DNS
Encuentra el servicio publicado.
SEGURIDAD DE APLICACIONES Y WEB
Su aplicación debe estar disponible. Eso no significa que deba estar expuesta sin control.
Los portales, los sistemas corporativos, las APIs y los servicios web conectan a clientes, colaboradores, socios y aplicaciones directamente con los procesos digitales de las organizaciones.
Cada servicio publicado también amplía la superficie que debe comprenderse, controlarse y monitorearse.
Add Solution diseña e implementa arquitecturas de seguridad para aplicaciones y servicios web combinando WAF, protección HTTP/HTTPS, TLS, control de acceso, políticas, visibilidad e integración con la infraestructura de seguridad para reducir la exposición sin comprometer la experiencia legítima de uso.
INTERNETTLSIDENTIDAD
PROTECCIÓN WEB / POLÍTICA
APLICACIÓNAPIBACKEND
ENGENHARIA APLICADA
Proteger aplicações exige compreender exposição, fluxo e comportamento legítimo.
A Add Solution conecta WAF, proteção de APIs, TLS, políticas, telemetria e processos de correção sem confundir mitigação com eliminação da causa.
Arquitetura, execução e operação tratadas como partes da mesma responsabilidade.
LA APLICACIÓN ES PARTE DEL PERÍMETRO
Cuando una aplicación es accesible desde Internet, su interfaz pasa a formar parte de la superficie de exposición.
DNS, direccionamiento, firewall, NAT, load balancing, reverse proxy, TLS, WAF, aplicación, API, backend e identidad forman una cadena.
Red
Ofrece conectividad controlada.
Firewall
Controla las comunicaciones entre zonas.
TLS
Protege los datos en tránsito.
WAF
Agrega contexto HTTP/HTTPS.
proxy inverso
Intermedia la publicación.
Aplicación
Entregar la función empresarial.
backend
Procesa servicios y datos.
Proteger únicamente el punto de entrada no significa comprender lo que lo atraviesa.Seguridad de Redes y Firewall
FIREWALL ≠ WAF
El firewall y el WAF protegen capas diferentes de la arquitectura.
Un firewall controla las comunicaciones de red según direcciones, puertos, protocolos y otros contextos. Un WAF analiza las solicitudes y respuestas web para aplicar políticas HTTP/HTTPS y de aplicación.
SEGURIDAD DE RED → HTTP/HTTPS → SEGURIDAD DE APLICACIONES
Permitir HTTPS en el firewall es necesario para publicar una aplicación. Eso no significa que todo el contenido transportado por HTTPS deba considerarse legítimo.
Un WAF añade contexto de aplicación a la protección del servicio publicado.
La inspección HTTP/HTTPS, la validación de solicitudes y protocolos, signatures, controles de comportamiento, reputación, rate controls, políticas positivas o negativas, protección contra clases de ataques y logging pueden existir según la plataforma.
Un WAF añade una capa de protección. Por sí solo, no corrige una aplicación insegura.
Los frameworks ayudan a comprender las clases de riesgo.
El control de acceso, la inyección, las configuraciones inseguras, la autenticación, los componentes, la integridad, el logging, SSRF y otros riesgos deben analizarse según la aplicación, la arquitectura y el contexto. Un WAF no elimina el OWASP Top 10.
Podemos bloquear aquello que sabemos que es malicioso y definir aquello que debería permitirse.
La seguridad negativa identifica patrones no deseados; la seguridad positiva define las características esperadas para determinadas interacciones según la capacidad y el contexto.
Cuanto mejor comprendemos el comportamiento legítimo, mejor podemos distinguir lo que requiere atención.
HTTPS protege el transporte. No determina si la solicitud es legítima.
Los certificados, la terminación, la descarga de procesamiento, la cadena de confianza, los protocolos, los algoritmos de cifrado, la renovación y la vigencia forman parte de la arquitectura.
El cifrado protege la comunicación en tránsito. No convierte automáticamente en seguro el contenido transportado.
La vigencia y la cadena de confianza también son requisitos operativos.
