WAF: la defensa de las aplicaciones web y sus datos

Por Stree Naidu, vicepresidente de Asia Pacífico y Japón de Imperva

Las aplicaciones web se han convertido en el esqueleto del negocio en casi todos los segmentos de la economía. Conectan a los empleados, clientes y socios a la información que necesitan en cualquier lugar y en cualquier momento. Aunque se han reducido los costes de acceso a esa información y se ha acelerado drásticamente el ritmo de los negocios, también han aumentado los riesgos: robos de identidad, fugas de datos, malware, ataques de denegación de solicitud de servicio (DoS) y botnets maliciosos impactan cada vez más a las aplicaciones web, con consecuencias que afectan a la marca, los ingresos y el cumplimiento de las normas.

Las investigaciones realizadas por el Centro de Aplicación de Defensas de Imperva han encontrado que casi el 92% de las aplicaciones web son susceptibles a algún tipo de ataque, y el 57% son vulnerables al robo de información. Adicionalmente, las aplicaciones web cambian con frecuencia y nuevas vulnerabilidades se introducen en esas actualizaciones. Además, las actualizaciones de aplicaciones inadvertidas pueden romper los parches creados para arreglar los agujeros de seguridad, y volver a exponer vulnerabilidades antiguas.

Por desgracia, actualmente el gasto en seguridad de datos se centra en las redes empresariales, dejando puntos débiles en las base de datos y aplicaciones que pueden ser explotadas por los ciberdelincuentes. En 2009, las 10 mayores fugas de datos revelan que el 74% de las pérdidas de datos provenían de las violaciones de bases de datos, el 19% de brechas en la aplicación y el 7% de brechas de la red. Sin embargo, más del 90% de los 16.000 millones de dólares invertidos en seguridad en 2009 se destinaron a las redes.

Añádase a esto la confusión actual entre las organizaciones en cuanto al tipo de herramientas de seguridad necesarias para hacer frente al problema, con muchas confiando en cortafuegos de red tradicionales y sistemas de prevención de intrusiones (IPS). En un reciente informe de Frost & Sullivan, el 55% considera que tener un firewall de red potente es suficiente para compensar la falta de un firewall de aplicaciones web (WAF). Un 48,3% consideró que un WAF sólo es necesario si una empresa quiere ser compatible con PCI-DSS.

Sin embargo, regulaciones como el Payment Card Industry Data Security Standard (PCI DSS) ahora ordenan la protección de la capa de aplicaciones. Las empresas que procesan, almacenan o transfieren datos de tarjetas de crédito deben instalar un WAF o someterse a exámenes de la aplicación anualmente y después de cada cambio de la aplicación. Nótese que que no existe obligación de IPS.

Hablamos de

Emprendedores Seguridad