- Início
- Soluções
- WAF – Web Application Firewall
- Análise heurística
WAF – Web Application Firewall · Recurso
Análise heurística e de comportamento no WAF
Ataques novos e variações de ataques conhecidos identificados pelo comportamento, não só pela assinatura.
O que é
Análise heurística e de comportamento no WAF, sem complicação
A análise heurística é a detecção baseada em comportamento. Em vez de procurar um padrão exato, como faz a assinatura, o WAF avalia características da requisição e do uso da aplicação para decidir se algo é suspeito.
Isso inclui verificar se um parâmetro recebe um tipo de conteúdo diferente do habitual, se a requisição tem estrutura anômala, se há caracteres e construções típicas de injeção mesmo que disfarçadas por codificação, ou se um mesmo usuário percorre a aplicação de um jeito que nenhuma pessoa faria.
Muitos WAFs aprendem o comportamento normal de cada aplicação: quais URLs existem, quais parâmetros cada uma recebe e que formato esses valores costumam ter. Esse modelo, chamado de segurança positiva, permite recusar o que foge do esperado. Ele é especialmente útil para APIs, em que as chamadas seguem uma estrutura definida e desvios costumam indicar abuso. A heurística complementa as assinaturas, e as duas trabalham juntas na mesma política.
Como funciona
Passo a passo
- 01
Aprendizado da aplicação
Durante um período de observação, o WAF registra como a aplicação é usada: páginas, parâmetros, métodos e formatos de dados.
- 02
Pontuação da requisição
Cada requisição recebe uma avaliação a partir de vários indícios. Um indício isolado pode não bastar, mas a soma deles indica um ataque.
- 03
Comparação com o normal
Requisições que fogem do comportamento aprendido, como um campo numérico recebendo texto longo, são tratadas conforme a política.
- 04
Revisão e ajuste
Mudanças legítimas na aplicação, como uma nova funcionalidade, exigem atualizar o modelo para que o uso normal não seja bloqueado.
Por que importa
O que muda para a sua empresa
Atacantes disfarçam ataques conhecidos
Codificação, quebra do conteúdo em partes e variações de sintaxe são usadas para escapar de assinaturas. A análise de comportamento olha além do padrão exato.
Nem toda falha é conhecida
Uma vulnerabilidade ainda não divulgada não tem assinatura. Requisições anômalas contra ela podem ser barradas pelo comportamento.
APIs pedem controle mais preciso
APIs expõem dados e funções de negócio diretamente. Validar a estrutura das chamadas ajuda a reduzir abuso e acesso indevido.
Menos regras manuais
Com o modelo da aplicação aprendido, boa parte da proteção vem do próprio comportamento normal, sem depender de escrever regra para cada caso.
Na prática
Situações do dia a dia
Fintech com API para aplicativo móvel
Chamadas com parâmetros fora do formato previsto, ou em sequência que o aplicativo nunca faria, são bloqueadas antes de chegar aos serviços internos.
Portal de RH com dados de colaboradores
Uma tentativa de injeção codificada de forma incomum não bate com nenhuma assinatura, mas é identificada pela estrutura anômala da requisição.
E-commerce em fase de lançamento de recursos
A cada nova funcionalidade publicada, o modelo da aplicação é atualizado para manter a proteção sem bloquear o uso legítimo dos clientes.
Na Strema
Como entregamos Análise heurística
Na solução de WAF, a Strema conduz o período de aprendizado de cada aplicação, revisa o que o WAF considerou normal e só então ativa o bloqueio. Quando a aplicação muda, o modelo é revisto com o seu time de desenvolvimento.
Para quem precisa de monitoramento contínuo dos eventos de segurança, o Strema Guardian pode ser contratado como complemento.
Qual a diferença entre assinatura e heurística?
A assinatura reconhece um ataque conhecido por um padrão exato. A heurística avalia o comportamento e a estrutura da requisição e consegue apontar variações e ataques novos. As duas atuam juntas.
A heurística detecta qualquer ataque desconhecido?
Não há detecção perfeita. A heurística aumenta a chance de identificar o que é anômalo, mas ataques que imitam bem o uso normal podem passar, e por isso outras camadas continuam importantes.
O aprendizado da aplicação atrapalha o uso?
Não. Nessa fase o WAF observa e registra, sem bloquear com base no modelo. O bloqueio é ativado depois da revisão.
Serve para APIs REST?
Sim. O WAF pode validar métodos, parâmetros e formato dos dados de cada endpoint, de forma aprendida ou a partir da especificação da API, quando ela existe.
Todos os recursos de WAF – Web Application Firewall
Fale conosco
Quer Análise heurística protegendo a sua empresa?
Fale com um Stremer especialista hoje mesmo.
- Telefone4003-7886
- Horário de atendimentoSegunda a sexta-feira, das 07h às 19h.
- Belo HorizonteAvenida Sebastião de Brito, 525
Dona Clara, Belo Horizonte - MG - São PauloRua Gomes de Carvalho, 1629
Vila Olímpia, São Paulo - SP