Fastly
A Fastly é uma plataforma de nuvem de borda líder, projetada para construir, proteger e entregar experiências digitais …
A Fastly é uma plataforma de nuvem de borda líder, projetada para construir, proteger e entregar experiências digitais rápidas e escaláveis. Ela combina uma CDN moderna, recursos de segurança robustos como um WAF de última geração e um poderoso ambiente de computação sem servidor. A Fastly ajuda as empresas a melhorar o desempenho, aumentar a segurança e inovar mais perto de seus usuários, com soluções específicas para e-commerce, streaming e aplicações baseadas em IA.
Sobre Firewall de Aplicação Web
Um Firewall de Aplicação Web (WAF) é uma ferramenta de segurança que filtra, monitora e bloqueia tráfego HTTP/S malicioso de e para uma aplicação web. Diferente dos firewalls de rede tradicionais que operam em camadas de rede inferiores, um WAF funciona na camada de aplicação (Camada 7) para proteger contra ataques específicos baseados na web, como injeção de SQL, cross-site scripting (XSS) e inclusão de arquivos. Ao inspecionar o conteúdo de cada requisição e resposta web, essas ferramentas fornecem uma camada de defesa crítica para sites, APIs e serviços online. Muitos WAFs modernos utilizam IA e aprendizado de máquina para identificar e bloquear ameaças novas e de dia zero, analisando padrões de tráfego e detectando anomalias em tempo real.
Recursos Principais
- Proteção OWASP Top 10: Fornece regras e filtros dedicados para mitigar os riscos de segurança de aplicações web mais críticos, como falhas de injeção e autenticação quebrada.
- Mitigação de Bots: Identifica e bloqueia tráfego automatizado malicioso, incluindo scrapers, bots de preenchimento de credenciais e bots de spam, enquanto permite bots legítimos como rastreadores de mecanismos de busca.
- Mitigação de DDoS na Camada de Aplicação: Absorve e filtra ataques distribuídos de negação de serviço (DDoS) de alto volume direcionados à camada de aplicação (por exemplo, inundações HTTP) para garantir a disponibilidade do serviço.
- Segurança de API: Protege APIs aplicando validação de esquema, limitação de taxa e bloqueando requisições que exploram vulnerabilidades comuns de API.
- Patching Virtual: Permite que administradores apliquem proteção imediata contra vulnerabilidades recém-descobertas sem modificar o código-fonte da aplicação.
Casos de Uso
Os WAFs são essenciais para qualquer organização com presença pública na web. Eles são amplamente utilizados por plataformas de comércio eletrônico para proteger dados de clientes e transações de pagamento, por empresas de SaaS para proteger suas aplicações e APIs, e por instituições financeiras para cumprir regulamentações de segurança. Sistemas de gerenciamento de conteúdo (CMS) como WordPress e Joomla também se beneficiam muito da proteção WAF contra vulnerabilidades comuns de plugins e temas.
Como Escolher
Ao selecionar um Firewall de Aplicação Web, considere o modelo de implantação (baseado em nuvem, on-premises ou híbrido) que melhor se adapta à sua infraestrutura. Avalie sua capacidade de personalizar regras de segurança e a taxa de falsos positivos, pois regras excessivamente agressivas podem bloquear tráfego legítimo. Além disso, avalie seu impacto no desempenho e na latência da aplicação, suas capacidades de registro e relatórios para análise de segurança e sua integração com outras ferramentas de segurança, como sistemas SIEM.
Firewall de Aplicação WebCenários de aplicação
Proteger sites de comércio eletrônico contra fraudes de pagamento
Um gerente de plataforma de comércio eletrônico usa um WAF para proteger seu processo de checkout. O WAF inspeciona todo o tráfego de entrada para o gateway de pagamento, identificando e bloqueando bots maliciosos que tentam ataques de preenchimento de credenciais ou carding. Ele aplica patching virtual para proteger contra vulnerabilidades conhecidas no software do carrinho de compras e usa limitação de taxa para prevenir ataques de força bruta nas páginas de login. Isso garante que os dados de pagamento dos clientes estejam seguros, mantém a conformidade com o PCI DSS e previne transações fraudulentas que poderiam levar a perdas financeiras significativas.
Proteger APIs para aplicações móveis e web
Uma equipe de desenvolvimento de um produto SaaS implementa um WAF para proteger suas APIs de backend, que são consumidas tanto por um aplicativo móvel quanto por um painel web. O WAF impõe um esquema de API rigoroso, bloqueando automaticamente quaisquer solicitações que não estejam em conformidade com a estrutura esperada, como aquelas que tentam adulterar parâmetros. Ele também protege contra ataques comuns a APIs, como autorização quebrada em nível de objeto e atribuição em massa, garantindo que um usuário não possa acessar ou modificar os dados de outro usuário. Isso fornece uma camada de segurança crítica sem exigir alterações extensas no código da aplicação.
Mitigar ataques DDoS na camada de aplicação
Um popular portal de notícias online enfrenta frequentes ataques DDoS na camada de aplicação, como inundações HTTP, que sobrecarregam seus servidores web e causam interrupções no serviço. Sua equipe de TI implementa um WAF baseado em nuvem. A rede global do WAF absorve o volume massivo de tráfego malicioso antes que ele atinja a infraestrutura do portal. Ele usa limitação de taxa avançada e análise de tráfego para distinguir entre o tráfego legítimo dos leitores e o ataque, garantindo que o site permaneça disponível ao público mesmo durante um ataque em grande escala. Essa defesa proativa mantém o tempo de atividade e protege a reputação do portal.
Prevenir ataques de tomada de controle de conta (ATO)
Uma empresa de serviços financeiros usa um WAF com detecção avançada de bots para prevenir ataques de tomada de controle de conta em seu portal do cliente. O WAF analisa o comportamento do usuário, as impressões digitais do dispositivo e a reputação do IP para identificar tentativas de login suspeitas características de preenchimento de credenciais. Quando um potencial ataque de ATO é detectado, o WAF pode bloquear automaticamente o endereço IP infrator ou apresentar um desafio CAPTCHA para verificar se o usuário é humano. Isso protege as contas dos clientes contra acesso não autorizado e fraude, construindo confiança e reduzindo a responsabilidade da empresa.
Aplicar patches virtuais para vulnerabilidades de dia zero
Uma equipe de segurança descobre uma vulnerabilidade crítica de dia zero no CMS de código aberto que alimenta o site corporativo. Enquanto esperam pelo patch oficial do fornecedor do CMS, o que pode levar dias, eles usam seu WAF para aplicar um patch virtual. O administrador de segurança cria uma regra personalizada no WAF que bloqueia especificamente os padrões de tráfego que tentam explorar essa nova vulnerabilidade. Isso fornece proteção imediata e direcionada, fechando efetivamente a brecha de segurança e dando à equipe de desenvolvimento um tempo crucial para testar e implantar a atualização oficial do software sem expor o site a ataques.
Bloquear bots maliciosos e raspadores de conteúdo
Uma editora online investe pesadamente na criação de conteúdo exclusivo, mas descobre que concorrentes estão usando raspadores automatizados para roubá-lo e republicá-lo. Eles configuram os recursos de gerenciamento de bots de seu WAF para bloquear esses raspadores. O WAF usa técnicas como desafios de JavaScript, impressão digital do dispositivo e análise comportamental para distinguir visitantes humanos de bots automatizados. Ele bloqueia agentes de usuário maliciosos conhecidos e endereços IP de redes de bots, garantindo que rastreadores legítimos de mecanismos de busca ainda possam acessar e indexar o site. Isso protege sua propriedade intelectual e mantém suas classificações de SEO.