Che cos'è un WAF? | Spiegazioni sul Web Application Firewall

Parallelamente all'emergere della tecnologia WAF, il lavoro sulle vulnerabilità del Comitato Tecnico OASIS per la Sicurezza delle Applicazioni Web (WAS TC) è stato ampliato nella Lista Top 10 dell'Open Web Application Security Project (OWASP). Decenni dopo, la Top 10 di OWASP rimane lo standard del settore per la conformità della sicurezza delle applicazioni web.

Insieme, questi due sviluppi - il WAF e la Top 10 di OWASP - ci hanno fornito una difesa che ci aiuta a fermare gli attori di minacce che tentano di compromettere i nostri sistemi, consumare le nostre risorse ed esfiltrare i nostri dati.

WAF: Un componente critico della sicurezza

Con gli attacchi alle applicazioni web come causa principale delle violazioni, la protezione delle applicazioni e delle API è stata - ed è - una preoccupazione fondamentale per gli ingegneri della sicurezza delle applicazioni, gli architetti della sicurezza e i professionisti della sicurezza delle informazioni. Poiché le applicazioni vengono spesso rilasciate con le vulnerabilità della Top 10 di OWASP, gli standard di sicurezza delle applicazioni web devono essere integrati nel ciclo di vita dello sviluppo del software (SDLC).

I firewall per applicazioni web svolgono un ruolo di protezione delle vulnerabilità dallo sfruttamento, fornendo un livello di sicurezza che non può essere raggiunto con i firewall di rete. I firewall di rete convenzionali non sono semplicemente attrezzati per proteggere le applicazioni rivolte al web che devono accettare e rispondere alle richieste di contenuti web provenienti da Internet.

I WAF risolvono il problema fornendo un mezzo per filtrare il traffico di rete, pur consentendo alle applicazioni di connettersi direttamente a Internet. Invece di creare un muro tra le risorse di rete interne ed esterne, i WAF funzionano come schermi, lasciando passare il traffico amichevole ma bloccando quello dannoso.

In questo modo, i WAF aiutano a proteggere da alcuni comuni rischi di sicurezza delle applicazioni web, come le applicazioni progettate in modo improprio e gli attacchi di tipo injection. Sebbene i WAF non risolvano le vulnerabilità o le falle sottostanti delle applicazioni web, possono impedire che gli attacchi che tentano di sfruttare queste falle raggiungano l'applicazione. I WAF rendono le cose difficili per gli aggressori, bloccando le sonde iniziali, bloccando le vie di attacco comuni e limitando le richieste.

Inoltre, i firewall per applicazioni web possono registrare il traffico delle applicazioni web, i tentativi di attacco e le misure adottate da un'azienda per proteggere le proprie applicazioni web, il tutto a supporto delle attività di auditing e conformità.

Comprendere il panorama delle minacce

Prima di parlare dei componenti critici di un firewall per applicazioni web efficace, consideriamo i diversi tipi di minacce contro la sua applicazione web. Abbiamo già parlato di XSS, SQL injection e inclusione di file locali. L'obiettivo dei firewall applicativi originali era quello di proteggere da questi tipi di attacchi, ma il campo di battaglia è cambiato e continua ad evolversi.

Gli attacchi DoS (Denial-of-service) o DoS e DDoS stanno diventando sempre più frequenti con l'aumento della popolarità del cloud computing su richiesta.

La lista più recente OWASP Top 10 ora include più rischi associati al controllo degli accessi e alla configurazione. Il controllo degli accessi non funzionante e le carenze crittografiche occupano i primi due posti dell'elenco del 2021. Sono aumentati anche i problemi correlati, dalla configurazione errata della sicurezza ai componenti obsoleti. Oltre a proteggere i suoi servizi dagli attacchi, deve evitare che i dati sensibili vengano esposti accidentalmente.

Funzioni di un efficace firewall per applicazioni web

Un firewall per applicazioni web opera attraverso una serie di regole o politiche progettate per proteggere dalle vulnerabilità delle applicazioni basate sul web, monitorando e filtrando il traffico di rete che utilizza i protocolli web, in particolare HTTP e HTTPS.

Possiamo dividere la funzione del WAF in due parti distinte: proteggere il traffico in entrata e in uscita. La funzionalità di protezione in entrata del WAF è responsabile dell'ispezione del traffico delle applicazioni dal mondo esterno. Come parte della protezione della web app dal traffico in entrata, il WAF deve identificare i modelli di attività pericolosi, i payload sospetti e le vulnerabilità.