El inventario, la validez, la renovación, la cadena, los dominios, SAN, wildcard cuando corresponda, la automatización y el monitoreo cuando sean compatibles reducen fallas por certificados expirados o incorrectos.
La aplicación no tiene que publicarse necesariamente de forma directa en Internet.
La intermediación, la terminación TLS, el enrutamiento, los headers, las políticas, la integración con WAF y el balanceo pueden reducir la exposición directa del backend sin garantizar una protección absoluta.
No todas las aplicaciones web tienen una interfaz humana.
Los endpoints, los métodos, la autenticación, la autorización, los tokens, los límites de tasa, el esquema, la validación, el registro de eventos, el inventario y la exposición deben considerarse según la solución.
Una API puede no tener interfaz. Aun así, puede exponer directamente una función crítica del negocio.
La aplicación necesita saber no solo de dónde proviene la conexión, sino también quién solicita acceso.
Autenticación, MFA, SSO, identidad, autorización, contexto y sesiones pueden integrarse en la arquitectura.
Zero Trust y Acceso Seguro PAM & seguridad de identidadNo todo el tráfico automatizado es malicioso, ni todo el tráfico automatizado es deseado.
Crawlers, scrapers, automatización legítima, abuso, credential stuffing, rate controls y bot management cuando sea compatible exigen contexto.
El desafío no es simplemente bloquear la automatización. Es distinguir el comportamiento legítimo del abuso.
El uso excesivo debe tratarse en el contexto de la aplicación.
Las solicitudes, el origen, el endpoint, la sesión, la API y la identidad pueden orientar los controles según la plataforma. El rate limiting no representa una protección DDoS completa.
La disponibilidad puede ser atacada en diferentes capas.
Los ataques volumétricos, de protocolo/red y de aplicación pueden exigir controles distribuidos entre el operador, el edge, el firewall, los servicios especializados, el WAF y la aplicación.
No existe un único punto de la arquitectura capaz de absorber cualquier tipo y volumen de ataque.
Cuando la corrección no puede realizarse de inmediato, los controles compensatorios pueden reducir la exposición.
Cuando la solución lo admita, la aplicación de parches virtuales puede mitigar temporalmente determinadas vulnerabilidades o patrones conocidos.
Mitigar la exposición gana tiempo. Corregir la causa sigue siendo el objetivo.
Una protección que bloquea a los usuarios legítimos también crea un problema para el negocio.
Baseline, learning cuando esté disponible, logs, excepciones justificadas, políticas, falsos positivos y negativos, validación y ajuste continuo equilibran protección y operación.
La seguridad de las aplicaciones debe proteger el servicio sin impedir que cumpla su función.
La capa de protección también debe diseñarse para no convertirse en un punto único de falla.
La redundancia, HA, los health checks, el balanceo, las dependencias, los certificados, DNS, upstream y backend orientan la arquitectura sin prometer zero downtime.
Centro de datos NubeBloquear una solicitud es importante. Poder explicar por qué fue bloqueada también lo es.
La solicitud, el origen, el host, la URI, la acción, la política, el evento, la marca de tiempo y el contexto pueden aportar evidencias según la plataforma.
La protección genera eventos. El análisis transforma los eventos en evidencias.SIEM y Análisis de Seguridad
Los eventos web adquieren contexto al relacionarse con otros controles.
WAF → EVENTOS → SIEM → CORRELACIÓN → INVESTIGACIÓN
Los firewalls, endpoints, la identidad, los servidores y cloud pueden participar cuando existan integraciones.
La aplicación puede estar en cualquier lugar. La política debe acompañar su arquitectura.
Los entornos on-premises, data centers, cloud, multicloud cuando exista, las aplicaciones híbridas y los servicios distribuidos exigen un diseño coherente.
NubeLa mejor forma de proteger determinados servicios puede comenzar por no publicarlos directamente.
La necesidad, el origen, los usuarios, las aplicaciones privadas, la administración, VPN/ZTNA, las allowlists, el reverse proxy y la segmentación deben evaluarse.
Antes de proteger una exposición, conviene preguntarse si realmente necesita existir.
ASSESSMENT DE APLICACIONES PUBLICADAS
¿Sabe exactamente qué servicios de su organización están publicados en Internet?
