A pesar de los grandes esfuerzos colectivos que ha realizado la industria tecnológica para reforzar las prácticas de desarrollo de aplicaciones seguras, la mitad de estas siguen siendo vulnerables a los ataques.

Violaciones de datos confirmadas

El informe Verizon 2018 Data Breach Investigations Report revela que en el año 2017 hubo más de 2.200 violaciones de datos confirmadas y dicha cantidad es solo la que se conoce hasta el momento.

A pesar de los esfuerzos de la industria tecnológica para reforzar las prácticas de desarrollo de aplicaciones seguras, la mitad de ellas es vulnerable a los ataques. Este hecho no resulta sorprendente, ya que el desarrollo de aplicaciones web seguras es notablemente difícil.

Cortafuegos de aplicaciones web

La buena noticia es que existen herramientas que pueden ayudarte a reforzar tus aplicaciones contra las infracciones, mitigando las vulnerabilidades y deteniendo los ataques: concretamente, los cortafuegos de aplicaciones web (WAF).

Un WAF inspecciona el tráfico de entrada y salida de las aplicaciones para identificar y bloquear escáneres, atacantes y bots, al tiempo que preserva y acelera las aplicaciones para su uso legítimo. Tanto si se despliega en las instalaciones, como si se aprovecha en la nube o se consume como servicio, la tecnología WAF puede ayudar a defender a tu organización contra los ataques a las aplicaciones web, que son el principal punto de entrada de las filtraciones de datos.

¿Necesitas un WAF? Hazte estas preguntas antes

• ¿Tienes una propiedad web de cara al público? 
• ¿Tienes un sitio web muy sensible? 
• ¿Tratas con bots y tráfico automatizado no deseado? 
• ¿Tienes obligaciones de cumplimiento? 
• ¿Tienes pilas de software que son difíciles de actualizar? 
• ¿Aprovechas aplicaciones web heredadas? 
• ¿Necesitas un respiro ante los ataques de día cero? 
• ¿Deseas reducir el tiempo de desarrollo en el mercado? 

Si respondiste «sí» a alguna de estas preguntas, deberías considerar la tecnología WAF cuando decidas planificar cómo proteger tus aplicaciones, datos y negocio de los ataques a las aplicaciones web y las violaciones de datos.

Como con cualquier herramienta de calidad, existen muchas opciones, y diferentes soluciones funcionan mejor para situaciones diversas. Sigue leyendo para saber cuál es la mejor manera de elegir el modelo de despliegue de WAF adecuado para tu empresa.

Un WAF puede reducir los costes de la nube e impulsar la inteligencia empresarial. La implementación de un WAF frente a tu aplicación basada en la nube ahorrará dinero, facilitando la obtención de los datos que tu empresa necesita. 

¿Pueden las herramientas de Seguridad Inteligentes añadir un valor empresarial real? 

Puede ser difícil justificar el gasto en soluciones de seguridad. Sin embargo, todos sabemos que debemos tener medidas defensivas robustas para estar protegidos si nos atacan. Pero nunca se sabe si vamos a ser atacados, menos aún si ese cortafuegos o IPS será capaz de proteger eficazmente nuestra red. 

A menudo se considera la seguridad como un mal necesario sin un retorno de la inversión cuantificable, pero esto no tiene por qué ser siempre así.

En el mundo de la computación en la nube y el big data, las buenas soluciones de seguridad pueden ayudarte realmente a ahorrar dinero y esto lo harán ayudándote a optimizar tus aplicaciones web y propiedades digitales. Incluso, pueden llevar a cabo estas tareas al mismo tiempo que protegen tu negocio de los ataques. Las soluciones WAF inteligentes pueden filtrar tu tráfico, ayudándote a diferenciar mejor entre los bots automatizados y los humanos reales.

Dicho factor es importante, ya que debido a que cada vez más proveedores de servicios basados en la nube ofrecen un modelo de facturación de servicios, el tráfico de bots puede aumentar tus costes sin aportar ningún valor comercial.

1. Otros beneficios de los cortafuegos de aplicaciones web

Utilizar un WAF para eliminar el tráfico de bots, optimizará tus propiedades web para tu base de clientes prevista, reduciendo el tráfico inútil o malicioso. Dicho factor, sin duda alguna, supondrá un importante ahorro de costes. 

Por otro lado, al hacer uso de un WAF, podrás asegurarte de servir solamente a tus clientes reales y potenciales. Además, tus herramientas de seguridad proporcionarán un valor real ayudándote a controlar tus costes en la nube.

