Gli strumenti di attacco automatici colpiscono i siti tutto il giorno, e non si fermano a controllare se un sito è grande, piccolo, popolare o sconosciuto. Un web application firewall è il livello che legge ogni richiesta in arrivo prima del tuo sito e blocca quelle dannose. Ciò che lo distingue dagli altri strumenti di sicurezza è il livello a cui lavora e cosa legge davvero.
La maggior parte del traffico che prova a entrare in un sito non arriva da una persona seduta davanti a una tastiera. Arriva da strumenti automatici che scorrono elenchi di punti deboli noti e mandano richieste dannose a migliaia di siti in una volta. Un web application firewall è progettato proprio per intercettarle. Per il quadro completo del perché i siti vengono presi di mira, qualunque sia la dimensione o lo scopo, leggi l'articolo su perché la sicurezza del sito è importante.
Cos'è un web application firewall?
Un web application firewall, spesso chiamato WAF, è un livello di protezione che si trova tra internet e il tuo sito. Ogni richiesta che arriva al tuo sito passa prima dal firewall. Il firewall controlla ogni richiesta con una serie di regole e decide se lasciarla passare o bloccarla.
La differenza di fondo tra un web application firewall e un normale firewall di rete è ciò che guardano. Un firewall di rete lavora a livello di connessione, e controlla quali server possono parlarsi. Un web application firewall guarda il contenuto della richiesta stessa, ed è lì che si nascondono gli attacchi web. Legge cosa viene inviato, non solo da dove arriva.
Come funziona un web application firewall?
Cosa legge
- Ogni richiesta in arrivo porta con sé informazioni: l'URL richiesto, i dati inviati tramite i moduli e i dettagli che il browser manda insieme alla richiesta
- Il firewall legge tutto questo confrontandolo con un insieme di regole che descrivono come sono fatte le richieste dannose
- Le richieste che corrispondono a uno schema dannoso vengono bloccate prima ancora di arrivare al server o al codice del tuo sito
Come decide cosa bloccare
- I firewall usano insiemi di regole che descrivono schemi di attacco noti. Vengono aggiornati con regolarità man mano che si scoprono nuovi metodi di attacco
- Alcuni firewall guardano anche il comportamento nel tempo. Una fonte che manda centinaia di richieste al secondo, o che sonda il sito con uno schema tipico di uno strumento di scansione, può essere bloccata anche se nessuna singola richiesta viola una regola specifica
- I servizi di firewall gestiti aggiornano le regole in automatico. Un firewall con regole vecchie è molto meno efficace contro gli attacchi di oggi
Quali tipi di attacchi ferma un web application firewall?
SQL injection
- La SQL injection è uno degli attacchi web più comuni. Funziona inserendo comandi dannosi per il database in un campo di un modulo o in un URL, con l'obiettivo di far eseguire al sito quei comandi come se fossero istruzioni vere
- Un attacco SQL injection riuscito può permettere a un aggressore di estrarre ogni record dal database, cambiare i contenuti o cancellarli del tutto
- Un web application firewall riconosce gli schemi che questi attacchi usano e li blocca prima che arrivino al sito
Cross-site scripting
- Il cross-site scripting, spesso chiamato XSS, funziona inserendo script dannosi in una pagina che altri visitatori poi caricano nei loro browser
- Quegli script possono rubare sessioni di accesso, reindirizzare i visitatori ad altri siti o raccogliere informazioni inserite nei moduli senza che nessuno se ne accorga
- Un firewall blocca le richieste che portano questi schemi di attacco prima che qualsiasi codice dannoso possa raggiungere la pagina
Traffico di bot dannosi
- I bot automatici costituiscono una quota importante del traffico dei siti. Alcuni sono innocui, come i crawler dei motori di ricerca. Altri sono creati per cercare punti deboli, provare un gran numero di password sulla pagina di accesso o copiare contenuti
- Un web application firewall può individuare e bloccare i bot che corrispondono a schemi dannosi noti, riducendo ciò che riescono a trovare e il carico che mettono sul server
Strumenti di attacco noti
- Gli aggressori usano strumenti che mandano richieste secondo schemi studiati e documentati. Le loro firme sono incluse negli insiemi di regole dei firewall
- Un web application firewall con regole aggiornate blocca in automatico le richieste che corrispondono a questi schemi, senza che serva alcuna azione
Cosa un web application firewall non può fermare da solo
Un firewall è un livello di una configurazione di sicurezza, non una risposta completa da solo.
