Please reload

Entradas recientes

Internet Security Threat Report 2017

May 30, 2017

1/4
Please reload

Entradas destacadas

Top 6 de lo que debemos encontrar en una solución Firewall para aplicaciones.

May 22, 2017

 

Cuando seleccionamos una WAF (Web Application Firewall) para proteger tus aplicativos, deberías antes prioritizar los siguientes contenidos de aplicación para una seguridad eficiente.

 

 

 

 

1. Protección contra el Top 10 de OWASP

 

 

 

El Top 10 OWASP

 

1. Injection

2. Broken Authentication and Session Management

3. Cross-Site Scripting (XSS)

4. Insecure Direct Object References

5. Security  Misconfiguration

6. Sensitive Data Exposure

7. Missing Function Level Access Control

8. Cross-Site Request Forgery (CSRF)

9. Using Components with Known Vulnerabilities

10. Unvalidated Redirects and Forwards

 

 

OWASP (Open Web Applications Security Project) es un software de seguridad comunitaria abierto, entre otras cosas, la lista del top en ataques hacia servidores web.

 

Tu WAF debe proteger las aplicaciones web y servidores del Top 10 de OWASP para asegurar seguridad contra los ataques más prevalentes a los aplicativos.

La efectividad de una solución WAF en seguridad contra los OWASP Top 10 es difícil de discerner sin una prueba. Buscando datos y validación desde una organización de confianza es un manera responsive de ganar profundidad en la efectividad de los leads de WAF en el Mercado.

Considerando las reseñas de SVM (Security Value Map) y  CAR (Comparative Analysis Report) por NSS Laboratorios, los cuales evaluan los leads en los productos WAF y su habilidad de prevenir intrusiones, detectar y mitigar tratados.

 

 

 

2.  Protección contra los ataque

conocidos y desconocidos

 

Tu WAF debería soportar ambos tanto positive como negative en un modelo de seguridad.

 

Un modelo de seguridad negative es fácilmente de derrivar por que solo protege ante ataques conocidos.

 

Un modelo de seguridad positive niega transacciones por default, pero usa normas para dejar  solamente aquellas que sean bien conocidas, válidas y seguras. Este acercamiento es más eficiente (menos normas para el proceso de transacción) y más seguridad, pero requiere un muy buen entendimiento de las aplicaciones siendo protegidas.

 

 

 

 

 

 

3. PCI DSS Compilaciones

 

Ataques maliciosos que están diseñados para robar información importante de tarjetas de crédito, están aumentando. Con más y más brechas de seguridad y ladrones de datos ocurriendo diariamente. Requerimientos PCIDSS han estado siendo revisados en un atentado para prevenir estos tipos de ataques y mantener los datos del cliente seguros.

 

Si tu organización trabaja con procesos o tiendas sensibles a información de tarjetas de crédito, tu debes compilar los requerimientos de PCI DSS. Tu debes reforzar tu postura de seguridad protegiendo tus aplicaciones web críticas, donde los caminos están más a menudo sensibles a ataques maliciosos y a ganar acceso a datos importantes del sostén en  tarjetas de crédito.

Mientras tu añades los estándares del PCIDSS derrocando un escáner de vulnerabilidad o un WAF, la más efectiva solución es integrar los datos de la tecnología de escaneo con el poder de mitigación de ataques de un WAF

El WAF en el que estás invirtiendo, debería identificar, aislar y bloquear ataques de manera sofisticada sin impacto en las transacciones de aplicaciones legítimas. En adhesión con tu WAF debe ofrecer reportes de PCI los cuales determinan si las regulaciones de compilación se están encontrando o si no lo están hacienda, detalla los pasos necesarios para convertirse en compilador.

 

   “De todas las brechas de datos investigadas, alrededor de los últimos diez años, ni una sola compañía ha sido encontrada siendo un compilador de PCI en el tiempo de una brecha”

 

-Verizon (2015 PCI Reporte de Compilación)

 

 

4. Alto performance sin impactos negativos

 

El performance es la clave para un WAF. El WAF que elijas, no debe tener impactos negativos en el performance de las infraestructuras existentes, incluyendo aplicativos y dispositivos Network.

 

Esto significa que inclusive el WAF actúa como el proxy de seguridad para una aplicación, la aplicación continua la transacción de los datos sin sufrir por las solicitudes del backlog y no colapsa incluso con cargas pesadas.

La aplicación debería comportarse como si ningún WAF estuviese presente. Y desde la perspectiva del usuario final, el WAF debería ser completamente transparente. Los usuarios  no deben experimentar ningún fallo del servicio.

 

 

 

5. Administración centralizada

 

Administración centralizada es crucial, cuando estas lidiando con infraestructura de aplicaciones web que son distribuidas desde diferentes apartados, especialmente si es de manera global.

 

Tu quieres ser capaz de manejar diferentes aplicativos de WAF sin tener la necesidad de conectarse con cada uno por separado. Esto significa que tu solución WAF necesita integrarse con una plataforma de administración centralizada, esto te permite construir, mantener, y asegurar una política de seguridad unificada, a través de tu organización entera.

 

 

6. Prevención de la vulnerabilidad en tus aplicativos

 

Las vulnerabilidades de las aplicaciones web son las más comunes causas de las brechas de datos. Vulnerabilidades, únicas para cada aplicación, deja la infraestructura expuesta a los ataques así como cross-site-scripting, SQL injections, cookie poisoning, entre otros.

Cuando los defectos y fallos son encontrados en un código de software, tu WAF rápidamente aplica reparaciones (parches virtuales) para prevenir explotación de un atacante.

Este parcheo virtual, no require cambios inmediatos para el software, y permite a las organizaciones asegurar sus aplicativos inmediatamente, y en algunos casos, autómaticamente, hacia las pruebas de aplicaciones dinámicas. Los parches virtuales son a clave de un componente fuerte de WAF, muy seguido requieren integración con un escáner de vulnerabilidad.

Y añadiendo, tu WAF debería integrar con puntos como sistemas SIEM ( security information event management)  retenciones de los sistemas log, identifican admnistración y aplicación de escaners para proveer seguridad automatizada y blindada.

 

 

 

 


Share on Facebook
Share on Twitter
Please reload

Síguenos
Please reload

Buscar por tags
Please reload

Archivo
  • Facebook Basic Square
  • Twitter Basic Square
  • Google+ Basic Square

Copyright Be One Systems, S.A de C.V .  Monterrey Nuevo León (81) 19 70 7000  Aviso de privacidad  Contáctanos    Servicios   Nosotros  Disclaimer