Web Application Firewall (WAF): qué es y cómo funciona

Probablemente hayas visto alertas sobre inyección SQL, cross-site scripting o ataques de bots dirigidos a tu aplicación web. Aunque la codificación segura y el parcheo regular son esenciales, no siempre son suficientes. Un web application firewall (WAF) añade una capa crítica de defensa al inspeccionar el tráfico HTTP y bloquear solicitudes maliciosas antes de que lleguen a tu aplicación. En este artículo, explicaremos qué hace un WAF, cómo funciona internamente y cómo desplegarlo y ajustarlo de manera efectiva.

¿Qué es un Web Application Firewall?

Un WAF es una solución de seguridad que monitorea, filtra y bloquea el tráfico HTTP/HTTPS hacia y desde una aplicación web. A diferencia de los firewalls de red tradicionales que operan en las capas 3 y 4 (IP y TCP), un WAF trabaja en la capa 7, la capa de aplicación. Entiende los métodos HTTP, encabezados, cookies, cadenas de consulta y cuerpos de solicitud. Esto le permite detectar y bloquear ataques que parecen tráfico normal para un firewall de red.

Los WAF se usan comúnmente para protegerse contra:

• Inyección SQL (SQLi)
• Cross-site scripting (XSS)
• Cross-site request forgery (CSRF)
• Inclusión de archivos y path traversal
• Vulnerabilidades conocidas de CMS (por ejemplo, plugins de WordPress)
• Bots maliciosos, scrapers y DDoS en la capa de aplicación

Cómo funciona un WAF

A grandes rasgos, un WAF se sitúa entre el cliente y tu servidor web. Cuando llega una solicitud, el WAF la inspecciona contra un conjunto de reglas o políticas. Si la solicitud coincide con una regla que indica un ataque, el WAF puede bloquearla, registrarla o desafiar al cliente. De lo contrario, la solicitud se reenvía a la aplicación.

Existen tres técnicas principales de detección:

• Basada en firmas: Compara las solicitudes con una base de datos de patrones de ataque conocidos (por ejemplo, UNION SELECT en una cadena de consulta). Rápida, pero puede pasar por alto ataques nuevos.
• Basada en anomalías: Aprende el comportamiento normal del tráfico y marca las desviaciones. Mejor para zero-days, pero puede generar falsos positivos.
• Basada en reputación: Usa la reputación de IP, geolocalización e inteligencia de amenazas para bloquear actores maliciosos conocidos.

La mayoría de los WAF combinan estos métodos. Por ejemplo, ModSecurity con el OWASP Core Rule Set (CRS) usa firmas y puntuación de anomalías para asignar una puntuación de amenaza a cada solicitud. Si la puntuación supera un umbral, la solicitud se bloquea.

Modos de operación

Un WAF puede ejecutarse en dos modos principales:

• Modo monitoreo (o solo detección): Registra solicitudes sospechosas pero no las bloquea. Útil durante el despliegue inicial para ajustar reglas y evitar romper el tráfico legítimo.
• Modo bloqueo (o prevención): Bloquea activamente las solicitudes que violan las reglas. Este es el objetivo después del ajuste.

Algunos WAF también ofrecen un modo desafío, donde los clientes sospechosos deben resolver un CAPTCHA o un desafío JavaScript antes de continuar.

Opciones de despliegue

Puedes desplegar un WAF de varias maneras, cada una con sus ventajas y desventajas:

Para muchos equipos, un WAF en la nube es la forma más rápida de empezar, mientras que los WAF basados en host ofrecen más personalización para aplicaciones específicas.

Características clave a buscar

• Conjuntos de reglas: Reglas predefinidas para el OWASP Top 10 y plataformas CMS comunes.
• Reglas personalizadas: Capacidad de escribir tus propias reglas según la lógica de tu aplicación.
• Limitación de tasa: Limitar solicitudes de una sola IP o sesión para prevenir fuerza bruta y scraping.
• Gestión de bots: Distinguir bots buenos (motores de búsqueda) de los malos.
• Registro y alertas: Registros detallados para respuesta a incidentes y cumplimiento.
• Protección de API: Validación de esquemas y detección de anomalías para APIs REST/GraphQL.

Cómo desplegar un WAF: paso a paso

1. Elige tu modelo de despliegue. Decide entre nube, host o red según tu infraestructura y las habilidades de tu equipo.
2. Comienza en modo monitoreo. Habilita el WAF en modo solo detección para registrar el tráfico sin bloquear. Esto te ayuda a entender los patrones normales.
3. Analiza los registros y ajusta las reglas. Busca falsos positivos (solicitudes legítimas marcadas como ataques) y ajusta las reglas o añade excepciones. Usa un analizador de registros para procesar los registros del WAF de manera eficiente.
4. Habilita el bloqueo gradualmente. Comienza con reglas de alta confianza (por ejemplo, patrones SQLi conocidos) y habilita más a medida que ganes confianza.
5. Integra con tu CI/CD. Si usas infraestructura como código, gestiona las reglas del WAF como código para versionar y revisar cambios.
6. Monitorea y actualiza. Revisa regularmente los registros, actualiza los conjuntos de reglas y ajústalos a medida que tu aplicación evoluciona.

Ejemplo: Regla de ModSecurity

Aquí tienes una regla simple de ModSecurity que bloquea solicitudes que contienen ../ en la cadena de consulta, un intento común de path traversal:

SecRule ARGS "\.\./" \
    "id:1001,phase:2,deny,status:403,log,msg:'Path Traversal Attempt'"

Esta regla inspecciona todos los argumentos de la solicitud (cadena de consulta, cuerpo) y deniega la solicitud si encuentra ../. En producción, usarías conjuntos de reglas más completos como OWASP CRS.

Mejores prácticas y errores comunes

• No confíes únicamente en un WAF. Es una capa complementaria; la codificación segura y el parcheo siguen siendo esenciales.
• Evita bloquear tráfico legítimo. Ajusta las reglas con cuidado y monitorea los falsos positivos.
• Mantén las reglas actualizadas. Surgen nuevas vulnerabilidades regularmente; suscríbete a las actualizaciones de conjuntos de reglas.
• Protege también las APIs. Las aplicaciones modernas usan APIs intensivamente; asegúrate de que tu WAF las cubra.
• Registra y monitorea. Un WAF es tan bueno como los conocimientos que obtengas de sus registros.

Preguntas frecuentes

¿Un WAF reemplaza la codificación segura?

No. Un WAF es una capa de defensa en profundidad. Puede bloquear muchos ataques, pero las vulnerabilidades en tu código aún deben corregirse. Un WAF te da tiempo y añade protección, pero no sustituye las prácticas de desarrollo seguro.

¿Puede un WAF ralentizar mi sitio web?

Sí, cualquier inspección añade algo de latencia. Los WAF en la nube suelen añadir unos pocos milisegundos, mientras que los WAF basados en host pueden añadir más dependiendo de la complejidad de las reglas. Un ajuste y almacenamiento en caché adecuados pueden minimizar el impacto.

¿Cómo elijo entre un WAF en la nube y un WAF autoalojado?

Los WAF en la nube son más fáciles de configurar y escalar, lo que los hace ideales para equipos sin personal de seguridad dedicado. Los WAF autoalojados ofrecen más control y pueden ser más económicos a escala, pero requieren mantenimiento. Considera la experiencia de tu equipo y el presupuesto.

¿Listo para analizar tus registros de WAF? Usa nuestro Analizador de registros de Nginx para procesar y visualizar patrones de tráfico, lo que te ayudará a ajustar las reglas de tu WAF y detectar anomalías rápidamente.