I firewall esistono da anni, ma i Web Application Firewall sono molto più recenti e, nonostante il nome, molto diversi!
Innanzitutto, cos’è un WAF? Cosa fa e perché ne ho bisogno (o meno)?
Semplicemente, un normale firewall aprirà le porte per consentire al traffico proveniente dal mondo esterno l’accesso al tuo sito web/applicazione web.
Un WAF controllerà il traffico che passa attraverso queste porte aperte per assicurarsi che non sia qualcuno a violare il tuo sito/app.
L’attacco
L’hacking a livello di applicazioni web è oggi una forma di attacco molto comune. Infatti i 10 principali tipi di attacco al web sono elencati (e aggiornati) su questo sito indipendente chiamato OWASP qui .
Tutti i WAF degni di nota proteggono da queste minacce.
In genere un server di applicazioni web fa qualcosa! Magari accede a dei dati utili e li presenta all’utente in modo simpatico e intelligente. Qualunque cosa…
Forse è abbastanza ovvio, ma i dati tendono a essere archiviati in database su server di database che tendono a essere più profondi nella rete e quindi più difficili da attaccare. È più facile attaccare un’applicazione web pubblica che si sa avere accesso ai dati interni desiderati.
L “installazione di un firewall applicativo può aiutarti a proteggere le tue applicazioni web e soprattutto i dati a cui l” applicazione ha accesso.
Infatti, non solo possono aiutare a prevenire un attacco, ma molti possono anche aiutare a ridurre la perdita di dati nel caso in cui un attacco abbia successo. (vedi qui per esempio)
Con l “incombere del GDPR, un WAF è ormai una parte essenziale dell” architettura della sicurezza web. (è interessante notare che è già da tempo essenziale per il PCIDSS).
Quindi non c’è niente di strano a prenderne uno, giusto?… No no no
Compriamo il WAF più grande e più cattivo su cui possiamo mettere le mani! Non è una buona idea.
Molte sono costose, complesse e un “implementazione sbagliata può compromettere l” applicazione.
In effetti, dopo aver parlato con alcuni consulenti di sicurezza sui leader di mercato, ritengono che molti siano configurati in modo non bloccante, ovvero non bloccano un attacco ma si limitano a osservarlo e dire che ne hai uno!!! Forse questo è stato usato per spuntare le caselle giuste prima?
Perché non sono bloccanti? Semplicemente perché sono troppo complessi e molte organizzazioni non hanno le competenze per configurarli. Inoltre, sono a cavallo tra più in quanto tendono a collocarsi tra i team delle applicazioni e delle reti.
A volte le hanno configurate correttamente all “inizio, poi una modifica all” applicazione si rompe, quindi vanno nel panico e non bloccano o aggiungono un sacco di regole alla white list. alla white list in modo che sia utile come una teiera di cioccolato.
Lezione: non comprare un “auto da F1 per andare a fare la spesa (a meno che tu non sappia guidare un” auto da F1). Probabilmente la farai schiantare o non la userai.
La nostra proposta – Non comprare il nostro WAF
soprattutto se hai bisogno del prodotto più configurabile del mercato.
Non acquistare il nostro WAF se sei una grande azienda con grandi budget e un team WAF. (BTW se sei un’azienda controlla che il tuo WAF sia impostato su non-blocking 😉 ) In caso contrario, chiamaci 🙂
Ma – Prendi in considerazione il nostro WAF se hai bisogno di una protezione leader del settore in un formato formato comprensibile, configurabile, gestibile e manutenibile.
Prendi in considerazione il nostro WAF se hai applicazioni web disponibili all “esterno che hanno accesso ai dati dei clienti e se hai l” obbligo di proteggere questi dati ai sensi del GDPR.
Se non ne hai bisogno, non comprarlo, ma se ne hai bisogno, compra qualcosa che svolga il lavoro richiesto a un livello gestibile con il tempo e le competenze organizzative disponibili.
Avanti Impara a conoscere il WAF
Per saperne di più sul WAF abbiamo creato un ambiente di test WAF completo che comprende un server app, un WAF e uno strumento di simulazione degli attacchi.
Questo test drive può essere effettuato online in pochi minuti: potrai quindi giocare e, se ti senti coraggioso, anche indirizzarlo verso il tuo sito pubblico per testarlo.
Fai un giro di prova qui
Scopri di più sul nostro WAF jetNEXUS WAF
