Plataforma de lanzamiento del firewall avanzado para aplicaciones web (WAF)

¿Por qué necesitan las organizaciones un WAF?

Hoy en día, las empresas amplían sus negocios mediante aplicaciones web y alojadas en la nube, por lo que disponer de un firewall de aplicaciones web (WAF) sólido y ágil que las proteja frente a las amenazas de seguridad no es un lujo, sino una necesidad.

A medida que estas aplicaciones web y en la nube se extienden con mayor rapidez, los ataques son cada vez más sofisticados y frecuentes, lo que pone en peligro los datos y las operaciones esenciales de las empresas. Esto dificulta considerablemente que los administradores y los equipos de seguridad se mantengan al día sobre los ataques más recientes y las medidas de protección. Al mismo tiempo, deben cumplir estrictos requisitos normativos para el comercio electrónico (por ejemplo, el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago); proteger las aplicaciones web esenciales para el negocio frente a ataques habituales, como la inyección SQL, los ataques DDoS y los complejos ataques de día cero; y permitir el intercambio seguro de datos entre entornos tradicionales y en la nube.

¿Qué se necesita para implementar un WAF?

Las empresas pueden emplear una combinación de técnicas para garantizar una cobertura de detección precisa que no bloquee el tráfico legítimo. Tradicionalmente, la configuración de WAF más utilizada ha sido un modelo de seguridad negativo, que permite todas las transacciones excepto aquellas que contienen una amenaza o un ataque. La seguridad negativa utiliza firmas y reglas diseñadas para detectar amenazas y ataques conocidos. La base de datos de reglas de firmas es bastante amplia, ya que el conocimiento sobre los ataques se ha ido acumulando a lo largo de los años. Este es un excelente modelo de protección listo para usar, que bloquea amenazas conocidas habituales, como las inyecciones web, las amenazas del OWASP Top 10, los ataques de scripts entre sitios (XSS) y muchas otras.

En los últimos años, los modelos de seguridad positiva han ganado popularidad. Este enfoque bloquea todo el tráfico y permite únicamente las transacciones que se sabe que son válidas y seguras. El enfoque positivo se basa en una validación estricta del contenido y en el análisis estadístico, lo que puede resultar más eficaz para prevenir amenazas de día cero y la explotación de vulnerabilidades. Para que sea realmente eficaz, un enfoque de seguridad positiva requiere un conocimiento profundo de la aplicación y de los usos previstos.

Desafíos

Múltiples pasos interrelacionados que llevar a cabo

Tanto los modelos positivos como los negativos permiten alcanzar el delicado equilibrio entre «seguridad» y «funcionalidad». Sin embargo, ni un modelo de seguridad positivo ni uno negativo por sí solos pueden ofrecer la solución más económica en todas las situaciones o entornos. Al combinarse con los requisitos empresariales, un enfoque integrado positivo y negativo puede permitir a las organizaciones obtener el máximo retorno de la inversión de cualquier implementación de políticas de seguridad.

Tomar las decisiones adecuadas para implementar un WAF que se ajuste lo mejor posible a los objetivos empresariales puede resultar complicado. La necesidad de tiempo y recursos suele entrar en conflicto con la necesidad de contar con los conocimientos adecuados y la confianza necesaria para utilizar el producto seleccionado.

Hay varios pasos que un cliente deberá seguir al planificar y ejecutar un proyecto de implementación de un servicio WAF:

1. Elabore la estrategia de WAF «más adecuada» y consiga que todas las partes interesadas internas la aprueben.
2. Utilice eficazmente el producto WAF para implementar el conjunto adecuado de políticas y parámetros.
3. Planifique el despliegue del servicio WAF, que a menudo abarca varios cientos de aplicaciones.
4. Planifique las operaciones diarias del servicio y la gestión de su ciclo de vida en producción.

Cada paso plantea desafíos comunes

• Los requisitos (o expectativas) de seguridad corporativa y empresarial no siempre tienen plenamente en cuenta las limitaciones técnicas, operativas y de recursos. Esto puede llevar a intentar alcanzar un objetivo de alto nivel mediante el diseño de una estrategia muy sofisticada antes de asegurarse de que la organización haya dispuesto todo lo necesario para que dicho objetivo sea viable. En muchos casos, puede ser necesario realizar una evaluación y un análisis neutrales de la situación para resolver este problema.
• No siempre es fácil lograr un equilibrio entre la disponibilidad de las aplicaciones, que exigen los responsables de negocio, y el nivel de protección requerido por el equipo del CISO. Por ejemplo, los responsables de negocio no quieren que sus aplicaciones se bloqueen debido a falsos positivos o a políticas de WAF demasiado restrictivas. También en este caso, una evaluación y un análisis imparciales y fundamentados de la situación pueden ayudar a las organizaciones a encontrar el equilibrio adecuado y a preparar planes de mitigación para abordar posibles impactos en producción.
• Es muy recomendable asistir a cursos de formación impartidos por el proveedor del software u obtener una certificación del producto, pero esto nunca sustituirá el esfuerzo de practicar teniendo en cuenta el contexto, los objetivos y las limitaciones reales de la empresa.
• Una de las cuestiones que con mucha frecuencia plantea dificultades a los clientes es cómo abordar la protección de un gran número de aplicaciones. Sin embargo, a menudo el volumen en sí no es el principal problema, mientras que la calidad y la exhaustividad de la información disponible sobre cada aplicación sí pueden obstaculizar un proyecto de WAF y deberían dar lugar a un análisis más profundo de la estrategia de diseño e implementación. La experiencia en implementaciones de WAF será de gran ayuda para identificar criterios relevantes, caracterizar y agrupar las aplicaciones, y adaptar el diseño general del servicio WAF y su estrategia de implementación.
• A menudo, los clientes olvidan tener en cuenta desde el principio las fases posteriores para garantizar la viabilidad y la facilidad de mantenimiento. Este es probablemente el error más frecuente (es decir, diseñar y planificar la solución sin analizar las implicaciones de los modelos de diseño e implementación seleccionados a la hora de operar dicha solución a largo plazo en un entorno de producción). Un ejemplo habitual es subestimar los recursos necesarios para mantener políticas de WAF muy sofisticadas mientras todo el entorno experimenta cambios periódicos en todos los frentes: amenazas, medidas de mitigación, nuevas versiones de las aplicaciones, etc.

