Plataforma de lançamento do Web Application Firewall (WAF) avançado

Por que as organizações precisam de um WAF?

Hoje, as empresas estão expandindo seus negócios por meio de aplicações web e hospedadas na nuvem. Por isso, contar com um firewall de aplicações web (WAF) robusto e ágil para protegê-las contra ameaças à segurança não é um luxo, mas uma necessidade.

À medida que essas aplicações baseadas na Web e na nuvem se disseminam mais rapidamente, os ataques se tornam cada vez mais sofisticados e frequentes, ameaçando os dados e as operações essenciais das empresas. Isso torna muito mais difícil para os administradores e as equipes de segurança se manterem atualizados sobre os ataques mais recentes e as medidas de proteção. Ao mesmo tempo, eles precisam atender a rigorosos requisitos de conformidade para o comércio on-line (por exemplo, o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento); proteger aplicações Web essenciais aos negócios contra ataques comuns, como injeção de SQL, ataques DDoS e ataques multifacetados de dia zero; e permitir o compartilhamento seguro de dados entre ambientes tradicionais e de nuvem.

O que é necessário para implantar um WAF?

As empresas podem empregar uma combinação de técnicas para garantir uma cobertura de detecção precisa sem bloquear o tráfego legítimo. Tradicionalmente, a configuração de WAF mais utilizada tem sido o modelo de segurança negativa, que permite todas as transações, exceto aquelas que contêm uma ameaça ou um ataque. A segurança negativa utiliza assinaturas e regras desenvolvidas para detectar ameaças e ataques conhecidos. O banco de dados de regras de assinatura é bastante abrangente, pois o conhecimento sobre ataques foi acumulado ao longo dos anos. Esse é um excelente modelo de proteção pronta para uso, que bloqueia ameaças amplamente conhecidas, incluindo injeções na Web, ameaças do OWASP Top 10, cross-site scripting (XSS), entre outras.

Nos últimos anos, os modelos de segurança positiva se tornaram mais populares. Essa abordagem bloqueia todo o tráfego, permitindo apenas as transações reconhecidamente válidas e seguras. A abordagem positiva se baseia na validação rigorosa de conteúdo e na análise estatística, que podem ser mais eficazes na prevenção de ameaças de dia zero e da exploração de vulnerabilidades. Para ser realmente eficaz, uma abordagem de segurança positiva exige um conhecimento profundo da aplicação e de seus usos previstos.

Desafios

Várias etapas interdependentes a serem realizadas

Tanto os modelos positivos quanto os negativos são capazes de alcançar o delicado equilíbrio entre "segurança" e "funcionalidade". No entanto, nenhum modelo de segurança, seja ele positivo ou negativo, consegue oferecer sozinho a solução mais econômica para todas as situações ou ambientes. Quando combinada aos requisitos de negócios, uma abordagem integrada, positiva e negativa, pode permitir que as organizações obtenham o maior retorno sobre o investimento (ROI) com a implementação de qualquer política de segurança.

Tomar as decisões adequadas para uma implantação de WAF que atenda da melhor forma aos objetivos de negócios pode ser um desafio. A necessidade de tempo e recursos geralmente compete com a necessidade de conhecimento técnico adequado e confiança no uso do produto selecionado.

Há várias etapas que um cliente precisará realizar ao planejar e executar um projeto de implementação de um serviço de WAF:

1. Elabore a estratégia de WAF “mais adequada” e obtenha a aprovação de todas as partes interessadas internas.
2. Use o produto WAF de forma eficiente para implementar o conjunto correto de políticas e parâmetros.
3. Planeje a implantação do serviço de WAF, muitas vezes abrangendo centenas de aplicações.
4. Planeje as operações diárias do serviço e o gerenciamento do ciclo de vida em produção.

Cada etapa apresenta desafios comuns

• Os requisitos (ou expectativas) de segurança corporativa e empresarial nem sempre levam plenamente em consideração as limitações técnicas, operacionais e de recursos. Surge, então, a tentação de tentar alcançar um objetivo de alto nível elaborando uma estratégia muito sofisticada antes de garantir que a organização tenha implementado tudo o que é necessário para torná-lo viável. Em muitos casos, uma avaliação e uma análise imparciais da situação podem ser necessárias para resolver esse problema.
• Nem sempre é fácil alcançar o equilíbrio entre a disponibilidade das aplicações, exigida pelos responsáveis pelas áreas de negócio, e o nível de proteção exigido pela equipe do CISO. Por exemplo, os responsáveis pelas áreas de negócio não querem que suas aplicações sejam bloqueadas devido a falsos positivos ou a políticas de WAF excessivamente restritivas. Mais uma vez, uma avaliação e análise imparcial e bem fundamentada da situação pode ajudar as organizações a encontrar o equilíbrio adequado e preparar planos de mitigação para lidar com possíveis impactos no ambiente de produção.
• Participar de treinamentos oferecidos pelo fornecedor do software ou obter uma certificação do produto é altamente recomendável, mas isso jamais substituirá o esforço de praticar considerando o contexto, os objetivos e as restrições reais da empresa.
• Uma das questões com as quais os clientes frequentemente se deparam é como proteger um grande número de aplicações. No entanto, muitas vezes o volume em si não é o principal problema, enquanto a qualidade e a integridade das informações disponíveis sobre cada aplicação podem, de fato, dificultar um projeto de WAF e devem levar a uma análise mais aprofundada da estratégia de projeto e implementação. A experiência com implementações de WAF será extremamente útil para identificar critérios relevantes, definir a caracterização e o agrupamento das aplicações e adaptar a estratégia geral de projeto e implementação do serviço de WAF.
• Muitas vezes, os clientes se esquecem de considerar antecipadamente as etapas posteriores para garantir a viabilidade e a capacidade de suporte. Esse é provavelmente o erro mais frequente (ou seja, projetar e planejar a solução sem analisar as implicações dos modelos de projeto e implementação escolhidos para a operação dessa solução a longo prazo em um ambiente de produção). Um exemplo comum é subestimar os recursos necessários para manter políticas de WAF altamente sofisticadas enquanto todo o ambiente passa por mudanças regulares em diversas frentes: ameaças, medidas de mitigação, lançamentos de aplicações etc.

