Lo que un cortafuegos de aplicaciones ve y lo que no

El cortafuegos de aplicaciones se sienta en el camino de la petición: termina el cifrado, lee la línea de petición, las cabeceras y el cuerpo, los compara con sus reglas y decide. Todo lo que puede saber está en ese sobre. Es muy bueno reconociendo formas sospechosas —valores que parecen una consulta a la base de datos, nombres de archivos del sistema, trozos de código de navegador— porque esas formas se ven desde fuera.

Lo que no puede saber es de quién son los datos que la aplicación va a devolver. Una petición en la que alguien pide el pedido de otra empresa es idéntica, carácter por carácter, a una en la que pide el suyo: cambia un número y nada en el sobre dice cuál de los dos le corresponde. Esa comprobación vive dentro de la aplicación, donde se sabe quién inició la sesión y qué le pertenece.

Por eso una revisión del borde se hace siempre con dos registros al lado: el del cortafuegos, que cuenta qué entró, y el de la aplicación, que cuenta qué salió. El fallo aparece en el hueco entre los dos.

Abre el laboratorio y lee diagrama-borde.txt. Cinco caminos llegan a la aplicación y solo dos pasan por el cortafuegos. Uno de los tres restantes no es una consola de personas ni una llamada interna del propio proceso: es un programa que habla con la API del portal por la red interna, con una cuenta de servicio, cada quince minutos. Todo lo que ese programa envíe entra sin que el borde lo vea.

Ahora el cruce. Lee registro-borde.log y registro-aplicacion.log con la misma hora al lado. En el registro de la aplicación hay líneas donde la empresa de la sesión y la empresa de los datos devueltos no coinciden: alguien recibió pedidos que no eran de su empresa. Busca esas líneas, mira de qué ruta salieron y comprueba qué dijo el borde de ellas.

El hallazgo de septiembre que la dirección quiere cerrar es exactamente el que acabas de ver en el registro. El equipo respondió que el cortafuegos «ya filtra todo lo que entra», y el registro demuestra que esas peticiones entraron sin que ninguna regla las mirara dos veces: no tenían nada raro que mirar.

Un borde reduce la superficie de lo que se puede intentar y da tiempo mientras se corrige. No sustituye una comprobación que, por definición, solo se puede hacer donde se sabe quién es quién.