Avançar para o conteúdo principal
BlogSegurançaNivelar a Segurança da Aplicação com uma Firewall de Aplicação Web

Nivelar a Segurança da Aplicação com uma Firewall de Aplicação Web

Cabeçalho de visão geral da aplicação Web Firewall

Para aplicações de todos os tamanhos em funcionamento na nuvem, a segurança é um modelo de responsabilidade partilhada. O seu fornecedor da nuvem assegura um nível de segurança ao nível da rede e do anfitrião, mas quando se trata de proteger as suas cargas de trabalho, cada desenvolvedor precisa de compreender as camadas de segurança que estão disponíveis.

O que é um WAF?

Um firewall de aplicativo da web (WAF) evita que tráfego malicioso interaja com um aplicativo e protege os dados contra acesso não autorizado. Não deve ser confundido com nosso Cloud Firewall que cria uma camada de proteção no nível TCP/IP, o objetivo de um firewall de aplicação web é criar regras ajustadas e detecção de comportamento para proteger que tipo de tráfego pode realmente atingir a camada de aplicação. Os aplicativos da Web são vulneráveis a ataques como scripts entre sites e injeções de SQL que podem ignorar configurações de segurança mais amplas no nível da rede.

Cloud Firewall - Diagrama WAF
Nosso Cloud Firewall é a proteção de nível de camada 3 (rede), enquanto um WAF é a proteção de nível de camada 7 (aplicativo). Observe que você pode ter WAFs de rede, baseados em nuvem ou baseados em host. O exemplo acima se assemelha a um WAF baseado em host com o firewall residente na pilha de aplicativos.

Aqui está uma comparação do mundo real. Um WAF é semelhante ao papel da segurança de um edifício quando se entra num edifício como hóspede. A segurança prossegue para...

  • Informe-se sobre o seu propósito de entrada
  • Admite ou nega o acesso a áreas específicas do edifício com um crachá ou passe de convidado
  • Esteja em alerta para qualquer comportamento suspeito enquanto estiver no edifício
  • Recolha o seu crachá à saída
  • Nota quando saiu

Para uma aplicação com um WAF, o guarda de segurança representa o comportamento e os objectivos básicos do WAF, mas para monitorizar o tráfego da Web.

Quando utilizar um WAF

À medida que a sua aplicação evolui, poderá começar a manusear um volume maior de dados e diferentes classes de dados sensíveis. Aqui estão algumas questões importantes a considerar ao analisar a melhoria da segurança da sua aplicação e decidir como deve implementar as suas soluções de segurança.

  • Como é que a sua aplicação utiliza os dados?
  • Que tipo de dados está a tratar?
  • Que outras redes têm acesso aos dados que trata?
  • O que aconteceria aos seus utilizadores se houvesse uma violação de dados?

Isto é especialmente relevante para o tratamento de informação pessoal identificável (PII). As IIP podem ser um único dado, como um número de identificação do passaporte, ou vários dados que podem revelar a identidade de uma pessoa, tais como a combinação do nome completo de alguém e a data de nascimento.

Um WAF nem sempre é necessário. Se tiver uma aplicação simples que não lide com quaisquer transacções financeiras, apenas recolhe o e-mail de um utilizador, e requer senhas encriptadas para aceder ao conteúdo, provavelmente não é essencial que execute um WAF. Pegue num calendário básico ou numa aplicação de agendamento de compromissos; um WAF não garantiria ainda mais esta informação básica.

Se estiver a executar uma pequena aplicação com uma quantidade moderada de transacções PII, a implementação de um WAF pode ser valiosa. Mesmo um volume de transacções moderado tem o potencial de ser especificamente visado por maus agentes. Além disso, se houver alguma expectativa de escalar a sua aplicação, ter um WAF em vigor irá assegurar os dados do seu utilizador e reduzir o nível de esforço para aumentar o seu volume de transacções no futuro. 

Para o comércio electrónico de alto volume ou outras aplicações que processam e armazenam grandes quantidades de informação sensível, é necessária mais segurança. Isto inclui a implementação de um WAF robusto. Este tipo de aplicações são as que mais se podem pensar quando se trata de dados que necessitam de protecção poderosa: instituições financeiras, fornecedores de cuidados de saúde, e entidades governamentais.

Selecção de um WAF

A escolha de um WAF depende de dois factores-chave: o nível de conformidade exigido pelos dados tratados pela sua aplicação, e se a sua carga de trabalho é mais adequada para uma solução auto-gerida do que entregar todo o controlo a uma empresa de segurança de confiança que tenha a perícia e as competências necessárias.

Tal como outros serviços tecnológicos, as soluções WAF são uma mistura de soluções auto-geridas e geridas pelo fornecedor. Existem WAFs de código aberto gratuitos que requerem gestão e actualizações, o que é um bom ajuste para os programadores que querem um nível de controlo mais fino. 

As maiores cargas de trabalho e aplicações que lidam com dados sensíveis beneficiam de soluções geridas pelo fornecedor que são activamente actualizadas com base nas mais recentes informações sobre ameaças e potenciais vulnerabilidades. As empresas de ciber-segurança responsáveis listam e mantêm os seus níveis de conformidade, o que determinará se os seus produtos estão em conformidade quando interagirem com a sua aplicação. Esta é a mesma consideração para a escolha de um fornecedor de nuvem para alojar a aplicação e os próprios dados.

Diferentes soluções WAF incluem características adicionais como a profundidade da monitorização, incluindo a capacidade de obter actualizações em tempo real), retenção de registos, e integrações com o resto da sua pilha de tecnologia ou de negócios.

Encontrar a solução WAF correcta

Oferecemos diferentes níveis de soluções WAF para que possa encontrar a combinação certa quer esteja apenas a começar com uma solução auto-gerida de fonte aberta, quer a sua aplicação exija uma protecção poderosa.

Para um WAF bastante básico que protege a sua aplicação de grandes ataques e proporciona alguma monitorização, o Haltdos Community WAF é um excelente local para começar. Haltdos é uma solução auto-gerida com uma GUI intuitiva onde pode ver o volume de pedidos recebidos, os endereços IP, e os IPs de ataque de topo para monitorizar os riscos.

Implantar através do Linode Marketplace | Instalar em um recurso existente | Saber mais

Para cargas de trabalho corporativas e aplicativos maiores que lidam com PII, o software da Akamai App & API Protector protege aplicativos e redes de API contra uma ampla variedade de ameaças, incluindo vulnerabilidades no Top 10 de segurança de API da OWASP . App & API Protector usa análise de aprendizado de máquina e dados das equipes de mitigação e inteligência de ameaças da Akamai para reforçar a segurança continuamente, acompanhando ameaças, padrões e demandas de segurança.

Descarregar Relatório WAAP Gartner | Saiba mais


Comentários

Deixe uma resposta

O seu endereço de correio electrónico não será publicado. Os campos obrigatórios estão marcados com *