Por Radware – 9 de dezembro de 2020
Com os aplicativos baseados em nuvem, surgem novos riscos de segurança que exigem conhecimentos que normalmente são escassos e que podem atrasar a implantação e manutenção do aplicativo.
Embora os WAFs desempenhem um papel crítico na proteção de aplicativos, implantar e gerenciar um WAF pode ser complexo e exigir o refinamento contínuo das políticas de segurança. Gerenciar essas políticas geralmente requer experiência e familiaridade íntima com qualquer solução WAF. Além disso, nem sempre é possível aproveitar o mesmo WAF em ambientes de nuvem heterogêneos, limitando assim a capacidade de aplicar políticas de segurança em todos os ambientes.
O DevOps normalmente automatiza a integração de aplicativos e os ciclos de implantação (CI/CD) para acelerar o processo de implantação de novos aplicativos. Para conseguir isso, ele frequentemente se integra a soluções que facilitam a integração e a velocidade. Por esse motivo, as soluções de segurança, normalmente complexas, não são priorizadas – deixando os aplicativos desprotegidos.
Monitorar eventos de segurança em aplicativos é outro desafio porque não há painel central em ambientes de computação em nuvem distintos. Também requer experiência em segurança para entender quais atualizações de política de segurança precisam ser implementadas com base nas informações de relatório mencionadas.
O que procurar
Ao avaliar uma solução, procure o nível mais alto de proteção do aplicativo enquanto minimiza falsos positivos e manutenção, e a capacidade de executar em vários ambientes de nuvem privada e pública. Além disso, considere se a solução oferece o seguinte:
Cobertura completa do OWASP Top-10 incluindo injeções, script entre sites (XSS), falsificação de solicitação entre sites, autenticação interrompida e configuração incorreta de gerenciamento e segurança de sessão.
TCO reduzido com o menor número de falsos-positivos por meio da tecnologia exclusiva de geração de políticas automáticas projetada para proteger um aplicativo da web automaticamente.
Proteção contra ataques na web de dia zero usando modelos de segurança negativos (baseados em assinatura) e positivos que garantem os mais baixos falsos positivos e mínimo esforço operacional, mas também proteção robusta contra ameaças conhecidas e desconhecidas (dia zero).
Impressão digital de dispositivos para proteção de bot. O poder da impressão digital está nas informações consolidadas extraídas de dezenas de atributos do navegador coletados no lado do cliente, facilitando a classificação precisa do bot.
Relatórios acionáveis. Por exemplo, o Alteon Multi Cloud da Radware oferece uma ferramenta de monitoramento e relatório que facilita o monitoramento de eventos e ações de proteção de aplicativos, os ataques que identifica, bem como quaisquer transações bloqueadas.
Escalabilidade. Um WAF é uma função que consome muitos recursos. Alocar recursos WAF para coincidir com os períodos de pico de uso do aplicativo pode ser caro ao operá-lo em um ambiente de nuvem.
A implantação de um firewall não precisa ser um processo complexo e que consome muitos recursos. A escolha de uma solução com a capacidade de abranger vários ambientes de nuvem e escalar automaticamente os serviços WAF para corresponder aos níveis de uso de aplicativos permitirá que as organizações implantem políticas de segurança de aplicativos de maneira transparente sem grande conhecimento especializado.