La solución de F5

Los Servicios Profesionales de F5 personalizan la solución para su entorno

El completo conjunto de funciones de BIG-IP Advanced WAF, como los diversos métodos de implementación (incluido el generador de políticas basado en tráfico real), el aprendizaje manual y las funcionalidades avanzadas, como la integración con escáneres de vulnerabilidades, las firmas de ataque, la prevención de ataques de fuerza bruta, la aplicación de restricciones de geolocalización, la detección de bots y la mitigación de ataques DDoS, entre otras, permite crear rápidamente configuraciones adaptadas a cada finalidad que posteriormente pueden ampliarse y mejorarse para hacer frente a un panorama de amenazas en constante evolución y satisfacer los requisitos más exigentes de los clientes.

F5 Professional Services creó específicamente el servicio Advanced WAF Launchpad para los clientes que adquirieron e incluso, en algunos casos, aprovisionaron el módulo Advanced WAF de BIG-IP, pero que aún no han implementado un servicio WAF eficaz (por ejemplo, porque solo disponen de unas pocas políticas en modo transparente).

El servicio Advanced WAF Launchpad permite aprovechar los conocimientos especializados y la experiencia de F5 Professional Services para ayudar a los clientes a resolver problemas específicos de sus casos de uso y llevar a cabo con éxito un proyecto de implementación de Advanced WAF.

Alcance del servicio

El servicio implica la colaboración entre un experto en seguridad de F5 Professional Services y los equipos del cliente responsables de la seguridad, la infraestructura, la red y la gestión de aplicaciones.

El doble objetivo del servicio es desarrollar una estrategia de implementación de políticas de Advanced WAF adaptada a las necesidades mediante las prácticas recomendadas de F5, y transferir conocimientos y experiencia que el cliente pueda aplicar directamente en la práctica.

Enfoque de prestación del servicio

El servicio consiste en una colaboración de dos días durante la cual se abordan la teoría y la práctica de las funcionalidades, las implementaciones y los requisitos de gestión de Advanced WAF, con el fin de garantizar que los clientes tengan la confianza y la capacidad necesarias para implementar soluciones eficaces de Advanced WAF que proporcionen una seguridad óptima para las aplicaciones.

Paso 1: Estrategia de diseño e implementación de Advanced WAF

El primer día del proyecto comienza con una sesión de trabajo en la que participan los arquitectos, diseñadores e ingenieros de seguridad, el equipo de operaciones y otras partes interesadas responsables de la gestión de las políticas de seguridad de Advanced WAF. El consultor de F5 dirigirá la recopilación de datos y el análisis imparcial del contexto y los objetivos existentes, ofrecerá recomendaciones y buenas prácticas, y llevará a cabo una reflexión exhaustiva para desarrollar una estrategia de diseño e implementación de alto nivel.

Al final de ese primer día, el consultor de F5 elaborará un informe en el que se destacarán las conclusiones y recomendaciones.

Paso 2: Creación e implementación de políticas

Este paso consiste en crear una política y aplicarla a un servidor virtual para proteger una aplicación web determinada. Puede realizarse de una sola vez o dividirse en subtareas independientes para adaptarse a la estrategia de implementación de políticas seleccionada.

Por ejemplo, la implementación de una política en el entorno de pruebas de un cliente mediante el método de implementación rápida puede realizarse en una sola sesión, mientras que la generación de una política mediante Automatic Policy Builder (es decir, cuando se dispone de tráfico «real» que puede inspeccionarse durante un periodo prolongado) puede dividirse en una subtarea para configurar la política básica y otra subtarea posterior para ajustar la política y pasar al modo de bloqueo.

Conclusión

El soporte en directo de un consultor cualificado, con los conocimientos y la experiencia pertinentes, ha demostrado ser en muchas ocasiones la mejor solución para encauzar correctamente un proyecto de implementación de un servicio WAF y ayudar a los propietarios de Advanced WAF a tomar decisiones fundamentadas y eficientes.

Para obtener más información sobre el servicio Launchpad de BIG-IP Advanced WAF, póngase en contacto con Servicios profesionales de F5 .

PUBLICADO EL 21 DE MARZO DE 2018