Suscríbete para recibir notificaciones de nuevas publicaciones:

Evita los ataques antes de que se conozcan: el WAF de Cloudflare es ahora más inteligente

09/12/2022

7 min de lectura
Stop attacks before they are known: making the Cloudflare WAF smarter

El WAF de Cloudflare ayuda a los propietarios de los sitios a proteger su aplicación contra los atacantes. Para ello, analiza el tráfico con las reglas administradas de Cloudflare: reglas especializadas escritas a mano que detectan y evitan las cargas maliciosas. Sin embargo, tienen un problema: a menos que una regla se haya escrito para un ataque determinado, no lo detectará.

Hoy, resolvemos este problema, ya que nuestro WAF es ahora más inteligente. Anunciamos que nuestro sistema de puntuación de ataque del WAF ya está disponible de forma general.

Los clientes de nuestros paquetes de seguridad básica y avanzada del plan Enterprise accederán de forma gradual a esta nueva función. Todos los demás clientes del plan Enterprise podrán acceder en los próximos meses.

Nuestro sistema de puntuación de ataque del WAF, totalmente complementario de nuestras reglas administradas de Cloudflare, clasifica todas las solicitudes utilizando un modelo entrenado con positivos reales observados en toda la red de Cloudflare. De esta forma, puedes detectar (y bloquear) la evasión, la omisión y las nuevas técnicas de ataque antes de que sean conocidas públicamente.

El problema de los WAF basados en la firma

Los atacantes que intentan infiltrar las aplicaciones web a menudo utilizan cargas conocidas o recientemente expuestas. Desarrollamos el WAF de Cloudflare para manejar también estos ataques. De hecho, el conjunto de reglas administradas de Cloudflare y el conjunto de reglas administradas OWASP de Cloudflare se actualizan continuamente. Su objetivo es proteger las aplicaciones web contra las amenazas conocidas, al mismo tiempo que minimizan los falsos positivos.

El asunto se complica en el caso de los ataques que no se conocen públicamente. Estos se denominan a menudo ataques de día cero. Aunque nuestros equipos hacen todo lo posible por investigar los nuevos vectores de amenaza y mantener actualizadas las reglas administradas de Cloudflare, la velocidad humana es un factor limitante. Cada vez que aparece un nuevo vector, los atacantes tienen una nueva oportunidad de omitir la mitigación.

El ataque de RCE a Log4j es un ejemplo conocido por todos, donde tuvimos que implementar frecuentes actualizaciones de las reglas a medida que descubríamos nuevas omisiones cambiando los patrones de ataque conocidos.

La solución: complementar las firmas con un modelo de puntuación de aprendizaje automático

Nuestro sistema de puntuación de ataque del WAF es una mejora basada en el aprendizaje automático del WAF de Cloudflare. Puntúa cada solicitud según sea más o menos probable de que se trate de una solicitud maliciosa. Puedes utilizar esta puntuación, junto con las reglas administradas de Cloudflare existentes, para implementar reglas personalizadas del WAF para proteger tu aplicación.

¿Cómo utilizamos el aprendizaje automático en el WAF de Cloudflare?

En cualquier problema de clasificación, la calidad del conjunto de datos de entrenamiento está directamente relacionada con la calidad del resultado de la clasificación. Por lo tanto, dedicamos muchos esfuerzos a preparar los datos de entrenamiento.

Y aquí es donde utilizamos uno de los poderes especiales de Cloudflare: aprovechamos la visibilidad de la red de Cloudflare recopilando millones de muestras de positivos reales generadas por nuestro WAF existente basado en la firma, y la mejoramos aún más mediante la utilización de las técnicas que describimos en "Mejora de la precisión del WAF de aprendizaje automático".

Esto nos ha permitido entrenar un modelo que puede clasificar, dada una solicitud HTTP, la probabilidad de que dicha solicitud contenga una carga maliciosa. Lo que es más importante, también puede clasificar cuando una solicitud es muy similar a un positivo real conocido, pero aun así suficientemente distinta para evitar una coincidencia de regla administrada.

El modelo se ejecuta en línea con el tráfico HTTP y, a partir de hoy, está optimizado para tres categorías de ataque: inyección de código SQL (SQLi), scripting entre sitios (XSS) y una amplia variedad de ataques de ejecución remota de código (RCE) como, por ejemplo, inyección de shell, inyección de PHP, riesgos de tipo Apache Struts, Apache log4j y ataques similares que causan la ejecución remota de código (RCE). Tenemos previsto añadir próximamente más tipos de ataque.