Evaluamos toda la cadena para descubrir, clasificar, analizar, proteger, validar y monitorear las exposiciones.
01DNS
02IPs
03Puertos
04TLS
05Certificados
06Aplicaciones
07APIs
08Firewalls
09NAT
10Proxies inversos
11WAF
12Encabezados
13Políticas
14Logs
15backends
16Dependencias
17Control de acceso
IMPLEMENTACIÓN
Colocar un WAF delante de la aplicación es el comienzo de la implementación, no el final.
Primero comprender la aplicación. Después aumentar progresivamente la aplicación efectiva de las políticas, evitando políticas restrictivas sin una línea base del uso legítimo.
01DescubrirInventariar aplicaciones y exposiciones.
02ComprenderComprender el comportamiento legítimo.
03Línea baseObservar el tráfico y las dependencias.
04Establecer políticasRelacionar riesgo, contexto y operación.
05PilotarValidar dentro de un alcance controlado.
06ProtegerAumentar progresivamente la aplicación de políticas.
07ValidarProbar el acceso legítimo y las restricciones.
08ObservarMonitorear eventos y disponibilidad.
09AjustarAfinar continuamente las políticas.
RESOLUCIÓN DE PROBLEMAS
Cuando una aplicación deja de responder, el problema puede estar mucho antes del código.
DNS → RED → FIREWALL → TLS → WAF → REVERSE PROXY → APLICACIÓN → BACKEND
Diagnosticar aplicaciones publicadas exige comprender toda la cadena entre el usuario y el servicio.
MÉTODO ADD SOLUTION
Ingeniería para proteger el camino hasta la aplicación.
Más de 15 años de experiencia conectando networking, firewalls, WAF, DNS, TLS, servidores, cloud, identidad, observabilidad y operación.
- 01
Descubrir
Servicios y superficies publicadas.
- 02
Mapear
Cadena entre usuario y aplicación.
- 03
Clasificar
Criticidad, público y dependencias.
- 04
Diseñar
Controles y disponibilidad.
- 05
Proteger
Aplicar políticas adecuadas.
- 06
Validar
Confirmar protección y funcionamiento.
- 07
Observar
Producir evidencia y contexto.
- 08
Ajustar
Equilibrar la seguridad y el uso legítimo.
- 09
Evolucionar
Supervisar los cambios de la aplicación.
La herramienta aplica políticas. La ingeniería determina dónde, cómo y por qué deben existir esas políticas.
TECNOLOGÍAS Y PRODUCTOS
Arquitectura, protección, integración y operación.
Los fabricantes y las plataformas están en las páginas de tecnología. Aquí, el foco está en proteger la función del negocio sin comprometer su disponibilidad.
Tecnologías & productos de ciberseguridadPERGUNTAS FREQUENTES
Decisões importantes sobre Segurança de Aplicações & Web
Respostas objetivas para dúvidas técnicas e operacionais que costumam surgir antes de um projeto.
01WAF substitui firewall?
Não. Firewall e WAF protegem camadas distintas e podem atuar de forma complementar.
02HTTPS significa que a aplicação é segura?
Não. TLS protege a comunicação em trânsito; não determina se o conteúdo ou a requisição são legítimos.
03WAF corrige vulnerabilidades da aplicação?
Não. Pode adicionar proteção e, em alguns casos, mitigação temporária, mas a correção da causa continua necessária.
04Virtual patching substitui atualização definitiva?
Não. É um controle compensatório temporário quando suportado e adequadamente configurado.
05Rate limiting elimina DDoS?
Não. Disponibilidade pode exigir controles distribuídos entre operadora, edge, firewall, serviços especializados, WAF e aplicação.
FALE COM UM ESPECIALISTA
Vamos conversar sobre Segurança de Aplicações & Web.
Comparta el contexto de su entorno, los impactos percibidos y los resultados que busca su organización. Add Solution dirigirá la conversación a los expertos más adecuados.
CONTEXTO DA CONVERSASegurança de Aplicações & WebOrigem e interesse são registrados automaticamente no atendimento.