Approfondimenti sul mercato dei firewall delle applicazioni web

L’utilizzo di un firewall delle applicazioni web (WAF) è uno standard obbligatorio per la sicurezza delle risorse web o è un livello di protezione importante ma facoltativo? Come scegliere e implementare un WAF? Qual è il futuro di questo mercato? Continua a leggere per scoprire le risposte.

Cosa fa un firewall delle applicazioni web?

È difficile immaginare un’azienda moderna che non abbia bisogno di un WAF. Questo strumento è ridondante solo se non ci sono risorse digitali da proteggere. Aiuta a salvaguardare le risorse web se sono la colonna vertebrale dell’attività aziendale, se vengono utilizzate per archiviare dati critici di dipendenti e clienti o se sono collegate all’infrastruttura dell’organizzazione e potrebbero diventare un punto di ingresso per gli intrusi.

Un firewall delle applicazioni web protegge anche le soluzioni personalizzate utilizzate dalle aziende. Questi sistemi spesso contengono codice vulnerabile e possono rappresentare una minaccia per la sicurezza aziendale. Un WAF fornisce difese al livello 7 del modello OSI (Open Systems Interconnect). Analizza le richieste che i firewall tradizionali o i firewall di nuova generazione (NGFW) non possono controllare. Oltre a proteggere il sito web aziendale, protegge i server delle applicazioni web, sovraintende alle integrazioni con servizi di terze parti e gestisce le minacce non correlate alle vulnerabilità, come gli attacchi DDoS.

Ci sono due differenze fondamentali tra un WAF e altri firewall: funzionali e architettoniche. Le caratteristiche funzionali includono la capacità di analizzare formati specializzati all’interno di HTTP (ad esempio JSON), che è qualcosa che NGFW e altri sistemi non possono fare. Le caratteristiche architettoniche si riferiscono al modo in cui viene implementato all’interno di una rete. Un firewall delle applicazioni web funziona principalmente come un proxy inverso, trattando solo le applicazioni interne.

In senso figurato, un WAF è un prodotto che impedisce a un sito web vulnerabile dall’essere violato. In termini di posizione, NGFW è installato al gateway, mentre WAF è installato dove risiede il sito web.

NGFW, un firewall regolare e un sistema di prevenzione delle intrusioni classico (IPS) sono dispositivi multiprotocollo, mentre un WAF è limitato ai protocolli delle applicazioni web che utilizzano HTTP come trasporto. Una tale soluzione mostra una maggiore efficienza in una nicchia specifica a causa dell’analisi più approfondita dei protocolli specializzati. È importante notare che un WAF “conosce” esattamente le applicazioni che sta proteggendo. Può applicare diverse politiche di sicurezza a seconda dell’oggetto del traffico.

È possibile utilizzare una soluzione esternalizzata in questo settore? Questo è un approccio fattibile, ma è estremamente difficile da mettere in pratica. In questo caso, l’azienda diventa essenzialmente lo sviluppatore della propria soluzione e deve gestire non solo lo sviluppo, ma anche l’intero ciclo di supporto tecnico.

Un altro aspetto importante è la scelta tra una variante di implementazione on-premises e un servizio cloud. Questo è in larga misura una questione di fiducia nel fornitore di servizi cloud. Il mercato della sicurezza delle applicazioni web sta attivamente migrando verso il cloud, il che significa che sempre più clienti considerano i rischi di tali servizi accettabili.

È anche opportuno toccare i pro e i contro dei kit di strumenti WAF software e hardware pronti all’uso rispetto ai loro omologhi basati solo sul software. Le soluzioni ottimizzate per hardware specifici possono funzionare più efficientemente dei sistemi universali che eseguono qualsiasi attrezzatura. L’altro lato della medaglia si riduce al probabile desiderio del cliente di lavorare con piattaforme hardware già in uso.

La questione ha anche aspetti organizzativi e burocratici. A volte è più facile per un dipartimento di sicurezza informatica acquistare un pacchetto hardware e software completo piuttosto che giustificare due voci di budget separate.

Caratteristiche WAF

Ogni WAF ha un set di moduli di protezione che tutti i traffici passano. La sicurezza inizia generalmente con i livelli di base – funzionalità di protezione DDoS e analisi delle firme. La capacità di sviluppare le proprie politiche di sicurezza e un sottosistema di apprendimento matematico è un livello superiore. Un blocco di integrazione con sistemi di terze parti di solito appare in una delle fasi finali di distribuzione.

Un altro componente importante di un WAF è uno scanner passivo o attivo che può rilevare vulnerabilità in base alle risposte del server e ai sondaggi degli endpoint. Alcuni firewall possono rilevare attività rogue sul lato del browser.

Per quanto riguarda le tecnologie di rilevamento degli attacchi, ci sono due compiti fondamentalmente diversi: convalida (controllo dei dati nelle richieste specifiche) e analisi del comportamento. Ognuno di questi modelli applica il proprio set di algoritmi.

Se guardiamo all’operazione WAF in termini di fasi di elaborazione delle richieste, c’è una serie di parser, moduli di decodifica (da non confondere con la decrittazione) e un set di regole di blocco responsabili del verdetto finale. Un altro livello comprende le politiche di sicurezza sviluppate dagli esseri umani o basate su algoritmi di apprendimento automatico.

