos de nueva generación (NGFW) y los sistemas de prevención de intrusiones (IPS). Este efecto se ve agravado por el hecho de que la mayoría de las comunicaciones están migrando a canales de datos cifrados que los NGFW o IPS no admiten adecuadamente, especialmente a gran escala. Los cortafuegos de aplicaciones web (WAF) están diseñados específicamente para analizar cada solicitud HTTP en la capa de aplicación, con descifrado completo de SSL/TLS.

En los últimos años, la mayoría de las tecnologías WAF se han mantenido prácticamente sin cambios como sistemas de detección pasivos basados en filtros, de forma muy similar a las tecnologías NGFW e IPS relacionadas. Los sistemas WAF comprueban el cumplimiento del protocolo (para garantizar que la solicitud esté correctamente formada) y comparan firmas (para garantizar que no haya contenido malicioso conocido) con el fin de filtrar y bloquear posibles ataques. Se han añadido funciones para detectar sesiones y usuarios a fin de combatir el secuestro de sesiones y los ataques de fuerza bruta, y se utilizan fuentes de datos sobre la reputación de las direcciones IP para intentar filtrar orígenes maliciosos conocidos, como redes de bots, anonimizadores y otras amenazas. Estas siguen siendo, en gran medida, tecnologías pasivas situadas en el perímetro del centro de datos, con una capacidad muy limitada para examinar al cliente.

Hay algunas cosas que sabemos sobre el panorama actual de amenazas:

• La mayoría de las amenazas son de naturaleza automatizada. Los atacantes automatizan el análisis en busca de vulnerabilidades. También automatizan el acaparamiento de recursos, como la compra de entradas o zapatillas para su reventa en el mercado gris. Los ataques distribuidos de denegación de servicio (DDoS) están totalmente automatizados para generar volúmenes de tráfico de ataque superiores a 1 Tbps, algo que se ha vuelto habitual. La automatización es difícil de detectar porque suele estar diseñada para imitar el tráfico legítimo y pasar desapercibida. Se han utilizado tecnologías como CAPTCHA para detectar este tipo de automatización, pero estos métodos de verificación pierden eficacia con el tiempo y afectan a la experiencia de los usuarios legítimos.
  
• Relleno de credenciales es un tipo específico de ataque automatizado que aprovecha los miles de millones de combinaciones conocidas de nombres de usuario y contraseñas procedentes de filtraciones anteriores. Según informes recientes sobre amenazas, el uso de credenciales robadas fue el tipo de ataque contra aplicaciones más frecuente en 2017. Estos ataques se aprovechan de la reutilización de contraseñas, una práctica habitual entre los usuarios de Internet. El relleno de credenciales es especialmente difícil de detectar porque estas solicitudes no solo parecen normales, sino que además suelen diseñarse para ser «lentas y espaciadas» y evitar así su detección como ataque de fuerza bruta.
  
• El malware está muy extendido y se utiliza para aprovechar las vulnerabilidades de los navegadores y de los usuarios que los utilizan. El malware se distribuye de muchas formas, desde archivos adjuntos de correo electrónico hasta enlaces maliciosos en redes sociales y anuncios. Estos equipos comprometidos se utilizan para atacar otros sitios web mediante ataques DDoS, robar datos y acaparar recursos. Los métodos de detección y mitigación disponibles son limitados, a menos que el equipo cliente esté gestionado por un equipo experimentado de seguridad informática.
  
• Los ataques DDoS no son solo de naturaleza volumétrica. Muchos ataques están diseñados para agotar los recursos en algún punto de la pila de aplicaciones, ya sea en los servidores de aplicaciones, el middleware o la base de datos de back-end. Detectar estas situaciones puede resultar difícil, ya que el tráfico supera la mayoría de las comprobaciones estándar de validación de entradas.

En pocas palabras, estos ataques eluden prácticamente todos los mecanismos de detección de los WAF tradicionales, ya que a menudo no presentan ningún tipo de anomalía. Las fuentes de reputación de direcciones IP tienen una eficacia limitada debido a la cantidad casi inagotable de objetivos fáciles de comprometer, como módems de cable, dispositivos IoT, instancias de servidores en la nube pública y muchos otros. La información sobre las direcciones de origen cambia con demasiada rapidez como para que incluso una fuente colaborativa resulte eficaz a la hora de combatir el nivel de automatización habitual de estos vectores de ataque. Está claro que se necesita un firewall de aplicaciones web más avanzado para hacer frente a estas amenazas.

La buena noticia es que la tecnología WAF avanzado ya está disponible desde hace tiempo. F5 fue pionera hace casi una década en una tecnología para detectar, sin necesidad de CAPTCHA, bots que intentaban extraer datos de precios de comercios online, cuando en 2009 presentó la protección contra el web scraping. F5 ha mejorado progresivamente esta tecnología y la ha ampliado hasta convertirla en lo que hoy se conoce como Proactive Bot Defense, presentada en 2015. Proactive Bot Defense (PBD) permite comprobar el cliente que realiza la solicitud para verificar que hay un usuario humano utilizando un navegador legítimo. Esta solución es mucho más eficaz que limitarse a bloquear por dirección IP las redes de bots conocidas.

Con la nueva oferta F5 Advanced WAF, F5 amplía su tecnología WAF líder del mercado para incorporar las capacidades necesarias para combatir las amenazas en constante evolución del panorama de la seguridad de las aplicaciones. Advanced WAF incluye:

• Defensa proactiva contra bots. Mediante el uso de técnicas avanzadas de identificación y de desafío-respuesta, junto con otros análisis del comportamiento, PBD permite detectar y bloquear amenazas automatizadas a nivel de sesión.
  
• DoS conductual de capa 7 Detección y defensa. El WAF avanzado puede perfilar dinámicamente el tráfico y crear firmas de patrones de tráfico anómalos, deteniendo los ataques DoS de capa 7 antes de que afecten a su aplicación.
  
• DataSafe protección de credenciales. DataSafe cifra dinámicamente el contenido de la página para evitar ataques de intermediario en el navegador, normalmente provocados por malware. DataSafe también cifra dinámicamente las credenciales a medida que se introducen para proteger al usuario en el navegador.
  
• SDK móvil Anti-Bot integración. Las técnicas empleadas por Proactive Bot Defense permiten identificar navegadores legítimos. En las aplicaciones móviles no hay ningún navegador. El SDK móvil Anti-Bot permite a las organizaciones combatir los bots con técnicas avanzadas, incluso en endpoints de API móviles.

F5 Advanced WAF es una plataforma de seguridad específica que ofrece las funciones de seguridad de aplicaciones más avanzadas disponibles actualmente en el mercado. F5 se compromete a proporcionar soluciones de seguridad de aplicaciones de vanguardia para mitigar incluso los ataques más sofisticados. En el futuro, habrá más avances en la plataforma Advanced WAF .

Sobre el autor

Brian A. McHenry

Más artículos de Brian A. McHenry