De regras a riscos: a evolução dos WAFs e a ascensão dos resultados impulsionados por IA

Debrup GhoshGerente Principal de Produto | F5

Os CISOs não compram firewalls de aplicações web (WAFs) por causa dos recursos — eles os compram para reduzir os riscos aos negócios sem desacelerar a organização. No entanto, em muitas empresas, as soluções de WAF ficam estagnadas em um ponto conhecido: o WAF está implantado e os alertas estão sendo gerados, mas a ativação do modo de bloqueio é adiada porque o ajuste é caro, envolve várias áreas e apresenta riscos.

Enquanto isso, os invasores não esperam. Eles sondam APIs, automatizam o abuso de credenciais e usam técnicas de evasão que contornam conjuntos de regras criados para o tráfego de ontem. Os WAFs evoluíram em resposta a essa realidade. Entender essa evolução ajuda a explicar por que os WAFs com tecnologia de IA estão se tornando um ponto de inflexão na prática: eles reduzem o tempo necessário para garantir a proteção, diminuem a sobrecarga operacional e melhoram os resultados de segurança sem aumentar o atrito para os clientes.

Geração 1: proteção baseada em assinaturas e com controles avançados

Os WAFs de primeira geração estabeleceram a base da segurança web: ampla cobertura contra ameaças conhecidas por meio de assinaturas e da aplicação de protocolos. Eles se destacavam no bloqueio de explorações comuns (por exemplo, SQLi e XSS), no mapeamento de CVEs por meio de grandes mecanismos de assinaturas, na garantia da conformidade com o protocolo HTTP e na aplicação de políticas e observabilidade consistentes em todos os aplicativos. Também incorporaram importantes proteções operacionais, como mascaramento de dados confidenciais em logs, personalização de páginas de bloqueio, gerenciamento de códigos de resposta permitidos, uso de feeds de reputação de IP e proteção de dados confidenciais nas respostas.

O desafio surgiu à medida que as aplicações se tornaram mais dinâmicas e a superfície de ataque migrou para APIs, bots e automação. Os modelos baseados em assinaturas geram um dilema operacional fundamental:

• Tornar as regras mais rígidas para detectar mais ataques resulta em mais falsos positivos e interrupções nos negócios.
• Flexibilizar as regras para reduzir interrupções resulta em mais falsos negativos e maior risco de violação de segurança.

Na prática, isso se torna um ônus de ajuste: as equipes de segurança fazem a triagem dos alertas, os desenvolvedores verificam se o tráfego é legítimo e as equipes de plataforma implementam exceções. Esse ciclo se repete para cada aplicação, versão e, muitas vezes, ambiente. O resultado é o adiamento da ativação do modo de bloqueio, uma proteção inconsistente e uma lacuna cada vez maior entre o que o WAF poderia bloquear e o que ele realmente bloqueia em produção.

Geração 2: Da “inspeção de requisições” ao “comportamento de usuários e sessões”

Os recursos de WAF de segunda geração foram além da inspeção de payloads, passando a identificar e rastrear sessões de usuários por meio de diversos sinais — IP do cliente, impressão digital TLS, cookies, cabeçalhos HTTP e outros identificadores. Essa mudança é importante porque muitos ataques modernos não se parecem com uma única “solicitação maliciosa”. Eles se manifestam como comportamentos ao longo do tempo: reconhecimento, automação, padrões de abuso ou sondagens lentas e graduais.

Ao rastrear sessões e atribuir um nível de risco aos usuários com base em seu comportamento, os WAFs de segunda geração aprimoraram a detecção de bots e clientes abusivos e possibilitaram medidas de mitigação, como desafios de verificação ou bloqueios temporários. Isso reduziu a dependência exclusiva de assinaturas estáticas.

Mas, mesmo com uma visibilidade comportamental melhor, muitos CISOs ainda identificam a mesma barreira à adoção: a confiança na aplicação das regras. Saber que algo é “suspeito” não se traduz automaticamente em uma decisão que não interrompa o tráfego legítimo. As equipes ainda acabam discutindo limites, exceções e interações entre regras — especialmente quando aplicações e APIs mudam semanalmente.

