Cortafuegos de aplicaciones web

Un cortafuegos de este tipo suma puntos por cada señal de una petición. Si el total llega al umbral, la bloquea; si no, la deja pasar y la anota. En esta tienda el umbral es 15 (tabla ajustes). Una fila BLOQUEADA es un intento que no llegó a la aplicación. Una fila DETECTADA es una petición que sí llegó, y por eso necesita mirar qué respondió la aplicación.

Las señales de la familia de inyección que no alcanzaron el umbral son las que más interesan: ya no hay bloqueo que las frene. Cuenta cuántas peticiones de esa familia quedaron en DETECTADA, sin mirar las bloqueadas.

Una regla que bloquea a personas legítimas se acaba apagando, y entonces deja de proteger. La revisión de revision_de_bloqueos marca qué bloqueos eran verdaderos y cuáles no. El ajuste no es apagar la regla: es excluirla donde da falsos positivos, por ejemplo en el parámetro de una búsqueda que acepta apóstrofos.

La señal más interesante de un cortafuegos es una petición que pasó y a la que la aplicación respondió con error 500. No prueba que haya una vulnerabilidad, pero dice que algo de esa petición rompió la aplicación, y quien desarrolla tiene que mirarlo con el identificador de la petición. Cruza estado_origen con la acción.

Con una regla ruidosa y una regla que dejó pasar algo, la tentación es subir o bajar el umbral para todo el sitio. Es un cambio grande para un problema pequeño: afecta a todas las rutas con una sola decisión.