Poiché gli hacker persistono e innovano, la natura degli attacchi inbound cambia. I WAF devono operare a partire da un insieme proattivo di politiche di sicurezza che proteggono dalle vulnerabilità note della web app. Per filtrare i vari tipi di traffico dannoso, ogni politica di sicurezza deve essere aggiornata, al passo con l'evoluzione dei vettori di attacco. I firewall per applicazioni web sono particolarmente efficaci perché sono progettati per le modifiche dei criteri di sicurezza.

La protezione in uscita consiste nell'impedire la fuga di dati aziendali e dei clienti. Sebbene l'analisi accurata dei dati in uscita sia impegnativa nel mondo reale, i WAF in linea basati su proxy possono intercettare i dati in uscita e mascherare o bloccare la fuoriuscita di dati sensibili per cause accidentali o dolose.

Diversi tipi di firewall per applicazioni web

Quando si utilizzano i WAF per proteggere le applicazioni web, si definiscono regole che consentono, bloccano o monitorano le richieste web in base a determinati criteri. Può, ad esempio, personalizzare una regola WAF per bloccare le richieste in entrata che contengono un'intestazione HTTP specifica o che provengono da un determinato indirizzo IP.

WAF Blocklist vs. WAF Allowlist

In termini categorici, i firewall per applicazioni web si distinguono per il loro funzionamento. Un WAF blocklist si basa su un modello di sicurezza negativo, mentre un WAF allowlist segue un modello di sicurezza positivo:

• I WAF Blocklist sono progettati per bloccare determinati endpoint, o tipi di traffico, e consentire tutti gli altri.
• I WAF Allowlist funzionano in modo inverso rispetto ai WAF blocklist, bloccando tutto il traffico per impostazione predefinita e consentendo il passaggio solo del traffico esplicitamente approvato.

I WAF Allowlist sono considerati più sicuri perché riducono al minimo il rischio che il traffico dannoso eluda le difese a causa di regole del firewall non correttamente configurate. Detto questo, i WAF allowlist non funzionano bene nelle situazioni in cui non è possibile prevedere tutti i tipi di traffico o gli endpoint validi.

Visti i vantaggi e gli svantaggi di questi due WAF, non sorprende che molti WAF oggi operino con un modello di sicurezza ibrido "allowlist-blocklist".

WAF basati sulla rete, basati su host e basati sul cloud

I WAF possono essere classificati in base al loro modello di distribuzione: basato sulla rete, basato sull'host e basato sul cloud.

• Basato sulla rete: Un WAF basato sulla rete - sotto forma di un dispositivo hardware che deve essere concesso in licenza e mantenuto - opera sull'infrastruttura di rete (come uno switch) che si trova tra le applicazioni e Internet.
• WAF basato su host: I WAF basati su host sono collocati sui server in cui risiedono le applicazioni web. Poiché vengono distribuiti come parte del sistema operativo dell'applicazione, utilizzano il filtraggio a livello di sistema operativo per filtrare il traffico che passa alle applicazioni web, che possono scalare facilmente.
• WAF basato su cloud: Le applicazioni ospitate nel cloud possono utilizzare un WAF basato sul cloud, che si integra con i servizi di rete virtuale del cloud o con i bilanciatori di carico per filtrare il traffico web. Sebbene i WAF basati sul cloud non richiedano un grande team per la distribuzione o la manutenzione, in genere non offrono un contesto completo delle minacce.

Il modello di distribuzione WAF utilizzato da un'azienda dipende in parte dal luogo in cui risiedono le sue applicazioni web. Un WAF basato sul cloud, ad esempio, funziona solo quando le app vengono distribuite nel cloud. Se la manutenzione è un aspetto da tenere in considerazione nella scelta del modello di distribuzione, i WAF basati su rete e host di solito richiedono una maggiore configurazione e gestione, mentre i WAF basati su cloud richiedono poco più di una modifica del DNS o del proxy.

WAF vs. altri strumenti di sicurezza

I firewall per applicazioni web offrono funzionalità che li rendono unici rispetto ad altri firewall e soluzioni di sicurezza, ma non sono destinati a fungere da strumento di sicurezza onnicomprensivo. Infatti, i WAF non sono costruiti per respingere ogni tipo di attacco. Un firewall per applicazioni web è solo un componente della sicurezza ed è progettato per completare una suite integrata di strumenti per fornire una difesa olistica contro tutti i vettori di attacco immaginabili.

WAF vs. Firewall tradizionali

I firewall tradizionali sono progettati per definire un perimetro che separa le risorse che operano su una rete interna da quelle che si interfacciano direttamente con Internet. I WAF sono più sfumati, in quanto consentono alle applicazioni di interfacciarsi con Internet pur fornendo un livello di protezione.

WAF vs. Firewall di nuova generazione

Un firewall di nuova generazione (NGFW) è un tipo di firewall applicativo che combina le migliori caratteristiche di un firewall di rete tradizionale e di un WAF. Oltre a bloccare le richieste in arrivo ispezionando i pacchetti del livello di rete, l'NGFW dispone di funzionalità di ispezione che consentono di bloccare il traffico indesiderato sulla sua rete privata.

