Il firewall per applicazioni web (WAF) è uno strumento di sicurezza utilizzato per proteggere l'accesso non autorizzato alle applicazioni web. È spesso un dispositivo di sicurezza che si trova sopra un server web e protegge da minacce provenienti da Internet o al di fuori del perimetro di rete.

A differenza del Layer 3 (Rete) e del Layer 4 (Trasporto) i firewall, che non sono in grado di identificare query malevole a livello di applicazione, WAF è un firewall di livello 7 che può vedere oltre i pacchetti crittografati. Utilizzare un WAF consente alle organizzazioni di difendere la propria presenza online contro numerosi attacchi web basati su Internet, inclusi gli attacchi di cross-site scripting (XSS), iniezioni SQL, e attacchi di cross-site request forgery (CSRF). Questi attacchi possono dare agli aggressori la possibilità di rubare informazioni critiche, prendere il controllo dei server web, o lanciare attacchi contro altri sistemi, che possono essere disastrosi per le applicazioni web.

Problemi

1. Micro-servizi nativi del cloud e WAF

I WAF sono meno efficaci all'interno delle applicazioni web native del cloud e negli ambienti cloud. Un motivo è che le regole di sicurezza a cui le applicazioni web tradizionali erano vincolate negli ambienti on-premises non sono applicabili all'interno del cloud.

Nei data center tradizionali, i firewall per applicazioni web sono tipicamente installati al confine della rete per proteggere le applicazioni che funzionano all'interno del perimetro della rete interna. Tuttavia, negli ambienti cloud, le applicazioni sono spesso distribuite in macchine virtuali o contenitori che sono flessibili e possono essere accesi e spenti in base alle esigenze. Ciò significa che gli approcci tradizionali basati sul perimetro alla sicurezza possono essere meno efficaci negli ambienti cloud, dove le applicazioni possono trovarsi ovunque nella rete e sono più difficili da monitorare e controllare.

Un'altra sfida con le applicazioni web native del cloud è che sono spesso più distribuite e complesse delle applicazioni web tradizionali. Le applicazioni native del cloud sono tipicamente composte da micro-servizi che comunicano tra loro tramite API e possono utilizzare più archivi di dati e servizi di terze parti. Questo può rendere più difficile identificare e mitigare i rischi per la sicurezza, poiché gli attacchi possono verificarsi in qualsiasi punto dell'architettura dell'applicazione.

2. Sfide WAF e API

API (interfacce di programmazione delle applicazioni) sono i principali metodi di connettività tra micro-servizi e sono anche utilizzati per abilitare la comunicazione tra servizi e applicazioni esterne. Le API utilizzano protocolli di comunicazione e modelli di traffico diversi rispetto alle tradizionali applicazioni web, il che rende più difficile per i WAF identificare e proteggere accuratamente il traffico API. Questo può portare a falsi positivi o falsi negativi, indebolire la sicurezza, o bloccare il traffico legittimo inutilmente.

Una delle sfide con il traffico API è che può utilizzare protocolli diversi come HTTP, HTTPS, e Web-Sockets, che possono contenere diversi tipi di payload e intestazioni che rendono difficile per il WAF identificare accuratamente il traffico. Per esempio, alcune API possono utilizzare payload binari o crittografia, che è difficile per i WAF interpretare e analizzare.

Un'altra sfida è che le API possono avere modelli di traffico diversi rispetto alle tradizionali applicazioni web. Le API hanno tipicamente un alto volume di traffico con molte richieste al secondo, rendendo difficile per il WAF tenere il passo con il ritmo del traffico. Inoltre, rispetto alle applicazioni web, le API spesso hanno modelli di traffico più prevedibili e coerenti, rendendo più facile per gli attaccanti identificare vulnerabilità e lanciare attacchi.

Recentemente, un gruppo di ricerca sulla sicurezza ha pubblicato un nuovo metodo per bypassare più firewall per applicazioni web, inclusa Palo Alto, F5, Amazon Web Services, Cloudflare, e Imperva. I fornitori specificati hanno riconosciuto (secondo i ricercatori) la divulgazione e hanno apportato modifiche ai loro prodotti’ processi di ispezione SQL per supportare la sintassi JSON.

Soluzioni

1. Anomalie specificate API

Per superare le sfide menzionate sopra, un WAF dovrebbe essere progettato specificamente per gestire il traffico API. Questo può includere l'identificazione e la protezione del traffico API utilizzando una varietà di tecniche, inclusa l'analisi basata su firme o algoritmi di apprendimento automatico che possono rilevare anomalie nei modelli di traffico. Un WAF potrebbe anche dover integrarsi con altri strumenti di sicurezza come i gateway API per fornire una soluzione di sicurezza più completa.

Complessivamente, garantire la sicurezza del traffico API con un WAF richiede un approccio diverso rispetto alla sicurezza tradizionale delle applicazioni web. Un WAF deve essere progettato specificamente per gestire protocolli di comunicazione e modelli di traffico specifici per API per identificare e difendersi accuratamente dalle minacce alla sicurezza.

