Implante o WAF no perímetro da rede e o RASP no runtime da aplicação para obter defesa em camadas contra ataques web.
A Alibaba Cloud oferece duas camadas de defesa:
Web Application Firewall (WAF) — filtra tráfego malicioso no perímetro da rede.
Runtime Application Self-Protection (RASP) — detecta ataques diretamente no runtime da aplicação.
Utilize ambas as soluções em conjunto para garantir defesa em profundidade.
Ameaças comuns a aplicações web
Aplicações web que aceitam entrada de usuários são alvos potenciais. Atacantes exploram falhas como validação inadequada de parâmetros e execução dinâmica de código.
|
Ameaça |
Descrição |
|
Injeção de SQL |
Código SQL malicioso inserido em campos de entrada executa operações não autorizadas no banco de dados para roubar, modificar ou excluir dados. |
|
Cross-site scripting (XSS) |
Scripts maliciosos injetados em páginas web são executados nos navegadores de outros usuários, causando sequestro de sessão e vazamento de dados. |
|
Upload de Webshell |
Aproveitando-se de vulnerabilidades de upload de arquivos, atacantes instalam um webshell no servidor para obter controle remoto. |
|
Injeção de comandos |
Comandos do sistema operacional injetados por meio das entradas da aplicação executam comandos arbitrários no servidor. |
|
Travessia de diretórios |
Referências manipuladas a caminhos de arquivo permitem acessar arquivos e pastas fora do escopo pretendido. |
|
Inclusão de arquivos |
A inclusão local ou remota de arquivos força a aplicação a carregar e executar arquivos não intencionais. |
|
Cross-site request forgery (CSRF) |
Engana usuários autenticados para que enviem solicitações não intencionais, realizando ações sem o conhecimento deles. |
Arquitetura de defesa: WAF + RASP
O WAF e o RASP protegem em camadas diferentes. Juntas, essas tecnologias cobrem ameaças que nenhuma delas conseguiria tratar isoladamente.
|
Camada |
Tecnologia |
Como funciona |
Protege contra |
|
Perímetro da rede (primeira linha de defesa) |
WAF |
Inspeciona solicitações e respostas HTTP/HTTPS antes que cheguem à aplicação. Utiliza regras atualizadas e análise baseada em IA para bloquear padrões de ataque conhecidos. |
Injeção de SQL, XSS, assinaturas de exploits conhecidos, padrões de solicitações maliciosas |
|
Runtime da aplicação (segunda linha de defesa) |
RASP |
Integra-se ao runtime da aplicação (como uma JVM). Intercepta funções-chave para monitorar o comportamento real da aplicação. |
Vulnerabilidades de dia zero, ataques com tráfego criptografado, webshells em memória, ataques que burlam a detecção no nível de rede |
Primeira linha de defesa: WAF
O WAF inspeciona todo o tráfego HTTP/HTTPS de entrada. Regras continuamente atualizadas e análise baseada em IA bloqueiam padrões de ataque conhecidos antes que as solicitações alcancem os servidores de backend.
Adquira uma edição do WAF
Selecione uma edição do WAF com base na escala do seu site e no volume de tráfego.
|
Edição |
Caso de uso |
|
Pro |
Sites pequenos e médios sem requisitos especiais de segurança |
|
Business |
Sites corporativos expostos à internet com altos requisitos de segurança |
|
Enterprise |
Grandes sites corporativos com alto tráfego ou requisitos de segurança personalizados |
Consulte Planos e edições do WAF para obter uma comparação detalhada.