Sebbene le funzionalità di NGFW e WAF si sovrappongano, le differenze principali risiedono nei loro modelli di responsabilità fondamentali. I firewall di nuova generazione acquisiscono un maggior numero di contesti del traffico di rete e applicano criteri basati sull'utente, oltre ad aggiungere funzionalità essenziali, come l'antivirus e l'antimalware. Inoltre, aggiungendo un contesto alle politiche di sicurezza, i NGFW possono combinare i motori di intelligence sulle minacce per aiutare il processo decisionale.

Al contrario, i WAF si limitano al livello dell'applicazione. Sono specializzati nella prevenzione di attacchi web comuni, come un attacco XSS o DDoS, il che li rende vitali per la sicurezza delle applicazioni rivolte a Internet e del cloud.

Ma la differenza generale tra le due tecnologie è meglio compresa in termini di proxy. Utilizzato dai server, il WAF è quasi sempre un reverse proxy. Gli NGFW sono utilizzati e progettati per proteggere i clienti, il che li rende dei forward proxy nella maggior parte dei casi.

WAF vs. Sistemi di prevenzione delle intrusioni

Come un WAF, un sistema di prevenzione delle intrusioni (IPS) è progettato per identificare e bloccare il traffico di rete dannoso. Gli IPS, tuttavia, sono progettati per filtrare tutti i tipi di traffico, attraverso tutti i protocolli.

Detto questo, i WAF offrono in genere una maggiore sofisticazione nella loro capacità di rilevare attacchi complessi che operano attraverso i protocolli web. Le soluzioni IPS di solito si basano su firme di attacco generiche (tipi specifici di pacchetti o modelli di traffico) e non fanno un uso estensivo dei dati contestuali (modelli di traffico storici o modelli di comportamento degli utenti) per determinare quale traffico potrebbe essere dannoso.

Come distribuire un firewall per applicazioni web

Un WAF può essere distribuito in diversi modi, a seconda del luogo in cui sono distribuite le sue applicazioni, dei servizi necessari, della modalità di gestione e del livello di flessibilità architettonica e di prestazioni richieste.

Domande da considerare:

• Vuole gestire il WAF da solo o vuole esternalizzare la gestione?
• Un modello basato sul cloud è un'opzione migliore, o vuole il suo WAF in locale?

La modalità di distribuzione aiuterà a determinare il WAF più adatto a lei. Dovrà quindi decidere come integrare il WAF nello stack di rete della sua web app. Può scegliere tra tre approcci:

• Ponte trasparente: In modalità bridge trasparente, il WAF è vincolato alle stesse porte delle applicazioni web che protegge. Dal punto di vista delle applicazioni web e dei client che vi si collegano, non sembra esserci un firewall in atto, ma il port-binding funziona dietro le quinte per consentire al WAF di intercettare il traffico e decidere se lasciarlo passare.
• Proxy inverso trasparente: Con un approccio reverse proxy trasparente, le applicazioni web sono consapevoli dell'esistenza di un firewall, ma i clienti no. Il WAF accetta il traffico su porte e indirizzi che appaiono agli endpoint esterni come applicazioni, ma le applicazioni stesse operano su porte e indirizzi interni diversi. Il WAF ispeziona il traffico e decide se inoltrarlo a tali porte e indirizzi.
• Proxy inverso: Un reverse proxy significa che i clienti inviano le richieste a un WAF che opera su porte o indirizzi utilizzati per eseguire un servizio proxy, e poi inoltra le richieste alle applicazioni. Un reverse proxy è simile a un reverse proxy trasparente, con la differenza principale che i clienti sono consapevoli dell'esistenza di un server proxy quando è attivo un semplice reverse proxy.

Il modello di bridge trasparente è il più facile da implementare perché richiede il minor numero di legami di rete, indirizzi e configurazioni di porte. Tuttavia, non isola le app web dal WAF a livello di rete. I reverse proxy trasparenti e i reverse proxy offrono un maggiore isolamento e la possibilità di ispezionare il traffico prima che raggiunga le applicazioni.

