Gartner ha reconocido a Cloudflare como líder en el informe "Gartner® Magic Quadrant™ for Web Application and API Protection (WAAP)" 2022, que evaluó a 11 proveedores por su "capacidad de ejecución" e "integridad de visión". Puedes registrarte para recibir una copia gratuita del último informe sobre WAAP de Gartner aquí.
Creemos que este logro es una clara muestra de nuestro continuo compromiso e inversión en este ámbito, ya que nuestro objetivo es ofrecer soluciones de seguridad mejores y más eficaces a nuestros usuarios y clientes.
Seguimos trabajando en la seguridad de las aplicaciones
Los más de 36 millones de solicitudes HTTP por segundo que procesa la red global de Cloudflare nos permiten conseguir una visibilidad sin precedentes de los patrones de red y los vectores de ataque. Esta escala nos ayuda a diferenciar eficazmente el tráfico legítimo del malicioso, y como resultado, nuestras soluciones WAAP logran mitigar en el perímetro aproximadamente 1 de cada 10 solicitudes HTTP que Cloudflare redirecciona mediante proxy.
La visibilidad no es suficiente, y conforme surgen nuevos patrones y casos de uso, invertimos en investigación y desarrollo de nuevos productos. Por ejemplo, el tráfico de API está aumentando (de hecho, ya supone más del 55 % del tráfico total) y no esperamos que esta tendencia disminuya. Para ayudar a los clientes con estas nuevas cargas de trabajo, nuestra solución API Gateway aprovecha nuestro WAF para ofrecer mejor visibilidad y capacidad de mitigación para el tráfico de API bien estructurado para el que hemos observado diferentes perfiles de ataque en comparación con las aplicaciones estándar basadas en la web.
Creemos que nuestra inversión continua en seguridad de aplicaciones nos ha ayudado a conseguir nuestra posición en este ámbito y nos gustaría agradecer a Gartner el reconocimiento.
Cloudflare WAAP
En Cloudflare, hemos creado varias funciones que se engloban dentro de la categoría de protección de API y aplicaciones web (WAAP).
Protección y mitigación de DDoS
Nuestra red, que se extiende por más de 275 ciudades en más de 100 países, es el pilar de nuestra plataforma, y es un componente clave para mitigar ataques DDoS de cualquier tamaño.
Para ello, nuestra red es Anycast de manera intencionada y anuncia las mismas direcciones IP desde todas las ubicaciones, lo que nos permite "dividir" el tráfico entrante en segmentos manejables que cada ubicación puede procesar con facilidad, algo que es especialmente importante a la hora de mitigar ataques volumétricos de denegación de servicio distribuido (DDoS).
El diseño del sistema apenas requiere configuración, incluso ninguna, y "siempre está activo", lo que garantiza que los ataques se mitigan al instante. Si a esto le añadimos un software muy inteligente, como nuestra nueva mitigación de ataques con reconocimiento de ubicación, los ataques DDoS dejan de ser un problema.
Para los clientes con patrones de tráfico muy específicos, la capacidad de configuración total de nuestras reglas administradas de DDoS está a un solo clic.
Firewall de aplicaciones web
Nuestro WAF es un componente central de nuestra seguridad de aplicaciones y garantiza que los hackers y los detectores de vulnerabilidad lo tengan difícil para encontrar posibles vulnerabilidades en las aplicaciones web.
Esto es muy importante cuando las vulnerabilidades de día cero se hacen públicas, ya que hemos visto cómo los ciberdelincuentes intentan aprovechar los nuevos vectores a las pocas horas de hacerse públicos. Log4J, y aún más recientemente Confluence CVE, son solo dos ejemplos en los que hemos observado este comportamiento. Por ello, nuestro WAF está respaldado por un equipo de expertos en seguridad que supervisa, desarrolla y mejora de manera constante firmas para garantizar que "ganamos" un tiempo muy valioso para que nuestros clientes fortalezcan su seguridad y parcheen sus sistemas backend cuando sea necesario. Además, y de forma complementaria a las firmas, nuestro sistema de aprendizaje automático del WAF clasifica todas las solicitudes proporcionando una visualización mucho más amplia en los patrones de tráfico.
Nuestro WAF incluye muchas funciones avanzadas, como la comprobación de credenciales filtradas, análisis avanzados y alertas, y registro de carga útil.