Accessi con password rubate
- Un web application firewall non può sapere se un accesso è stato fatto dal vero proprietario dell'account o da qualcuno che ha ottenuto la password altrove
- Un accesso con nome utente e password corretti sembra una richiesta normale. Il firewall lo lascia passare
- Per questo servono ancora password forti e autenticazione a due fattori insieme al firewall. Per vedere come queste protezioni lavorano insieme, leggi l'articolo su come proteggere il tuo sito dagli hacker
Nuovi metodi di attacco a cui le regole non si sono ancora adattate
- Quando si scopre un nuovo punto debole nel software di un sito, c'è un intervallo tra il momento in cui gli attacchi iniziano a usarlo e quello in cui le regole del firewall vengono aggiornate per bloccarlo
- In quella finestra il firewall può lasciar passare proprio quegli attacchi
- Tenere aggiornato il software del sito insieme a un firewall chiude molto questo intervallo
Codice dannoso già presente sul sito
- Un web application firewall filtra le richieste in arrivo. Non scansiona i file del sito alla ricerca di codice dannoso che potrebbe già essere lì per un attacco precedente
- Se qualcosa è arrivato sul sito prima che il firewall fosse attivo, o con un metodo che il firewall non ha intercettato, non verrà rilevato
- Per capire com'è fatto il codice dannoso su un sito e come affrontarlo, leggi l'articolo su cos'è il malware di un sito e come colpisce il tuo sito
Firewall a livello di rete e a livello di sito
Firewall a livello di rete
- Un firewall a livello di rete opera a livello di hosting e filtra il traffico prima che arrivi ai singoli siti
- Di solito li offre la società di hosting o la CDN. Sono fatti per bloccare attacchi su larga scala, inclusi gli attacchi a inondazione che cercano di mandare giù i server inviando enormi volumi di traffico tutti insieme
- Lavorano a un livello ampio e sono più bravi a filtrare il volume di traffico e gli schemi di connessione che a leggere il contenuto specifico delle singole richieste
Firewall a livello di sito
- Un web application firewall a livello di sito opera più vicino al sito e legge il contenuto reale di ogni richiesta, e intercetta schemi di attacco che un firewall di rete può non vedere
- Si possono impostare a livello di piattaforma sui servizi di hosting gestito o aggiungere con un plugin o un servizio di sicurezza sui siti gestiti in proprio
- I due tipi coprono ambiti diversi e funzionano bene insieme. Un provider di hosting che include la protezione firewall a livello di rete gestisce già una buona parte degli attacchi automatici prima che serva qualsiasi configurazione a livello di sito
Come un web application firewall rientra in una sicurezza completa
Un firewall lavora insieme ad altre protezioni, ognuna delle quali copre un tipo di rischio diverso.
- Un firewall filtra le richieste dannose. Tenere il software aggiornato chiude i punti deboli che quelle richieste cercano. Insieme coprono i due modi più comuni in cui entrano gli attacchi
- Password forti e autenticazione a due fattori fermano l'accesso tramite dati di accesso rubati, che nessun firewall può bloccare da solo
- I backup permettono al sito di riprendersi in fretta quando qualcosa riesce a passare. Leggi l'articolo su come fare il backup del tuo sito per la guida completa
Come WEMASY gestisce la protezione firewall
L'hosting di WEMASY include protezione firewall e filtraggio del traffico a livello di rete. Le richieste dannose e gli attacchi a inondazione vengono filtrati prima che raggiungano i singoli siti sulla piattaforma. È integrato in ogni piano e non richiede alcuna impostazione o configurazione da parte dei proprietari dei siti.
