¿Qué son las aplicaciones WEB y la protección de API (WAAP)? #
La protección de API y aplicaciones web (WAAP) es una evolución progresiva de la RELIANOID Producto de seguridad: el firewall de aplicaciones web (WAF). El WAAP ofrece las mismas funciones que un WAF tradicional, pero también protege las API además de las aplicaciones web.
Con la evolución de los servicios en la nube y el SaaS (Software como Servicio), la necesidad de integrar diversos entornos ha impulsado el uso de APIs, brindando la mejor solución para orquestar todos esos servicios. Esta funcionalidad hace que el WAAP sea más avanzado que el WAF, ya que se puede implementar un WAAP en el borde de una red que contenga servicios públicos o configurarlo en el mismo entorno con un ADC.
Entonces, es aquí donde el RELIANOID ADC y WAAP se unen para trabajar juntos y ofrecer protección para aplicaciones web y API antes de la entrega de una aplicación.
¿Por qué se requiere un WAAP? #
Dado que se puede acceder fácilmente a las API y a las aplicaciones web en Internet, la seguridad es una gran preocupación porque se exponen datos confidenciales. Un atacante puede provocar una vulneración de seguridad para obtener información privada. Por lo tanto, un WAAP es necesario, ya que la seguridad web tradicional no se encarga de las siguientes tareas:
La coincidencia de firmas no es suficiente para la seguridad de la aplicación:
El contenido de las aplicaciones web y las API cambia constantemente, por lo que es difícil obtener la firma del contenido. Dado que el contenido publicado en la web y las API cambian constantemente, el sistema requiere un aprendizaje constante.
Bloquear el tráfico según la IP de origen o el puerto de destino no es suficiente:
Los firewalls tradicionales bloquean las direcciones IP y los puertos, pero esta información suele estar cifrada. Es fundamental contar con un mecanismo para descifrar, analizar el contenido y volver a cifrar. Nosotros utilizamos el mecanismo TLS, por lo que el WAAP puede ofrecer un mayor nivel de seguridad.
El tráfico HTTP(S) es actualmente el más utilizado y puede ofrecer complejidad en el análisis: La mayor parte del tráfico web se dirige hacia el protocolo de capa 7 HTTP(S) del modelo OSI, ofreciendo complejidad en el comportamiento del protocolo HTTP definido en los años 80 hasta los protocolos modernos utilizados en la actualidad. Esto obliga a la solución de seguridad no solo a utilizar mecanismos IPS o IDS sino también a ser capaz de proteger contra ataques a la capa superior del modelo OSI, protocolos de capa 7 como HTTP y HTTPS.
¿Qué características puede ofrecer un WAAP que un WAF tradicional no puede? #
El WAAP ofrece enormes capacidades que un WAF tradicional no puede ofrecer:
Automatización y aprendizaje: El WAAP es un elemento dinámico integrado en un ADC. Esta función de seguridad recibe información y aprende constantemente mediante mecanismos como la detección de ataques DoS, la detección de bots, la protección de protocolos y la aplicación de políticas, entre otros. El motor WAAP requiere un canal para recibir datos de entrada, donde recibe información nueva de forma continua y la compara con los datos procesados e inspeccionados.
API y microservicios seguros: Diariamente, los ingenieros crean API y microservicios para ofrecer servicios públicos. El WAAP debe proteger estos puntos finales, teniendo en cuenta la información expuesta.
Cómo funciona Relianoid como WAAP #
RELIANOID ADC incluye un módulo de Ciberseguridad llamado IPDS (Sistema de prevención y detección de intrusiones). Este módulo ofrece capacidades WAAP, automatización y aprendizaje para WEB y API. Relianoid incluye un paquete llamado relianoid-ipds, y este paquete se actualiza diariamente. Este paquete tiene más de 4 mecanismos para aplicaciones web y protección de API. Sus propiedades son:
Reglas de la lista de bloqueo #
Las listas de bloqueo son parte de un mecanismo de seguridad para agrupar el tráfico en función de la geolocalización y diferentes fuentes, como se describe a continuación:
geo_*:Estas listas de bloqueo incluyen direcciones IP y redes basadas en países.
Nodos TOR:Esta lista de bloqueo se obtiene del proyecto TOR. Aquí podemos encontrar las IP de origen donde se publica el tráfico TOR en Internet.
Explotación web:Los miembros de la lista de fuentes han sido identificados como explotadores web. Estos atacantes intentaron ejecutar múltiples solicitudes contra servidores web para encontrar vulnerabilidades.
software espía:Las fuentes incluidas son una lista de rangos de direcciones IP de software espía y adware malicioso.
apoderado: contiene TOR y otros servidores proxy abiertos.
remitente de correo basura:La fuente incluida es una lista basada en IP detectadas que envían spam.
malos_pares:La fuente incluida es una lista basada en informes de malas acciones en p2p.
CI Ejército:Las fuentes incluidas aquí son proporcionadas por el proyecto CIArmy. Este proyecto proporciona la fuente de datos obtenida mediante el análisis del tráfico basado en un grupo de centinelas en Internet.
bogón:La fuente incluida aquí afirma provenir de un área del espacio de direcciones IP reservada pero aún no asignada ni delegada por Internet.
Reglas del DOS #
La mitigación de denegación de servicio es un conjunto de reglas destinadas a proteger o reducir el impacto de los ataques a un servicio que lo vuelven inutilizable debido a una cantidad abrumadora de solicitudes ilegítimas. RELIANOID El motor IPDS incluye varias técnicas para realizar protección DoS en aplicaciones web y API.