Incluso, tus datos de interacción con los clientes se perfeccionarán aún más, lo que dará lugar a una inteligencia empresarial más sólida. Cuando dispongas de datos sólidos y procesables en los que puedas confiar, sin duda alguna, estarás en mejor posición para comercializar eficazmente con tus clientes reales.

En el mundo de la computación en la nube y el Big Data, las buenas soluciones de seguridad pueden realmente ahorrarte dinero. Por este motivo, es importante que consideres las siguientes opciones:

WAF Avanzado en las instalaciones (Dispositivo virtual de Hardware) 

Añade un valor empresarial real más allá de actuar como una póliza de seguro en caso de infracción. Con la defensa proactiva contra bots combinada con la protección avanzada de aplicaciones, la inteligencia de amenazas y el aprendizaje automático, este tipo de WAF puede ayudarte a reducir los costes en la nube y perfeccionar tu inteligencia empresarial.

Basado en la nube + Autogestionado 

Este tipo de WAF te permite reducir costes, perfeccionar tu inteligencia empresarial y obtener un gran valor de negocio.

Con el mismo conjunto de funciones que un WAF local, un WAF basado en la nube y autogestionado te ofrece defensa proactiva contra bots, protección avanzada de aplicaciones, inteligencia de amenazas y aprendizaje automático.

2. ¿Deseas gestionar tu negocio o gestionar tus soluciones de seguridad? 

De acuerdo al informe F5 2018 State of Application Delivery (SOAD), el número de brechas se ha disparado en el último año. A mayor número de infracciones, menor es la confianza en la eficacia de las soluciones de seguridad para salvaguardar los datos confidenciales que las organizaciones procesan y conservan.

A menos que seas un CISO centrado exclusivamente en la protección de datos de tu empresa, no querrás pasar todo tu tiempo gestionando minucias de riesgos de seguridad de tus aplicaciones web. 

Elegir el WAF adecuado entre gran variedad de opciones

Es muy probable que quieras una solución de seguridad que funcione adecuadamente, para centrarte en el desarrollo e implementación de aplicaciones críticas para el negocio, manteniéndolas en línea y disponibles. Afortunadamente, una variedad de opciones de WAF te permiten lograr dicho objetivo. 

Más buenas noticias: según esa misma edición del informe SOAD, la implantación de un WAF tiene un fuerte efecto en el nivel de confianza de los encuestados en la protección de sus aplicaciones. De las organizaciones con una confianza muy baja en la protección de las aplicaciones locales, sólo un 6% utilizaba un WAF. 

Sin embargo, de las aplicaciones que tenían una confianza muy alta, el 37% utilizaba un WAF.5. Está claro que el despliegue de un WAF puede ayudar a proteger tus aplicaciones, pero diferentes métodos de despliegue son mejores para diferentes organizaciones.

Si buscas una solución de seguridad que funcione, actualmente puedes encontrar una gran variedad de opciones: 

Basado en la nube + Totalmente gestionado como servicio

Este servicio WAF puede proteger tus aplicaciones web y datos de las amenazas en constante evolución, a la vez que ofrece soporte 24×7. Incluso, el servicio WAF basado en la nube aumenta (o sustituye) tus propios recursos internos con un servicio que está totalmente configurado, desplegado y gestionado por expertos certificados en un Centro de Operaciones de Seguridad.

Basado en la nube + Autoaprovisionado

Este tipo de servicio WAF ofrece el mismo nivel de control y personalización que se suele conceder a las aplicaciones en un centro de datos privado, al mismo tiempo que permite una respuesta rápida a las amenazas dirigidas a las aplicaciones en la nube.

WAF avanzado in situ (Dispositivo virtual o de Hardware)

Ofrece niveles de control accesibles que pueden ayudarte a satisfacer tus necesidades de protección. Incluso, este servicio WAF puede proporcionarte visibilidad del tráfico de aplicaciones sin necesidad de una gestión a tiempo completo. 

3. ¿Deseas ir más allá del cumplimiento normativo básico? 

Muchas organizaciones se sienten cómodas con su postura de seguridad actual, pero podrían estar considerando la tecnología WAF como resultado de un mandato de cumplimiento o un hallazgo de auditoría. 

Varios WAF de nivel básico pueden ayudarte a marcar esa casilla y cumplir con los requisitos del mínimo común denominador. Sin embargo, las organizaciones que siguen esta ruta a menudo descubren que el despliegue de tales medidas básicas tiene un coste. 

