- Início
- Soluções
- WAF – Web Application Firewall
- OWASP Top 10
WAF – Web Application Firewall · Recurso
Proteção contra o OWASP Top 10 e injeção de código
As técnicas mais usadas para invadir aplicações web barradas antes de chegar ao seu servidor.
O que é
Proteção contra o OWASP Top 10 e injeção de código, sem complicação
O OWASP Top 10 é uma lista publicada pela OWASP, uma fundação aberta dedicada à segurança de aplicações, com as categorias de risco mais críticas em aplicações web. Ela é a referência usada por desenvolvedores, auditores e equipes de segurança no mundo todo e é revisada periodicamente.
Entre esses riscos está a injeção de código: o atacante envia, por um formulário, um parâmetro de URL ou uma chamada de API, um conteúdo que a aplicação acaba executando. É o caso do SQL injection, que manipula consultas ao banco de dados, e do cross-site scripting (XSS), que insere scripts na página vista por outros usuários. A lista também trata de falhas de controle de acesso, configuração incorreta e uso de componentes com vulnerabilidades conhecidas.
O WAF fica entre a internet e a aplicação e inspeciona cada requisição. Quando reconhece uma tentativa de exploração dessas categorias, bloqueia antes que ela chegue ao servidor. Parte dos riscos da lista, como falhas de projeto da aplicação, depende de correção no código, e o WAF atua como uma camada a mais, não como substituto.
Como funciona
Passo a passo
- 01
Requisição interceptada
Todo o tráfego destinado ao site, portal ou API passa primeiro pelo WAF, inclusive o tráfego HTTPS, que é decifrado para ser inspecionado.
- 02
Análise do conteúdo
URL, parâmetros, cabeçalhos, cookies e corpo da requisição são examinados em busca de padrões de injeção, scripts e outras técnicas de exploração.
- 03
Decisão pela política
Conforme a política da aplicação, a requisição é liberada, bloqueada ou registrada para análise. Exceções definidas com o seu time evitam bloquear o uso legítimo.
- 04
Registro do evento
Cada bloqueio fica registrado com origem, alvo e tipo de ataque, o que ajuda a investigar tentativas e a priorizar correções na aplicação.
Por que importa
O que muda para a sua empresa
Aplicações web estão expostas por natureza
Um site ou portal precisa estar aberto para a internet. Isso faz dele um dos alvos mais visados, e o firewall de rede não olha o conteúdo das requisições que libera.
Injeção leva direto aos dados
Uma falha de SQL injection pode permitir ler ou alterar o banco de dados por trás da aplicação, com cadastros de clientes, pedidos e informações pessoais protegidas pela LGPD.
Correção no código leva tempo
Entre descobrir uma falha e publicar a correção há desenvolvimento, teste e implantação. O WAF reduz a exposição nesse intervalo.
Aplicações de terceiros também contam
Muitas empresas usam sistemas que não podem alterar, como lojas virtuais, portais de fornecedores e CMS. O WAF protege essas aplicações sem mexer no código delas.
Na prática
Situações do dia a dia
Loja virtual com área do cliente
Tentativas de injeção no campo de busca e no login são bloqueadas antes de alcançar o banco de dados de pedidos e cadastros.
Portal de serviços de uma prefeitura
O sistema, mantido por um fornecedor externo, recebe a proteção do WAF enquanto as correções apontadas numa análise de vulnerabilidades são feitas no código.
Empresa de software com API para parceiros
As chamadas de API são inspecionadas como qualquer requisição web, e parâmetros com conteúdo malicioso são recusados antes de chegar ao serviço.
Na Strema
Como entregamos OWASP Top 10
Na solução de WAF, a Strema mapeia as aplicações com o seu time, define as proteções de cada uma e ativa o bloqueio depois de um período de observação, para não atrapalhar o uso legítimo. Depois acompanha os eventos e ajusta as regras quando a aplicação muda.
Para saber quais falhas existem hoje nas suas aplicações, a Strema também oferece análise de vulnerabilidades e pentest, que complementam o WAF.
O WAF cobre todas as categorias do OWASP Top 10?
Ele ajuda principalmente nas que se manifestam no tráfego, como injeção e uso de componentes vulneráveis. Riscos de projeto e de lógica de negócio dependem de correção na aplicação. Por isso o WAF é uma camada a mais, não a única.
O WAF inspeciona tráfego HTTPS?
Sim. Para isso ele termina a conexão criptografada com o certificado do site, inspeciona a requisição e a encaminha ao servidor. Isso é definido no projeto da implantação.
Preciso alterar minha aplicação para usar o WAF?
Em geral não. O WAF entra no caminho do tráfego, normalmente com ajuste de DNS ou de rede. O que pode ser necessário é cadastrar exceções para funções específicas da aplicação.
Com WAF ainda preciso fazer pentest?
Sim. O pentest mostra as falhas que existem na aplicação. O WAF reduz a chance de elas serem exploradas, mas a correção continua necessária.
Continue explorando
Recursos relacionados
No blog
Todos os recursos de WAF – Web Application Firewall
Fale conosco
Quer OWASP Top 10 protegendo a sua empresa?
Fale com um Stremer especialista hoje mesmo.
- Telefone4003-7886
- Horário de atendimentoSegunda a sexta-feira, das 07h às 19h.
- Belo HorizonteAvenida Sebastião de Brito, 525
Dona Clara, Belo Horizonte - MG - São PauloRua Gomes de Carvalho, 1629
Vila Olímpia, São Paulo - SP