Il passo successivo alla distribuzione di un WAF è la scelta del luogo in cui ospitarlo. Le opzioni principali sono:

• Si basa sul cloud come servizio completamente gestito: Il WAF viene eseguito nel cloud come servizio completamente gestito. Gli utenti devono semplicemente accenderlo e configurarlo, senza bisogno di alcuna gestione se non l'impostazione delle politiche di rete desiderate.
• Basato su cloud e autogestito: Il WAF è ospitato nel cloud, ma gli utenti sono responsabili della distribuzione, della configurazione e della gestione.
• Basato su cloud e auto-provisioning: Il WAF è ospitato nel cloud. Anche se gli utenti devono configurarlo e gestirlo, viene popolato automaticamente con regole di rete progettate per adattarsi all'ambiente cloud. Questo approccio offre una via di mezzo tra le opzioni WAF completamente gestite e quelle autogestite.
• WAF avanzato locale: Il WAF è ospitato da un'infrastruttura locale. L'installazione on-premise comporta un maggiore impegno e le aziende devono fornire l'infrastruttura host per il WAF. Il compromesso è un maggiore controllo sulle modalità di configurazione del WAF.
• WAF basati su host agent o agentless: Il WAF viene eseguito su server host o container di applicazioni. Gli utenti potrebbero dover distribuire agenti su ogni server per ospitare il servizio di firewall per applicazioni web, ma sono disponibili approcci agentless con regole firewall applicate.

Cosa considerare nella scelta di una soluzione per la sicurezza delle applicazioni web

Fattori da considerare quando si valutano le opzioni di firewall per applicazioni web:

• Quali modelli di distribuzione sono supportati? I migliori WAF supportano una serie di opzioni di distribuzione, in modo da poter operare in locale o nel cloud, utilizzando approcci completamente gestiti o autogestiti, a seconda delle opzioni più adatte all'azienda.
• Come fa il WAF a filtrare il traffico? Maggiore è il contesto che un WAF può inserire nella valutazione del traffico, migliore è la sua capacità di rilevare attacchi sofisticati che tendono a eludere i firewall generici.
• Quanto deve essere efficiente il WAF? Tutti i WAF devono funzionare in modo efficiente per evitare di privare le applicazioni delle risorse infrastrutturali di cui hanno bisogno per funzionare.

Oltre alle considerazioni di cui sopra, quando si sceglie una soluzione di sicurezza per le applicazioni web, è bene tenere conto della scalabilità. In che modo il WAF dovrà espandersi in futuro? Dovrà supportare applicazioni che operano su architetture ibride e multicloud? Dovrà supportare le API? Poiché le API diventano sempre più centrali per la comunicazione tra applicazioni e utenti, la capacità di proteggere le API e le applicazioni web sarà fondamentale.

Il futuro della sicurezza delle Web App e delle API (WAAS)

Le moderne applicazioni web costruite su architetture cloud-native sono più complesse che mai. I processi di sviluppo agili, l'integrazione e la distribuzione continue e gli ambienti in evoluzione creano nuove sfide per il WAF tradizionale. La prossima generazione di protezione delle applicazioni web e delle API è la sicurezza delle applicazioni web e delle API (WAAS).

WAAS include funzioni WAF tradizionali come il rilevamento automatico delle applicazioni web. Inoltre, fa un ulteriore passo avanti per scoprire tutti gli endpoint API all'interno del suo ambiente. Questo approccio semplifica la configurazione delle regole di sicurezza per proteggere le sue applicazioni web e API o aggiornare le applicazioni esistenti nel suo ambiente.

Rilevando e proteggendo automaticamente le sue applicazioni e API rivolte al web, riduce anche il rischio che un'applicazione venga configurata in modo errato o distribuita senza protezione.

Una soluzione WAAS efficace accetterà le specifiche API da vari formati, come Swagger e OpenAPI, e utilizzerà queste definizioni per vagliare le richieste e determinare la conformità alle specifiche. Alcuni endpoint possono richiedere una protezione minore e un accesso maggiore, mentre quelli che gestiscono dati sensibili richiederanno il massimo livello di protezione e controllo. Inoltre, una soluzione WAAS include la protezione DoS in dotazione.

Altre caratteristiche che dovrebbe considerare nella scelta di una soluzione di sicurezza delle applicazioni includono la capacità di schermare le richieste in base al luogo di origine. Vuole anche avere la possibilità di personalizzare il livello delle misure difensive applicate per ogni applicazione o API con regole personalizzate. Potrebbe anche voler impostare il livello di avviso e di segnalazione degli errori di ciascuna applicazione in base a una combinazione di gravità e rischio potenziale.

Proteggere le sue applicazioni per il futuro

Mentre il cloud computing consolida il suo posto nell'industria, le applicazioni cloud-native continuano a proliferare, aumentando sia in importanza che in complessità. La sicurezza deve avere la capacità di evolversi con la stessa rapidità del panorama dinamico delle minacce.

I professionisti della sicurezza informatica - ingegneri DevOps , architetti della sicurezza e team addetti alla sicurezza delle applicazioni - dovranno collaborare e attingere alle rispettive esperienze per costruire una strategia di sicurezza completa in grado di difendere l'azienda moderna.

Domande frequenti sul WAF