Evaluación de soluciones WAF open source

Abstract

En la actualidad, la página web de una empresa constituye un activo crítico, siendo el blanco de ciberdelincuentes que buscan atacarla con el propósito de obtener información confidencial, perpetrar nuevos ataques o simplemente dañar la imagen de la organización. Frente a estas amenazas, los administradores recurren a los Firewalls de Aplicaciones Web (WAF) para prevenir problemas en las aplicaciones web, convirtiéndolos en un pilar esencial para salvaguardar la confidencialidad, integridad y disponibilidad de los activos digitales. Este trabajo se centra en el uso de soluciones WAF de código abierto. Se describen las principales vulnerabilidades de las aplicaciones web, junto con antecedentes, funcionamiento y la importancia de los WAF como componente de seguridad para garantizar la confidencialidad, integridad y disponibilidad de la información empresarial. Implementamos un laboratorio para mitigar ataques comunes en el aplicativo web vulnerable, OWASP Mutillidae II, utilizando soluciones WAF frente a amenazas como SQL Injection, XSS y File Inclusion, que figuran en el top 10 del Proyecto Abierto de Seguridad en Aplicaciones Web (OWASP). Posteriormente, tras lanzar los ataques y analizar las vulnerabilidades detectadas, el rendimiento y la accesibilidad de cada solución WAF se evaluaron como parte integral de la investigación. El objetivo final es determinar cuál de las tres soluciones WAF analizadas se destaca como la opción superior para que las empresas opten como solución WAF de código abierto.

Currently, a company's website is a critical asset, being the target of cybercriminals seeking to attack it with the purpose of obtaining confidential information, perpetrating new attacks, or simply damaging the organization's image. Faced with these threats, administrators turn to Web Application Firewalls (WAFs) to prevent issues in web applications, making them an essential pillar to safeguard the confidentiality, integrity, and availability of digital assets. This work focuses on the use of open-source WAF solutions. It describes the main vulnerabilities of web applications, along with background, functionality, and the importance of WAFs as a security component to ensure the confidentiality, integrity, and availability of business information. We implemented a laboratory to mitigate common attacks on the vulnerable web application, OWASP Mutillidae II, using WAF solutions against threats such as SQL Injection, XSS, and File Inclusion, which are listed in the top 10 of the Open Web Application Security Project (OWASP). Subsequently, after launching the attacks and analyzing the detected vulnerabilities, the performance and accessibility of each WAF solution were evaluated as an integral part of the research. The ultimate goal is to determine which of the three analyzed WAF solutions stands out as the superior option for companies to choose as an open-source WAF solution.

En l'actualitat, la pàgina web d'una empresa constitueix un actiu crític, sent l'objectiu de ciberdelinqüents que busquen atacar-la amb la finalitat d'obtenir informació confidencial, perpetrar nous atacs o simplement danyar la imatge de l'organització. Davant aquestes amenaces, els administradors recorren als Firewalls d'Aplicacions Web (WAF) per prevenir problemes a les aplicacions web, convertint-los en un pilar essencial per salvaguardar la confidencialitat, integritat i disponibilitat dels actius digitals. Aquest treball se centra en l'ús de solucions WAF de codi obert. Es descriuen les principals vulnerabilitats de les aplicacions web, juntament amb antecedents, funcionament i la importància dels WAF com a component de seguretat per garantir la confidencialitat, integritat i disponibilitat de la informació empresarial. Implementem un laboratori per mitigar atacs comuns a l'aplicatiu web vulnerable, OWASP Mutillidae II, utilitzant solucions WAF davant amenaces com SQL Injection, XSS i File Inclusion, que figuren al top 10 del Projecte Obert de Seguretat en Aplicacions Web (OWASP). Posteriorment, després de llançar els atacs i analitzar les vulnerabilitats detectades, el rendiment i l'accessibilitat de cada solució WAF es van avaluar com a part integral de la recerca. L'objectiu final és determinar quina de les tres solucions WAF analitzades destaca com l'opció superior per a les empreses que optin com a solució WAF de codi obert.