Per quanto riguarda l’interazione di un firewall delle applicazioni web con i contenitori, la sola differenza può essere nelle peculiarità di distribuzione, ma i principi di base sono sempre gli stessi. In un ambiente containerizzato, il WAF può agire come un gateway IP filtrando tutte le richieste che fluiscono nell’ecosistema di virtualizzazione. Inoltre, può operare come un contenitore stesso e integrarsi con un bus di dati.

È possibile fornire un WAF come servizio software (SaaS)? In sostanza, il principio SaaS concede l’accesso completo a un’applicazione e alla sua amministrazione nel cloud. Questo approccio non offre vantaggi significativi, ma è il primo passo per spostare un’infrastruttura IT nel cloud. Se l’azienda delega anche il controllo del sistema a un terzo, questo è più simile al paradigma del fornitore di servizi di sicurezza gestita (MSSP), che può offrire vantaggi significativi.

Un test di penetrazione che il cliente può condurre nella fase del progetto pilota aiuterà a valutare l’efficacia del WAF. Inoltre, i venditori e gli integratori di sistemi possono fornire al cliente rapporti regolari sulle prestazioni del firewall che riflettono i risultati dell’analisi del traffico.

Come distribuire un firewall delle applicazioni web

Le principali fasi di distribuzione del WAF sono le seguenti:

•       Creazione di un progetto pilota.
•       Selezionare il fornitore.
•       Determinare l’architettura della soluzione.
•       Specificare le tecniche di backup.
•       Distribuire il complesso software o hardware.
•       Formare e motivare il personale all’uso del WAF.

In un mondo ideale, ci vogliono solo pochi minuti per integrare un servizio di monitoraggio WAF in una singola applicazione. Tuttavia, la configurazione delle regole per bloccare le minacce richiederà più tempo. Ci sono anche aspetti aggiuntivi dell’implementazione, tra cui approvazioni, formazione del personale e altre questioni tecniche. Il periodo di distribuzione dipende anche dal metodo nonché dall’applicazione specifica e dai tipi di traffico da monitorare.

Un processo di distribuzione ben orchestrato aiuterà a minimizzare i falsi positivi. Test estensivi nella fase pre-produzione e dopo il lancio del sistema dovrebbero fare il trucco. Una parte importante di questa routine è “insegnare” la soluzione: uno specialista di sicurezza può correggere alcuni dei suoi verdetti durante i test. I team InfoSec dovrebbero studiare le statistiche generate dal WAF entro il primo mese di operazione per vedere se il sistema sta bloccando il traffico legittimo. Allo stesso tempo, gli esperti sottolineano che tutti gli strumenti WAF hanno una certa percentuale di falsi positivi.

Quando si tratta di integrazione del WAF con altri meccanismi di sicurezza, ecco le principali aree di questa attività:

•       Sistemi di gestione della sicurezza e degli eventi (SIEM) (WAF agisce come fornitore di dati).
•       Tipi diversi di sandbox.
•       Core antivirus.
•       Sistemi di prevenzione della perdita di dati (DLP).
•       Scanner di vulnerabilità.
•       Strumenti di sicurezza all’interno della piattaforma Kubernetes.
•       NGFW.

Tendenze e previsioni del mercato WAF

La popolarità di vari API web open-source è in aumento e gli analisti prevedono uno spostamento dell’attenzione delle soluzioni di sicurezza verso questi framework. Gartner ha addirittura una definizione per un tale prodotto – Protezione delle applicazioni web e API (WAAP).

La pandemia ha causato un aumento drammatico della dipendenza dal mondo online. Pertanto, l’importanza del WAF aumenterà e potrebbe diventare una delle principali condizioni per garantire la sicurezza di qualsiasi risorsa web. Probabilmente diventerà ancora più “vicino” alle applicazioni web e verrà integrato nel processo di sviluppo.

Per quanto riguarda le tendenze tecnologiche dell’evoluzione del WAF, gli esperti prevedono un coinvolgimento più attivo dell’intelligenza artificiale e dei sistemi di apprendimento automatico multilivello. Ciò porterà le capacità di rilevamento di varie minacce a un nuovo livello e l’uso di modelli pregenerati creati all’interno dell’azienda diventerà la norma. Inoltre, gli analisti notano l’implementazione crescente di meccanismi di filtro basati su fattori comportamentali.

Sul lato della distribuzione, l’integrazione del WAF con i servizi cloud continuerà. Una tendenza all’uso di sistemi di sicurezza aperti influenzerà anche questo settore. Sia i clienti che i fornitori trarranno vantaggio da questa risposta naturale alle attuali richieste del mercato.

Riepilogo

Il firewall delle applicazioni web è un elemento chiave della sicurezza web odierna. Il numero crescente di compiti critici eseguiti tramite interfacce web e API aperte è una potente forza trainante in questo settore. Un cliente può scegliere tra la distribuzione di un WAF all’interno della propria infrastruttura, l’integrazione di sistemi hardware e software pronti all’uso in essa o l’uso di servizi cloud.

Un’altra tendenza che cambia il gioco è l’integrazione del WAF con altri sistemi di sicurezza informatica e flussi di lavoro di sviluppo del sito web. Ciò lo rende un componente inalienabile di un processo DevSecOps efficace.