Los resultados de las puntuaciones son similares a las puntuaciones de la gestión de bots. Van del 1 al 99, donde las puntuaciones más bajas indican solicitudes HTTP maliciosas o posiblemente maliciosas y las puntuaciones más altas solicitudes HTTP limpias o posiblemente limpias.

Scale showing distribution of the WAF Attack Score between 1 and 99

Demostramos el valor inmediato

Como ejemplo de la eficacia de este nuevo sistema, el 13 de octubre de 2022 identificamos CVE-2022-42889 como una "Gravedad crítica" en Apache Commons Text que afecta a las versiones 1.5 a 1.9.

Las reglas administradas de Cloudflare no bloquearon de forma inmediata la carga utilizada en el ataque. No obstante, el sistema de puntuación de ataque la identificó correctamente (debido a una puntuación muy baja). Esto nos permitió proteger los puntos finales e identificar el ataque sin ningún tiempo de implementación. Por supuesto, aun así actualizamos también las reglas administradas de Cloudflare para cubrir el nuevo vector de ataque. Esto nos permite mejorar nuestros datos de entrenamiento, ya que seguimos completando nuestro bucle de información.

Descubre lo que no sabes con los nuevos análisis de seguridad

Además del sistema de puntuación de ataque, tenemos otro anuncio importante: nuestros nuevos análisis de seguridad. Puedes encontrar más información sobre ellos en el anuncio oficial.

Con los nuevos análisis de seguridad, puedes visualizar la distribución de la puntuación de ataque, independientemente de si las solicitudes se han bloqueado o no, y puedes explorar ataques potencialmente maliciosos antes de implementar las reglas.

La vista no muestra únicamente la puntuación de ataque del WAF. También muestra la gestión de bots y la exploración del contenido, y permite combinar y correlacionar los filtros como prefieras.

Snapshot from the dashboard showing the Analytics default view

Cómo utilizar la puntuación de ataque del WAF y los análisis de seguridad

Hagamos una demostración para detectar ataques utilizando los nuevos análisis de seguridad. A continuación, utilizaremos las puntuaciones de ataque del WAF para mitigarlos.

Primeros pasos con los análisis de seguridad

Esta nueva vista tiene la capacidad de mostrarte toda la información sobre tu tráfico en una única ubicación. Dispones de decenas de filtros que puedes combinar y correlacionar, las estadísticas principales y varias distribuciones de gráficos interactivos, así como las muestras de registros para verificar tu hipótesis. Básicamente, te permite obtener una vista previa de una serie de filtros, sin necesidad de crear primero reglas personalizadas del WAF.

Paso 1 - acceder a los nuevos análisis de seguridad: para acceder a los nuevos análisis de seguridad en el panel de control, ve a la pestaña "Seguridad" (Seguridad > Análisis), la pestaña anterior (Seguridad > Información general) aún existe en (Seguridad > Eventos). Por ahora, para poder ver los nuevos análisis de seguridad, debes tener acceso al menos a la puntuación de ataque del WAF.

Paso 2 - analizar la información: en la página de los nuevos análisis, verás la distribución temporal de todo tu tráfico, junto con muchos filtros, en la parte derecha, que muestran las distribuciones correspondientes a distintas funciones, tales como la puntuación de ataque del WAF y la puntuación de la gestión de bots, para que aplicar los interesantes filtros que hemos añadido a la sección “Información" sea increíblemente fácil.

Graph displayed in the dashboard showing HTTP requests distribution

Si eliges la opción "Análisis de ataques", verás una descripción general en forma de gráfico apilado del aspecto de tu tráfico desde la perspectiva de la puntuación de ataque del WAF.

Snapshot from the dashboard showing Attack analysis stacked chart distribution

Paso 3 - filtrar según el tráfico de ataque: una buena manera de empezar es buscar solicitudes HTTP no mitigadas que se han clasificado como ataques. Para ello, utiliza los controles deslizantes de la puntuación de ataque situados a la derecha, o bien selecciona cualquiera de los filtros de la información, que son atajos de un solo clic muy fáciles de utilizar. Todos los gráficos se actualizarán automáticamente según los filtros seleccionados.