2. WAF integrati

Per affrontare queste sfide, un WAF dovrebbe essere costruito specificamente per le applicazioni web cloud-native. Questo può comportare il deploy di un WAF come parte dell'architettura della tua applicazione piuttosto che come soluzione basata sul perimetro. Inoltre, I WAF potrebbero dover integrarsi con altri strumenti di sicurezza cloud-native come piattaforme di sicurezza per container e gateway API per fornire una soluzione di sicurezza più completa.

I WAF possono comunque svolgere un ruolo importante nella protezione delle applicazioni web cloud-native, ma potrebbero dover essere adattati e potenziati per affrontare le sfide di sicurezza uniche degli ambienti cloud-native.

3. WAF e difesa in profondità

Un WAF dovrebbe essere considerato uno strato di un approccio di sicurezza multilivello, insieme ad altri strumenti di sicurezza come sistemi di rilevamento e prevenzione delle intrusioni, gateway API sicuri, protezione degli endpoint, firewall di rete, e controlli di accesso. Implementando più strati di controlli di sicurezza, le organizzazioni possono costruire una postura di sicurezza più robusta e difendersi meglio contro varie minacce.

Utilizzare un WAF come parte di una strategia di difesa in profondità può aiutare a prevenire una vasta gamma di attacchi alle applicazioni web e ridurre il rischio di violazioni dei dati e altri incidenti di sicurezza. Un WAF aiuta a fornire visibilità nel traffico delle applicazioni web, consentendo alle organizzazioni di monitorare e analizzare i modelli di traffico e identificare potenziali minacce alla sicurezza. Questo è particolarmente importante negli ambienti cloud dove le applicazioni web e le API possono diventare più distribuite e complesse.

Integrando i WAF con altri strumenti di sicurezza come i gateway API e i sistemi di gestione delle informazioni e degli eventi di sicurezza (SIEM) sistemi, le organizzazioni possono creare una soluzione di sicurezza più completa che offre maggiore visibilità e controllo sul loro ambiente cloud.

4. WAF distribuiti

Un WAF distribuito (firewall per applicazioni web) è la risposta alla sfida di proteggere micro-servizi distribuiti basati su cloud. Per le applicazioni monolitiche tradizionali, un singolo WAF può essere distribuito al confine della rete per proteggere l'intera applicazione. Tuttavia, negli ambienti di micro-servizi distribuiti basati su cloud, le applicazioni sono suddivise in componenti più piccoli, componenti modulari, ognuno con la propria API e requisiti di sicurezza. Questo può rendere difficile proteggere tutti i componenti con un singolo WAF, poiché ogni componente può richiedere politiche e configurazioni di sicurezza diverse.

Un WAF distribuito è stato sviluppato per affrontare questa sfida fornendo una soluzione di sicurezza distribuita e scalabile per micro-servizi basati su cloud. Un WAF distribuito consiste in più istanze di un WAF distribuite in diverse posizioni come centri dati e regioni cloud. Ogni istanza di WAF può essere configurata con la propria politica di sicurezza e configurazione adattata alle esigenze specifiche dei micro-servizi che protegge.

Distribuendo più istanze di WAF in diverse posizioni, le organizzazioni possono implementare una soluzione di sicurezza più completa e scalabile che può adattarsi alle esigenze in cambiamento degli ambienti di micro-servizi. Un WAF distribuito può anche migliorare la resilienza e la disponibilità, poiché può continuare a funzionare anche se una o più istanze falliscono.

Inoltre, i WAF distribuiti possono essere integrati con altri strumenti di sicurezza come gateway API e sistemi SIEM per fornire una soluzione di sicurezza più completa per micro-servizi basati su cloud. Per esempio, un gateway API può essere utilizzato per gestire l'accesso ai micro-servizi, un WAF distribuito può essere utilizzato per proteggere contro attacchi alle applicazioni web, e la visibilità nel traffico delle applicazioni web può essere raggiunta.

Conclusione

Firewall per Applicazioni Web (WAF) svolgono un ruolo significativo nella difesa delle applicazioni web dagli attacchi provenienti da internet, inclusi gli attacchi di SQL injection, cross-site scripting (XSS), e attacchi di cross-site request forgery (CSRF). Tuttavia, le applicazioni web e le API cloud-native pongono sfide particolari per i WAF a causa della loro natura complessa e distribuita, rendendo difficile per i WAF rilevare e mitigare correttamente i rischi di sicurezza.

Per affrontare queste sfide, i WAF devono essere progettati specificamente per le applicazioni web cloud-native e integrati con altri strumenti di sicurezza cloud-native, inclusi i sistemi di sicurezza per container e i gateway API. Inoltre, i WAF dovrebbero essere considerati come uno strato di un approccio di sicurezza multilivello, inclusi altri strumenti di sicurezza come i sistemi di rilevamento e prevenzione delle intrusioni, gateway API sicuri, protezione degli endpoint, firewall di rete, e controlli di accesso.

Integrando i WAF con altri strumenti di sicurezza e implementando più livelli di controlli di sicurezza, le organizzazioni possono creare una soluzione di sicurezza più completa che offre maggiore visibilità e controllo sul loro ambiente cloud.