Salve uma vida: Adicionar um WAF

Ok, talvez esse título seja um pouco exagerado. A segurança consistente dos aplicativos raramente salva uma vida, mas as vulnerabilidades às quais você fica exposto sem ela podem custar tempo, dinheiro e reputação.

Proteger aplicativos contra ameaças provou ser uma tarefa difícil. Alguns tipos de vulnerabilidade são antigos o suficiente para terem se formado no ensino médio e ainda estão comprometendo aplicativos — e, mais importante, dados — hoje. De acordo com uma pesquisa recente da F5, a confiança na proteção de aplicativos caiu 4% ano a ano, de 45% em 2017 para 41% em 2018 (SOAD 2018). No entanto, na mesma pesquisa, 43% dos entrevistados disseram que a segurança é a pior coisa sem a qual é possível implantar um aplicativo. Um em cada três (36%) planeja proteger menos de um quarto de seus aplicativos com um Web Application Firewall (WAF). A cobertura continua a diminuir a cada quartil, com pouco mais de um em cada dez (13%) indicando proteção de 100% de suas aplicações. 

O que essas estatísticas significam para equipes de NetOps reais, vivas e atuantes? Por um lado, isso significa muito mais trabalho criando políticas de segurança personalizadas e brincando de Whack-a-Mole, à medida que novas ameaças encontram maneiras de comprometer novos aplicativos. Isso também significa menos tempo no dia para realizar projetos que realmente impulsionarão o negócio. Isso leva a problemas de moral que diminuem a produtividade e prejudicam a retenção de funcionários.

Então, qual é a solução? Junto com práticas de codificação seguras, varredura estática de vulnerabilidades e testes de penetração automatizados, o WAF tem sido uma ferramenta consistente e útil na luta pela segurança de aplicativos. Os WAFs são, sem dúvida, uma ótima ideia: eles protegem seus aplicativos examinando solicitações e respostas de aplicativos em busca de ameaças, analisando comportamento, mitigando ataques de negação de serviço distribuído (DDoS), detectando bots e impedindo a exfiltração de dados confidenciais.

O problema para muitas empresas está na implementação. Colocar os serviços WAF na frente dos aplicativos tem sido difícil, demorado e envolve muito atrito. Em um mundo ideal, todos os aplicativos, em qualquer lugar, teriam serviços WAF implementados como parte da cadeia de ferramentas de implantação, com pelo menos um nível básico de proteção. Se você observar atentamente as perdas de dados, uma porcentagem significativa delas — mesmo as realmente espetaculares — poderia ter sido evitada com uma segurança relativamente simples.

Podemos chegar ao ponto em que todos os seus aplicativos se beneficiem de um WAF poderoso e seguro? Essa é uma meta possível e realista? Com o F5 BIG-IP Cloud Edition, isso pode ser verdade. O BIG-IP Cloud Edition traz uma série de inovações que tornam a adição de um WAF a cada aplicativo não apenas possível, mas realmente prática. Com o BIG-IP Cloud Edition, sua equipe de segurança pode criar um catálogo de políticas para cobrir a maioria das aplicações, e sua equipe de operações pode anexar essas políticas a modelos. Melhor ainda, suas equipes de aplicativos podem escolher o modelo a ser usado para seus aplicativos em um catálogo de serviços e, então, autoatendem a implantação de serviços de entrega e segurança de aplicativos. Os serviços são fornecidos por instâncias F5 BIG-IP mais leves e com dimensionamento automático, implantadas sob demanda e dedicadas a um único aplicativo. As instâncias do BIG-IP têm o tamanho e o preço certos para tornar esta uma arquitetura totalmente prática, mesmo para organizações com centenas ou milhares de aplicativos.

Com o BIG-IP Cloud Edition, os serviços de segurança são implantados perfeitamente junto com outros serviços de entrega de aplicativos necessários, como balanceamento de carga ou otimização de rede. O BIG-IP Cloud Edition também oferece maior capacidade de observação e monitoramento com painéis personalizados, para proprietários de aplicativos que se preocupam com o desempenho dos aplicativos e administradores que se preocupam com os aplicativos e a infraestrutura.

Embora sempre haja aplicativos que precisam de políticas de segurança personalizadas e ajustadas manualmente (o que é perfeitamente possível com o BIG-IP Cloud Edition), a maioria não justifica o tempo e o esforço de criá-los. Porque o melhor tipo de segurança é aquele que você realmente usa. Espere, esqueça isso — o melhor tipo de segurança é a que você obtém sem precisar fazer nada.

Saiba mais em f5.com/cloudedition .