Estos WAFs básicos ayudan a aprobar una auditoría. Sin embargo, los WAFs básicos no están construidos con la capacidad de gestión operativa necesaria y pueden causar muchos dolores de cabeza. Además, este tipo de WAFs no ofrecen el conjunto completo de funciones de un WAF robusto y por este motivo puede que no estés completamente protegido, a pesar del nivel de inversión que hayas realizado.

Elegir el WAF adecuado

Si necesitas un WAF para cumplir los requisitos y marcar una casilla de auditoría, ¿Por qué no obtener un WAF que proporcione más que un mínimo de protección?

Un WAF adecuado te permite cumplir con los requisitos y proporcionar la visibilidad adicional necesaria para evaluar adecuadamente tu riesgo real frente al percibido. Incluso, teniendo en cuenta que el 44% de las organizaciones informaron de al menos una brecha en 2017, los resultados pueden sorprenderte.

Un WAF apropiado te permitirá cumplir con los requisitos de la normativa y a la par te brindará la seguridad y visibilidad adicionales que necesita.

Comercio

Puede ayudarte a pasar una auditoría, pero no ofrecerá altos niveles de protección sin un nivel importante de conocimientos de configuración y mantenimiento continuo.

WAF Avanzado in SITU (Dispositivo virtual o de Hardware) 

Ofrece una mejor protección, proporciona un análisis detallado y garantiza que no sólo está pasando las auditorías, sino que realmente está aumentando la seguridad de tu empresa.

Basado en la nube + Autogestión

Elegir el WAF adecuado basado en la nube y que esté autogestionado ofrece una protección similar a la de su homólogo local, proporcionándote una sólida protección y potentes análisis que refuerzan tu postura de seguridad general.

4. ¿Deseas controlar el tráfico de Bots mientras te centras en tus clientes?

Si lograste elegir el WAF adecuado y cuentas con un desarrollo de aplicaciones seguro y te sientes confiado en la seguridad de tus aplicaciones, probablemente te enfrentes a otro problema: un gran porcentaje del tráfico web a tu sitio o servicio web probablemente provenga de programas autónomos o bots. 

Aunque este tráfico puede parecer legítimo a primera vista, los clics de los bots no son los mismos que los de los humanos. El tráfico no deseado y no rentable puede sesgar tus análisis y distorsionar tu inteligencia de mercado al inundar tus sistemas con datos espurios. 

Elegir el WAF adecuado con defensas proactivas contra bots

Actualmente, los atacantes han adoptado el uso de la automatización para analizar tus aplicaciones en busca de vulnerabilidades, atacar las credenciales de las cuentas o infligir ataques de denegación de servicio (DoS). 

Al desplegar un WAF avanzado con defensas proactivas contra bots, puede ayudarte a detener los ataques automatizados y aprovechar una combinación de técnicas basadas en el comportamiento y los retos para identificar y filtrar el tráfico de bots. 

Esta es una buena noticia para las empresas que luchan por gestionar la creciente cantidad de actividad de bots en sus propiedades digitales. La tecnología WAF adaptable puede ayudarte a descargar esta tarea, para que puedas centrarte en atender tus clientes reales. Además, la tecnología WAF adaptable puede mitigar los efectos del tráfico de bots no deseado. 

WAF Avanzado in situ (Dispositivo virtual o de Hardware)

Protección proactiva contra bots para defender tus aplicaciones de ataques DoS de capa 7, web scraping y ataques de fuerza bruta. Todo esto antes de que dañen tu sitio web. 

Basado en la nube + Autogestionado

Un WAF basado en la nube autogestionado, también puede ofrecer el mismo nivel de protección proactiva contra bots. Sin duda alguna, esto te ayudará a defender tus aplicaciones contra el scraping web, los ataques DoS de capa 7 y de fuerza bruta. 

Basado en la nube + Administrado completamente como servicio 

Este Servicio WAF protege tus aplicaciones web de las amenazas basadas en bots, al mismo tiempo que ofrece soporte 24×7. Al identificar los bots maliciosos que eluden los métodos de detección estándar, una solución basada en la nube también puede mitigar las amenazas antes de que causen daños. 

Próximos pasos, elegir el WAF adecuado para ti 

La pregunta principal que debes hacerte en el momento de Elegir el WAF adecuado es el nivel de implicación que deseas tener en tu despliegue y gestión. 

