Para las aplicaciones de todos los tamaños que se ejecutan en la nube, la seguridad es un modelo de responsabilidad compartida. Su proveedor de nube garantiza un nivel de seguridad en los niveles más amplios de red y host, pero cuando se trata de proteger sus cargas de trabajo, cada desarrollador debe comprender las capas de seguridad disponibles.
¿Qué es un WAF?
Un cortafuegos de aplicaciones web (WAF) impide que el tráfico malicioso interactúe con una aplicación y protege los datos de accesos no autorizados. No debe confundirse con nuestro Cloud Firewall que crea una capa de protección en el nivel TCP/IP, el propósito de un cortafuegos de aplicaciones web es crear reglas bien ajustadas y detección de comportamientos para proteger qué tipo de tráfico puede llegar realmente a la capa de aplicación. Las aplicaciones web son vulnerables a ataques como cross-site scripting e inyecciones SQL que pueden eludir configuraciones de seguridad más amplias a nivel de red.
He aquí una comparación con el mundo real. Un WAF es similar al papel de la seguridad de un edificio cuando entras en él como invitado. La seguridad procede a...
- Infórmese sobre el motivo de su entrada
- Admitir o denegar el acceso a zonas específicas del edificio con una tarjeta de identificación o un pase de invitado
- Esté alerta ante cualquier comportamiento sospechoso mientras se encuentre en el edificio
- Recoja su placa a la salida
- Nota cuando saliste
Para una aplicación con un WAF, el guardia de seguridad representa el comportamiento básico y los objetivos del WAF, pero para monitorizar el tráfico web.
Cuándo utilizar un WAF
A medida que su aplicación evoluciona, es posible que empiece a manejar un mayor volumen de datos y diferentes clases de datos sensibles. Estas son algunas cuestiones importantes que debes tener en cuenta a la hora de mejorar la seguridad de tu aplicación y decidir cómo implementar tus soluciones de seguridad.
- ¿Cómo utiliza los datos su aplicación?
- ¿Qué tipo de datos maneja?
- ¿Qué otras redes tienen acceso a los datos que manejas?
- ¿Qué les ocurriría a sus usuarios si se produjera una filtración de datos?
Esto es especialmente importante cuando se trata de información personal identificable (IPI). La IIP puede ser un único dato, como el número de identificación de un pasaporte, o varios datos que pueden revelar la identidad de una persona, como la combinación de su nombre completo y su fecha de nacimiento.
Un WAF no siempre es necesario. Si tiene una aplicación sencilla que no maneja ninguna transacción financiera, sólo recopila el correo electrónico de un usuario y requiere contraseñas cifradas para acceder al contenido, probablemente no sea esencial que ejecute un WAF. Por ejemplo, un calendario básico o una aplicación de programación de citas; un WAF no protegería aún más esta información básica.
Si está ejecutando una pequeña aplicación con una cantidad moderada de transacciones PII, la implementación de un WAF puede ser valiosa. Incluso un volumen de transacciones moderado tiene el potencial de ser el objetivo específico de los actores maliciosos. Además, si hay alguna expectativa de escalar su aplicación, tener un WAF en su lugar asegurará los datos de su usuario y reducirá el nivel de esfuerzo para aumentar su volumen de transacciones en el futuro.
Para el comercio electrónico de gran volumen u otras aplicaciones que procesan y almacenan grandes cantidades de información confidencial, se necesita más seguridad. Esto incluye implementar un WAF robusto. Este tipo de aplicaciones son los pesos pesados en los que se puede pensar cuando se trata de datos que necesitan una protección potente: instituciones financieras, proveedores de atención sanitaria y entidades gubernamentales.
Selección de un WAF
La elección de un WAF depende de dos factores clave: el nivel de cumplimiento exigido por los datos que maneja su aplicación, y si su carga de trabajo se adapta mejor a una solución autogestionada frente a ceder todo el control a una empresa de seguridad de confianza que cuente con la experiencia y los cumplimientos necesarios.
Al igual que otros servicios tecnológicos, las soluciones WAF son una mezcla de soluciones autogestionadas y gestionadas por proveedores. Hay WAF gratuitos de código abierto que requieren gestión y actualizaciones, lo que es una buena opción para los desarrolladores que desean un nivel de control más preciso.
Las cargas de trabajo más grandes y las aplicaciones que manejan datos confidenciales se benefician de las soluciones gestionadas por proveedores que se actualizan activamente en función de la información más reciente sobre amenazas y posibles vulnerabilidades. Las empresas de ciberseguridad reputadas enumeran y mantienen sus niveles de conformidad, lo que determinará si sus productos son conformes al interactuar con su aplicación. Esta es la misma consideración a la hora de elegir un proveedor de nube para alojar la aplicación y los datos en sí.
Las diferentes soluciones WAF incluyen características adicionales como la profundidad de la monitorización (incluida la capacidad de obtener actualizaciones en tiempo real), la retención de registros y las integraciones con el resto de su pila tecnológica o empresarial.
Encuentre la solución WAF adecuada
Ofrecemos distintos niveles de soluciones WAF para que pueda encontrar la más adecuada tanto si está empezando con una solución autogestionada de código abierto como si su aplicación requiere una protección potente.
Para un WAF bastante básico que proteja su aplicación de ataques importantes y proporcione algo de monitorización, el WAF comunitario Haltdos es un lugar excelente para empezar. Haltdos es una solución autogestionada con una GUI intuitiva donde puedes ver el volumen de peticiones entrantes, direcciones IP y las principales IPs atacantes para monitorizar el riesgo.
Despliegue a través de Linode Marketplace | Instalar en un recurso existente | Más información
Para las cargas de trabajo empresariales y las aplicaciones de mayor tamaño que manejan información personal, la página App & API Protector de Akamai protege las aplicaciones y las redes de API frente a una amplia gama de amenazas, incluidas las vulnerabilidades incluidas en el Top 10 de Seguridad de API de OWASP. App & API Protector utiliza análisis de aprendizaje automático y datos de los equipos de inteligencia y mitigación de amenazas de Akamai para reforzar la seguridad de forma continua, manteniéndose al día de las amenazas, normas y demandas de seguridad.
Comentarios