À medida que o cenário de ameaças evolui, nossos controles e contramedidas de segurança também precisam evoluir. As ameaças de perímetro mais avançadas relacionadas à perda ou exfiltração de dados ocorrem na camada de aplicação, tornando a maioria dos firewalls de próxima geração (NGFW) e sistemas de prevenção de intrusões (IPS) muito menos eficazes. Esse efeito é agravado pelo fato de que a maioria das comunicações está migrando para canais de dados criptografados que não são bem suportados por NGFWs ou IPSs, especialmente em grande escala. Os firewalls de aplicações web (WAF) são projetados especificamente para analisar cada solicitação HTTP na camada de aplicação, com descriptografia completa de SSL/TLS.
Nos últimos anos, a maioria das tecnologias de WAF permaneceu praticamente inalterada, funcionando como sistemas passivos de detecção baseados em filtros, de forma semelhante às tecnologias relacionadas de NGFW e IPS. Os sistemas WAF verificam a conformidade com os protocolos (garantindo que a solicitação esteja bem-formada) e comparam assinaturas (garantindo que não haja conteúdo malicioso conhecido) para filtrar e bloquear possíveis ataques. Recursos adicionais foram incorporados para permitir o reconhecimento de sessões e usuários, a fim de combater sequestros de sessão e ataques de força bruta. Além disso, feeds de reputação de IP são utilizados na tentativa de filtrar fontes reconhecidamente maliciosas, como botnets, anonimizadores e outras ameaças. Ainda assim, essas tecnologias continuam sendo, em grande parte, passivas no perímetro do data center, com capacidade muito limitada de interrogar o cliente.
Há algumas coisas que sabemos sobre o cenário atual de ameaças:
- A maioria das ameaças é automatizada por natureza. Os invasores automatizam as varreduras em busca de vulnerabilidades. Eles automatizam a apropriação de recursos, como a compra de ingressos ou tênis para revenda no mercado paralelo. Os ataques distribuídos de negação de serviço (DDoS) são totalmente automatizados para viabilizar volumes de tráfego de ataque superiores a 1 Tbps, que se tornaram comuns. É difícil detectar a automação porque ela costuma ser projetada para imitar o tráfego legítimo e passar despercebida. Tecnologias como o CAPTCHA têm sido usadas para detectar esse tipo de automação, mas esses métodos de verificação perdem a eficácia com o tempo e prejudicam a experiência dos usuários legítimos.
- Preenchimento de credenciais é um tipo específico de ataque automatizado que explora os bilhões de combinações conhecidas de nome de usuário e senha provenientes de violações anteriores. Segundo relatórios recentes sobre ameaças, o uso de credenciais roubadas foi o tipo mais comum de ataque a aplicações em 2017. Esses ataques se aproveitam da reutilização de senhas, uma prática comum entre os usuários da Internet. O preenchimento de credenciais é particularmente difícil de detectar porque essas solicitações não apenas parecem normais, como também costumam ser deliberadamente realizadas de forma lenta e em baixo volume para evitar que sejam detectadas como um ataque de força bruta.
- O malware está por toda parte e é usado para explorar vulnerabilidades nos navegadores e nos usuários que os utilizam. Há muitas formas de disseminar malware, desde anexos de e-mail até links maliciosos em redes sociais e anúncios. Essas máquinas comprometidas são usadas para atacar outros sites, realizando ataques DDoS, roubando dados e acumulando recursos. Os métodos disponíveis de detecção e mitigação são limitados, a menos que a máquina cliente seja gerenciada por uma equipe experiente de segurança da informação.
- Os ataques DDoS não são apenas de natureza volumétrica. Muitos ataques são projetados para esgotar recursos em algum ponto da pilha de aplicações, nos servidores de aplicações, no middleware ou no banco de dados de back-end. Detectar essas condições pode ser difícil, pois o tráfego passa pela maioria das verificações padrão de validação de entrada.
Em termos simples, esses ataques contornam praticamente todos os mecanismos tradicionais de detecção de WAF, pois muitas vezes não aparentam estar malformados de forma alguma. Os feeds de reputação de endereços IP têm eficácia limitada devido à quantidade quase inesgotável de alvos facilmente comprometidos, incluindo modems a cabo, dispositivos de IoT, instâncias de servidores em nuvens públicas, entre outros. As informações de endereço de origem mudam rápido demais para que até mesmo um feed colaborativo seja eficaz no combate ao nível de automação típico desses vetores de ataque. É evidente a necessidade de um firewall de aplicações web mais avançado para combater essas ameaças.
A boa notícia é que a tecnologia WAF Avançado já está disponível há algum tempo. Há quase uma década, a F5 foi pioneira em uma tecnologia para detectar, sem o uso de CAPTCHA, bots que tentavam extrair dados de preços de varejistas on-line, quando lançou a proteção contra Web Scraping, em 2009. Desde então, a F5 aprimorou progressivamente essa tecnologia e a expandiu para o que hoje é conhecido como Proactive Bot Defense, lançado em 2015. O Proactive Bot Defense (PBD) permite verificar o cliente solicitante para confirmar a presença de um usuário humano utilizando um navegador legítimo. Essa é uma solução muito mais eficaz do que depender do bloqueio de botnets conhecidas por endereço IP.
Com a nova oferta F5 Advanced WAF, a F5 está ampliando sua tecnologia WAF líder de mercado para incluir os recursos necessários para combater as ameaças em constante evolução no cenário de segurança de aplicações. O Advanced WAF inclui:
- Defesa proativa contra bots. Ao utilizar técnicas avançadas de identificação e de desafio/resposta em conjunto com outras análises comportamentais, o PBD permite detectar e bloquear ameaças automatizadas no nível da sessão.
- DoS comportamental de camada 7 detecção e defesa. O WAF Avançado é capaz de criar perfis de tráfego dinamicamente e gerar assinaturas de padrões de tráfego anômalos, interrompendo ataques de DoS de camada 7 antes que afetem sua aplicação.
- DataSafe proteção de credenciais. O DataSafe criptografa dinamicamente o conteúdo da página para impedir ataques man-in-the-browser, geralmente causados por malware. O DataSafe também criptografa dinamicamente as credenciais à medida que são inseridas, protegendo o usuário no navegador.
- SDK móvel Anti-Bot integração. As técnicas usadas pelo Proactive Bot Defense identificam navegadores legítimos. Em aplicativos móveis, não há um navegador. O SDK móvel Anti-Bot permite que as organizações combatam bots com técnicas avançadas até mesmo em endpoints de API móvel.
O F5 Advanced WAF é uma plataforma de segurança dedicada que oferece os recursos de segurança de aplicações mais avançados disponíveis atualmente no mercado. A F5 tem o compromisso de fornecer soluções de segurança de aplicações de última geração para mitigar até mesmo os ataques mais sofisticados. Aguarde mais avanços na plataforma Advanced WAF no futuro.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...