Qué aporta el WAF y qué no

Un WAF compara cada petición con reglas: patrones de parámetros con aspecto de consulta a base de datos, ráfagas de inicios de sesión fallidos, agentes de automatización conocidos, rutas de administración desde fuera de la oficina. Cada regla tiene un modo: en detectar solo anota el evento; en bloquear además corta la petición.

Lo que reconoce es la forma de la petición. Una petición bien formada, con una sesión válida, que pide un identificador que no es suyo, no se parece a nada de la lista: es una petición normal cuyo problema está en la lógica de la aplicación, y ahí el WAF no tiene nada que comparar.

El WAF registra cada evento con su acción. «Bloqueada» es lo que el cortafuego frenó; «permitida» es lo que anotó y dejó pasar. Un volumen alto de eventos permitidos de una regla suele decir que la regla está en modo detectar, a veces desde hace meses y sin que nadie revise sus anotaciones.

La primera pregunta sobre un evento del WAF no es qué vio sino qué hizo con ello.

Para el informe, el WAF aporta un número útil: cuántas veces vio al origen y cuántas lo dejó seguir. Se cuentan los eventos de esa dirección con acción «permitida», de todas las reglas, no solo de una. Un mismo intento puede generar dos eventos si lo reconocen dos reglas.

Los eventos de otras direcciones se descartan aunque parezcan parecidos.

La tabla que cruza el acceso con el WAF deja ver lo que una vista sola no enseña: peticiones con estado 200 y columna de evento vacía. Cuando una ruta devuelve datos con éxito a un origen identificado como automatizado y no hay ni un solo evento, se confirma que ahí la protección no es del WAF sino del propio código de la aplicación.

Se pide el prefijo de la ruta, sin el identificador final.

Tras el incidente aparece la tentación de apretar todo: pasar todas las reglas a bloquear. Eso rompe aplicaciones que funcionaban, porque cada regla genera falsos positivos que alguien tiene que haber revisado. El trabajo correcto es revisar las anotaciones de la regla en modo detectar, decidir con el equipo de la aplicación si es seguro bloquear y, aparte, arreglar el problema donde está.

El WAF reduce la superficie; no sustituye al control de acceso de la aplicación.