Un WAF no tiene que ser tan difícil de desplegar y gestionar, pero como cualquier herramienta, podrás aprovecharla al máximo si le dedicas más tiempo. Además, ciertos vectores de amenaza, especialmente los ataques dirigidos contra una empresa o propiedad digital específica, pueden ser difíciles de tratar. 

Por último, la visibilidad que se obtiene al desplegar un WAF avanzado puede ayudarte a recibir mayor información sobre su proceso de toma de decisiones; tanto para la seguridad de las aplicaciones como para los objetivos generales de la empresa, pero sólo si tu organización está preparada para aprovechar esos datos. 

Echemos un vistazo a las diferentes formas en que puede desplegar un WAF, junto con los pros y los contras asociados a cada uno de los modos. 

Modos de despliegue para elegir el WAF adecuado

Basado en la nube + totalmente gestionado como servicio, f5 silverline waf 

• Ventajas: elije esta opción si buscas la forma más rápida y sin complicaciones de tener WAF (y mitigación de DDoS) frente a tus aplicaciones. 
• Contras: aunque las ofertas de servicio totalmente gestionado pueden ponerlo en marcha más rápidamente que otros modelos, es posible que no tenga tanta flexibilidad arquitectónica. Algunas ofertas pueden no ofrecerte un control administrativo directo sobre tus políticas de seguridad. 

Basado en la nube + autogestionado: f5 advanced waf – f5 big-ip cloud edition 

• Ventajas: obtén toda la flexibilidad y la portabilidad de las políticas de seguridad de la nube, al mismo tiempo que conservas el control de la gestión del tráfico y la configuración de las políticas de seguridad. 
• Contras: al ser autogestionado, este modelo requiere cierta participación del equipo de seguridad y de los propietarios de las aplicaciones para desplegar y crear políticas de seguridad aplicables a tus aplicaciones. 

Basado en la nube + autoaprovisionado: F5 WAF para Azure Security Center – F5 Silverline WAF Express

• Ventajas: es una de las formas más sencillas de empezar a utilizar un WAF en la nube. El autoaprovisionamiento permite desplegar una política de seguridad que satisfaga tus necesidades de forma fácil y rentable. 
• Contras: dependiendo de la arquitectura de tu aplicación, este modelo puede no proporcionar tanta flexibilidad arquitectónica como otros modelos. 

WAF avanzado local (dispositivo virtual o de hardware): F5 Advanced WAF 

• Ventajas: un WAF on-premise (ya sea virtual o de hardware) puede satisfacer todos tus modos de despliegue más exigentes en los que la flexibilidad arquitectónica, el rendimiento y las preocupaciones de seguridad avanzada son primordiales. 
• Contras: requiere una mayor inversión inicial en términos de adquisición y despliegue que otros modelos. Dicha inversión dará sus frutos para aquellos que necesiten la flexibilidad que proporciona este modelo. 

Comodidad: F5 Rules for AWS WAF 

• Ventajas: Este modelo de WAF de bajo coste te proporcionará una cobertura básica para algunos vectores de ataque conocidos. Además, te ayudará a abordar los requisitos de cumplimiento normativo. 
• Contras: los WAF de productos básicos no tienen la flexibilidad y resistencia necesarias para defenderse de los vectores de amenaza actuales. Esto se debe a que están en continua evolución y amenazan a las empresas. 

Por otro lado, probablemente este tipo de WAF no te ayudarán a defenderte de los riesgos que no son vulnerabilidades de las aplicaciones, como los bots y el fraude. 

Conclusión

Aunque las opciones a las que te enfrentas suenan desalentadoras, nunca ha habido un mejor momento para comprar un cortafuegos de aplicaciones web. Actualmente, la tecnología WAF es más accesible y asequible. Las empresas necesitan la protección que ofrece un WAF ahora más que nunca. 

Usa el siguiente enlace para obtener más información sobre cómo elegir el WAF adecuado para ti, haz clic aquí.

Piense primero en la seguridad de las aplicaciones

Las aplicaciones siempre activas y conectadas ayudan a potenciar y transformar tu negocio. Sin embargo, dichas aplicaciones pero pueden actuar como puertas de acceso a los datos más allá de las protecciones de tus cortafuegos. Dado que la mayoría de los ataques se producen a nivel de las aplicaciones, proteger las capacidades que impulsan tu negocio es vital para proteger las aplicaciones que las hacen posibles.

El 5% de las aplicaciones corporativas tienen fallos de al menos un año de antigüedad. Por este motivo es tan importante elegir el WAF adecuado para ti.