Lo que un WAF protege y lo que no

Un cortafuegos de red decide con direcciones y puertos: quién habla con quién y por dónde. Un WAF trabaja más arriba, en la capa de aplicación: entiende HTTP, así que mira la ruta que se pide, los parámetros, las cabeceras, el tamaño del cuerpo y a veces la respuesta. Por eso puede detener una petición que llega por un puerto totalmente permitido, el 443 de la tienda, pero que lleva algo que la aplicación no debería recibir.

Para inspeccionar tráfico cifrado, el WAF tiene que ser el punto donde termina el cifrado, o recibirlo ya descifrado de quien lo termina. Y solo ve lo que pasa por él: se despliega como proxy inverso delante de la aplicación, como servicio en el borde de una red de distribución de contenidos o como módulo del balanceador.

La regla más importante sobre el WAF es la más sencilla: solo protege el tráfico que pasa por él. Si el servidor de origen también responde directamente desde Internet, cualquiera puede ir al origen y el WAF no se entera. Pasa cuando se publica un servidor «para pruebas» o cuando una aplicación antigua nunca se movió detrás del WAF.

Consulta activos_web y mira las columnas es_web y pasa_por_waf. El servidor de origen de la tienda aparece publicado directamente; busca el otro activo web que tampoco pasa por el WAF.

Un WAF reconoce peticiones mal formadas o con forma de ataque conocido. No sabe qué le corresponde ver a cada persona. Si un cliente autenticado cambia el número de su pedido en la dirección y la aplicación le entrega el de otro cliente, esa petición es perfectamente normal para el WAF: ruta válida, parámetro válido, sin nada raro. El defecto está en la aplicación, que no comprueba de quién es el pedido. Lo mismo ocurre con una regla de negocio mal pensada o con una cuenta usada con la contraseña correcta.

El WAF es una capa compensatoria: gana tiempo y reduce ruido mientras se corrige la aplicación, pero no sustituye la corrección.

Consulta incidentes y fíjate en registrado_por_waf y en como_se_detecto.

Una medida honesta del alcance es contar. De los incidentes del año, ¿en cuántos el WAF dejó registro y en cuántos no? Los que no dejó son la parte de la superficie que el WAF no cubre, o por diseño o por un camino que no controla.

Hay un tipo de abuso que ningún WAF resuelve con reglas: el que usa peticiones totalmente legítimas de la forma que el negocio no previó. Aplicar dos veces un descuento repitiendo la misma solicitud es un fallo de la lógica de la aplicación; para el WAF, cada solicitud es idéntica a la de cualquier comprador.

Lee las descripciones de incidentes y localiza el que encaja.