Conecte o site ao WAF
O WAF 3.0 suporta três tipos de conexão.
|
Tipo de conexão |
Como funciona |
Mais indicado para |
Guia de configuração |
|
Aponta o registro DNS do domínio para o endereço CNAME do WAF. Todo o tráfego público passa pelo WAF antes de chegar ao servidor. |
Qualquer servidor de origem acessível pela internet, seja na Alibaba Cloud, em outras nuvens ou on-premises. |
||
|
Integra serviços da Alibaba Cloud diretamente ao WAF. Não requer alterações de DNS. |
Serviços da Alibaba Cloud: ECS, ALB, CLB, NLB, API Gateway (APIG), Microservices Engine (MSE), Function Compute (FC) e Serverless App Engine (SAE). |
||
|
Implanta o plugin do SDK do WAF em um gateway autoconstruído, como Nginx ou APISIX. O tráfego é copiado para um cluster do WAF em modo bypass para detecção sem encaminhamento. |
Ambientes de nuvem híbrida com servidores web on-premises. |
-- |
Nota: O modo de registro CNAME funciona para qualquer servidor de origem, independentemente do local de hospedagem. O modo cloud native oferece a configuração mais simples para serviços da Alibaba Cloud. Utilize o modo de nuvem híbrida quando o tráfego não puder ser redirecionado por um cluster externo do WAF.
Segunda linha de defesa: RASP
O WAF filtra o tráfego no perímetro da rede, mas alguns ataques conseguem burlar a detecção nesse nível. Tráfego criptografado, exploits de dia zero e payloads projetados para contornar regras baseadas em assinatura podem passar despercebidos.
O RASP integra-se diretamente ao runtime da aplicação — por exemplo, como um probe da JVM — e intercepta funções-chave para monitorar o comportamento de execução. Quando uma solicitação aciona uma consulta ao banco de dados, o RASP analisa a instrução SQL real, e não apenas a solicitação de rede. Esse contexto de runtime torna o RASP eficaz contra ameaças que o WAF não consegue capturar sozinho.
O que o RASP detecta e o WAF pode perder
|
Ameaça |
Por que o WAF pode não detectar |
Como o RASP detecta |
|
Vulnerabilidades de dia zero |
Ausência de assinatura correspondente na biblioteca de regras. |
Monitora o comportamento do runtime em busca de chamadas de função anômalas, independentemente do exploit utilizado. |
|
Ataques com tráfego criptografado |
Impossibilidade de inspecionar payloads criptografados de ponta a ponta. |
Opera após a descriptografia, visualizando os dados reais processados. |
|
Webshells em memória |
Nenhum arquivo gravado em disco, o que invalida a detecção baseada em arquivos. |
Intercepta operações de memória e chamadas de função para identificar código malicioso residente na memória. |
|
Ataques de desserialização |
Payloads maliciosos em objetos serializados podem não corresponder às assinaturas do WAF. |
Monitora funções de desserialização e bloqueia a execução de códigos inesperados. |
Implante o RASP
Ative o RASP por meio da proteção de aplicações do Security Center. O RASP é implantado como um probe ou módulo no runtime da aplicação. Consulte Conectar à proteção de aplicações.
Comparação entre WAF e RASP
|
WAF |
RASP |
|
|
Camada de proteção |
Perímetro da rede |
Runtime da aplicação |
|
Método de detecção |
Inspeção de tráfego HTTP/HTTPS baseada em regras e IA |
Monitoramento de comportamento do runtime via interceptação de funções |
|
Implantação |
Externa à aplicação (alteração de DNS, integração cloud native ou plugin de SDK) |
Integrada ao runtime da aplicação (probe da JVM) |
|
Ponto forte |
Bloqueia padrões de ataque conhecidos antes que cheguem à aplicação |
Captura exploits de dia zero, ataques com tráfego criptografado e ameaças em memória |
|
Limitação |
Não detecta ataques que burlam a correspondência de assinaturas ou se ocultam em tráfego criptografado |
Protege apenas a aplicação na qual está integrado |
|
Configuração |
Implante o WAF para filtrar ataques conhecidos no perímetro da rede e adicione o RASP para capturar ameaças que burlam a detecção no nível de rede. Em conjunto, eles fornecem proteção em camadas desde a borda da rede até o runtime da aplicação.