À medida que as empresas continuam migrando suas operações para a nuvem, implementar controles robustos de segurança de aplicações que atendam aos desafios específicos desse ambiente e ao cenário de ameaças em constante evolução torna-se mais crucial do que nunca. A demora em lidar com vulnerabilidades e violações é um exemplo claro desse tipo de desafio.
O Relatório sobre o Estado da Estratégia de Aplicações da F5 de 2024 constatou que 50% dos entrevistados consideram que “demora muito para aplicar correções e atualizações em todos os sistemas e softwares afetados e [há] falta de ferramentas ou processos para responder rapidamente a ataques de dia zero”. Portanto, não surpreende que a “velocidade” seja o principal benefício da Segurança como Serviço quando se trata de garantir a integridade das aplicações.
A SecureIQLab publicou recentemente seu Relatório de Validação de Riscos Cibernéticos de WAAP na Nuvem de 2024 e avaliou diversos fornecedores de firewall de aplicações web e segurança de APIs, incluindo o F5 Distributed Cloud Web Application and API Protection (WAAP).
Processo de testes da SecureIQLab
Eles testaram especificamente a eficácia da segurança, a eficiência operacional e a prevenção de falsos positivos, além de destacar os principais diferenciais de cada fornecedor de tecnologia. A SecureIQLab testou soluções de WAAP na nuvem expondo aplicações e APIs a 3.500 ataques baseados em frameworks do setor, como OWASP Top 10 e MITRE ATT&CK. Eles validaram 80 recursos dessas soluções de WAAP, incluindo implantação, gerenciamento e escalabilidade, estabelecendo um novo padrão de validação de cibersegurança em conformidade com as normas da AMTSO.
O resultado: o F5 Distributed Cloud WAAP é aprovado com nota máxima
F5 Distributed Cloud Web Application and API Protection (WAAP) recebe a classificação "Secure by Design" da SecureIQLab como um dos sete fornecedores que passaram na avaliação de vulnerabilidades de WAAP com pontuação máxima. A solução obteve uma classificação elevada tanto em eficácia de segurança quanto em eficiência operacional, alcançando:
- Pontuação geral de segurança de 98,54% (classificada entre as duas soluções com melhor desempenho)
- Índice de Eficiência Operacional de 93% (entre os três primeiros colocados)
- Pontuação máxima de 99,37 para WAF OWASP, sem nenhum falso positivo
São apresentados mais detalhes sobre os critérios de teste de cada uma das principais áreas de segurança avaliadas:
Proteção de APIs
As APIs estão sujeitas a ataques semelhantes aos sofridos por aplicações web, pois compartilham vulnerabilidades como falhas de injeção, problemas de autenticação e riscos de exposição de dados decorrentes da validação inadequada de entradas e de medidas de segurança insuficientes. O teste de segurança de APIs avaliou a eficácia do F5 Distributed Cloud API Security na prevenção do acesso não autorizado a dados confidenciais em seis protocolos de API, usando mais de 70 ataques do OWASP API Security Top 10 de 2023. As classificações, baseadas nos percentuais de eficácia da segurança, variaram de 1 a 5, indicando diferentes níveis de proteção, e os resultados serviram como referência para os padrões de segurança de APIs do setor de WAAP. O relatório destaca que a proteção de segurança de APIs da F5 contra riscos da OWASP está acima da média.
Defesa contra bots
Os especialistas de domínio e cientistas de dados da F5 pesquisam continuamente as ferramentas dos invasores, bem como sinais comportamentais e ambientais, e utilizam ML avançado para detectar rapidamente a reformulação das ferramentas dos invasores e implantar modelos atualizados para mitigar ataques em tempo real. F5 Distributed Cloud Bot Defense foi testado contra cinco tipos de ataques de bots, incluindo dois da OWASP, originados em localidades da Ásia e da América do Norte. Os resultados revelaram que a geolocalização não afeta a eficácia de segurança do produto, com pontuações de ataques de bots variando de 0% a 100%. A F5 obteve pontuação máxima em proteção contra bots e apresentou um desempenho consideravelmente superior à média do grupo.