Gestión de bots
No es ningún secreto que una gran parte del tráfico web está automatizado, y aunque no toda la automatización es mala, una parte es innecesaria y también puede ser maliciosa.
Nuestra solución de gestión de bots funciona en paralelo a nuestro WAF y puntúa cada petición con la probabilidad de que sea generada por un bot, lo que te permite filtrar con facilidad el tráfico no deseado implementando una regla personalizada del WAF, todo ello con el apoyo de análisis eficaces. Facilitamos esta tarea, manteniendo también una lista de bots verificados que se puede utilizar para seguir mejorando un política de seguridad.
En el caso de que quieras bloquear el tráfico automatizado, el desafío gestionado de Cloudflare solo afecta a los bots sin impactar en la experiencia de los usuarios reales.
API Gateway
El tráfico de API, por definición, está muy bien estructurado en relación con las páginas web estándar que usan los navegadores. Al mismo tiempo, las API tienden a ser abstracciones más cercanas a las bases de datos y los servicios de backend, lo que obliga a los ciberdelincuentes a prestar más atención, y a menudo pasan desapercibidas incluso para los equipos de seguridad internos (API paralelas).
API Gateway, que se puede añadir a nuestro WAF, te ayuda a detectar puntos finales de la API atendidos por tu infraestructura, y a detectar posibles anomalías en los flujos de tráfico que puedan indicar un riesgo, tanto desde una perspectiva volumétrica como secuencial.
La naturaleza de las API también permite a API Gateway proporcionar con más facilidad un modelo de seguridad positivo opuesto a nuestro WAF, que consiste en permitir solo el tráfico bueno conocido y bloquear todo lo demás. Para lograrlo, los clientes pueden aprovechar la protección con esquema y la autenticación de TLS mutuo (mTLS).
Page Shield
Los ataques que aprovechan el entorno del navegador directamente pueden pasar desapercibidos durante algún tiempo, ya que no requieren necesariamente que la aplicación de backend esté en riesgo. Por ejemplo, si una biblioteca JavaScript de terceros utilizada por una aplicación web tiene un comportamiento malicioso, los administradores de la aplicación y los usuarios pueden no darse cuenta mientras los datos de las tarjetas de crédito se filtran a un punto final de terceros controlado por un atacante. Este es un vector común para Magecart, uno de los muchos ataques de seguridad del lado cliente.
Page Shield resuelve la seguridad del lado cliente proporcionando una supervisión activa de las bibliotecas de terceros y alertando a los propietarios de las aplicaciones cuando un activo de terceros muestra actividad maliciosa. Aprovecha tanto los estándares públicos como las políticas de seguridad de contenidos (CSP) junto con clasificadores personalizados para garantizar la cobertura.
Page Shield, al igual que nuestros otros productos WAAP, está totalmente integrado en la plataforma de Cloudflare y se activa con solo un clic.
Centro de seguridad
El nuevo Centro de seguridad de Cloudflare es donde se aloja la cartera de soluciones WAAP. Un único lugar para que los profesionales de la seguridad obtengan una visión general de los activos de red e infraestructura protegidos por Cloudflare.
En el futuro planeamos que el Centro de seguridad sea el punto de partida para los análisis forenses y otros análisis, permitiéndote aprovechar también la información sobre amenazas de Cloudflare durante la investigación de incidentes.
La ventaja de Cloudflare
Nuestra cartera de soluciones WAAP se suministra desde una única plataforma horizontal, lo que te permite aprovechar todas las funciones de seguridad sin necesidad de realizar otras implementaciones. Además, Cloudflare gestiona por completo la escala, el mantenimiento y las actualizaciones, para que solo tengas que concentrarte en aportar valor empresarial a tu aplicación.
Esto se aplica no solo a las soluciones WAAP, ya que aunque empezamos a desarrollar productos y servicios para aplicaciones web, nuestra posición en la red nos permite proteger cualquier activo conectado a Internet, incluidos usuarios, oficinas y aplicaciones con conexión interna. Todo desde la misma plataforma. Nuestra cartera de soluciones Zero Trust es ahora una parte integral de nuestro negocio y los clientes WAAP pueden empezar a aprovechar nuestro perímetro de servicio de acceso seguro (SASE) con solo unos clics.
Si deseas consolidar tu postura de seguridad, tanto desde el punto de vista de la gestión como del presupuesto, los equipos de servicios para aplicaciones pueden utilizar la misma plataforma que los equipos de servicios informáticos internos utilizan para proteger a los usuarios y redes internas.