Gli aggiornamenti del software sono gestiti a livello di piattaforma e tengono i siti protetti dai punti deboli noti senza che serva alcuna azione. I certificati SSL sono inclusi e applicati in automatico su ogni sito.
Scopri cosa è incluso nel creatore di siti WEMASY o guarda i piani nella pagina dei prezzi.
Domande frequenti
Cos'è un web application firewall?
Un web application firewall, o WAF, è un livello di protezione che si trova tra il tuo sito e il traffico che arriva da internet. Controlla ogni richiesta in arrivo con un insieme di regole che descrivono come sono fatte le richieste dannose, e blocca quelle che corrispondono prima che arrivino al tuo sito. È diverso da un normale firewall di rete, che controlla le connessioni a un livello più ampio. Un web application firewall legge il contenuto di ogni richiesta, ed è lì che si nascondono gli attacchi web. Con il creatore di siti di WEMASY puoi impostarlo direttamente sul tuo sito.
Quali attacchi blocca un web application firewall?
Un web application firewall blocca una serie di attacchi web comuni, tra cui SQL injection (inserire comandi dannosi per il database in un modulo o in un URL), cross-site scripting (inserire script dannosi in pagine che altri visitatori poi caricano) e traffico di bot che scansionano il sito in cerca di punti deboli. Blocca anche le richieste di strumenti di attacco noti che inviano richieste con schemi riconoscibili. Il firewall lo fa in automatico, in base a regole che vengono aggiornate quando si scoprono nuovi metodi di attacco.
Un web application firewall sostituisce le altre misure di sicurezza?
No. Un web application firewall è una parte di una configurazione di sicurezza, non una soluzione completa. Filtra le richieste dannose in arrivo ma non può fermare gli attacchi che usano password rubate, perché un accesso con i dati corretti sembra una richiesta normale. Inoltre non scansiona i file del sito alla ricerca di codice dannoso che potrebbe già essere lì. Funziona meglio insieme a password forti, autenticazione a due fattori, aggiornamenti del software e backup regolari.
Qual è la differenza tra un firewall di rete e un web application firewall?
Un firewall di rete controlla il traffico a livello di connessione e decide quali server e reti possono comunicare tra loro. Un web application firewall lavora a livello di contenuto: legge i dettagli di ogni richiesta in arrivo e blocca quelle che corrispondono a schemi dannosi. Lavorano a livelli diversi e hanno scopi diversi. Molti provider di hosting includono una protezione firewall a livello di rete che gestisce gli attacchi su larga scala, mentre un web application firewall aggiunge una protezione più specifica per il contenuto e il codice del sito stesso.
Mi serve un web application firewall se il mio hosting include già una protezione firewall?
La protezione firewall a livello di hosting di solito opera a livello di rete e filtra attacchi su larga scala e inondazioni di traffico. Un web application firewall opera più vicino al sito e può leggere il contenuto delle singole richieste, e intercetta schemi di attacco che un firewall di rete può non vedere. Se ti servono entrambi dipende da come è configurato il tuo hosting. Le piattaforme di hosting gestito che includono la protezione firewall a livello di piattaforma spesso coprono i tipi di attacco più comuni senza altre impostazioni. Per l'hosting gestito in proprio, vale la pena aggiungere un web application firewall.
Ogni quanto vengono aggiornate le regole di un web application firewall?
I servizi di web application firewall gestiti aggiornano le regole in automatico quando si scoprono e si documentano nuovi metodi di attacco. È uno dei motivi principali per usare un servizio gestito invece di una configurazione manuale. Regole non aggiornate rendono un firewall molto meno efficace contro gli attacchi di oggi. Quando usi un firewall o un plugin gestito in proprio, assicurarti che riceva aggiornamenti regolari è importante quanto averlo installato.