Geração 3: WAFs com tecnologia de IA e aplicação de políticas baseada em resultados

Os WAFs de terceira geração introduzem um modelo operacional diferente: decisões baseadas em risco, orientadas pela pontuação de risco de WAF com tecnologia de IA. Em vez de obrigar as equipes a interpretar um emaranhado de correspondências de assinaturas, violações e concessões de ajuste, o WAF avalia vários sinais por solicitação e atribui um nível de risco. Esse nível de risco se torna o elemento básico da aplicação de políticas.

Isso muda a conversa do CISO de “Como ajustamos o WAF?” para “Que nível de risco estamos dispostos a aceitar para este aplicativo, endpoint ou função de negócios?”

Os resultados práticos são significativos:

• Proteção mais rápida: Os clientes podem ativar o modo de bloqueio mais cedo, pois as decisões se baseiam em análises em várias camadas, e não em gatilhos frágeis de regra única.
• Menos sobrecarga operacional: Menos exceções manuais e menos ajustes caso a caso reduzem o atrito entre as equipes de SecOps, AppSec, desenvolvimento e plataforma.
• Detecção aprimorada com poucos falsos positivos: A correlação de múltiplos sinais ajuda a detectar mais ataques, reduzindo o impacto sobre usuários legítimos.

Adotando uma abordagem em camadas

Os melhores resultados vêm da combinação em camadas dos recursos de WAF de 1ª, 2ª e 3ª gerações, em vez de tratá-los como substitutos.

Os controles de 1ª geração — assinaturas, conformidade com protocolos, proteções contra campanhas de ameaças, salvaguardas para dados confidenciais e alta observabilidade — oferecem cobertura altamente eficaz contra vulnerabilidades conhecidas e técnicas comuns de exploração, além de continuarem sendo medidas básicas de segurança indispensáveis.

A Geração 2 adiciona reconhecimento de sessão e rastreamento comportamental para conectar solicitações às jornadas dos usuários, permitindo que a plataforma diferencie automações abusivas de padrões normais de uso e reduza a dependência de exceções frágeis específicas para cada URL.

A pontuação de risco de 3ª geração, habilitada por IA, reúne esses sinais em um mecanismo de decisão consistente e orientado a resultados, correlacionando correspondências de assinaturas, anomalias comportamentais e indicadores contextuais em uma única avaliação de risco por solicitação/sessão. Assim, as equipes podem ativar o bloqueio com confiança e mais rapidez, minimizando tanto os falsos negativos quanto os falsos positivos.

Em conjunto, essa abordagem em camadas oferece o mais alto nível de proteção com o mínimo de ajustes operacionais: controles determinísticos para o que já é conhecido, detecção comportamental para o que está em constante evolução e aplicação de medidas com base em riscos para tomar decisões precisas em escala.

Avaliação de WAFs com base nos resultados de negócios

Como observado anteriormente, os CISOs devem avaliar as soluções de WAF com base nos resultados de negócios — a rapidez com que a organização consegue alcançar e manter o modo de bloqueio, a eficácia com que as ameaças são contidas em aplicativos e APIs e o mínimo de interrupção causada ao tráfego legítimo de clientes —, em vez de considerar a variedade de recursos individuais.

Quando bem implementada, essa abordagem faz com que as operações deixem de se concentrar em discussões sobre assinaturas e exceções específicas e passem a definir limites de risco alinhados à tolerância da empresa, melhorando a proteção e mantendo baixos os falsos positivos em ambientes distribuídos.

Para saber mais sobre a F5 Distributed Cloud WAF e seus recursos baseados em IA, acesse nossa página do produto ou entre em contato com nossa equipe para agendar uma demonstração.

Sobre o autor

Debrup GhoshGerente Principal de Produto | F5

Mais publicações de Debrup Ghosh