Seguimos innovando
No hemos desarrollado nuestra cartera de soluciones WAAP de la noche a la mañana. Solo en el último año hemos lanzado más de cinco importantes versiones de productos de seguridad incluidos en la cartera de soluciones WAAP. Para mostrar nuestra velocidad de innovación, te mostramos a continuación una selección de nuestros principales productos:
- API Shield con protección de esquema: los enfoques tradicionales de WAF basados en firmas (modelo de seguridad negativo) no siempre funcionan bien con datos bien estructurados como el tráfico de API. El rápido crecimiento del tráfico de API en la red nos llevó a diseñar un nuevo producto incremental que te permite aplicar los esquemas de las API directamente en el perímetro utilizando un modelo de seguridad positivo. Solo deja pasar los datos con formato correcto a tus servidores web de origen.
- Detección de abuso de la API: es complementaria a la protección con esquemas de la API, y te avisa siempre que se detectan anomalías en tus puntos finales de la API. Pueden ser consecuencia de flujos de tráfico inusuales o patrones que no siguen la actividad de tráfico normal.
- Nuestro nuevo firewall de aplicaciones web (WAF): se ha desarrollado sobre nuestro nuevo motor de reglas de perímetro y ha sido objeto de una revisión completa, desde las partes internas del motor hasta la interfaz de usuario. Hemos mejorado el rendimiento tanto en términos de latencia como de eficacia a la hora de bloquear las cargas útiles maliciosas, y hemos incorporado nuevas funciones que incluyen, entre otras, la comprobación de credenciales expuestas, las configuraciones para toda la cuenta y el registro de cargas útiles.
- Reglas administradas personalizables de DDoS: para proporcionar una flexibilidad de configuración adicional, hemos empezado a exponer algunas de nuestras reglas administradas de mitigación de DDoS internas para configuraciones personalizadas, con el fin de reducir aún más los falsos positivos y permitir a los clientes aumentar los umbrales/detecciones según sea necesario.
- Centro de seguridad: visibilidad de Cloudflare sobre la infraestructura y los activos de red, junto con alertas y notificaciones de configuraciones erróneas y posibles problemas de seguridad.
- Page Shield: con la creciente demanda de los clientes y el aumento de los vectores de ataque centrados en el entorno del navegador del usuario final, Page Shield te ayuda a detectar posibles filtraciones de JavaScript malicioso en el código de tu aplicación.
- API Gateway: gestión completa de la API, incluido el enrutamiento directamente desde el perímetro de Cloudflare, con la función de seguridad de API incorporada, incluido el cifrado y la autenticación de TLS mutuo (mTLS).
- Aprendizaje automático para la optimización del WAF: complementario a nuestro conjunto de reglas administradas del WAF, nuestro nuevo motor de aprendizaje automático puntúa cada solicitud de 1 (legítima) a 99 (maliciosa) dándote visibilidad adicional de cargas útiles maliciosas tanto válidas como no válidas y aumentando nuestra capacidad de detectar ataques selectivos y rastreos hacia tu aplicación.
Perspectivas
Nuestro plan de desarrollo incluye muchas funciones nuevas de seguridad de aplicaciones y mejoras en los sistemas existentes. Cuanto más aprendemos de Internet, más preparados nos sentimos para mantener tus aplicaciones seguras. ¡No pierdas detalle!
Gartner: “Magic Quadrant for Web Application and API Protection” (informe de Gartner Magic Quadrant sobre protección de API y aplicaciones web) analistas(s): Jeremy D'Hoinne, Rajpreet Kaur, John Watts, Adam Hils, 30 de agosto de 2022.
Gartner y Magic Quadrant son marcas comerciales registradas de Gartner, Inc. o sus filiales en los EE. UU. e internacionalmente, y se usan aquí con permiso. Todos los derechos reservados.
Gartner no respalda a ningún proveedor, producto o servicio descrito en sus publicaciones de investigación, y no aconseja a los usuarios de tecnología que seleccionen únicamente a los proveedores con las calificaciones más altas u otra designación.
Las publicaciones de investigación de Gartner se basan en las opiniones de la organización de investigación de Gartner y no se deben interpretar como declaraciones de hecho. Gartner rechaza toda garantía, expresa o implícita, con respecto a esta investigación, incluida cualquier garantía de comerciabilidad o idoneidad para un propósito particular.