¿Qué es un firewall de aplicaciones web (WAF)?

WAF: definición y diferencias

Un firewall de aplicaciones web actúa como filtro delante de una aplicación web, por ejemplo una tienda online, un portal de clientes o un sitio WordPress. Analiza cada solicitud HTTP y bloquea las que contienen patrones de ataque típicos. Con ello aborda sobre todo clases de vulnerabilidades de la lista OWASP Top 10.

Un firewall de red clásico decide por dirección y puerto y, por lo general, deja pasar el tráfico web del puerto 443. No ve si en un campo de formulario se oculta código malicioso. Precisamente esa laguna la cubre el WAF en la capa de aplicación; ambos sistemas se complementan.

Cómo trabaja un WAF

Un WAF aplica reglas a solicitudes y respuestas. Son habituales conjuntos de reglas como el OWASP Core Rule Set, que puede usarse, por ejemplo, con ModSecurity, así como firmas propias de cada fabricante. Además pueden definirse límites de frecuencia, geobloqueo, detección de bots y reglas propias para direcciones concretas, por ejemplo una protección más estricta para el inicio de sesión y el carrito de la compra.

Un WAF se opera como servicio en la nube delante del sitio web, a menudo junto con una CDN, como dispositivo o appliance virtual en el centro de datos o como módulo del servidor web. Es habitual empezar por fases: primero en modo de observación, que solo registra, y después en modo de bloqueo.

Ejemplo práctico: una tienda online bajo ataque constante

Un comercio especializado en herramientas opera una tienda Shopware. En los registros del servidor aparecen miles de intentos de inicio de sesión por hora y solicitudes con cadenas extrañas en el buscador y en la dirección. La tienda se ralentiza y, en segundo plano, scripts prueban credenciales robadas y vulnerabilidades conocidas.

Un WAF en la nube colocado delante filtra ese tráfico antes de que llegue al servidor: se frenan los bots, se bloquean los patrones de inyección y el área de administración solo es accesible desde determinadas redes. El comerciante revisa los registros con regularidad y ajusta las excepciones para que los clientes reales no queden excluidos.

Ventajas, límites y errores habituales

Un WAF gana tiempo: puede proteger vulnerabilidades conocidas con un «parche virtual» hasta que se instale la actualización y frena ataques automatizados que, de otro modo, cargarían servidor y presupuesto. Sin embargo, no sustituye al código seguro. Mal configurado, bloquea solicitudes legítimas (falsos positivos) o deja pasar ataques; un WAF instalado una vez y sin mantenimiento apenas protege a largo plazo.

Nano Concepts configura la protección WAF para sitios web y aplicaciones web, prueba las reglas con solicitudes realistas y la combina con actualizaciones, refuerzo (hardening) y monitorización. El resultado es una protección que blinda su tienda y su portal frente a ataques sin entorpecer la compra de los clientes reales.

• Instalado, pero dejado de forma permanente en modo solo de observación
• El servidor de origen sigue accesible directamente por dirección IP y esquiva el WAF
• Sin excepciones para pasarelas de pago o interfaces API, de modo que se excluye a clientes
• Las reglas y los registros no se mantienen ni se evalúan
• El WAF como excusa para aplazar actualizaciones y revisiones de código