A solução da F5

A F5 Professional Services personaliza a solução para o seu ambiente

O conjunto abrangente de funções do BIG-IP Advanced WAF, como os diversos métodos de implantação (incluindo o criador de políticas com tráfego real), o aprendizado manual e recursos avançados, como integração com scanners de vulnerabilidades, assinaturas de ataques, prevenção contra ataques de força bruta, aplicação de políticas de geolocalização, detecção de bots, mitigação de DDoS e muito mais, permite criar rapidamente configurações adequadas à finalidade, que podem ser dimensionadas e aprimoradas para enfrentar o cenário de ameaças em constante evolução e atender aos requisitos mais exigentes dos clientes.

A F5 Professional Services criou o serviço Advanced WAF Launchpad especificamente para clientes que adquiriram e, em alguns casos, até mesmo provisionaram o módulo Advanced WAF do BIG-IP, mas que ainda não implantaram um serviço de WAF eficaz (por exemplo, com poucas políticas apenas no modo transparente).

O serviço Advanced WAF Launchpad oferece aos clientes os benefícios da experiência e do conhecimento especializado da F5 Professional Services, ajudando-os a superar problemas específicos de seus casos de uso e a realizar um projeto bem-sucedido de implementação do Advanced WAF.

Escopo do serviço

O serviço envolve a colaboração entre um especialista em segurança da F5 Professional Services e as equipes de segurança, infraestrutura, rede e gerenciamento de aplicações do cliente.

O serviço tem dois objetivos: desenvolver uma estratégia de implementação de políticas do Advanced WAF adequada à finalidade, utilizando as práticas recomendadas da F5, e transferir conhecimentos e experiência que possam ser aplicados diretamente pelo cliente.

Abordagem de prestação do serviço

O serviço consiste em uma consultoria de dois dias, durante a qual são abordadas a teoria e a prática das funcionalidades, implantações e exigências de gerenciamento do Advanced WAF, a fim de garantir que os clientes tenham a confiança e a capacidade necessárias para implementar soluções eficazes de Advanced WAF e obter o mais alto nível de segurança para as aplicações.

Etapa 1: Estratégia de design e implantação do Advanced WAF

O primeiro dia do trabalho começa com uma sessão colaborativa que envolve arquitetos de segurança, projetistas, engenheiros, equipes de operações e outras partes interessadas responsáveis pelo gerenciamento das políticas de segurança do Advanced WAF. O consultor da F5 conduzirá a coleta de dados e a análise imparcial do contexto e dos objetivos atuais, fornecerá recomendações e práticas recomendadas e realizará avaliações aprofundadas para desenvolver uma estratégia de alto nível para o projeto e a implementação.

Ao final desse primeiro dia, o consultor da F5 elaborará um relatório destacando as constatações e recomendações.

Etapa 2: Criação e implementação da política

Esta etapa consiste em criar uma política e aplicá-la a um servidor virtual para abranger uma determinada aplicação web. Ela pode ser realizada de uma só vez ou dividida em subtarefas separadas, de acordo com a estratégia de implementação da política selecionada.

Por exemplo, a implementação de uma política em um ambiente de testes do cliente usando o método de implantação rápida pode ser realizada em uma única sessão, enquanto a geração de uma política usando o Automatic Policy Builder (ou seja, quando há tráfego "real" disponível para inspeção durante um período prolongado) pode ser dividida em uma subtarefa para configurar a política básica e outra subtarefa posterior para ajustar a política e fazer a transição para o modo de bloqueio.

Conclusão

O suporte ao vivo de um consultor qualificado, com a experiência e os conhecimentos relevantes, tem se mostrado, muitas vezes, a melhor solução para colocar um projeto de implantação de um serviço de WAF no caminho certo e ajudar os proprietários do Advanced WAF a tomar decisões bem fundamentadas e eficientes.

Para obter mais informações sobre o serviço BIG-IP Advanced WAF Launchpad, entre em contato com a F5 Professional Services .

PUBLICADO EM 21 DE MARÇO DE 2018