Avançar para o conteúdo principal
BlogSegurançaNivelar a Segurança da Aplicação com uma Firewall de Aplicação Web

Nivelar a Segurança da Aplicação com uma Firewall de Aplicação Web

Cabeçalho de visão geral da aplicação Web Firewall

Para aplicações de todos os tamanhos em funcionamento na nuvem, a segurança é um modelo de responsabilidade partilhada. O seu fornecedor da nuvem assegura um nível de segurança ao nível da rede e do anfitrião, mas quando se trata de proteger as suas cargas de trabalho, cada desenvolvedor precisa de compreender as camadas de segurança que estão disponíveis.

O que é um WAF?

Uma firewall de aplicação web (WAF) impede que o tráfego malicioso interaja com uma aplicação e protege os dados contra o acesso não autorizado. Não confundir com a nossa Cloud Firewall que cria uma camada de protecção ao nível TCP/IP, o objectivo de uma firewall de aplicação web é criar regras afinadas e detecção de comportamento para proteger que tipo de tráfego pode realmente alcançar a camada de aplicação. As aplicações Web são vulneráveis a ataques como a elaboração de scripts em vários sítios e injecções SQL que podem contornar configurações de segurança mais amplas ao nível da rede.

Firewall Nuvem - diagrama WAF
O nosso Cloud Firewall é nível de protecção de Camada 3 (Rede), enquanto que um WAF é nível de protecção de Camada 7 (Aplicação). Note que pode ter WAFs de rede, baseados em nuvem, ou WAFs baseados em host. O exemplo acima assemelha-se a um WAF baseado em host com a firewall a residir na pilha de aplicações.

Aqui está uma comparação do mundo real. Um WAF é semelhante ao papel da segurança de um edifício quando se entra num edifício como hóspede. A segurança prossegue para...

  • Informe-se sobre o seu propósito de entrada
  • Admite ou nega o acesso a áreas específicas do edifício com um crachá ou passe de convidado
  • Esteja em alerta para qualquer comportamento suspeito enquanto estiver no edifício
  • Recolha o seu crachá à saída
  • Nota quando saiu

Para uma aplicação com um WAF, o guarda de segurança representa o comportamento e os objectivos básicos do WAF, mas para monitorizar o tráfego da Web.

Quando utilizar um WAF

À medida que a sua aplicação evolui, poderá começar a manusear um volume maior de dados e diferentes classes de dados sensíveis. Aqui estão algumas questões importantes a considerar ao analisar a melhoria da segurança da sua aplicação e decidir como deve implementar as suas soluções de segurança.

  • Como é que a sua aplicação utiliza os dados?
  • Que tipo de dados está a tratar?
  • Que outras redes têm acesso aos dados que trata?
  • O que aconteceria aos seus utilizadores se houvesse uma violação de dados?

Isto é especialmente relevante para o tratamento de informação pessoal identificável (PII). As IIP podem ser um único dado, como um número de identificação do passaporte, ou vários dados que podem revelar a identidade de uma pessoa, tais como a combinação do nome completo de alguém e a data de nascimento.

Um WAF nem sempre é necessário. Se tiver uma aplicação simples que não lide com quaisquer transacções financeiras, apenas recolhe o e-mail de um utilizador, e requer senhas encriptadas para aceder ao conteúdo, provavelmente não é essencial que execute um WAF. Pegue num calendário básico ou numa aplicação de agendamento de compromissos; um WAF não garantiria ainda mais esta informação básica.

Se estiver a executar uma pequena aplicação com uma quantidade moderada de transacções PII, a implementação de um WAF pode ser valiosa. Mesmo um volume de transacções moderado tem o potencial de ser especificamente visado por maus agentes. Além disso, se houver alguma expectativa de escalar a sua aplicação, ter um WAF em vigor irá assegurar os dados do seu utilizador e reduzir o nível de esforço para aumentar o seu volume de transacções no futuro. 

Para o comércio electrónico de alto volume ou outras aplicações que processam e armazenam grandes quantidades de informação sensível, é necessária mais segurança. Isto inclui a implementação de um WAF robusto. Este tipo de aplicações são as que mais se podem pensar quando se trata de dados que necessitam de protecção poderosa: instituições financeiras, fornecedores de cuidados de saúde, e entidades governamentais.

Selecção de um WAF

A escolha de um WAF depende de dois factores-chave: o nível de conformidade exigido pelos dados tratados pela sua aplicação, e se a sua carga de trabalho é mais adequada para uma solução auto-gerida do que entregar todo o controlo a uma empresa de segurança de confiança que tenha a perícia e as competências necessárias.

Tal como outros serviços tecnológicos, as soluções WAF são uma mistura de soluções auto-geridas e geridas pelo fornecedor. Existem WAFs de código aberto gratuitos que requerem gestão e actualizações, o que é um bom ajuste para os programadores que querem um nível de controlo mais fino. 

As maiores cargas de trabalho e aplicações que lidam com dados sensíveis beneficiam de soluções geridas pelo fornecedor que são activamente actualizadas com base nas mais recentes informações sobre ameaças e potenciais vulnerabilidades. As empresas de ciber-segurança responsáveis listam e mantêm os seus níveis de conformidade, o que determinará se os seus produtos estão em conformidade quando interagirem com a sua aplicação. Esta é a mesma consideração para a escolha de um fornecedor de nuvem para alojar a aplicação e os próprios dados.

Diferentes soluções WAF incluem características adicionais como a profundidade da monitorização, incluindo a capacidade de obter actualizações em tempo real), retenção de registos, e integrações com o resto da sua pilha de tecnologia ou de negócios.

Encontrar a solução WAF correcta

Oferecemos diferentes níveis de soluções WAF para que possa encontrar a combinação certa quer esteja apenas a começar com uma solução auto-gerida de fonte aberta, quer a sua aplicação exija uma protecção poderosa.

Para um WAF bastante básico que protege a sua aplicação de grandes ataques e proporciona alguma monitorização, o Haltdos Community WAF é um excelente local para começar. Haltdos é uma solução auto-gerida com uma GUI intuitiva onde pode ver o volume de pedidos recebidos, os endereços IP, e os IPs de ataque de topo para monitorizar os riscos.

Implementar via Linode Marketplace | Instalar num Recurso Existente | Saiba Mais

Para cargas de trabalho empresariais e aplicações maiores que lidam com PII, a Akamai's App & API Protector shields applications e API networks from a wide range of threats, including vulnerabilities in the OWASP API Security Top 10. A App & API Protector utiliza análise de aprendizagem de máquinas e dados das equipas de inteligência e mitigação de ameaças da Akamai para reforçar a segurança numa base contínua, acompanhando as ameaças, padrões, e exigências de segurança.

Descarregar Relatório WAAP Gartner | Saiba mais


Comentários

Deixe uma resposta

O seu endereço de correio electrónico não será publicado. Os campos obrigatórios estão marcados com *