Estas reglas se describen a continuación:
Indicadores TCP falsos:
En cualquier tráfico TCP, los paquetes TCP siguen un flujo conocido. Un ataque TCP FALSO es aquel en el que el flujo TCP no sigue una ruta TCP esperada. Por ejemplo, el paquete puede seguir una ruta SYN-FIN inesperada, en lugar de una ruta SYN-ACK. RELIANOID Monitorea y controla el flujo TCP. Si se recibe un paquete inesperado, RELIANOID lo dejaré caer
Límite total de conexión por IP de origen:
RELIANOID aplica un límite de origen basado en la cantidad de solicitudes por segundo y cuando se alcanza el límite por IP de origen, RELIANOID Descartará los paquetes entrantes.
Limitar el número de paquetes RST por segundo:
Este es un ataque DoS común en el que el atacante intenta abrir un socket TCP y, una vez que recibe el paquete de respuesta TCP, el atacante envía un paquete TCP RST al host.
Límite de conexión por segundo:
RELIANOID aplica un límite de destino basado en la cantidad de solicitudes por segundo. Si se alcanza el límite por IP de destino, RELIANOID Descartará los paquetes entrantes.
Reglas de la RBL #
Una lista negra en tiempo real es un sistema de seguridad que utilizan los servidores de correo para protegerse de los spammers. Si el servidor de correo recibe una conexión, captura la IP de origen e intenta resolverla con servidores DNS conocidos. Si la resolución DNS funciona, la dirección IP de origen se detectará como un atacante.
RELIANOID Ha desarrollado este mecanismo de seguridad, lo que permite capturar cualquier IP de origen en un flujo determinado e intentar resolver la IP de origen con una zona DNS. Para ello, se ha seleccionado una colección de algunos de los dominios RBL más robustos.
Reglas WAF #
RELIANOID Inspecciona el tráfico HTTP(S) de dos maneras:
1 – Utilizar reglas predefinidas basadas en conjuntos de reglas de OWASP (Open Web Application Security Project). Los conjuntos de reglas incluidos en RELIANOID 6 se basan en la versión 4 del conjunto de reglas básicas de OWASP. Estas reglas se actualizan a diario. Si se produce algún cambio en el conjunto de reglas de OWASP, la próxima actualización del paquete IPDS incluirá los cambios.
2 – Utilizando reglas obtenidas de proveedores externos o reglas personalizadas diseñadas por usted, nuestro cliente. RELIANOID utiliza el soporte del motor ModSecurity para conjuntos de reglas de terceros o para crear sus propias reglas basadas en el lenguaje HTTP del disector.
Por defecto, RELIANOID IPDS incluye paquetes de seguridad contra los siguientes ataques:
Inyección de SQL (SQLi)
Secuencias de comandos entre sitios (XSS)
Inclusión de archivos locales (LFI)
Inclusión de archivos remotos (RFI)
Inyección de código PHP/Java/Ruby/Perl
Neurosis de guerra
Inyección de shell de Unix
Fijación de Sesión
Detección de bots, escáneres y secuencias de comandos
Los conjuntos de reglas que se encuentran en RELIANOID 6 Incluye:
SOLICITUD-905-EXCEPCIONES-COMUNES
Estas reglas se utilizan como mecanismos de excepción para eliminar falsos positivos comunes que puedan encontrarse.
SOLICITUD-911-MÉTODO-EJECUCIÓN
Métodos de solicitud permitidos.
SOLICITUD-913-ESCÁNER-DETECCIÓN
Comprueba si hay escáneres como rastreadores, bots, scripts, etc.
SOLICITUD-920-PROTOCOLO-EJECUCIÓN
Valida solicitudes HTTP eliminando una gran cantidad de ataques a la capa de aplicación.
SOLICITUD-921-PROTOCOLO-ATAQUE
Comprueba si hay ataques al protocolo.
SOLICITUD-930-APLICACION-ATAQUE-LFI
Comprueba si hay ataques a aplicaciones mediante la inclusión de archivos locales (LFI).
SOLICITUD-931-APLICACIÓN-ATAQUE-RFI
Comprueba si hay ataques a aplicaciones mediante inclusión remota de archivos (RFI).
SOLICITUD-932-APLICACION-ATAQUE-RCE
Comprueba si hay ataques a aplicaciones mediante ejecución remota de código (RCE).
SOLICITUD-933-APLICACIÓN-ATAQUE-PHP
Comprueba si hay ataques a aplicaciones mediante PHP.
SOLICITUD-934-APLICACION-ATAQUE-GENÉRICO
Compruebe si hay ataques a aplicaciones utilizando Node.js, Ruby y Perl.
SOLICITUD-941-APLICACION-ATAQUE-XSS
Comprueba si hay ataques a aplicaciones mediante XSS.
SOLICITUD-942-APLICACIÓN-ATAQUE-SQLI
Comprueba si hay ataques a aplicaciones mediante inyección SQL.
SOLICITUD-943-APLICACIÓN-ATAQUE-SESIÓN-FIJACIÓN
Comprueba si hay ataques a aplicaciones mediante la fijación de sesiones.
SOLICITUD-944-APLICACION-ATAQUE-JAVA.
Comprueba si hay ataques a aplicaciones mediante Java.
El motor IPDS es un mecanismo de inteligencia de amenazas para aplicaciones web y protección de API. Se actualiza diariamente a través del paquete relianoid-ipds, que funciona como el núcleo del motor y lo mantiene actualizado con RELIANOID reglas y las personalizadas por el cliente.
Este conjunto de reglas básicas de relianoid-ipds utiliza varios mecanismos para crear estas reglas de seguridad, como cruzar datos de terceros, analizar registros de Sentinel o realizar análisis de big data en comparación con información privada. Si identifica que el RELIANOID El conjunto de reglas principales de IPDS incluye algunas IP de origen o reglas como falsos positivos. Contáctenos y estaremos encantados de solucionar el problema lo antes posible.