Snapshot shows insights usage to propagate multiple filters at once

Paso 4 - verificar el tráfico de ataque. Para ello, amplía la muestra de registros situada debajo del gráfico de distribución del tráfico. Por ejemplo, en el siguiente registro ampliado, puedes ver una puntuación muy baja de RCE, lo que indica un "ataque", junto con una puntuación de bot que indica que la solicitud estaba "Probablemente automatizada". Si comprobamos el campo "Ruta", podemos confirmar que realmente se trata de una solicitud maliciosa. Ten en cuenta que actualmente no se registran/muestran todos los campos. Por ejemplo, una solicitud podría recibir una puntuación baja debido a una carga maliciosa en el cuerpo HTTP, lo que en estos momentos no podemos verificar fácilmente en la muestra de registros.

Expanded log of an attack from the new analytics view

Paso 5 - crear una regla para mitigar el tráfico de ataque: una vez que has verificado que tu filtro no coincide con falsos positivos, con un solo clic en el botón "Crear regla personalizada" irás al creador de reglas personalizadas del WAF, donde todos tus filtros ya estarán completados y listos para que hagas clic en "Implementar".

Puntuaciones de ataque en los registros de eventos de seguridad

Las puntuaciones de ataque del WAF también están disponibles en los registros HTTP y si vas a (Seguridad > Eventos) al ampliar cualquiera de las muestras de registros de eventos:

Expanded log in the security events tab highlighting WAF attack scores

Ten en cuenta que todos los nuevos campos están disponibles en las reglas personalizadas del WAF y las reglas de limitación de velocidad del WAF. Estas se documentan en nuestra documentación para los desarrolladores: cf.waf.score, cf.waf.score.xss, cf.waf.score.sqli y cf.waf.score.rce.

Aunque la forma más fácil de utilizar estos campos es empezar desde nuestro panel de control de los nuevos análisis de seguridad, puedes utilizarlos tal cual al crear reglas y, por supuesto, combinarlos con cualquier otro campo disponible. El ejemplo siguiente despliega una regla de Acción "Registro" para cualquier solicitud con una puntuación de ataque del WAF agregada (cf.waf.score) inferior a 40.

Dashboard view of a custom rule with action log for WAF Attack Score less than 40

¿Y después?

Esta es solo la primera de muchas medidas para que nuestro WAF de Cloudflare sea verdaderamente "inteligente". Además de implementar esta nueva tecnología en más clientes, ya estamos trabajando para proporcionar una visibilidad aún mayor y para abarcar vectores de ataque adicionales. Para mantenerte al corriente de eso y mucho más, ¡estate atento!

Protegemos redes corporativas completas, ayudamos a los clientes a desarrollar aplicaciones web de forma eficiente, aceleramos cualquier sitio o aplicación web, prevenimos contra los ataques DDoS, mantenemos a raya a los hackers, y podemos ayudarte en tu recorrido hacia la seguridad Zero Trust.

Visita 1.1.1.1 desde cualquier dispositivo para empezar a usar nuestra aplicación gratuita y beneficiarte de una navegación más rápida y segura.

Para saber más sobre nuestra misión para ayudar a mejorar Internet, empieza aquí. Si estás buscando un nuevo rumbo profesional, consulta nuestras ofertas de empleo.
WAF (ES)WAF Attack Score (ES)Machine Learning (ES)Español

Síguenos en X

Radwa Radwan|@RadwaRadwan__
Cloudflare|@cloudflare

Publicaciones relacionadas

04 de marzo de 2024, 14:00

Cloudflare lanza AI Assistant para los análisis de seguridad

AI Assistant para los análisis de seguridad. Ahora es más fácil que nunca obtener datos eficaces sobre tu seguridad web. Utiliza la nueva interfaz integrada de consulta en lenguaje natural para explorar los análisis de seguridad...

23 de enero de 2024, 14:00

Cómo el WAF con IA de Cloudflare detectó una vulnerabilidad crítica de día cero en Ivanti Connect Secure

La implementación de reglas de emergencia de Cloudflare el 17 de enero de 2024, que abordaron específicamente las dos vulnerabilidades, ayudó a los clientes que no se benefician del modelo de IA a hacer frente a estas amenazas...