Defesa contra DDoS
Ataques distribuídos de negação de serviço (DDoS) de camada 7 e ataques de negação de serviço (DoS) de camada 7, que usam conexões TCP válidas, representam um desafio para a detecção; os testes do F5 Distributed Cloud DDoS Mitigation contra dois ataques DDoS de camada 7 e cinco ataques DoS de camada 7 resultaram em pontuações que variaram de 57% a 100%.
Resiliência operacional
O F5 Distributed Cloud WAAP também passou por testes de resiliência operacional em 103 casos de teste, utilizando três vetores de ataque distintos com o objetivo de bloquear ataques inéditos. A Pontuação de Resiliência, que representa a porcentagem de ataques bloqueados em relação ao total, variou de 54,9% a 99,3%, demonstrando sua capacidade de resistir e absorver diferentes variações de ataques. A F5 ficou empatada com a maior pontuação, alcançando uma taxa de bloqueio de 99,3%, e apresentou um desempenho significativamente acima da média.
Segurança inerente
A SecureIQLab avaliou a segurança do produto WAAP na nuvem para garantir que ele não aumente a superfície de ataque dos ambientes protegidos e que seus privilégios não possam ser explorados. O WAAP do F5 Distributed Cloud foi testado com 11 técnicas de avaliação de vulnerabilidades, e sete das 12 soluções WAAP (incluindo a F5) alcançaram a pontuação máxima de 100% na Avaliação de Vulnerabilidades de WAAP. Por obter uma pontuação de 100% na Avaliação de Vulnerabilidades de WAAP, a SecureIQLab classifica a F5 como “segura desde a concepção”.
Eficiência operacional
A eficiência operacional é fundamental para implantar e gerenciar soluções de WAAP com eficácia, garantindo a alocação mínima de recursos e custos operacionais reduzidos. A SecureIQLab validou a eficiência operacional da segurança de WAF e APIs em diversas áreas, utilizando um sistema de pontuação baseado nos recursos oferecidos para fornecer avaliações abrangentes de cada categoria e orientar as organizações na escolha de soluções que otimizem a segurança sem interromper os fluxos de trabalho empresariais. A SecureIQLab destaca que a F5 demonstra eficiência operacional acima da média em suas operações de API, alcançando pontuação máxima em duas das sete categorias.
Como evitar falsos positivos
As soluções de WAAP devem distinguir com eficácia as transações comerciais legítimas das atividades maliciosas para evitar falsos positivos, que podem interromper as operações empresariais. A detecção de usuários mal-intencionados da F5, baseada em IA/ML, fornece avaliação dinâmica de riscos e pontuação de possíveis ameaças com base em atributos comportamentais e de assinatura. Por meio de testes com mais de 6.500 casos de falsos positivos que simulavam o comportamento normal dos usuários, o WAAP da F5 Distributed Cloud foi avaliado quanto à sua capacidade de diferenciar com precisão o tráfego benigno das ameaças, sendo que pontuações mais altas de prevenção de falsos positivos indicam menor impacto na eficiência operacional.
Projetado para proteger os ambientes híbridos atuais
As organizações precisam de uma segurança abrangente para aplicações que esteja alinhada aos seus requisitos específicos, independentemente de onde suas aplicações e APIs estejam hospedadas ou de onde seus usuários estejam localizados. O modelo híbrido de entrega de SaaS da F5 oferece suporte tanto a aplicações internas quanto voltadas ao público, permitindo ampliar a implantação para ambientes de nuvem privada e locais. A solução WAAP da F5 Distributed Cloud inclui um WAF com detecção de usuários mal-intencionados baseada em IA/ML, descoberta e proteção integradas de APIs, além de mitigação de DDoS e bots, possibilitando uma proteção abrangente de aplicações web e APIs com gerenciamento centralizado. Com tantas soluções de segurança de aplicações disponíveis no mercado, o relatório da SecureIQLab ajuda a identificar soluções com alta eficácia e menos falsos positivos, oferecendo aos clientes orientações claras sobre quais fornecedores considerar ao avaliar possíveis soluções para melhorar sua postura geral de segurança de aplicações.
Para mais detalhes, baixe o relatório aqui ou entre em contato com a F5 para saber mais sobre como o F5 Distributed Cloud WAAP pode beneficiar sua organização.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...