Web Application Firewalls (WAFs): o impacto do número de regras na latência das requisições Web

Felipe Melchior; Diego Kreutz; Maurício Fiorenza

doi:10.5753/errc.2019.9229

Felipe Melchior UNIPAMPA
Diego Kreutz UNIPAMPA
Maurício Fiorenza UNIPAMPA

DOI: https://doi.org/10.5753/errc.2019.9229

Resumo

Relatórios especializados indicam que aproximadamente 90% das aplicações disponibilizadas na Internet apresenta algum tipo de vulnerabilidade. Estudos recentes demonstram que frameworks de desenvolvimento de software e WAFs (Web Application Firewalls) podem ajudar a detectar e impedir a exploração de mais de 70% das vulnerabilidades mais recorrentes em aplicações Web. Este trabalho tem como objetivo principal realizar uma avaliação empírica de WAFs, incluindo a análise do impacto da quantidade de regras ativas na latência das requisições do cliente à aplicação Web. Os resultados experimentais demonstram que o número de regras de um WAF tem um impacto significativo na latência das requisições Web, podendo ultrapassar um aumento de 2000% para 100k regras.

Palavras-chave: Segurança em redes, Segurança situacional

Referências

Clincy, V. and Shahriar, H. (2018). Web application firewall: Network security models and configuration. In IEEE 42nd Annual COMPSAC, volume 01, pages 835–836. Explorable (2009). Evidencia empirica. https://bit.ly/2UaKa7j.

Ferrao, I. G., de Macedo, D. D. J., and Kreutz, D. (2018). Investigação o do impacto de frameworks de desenvolvimentode software na segurança de sistemas web. In 16a Escola Regional de Redes de Computadores (ERRC). https://bit.ly/2WQAfZd.

Ferrão, I. G. (2018). Análise black-box de ferramentas de segurança na web. Trabalho de conlusão de curso, Universidade Federal Do Pampa. https://bit.ly/2XjhblU.

Funk, R., Epp, N., and A., C. C. (2018). Anomaly-based Web Application Firewall using HTTPspecific features and One-Class SVM. ReABTIC, 2(1).

Machado, R. B., Kreutz, D., Paz, G., and Rodrigues, G. (2019). Vazamentos de Dados: Histórico, Impacto Socioeconômico e as Novas Leis de Proteção de Dados. In 4o WRSeg. SBC. http: //tiny.cc/wrseg19-dl.

Moosa, A. and Alsaffar, E. M. (2008). Proposing a Hybrid-intelligent Framework to Secure eGovernment Web Applications. In Proceedings of the 2nd ICEGOV, pages 52–59. ACM.

Rao, G. R. K., Prasad, R. S., and Ramesh, M. (2016). Neutralizing cross-site scripting attacks using open source technologies. In ICTCS, pages 24:1–24:6. ACM.

Razzaq, A., Hur, A., Shahbaz, S., Masood, M., and Ahmad, H. F. (2013). Critical analysis on web application firewall solutions. In IEEE 11th ISADS, pages 1–6.

Rietz, R., König, H., Ullrich, S., and Stritter, B. (2016). Firewalls for the web 2.0. In IEEE QRS.

Singh, J. J., Samuel, H., and Zavarsky, P. (2018). Impact of Paranoia Levels on the Effectiveness of the ModSecurity Web Application Firewall. In ICDIS, pages 141–144.

Srokosz, M., Rusinek, D., and Ksiezopolski, B. (2018). A New WAF-Based Architecture for Protecting Web Applications Against CSRF Attacks in Malicious Environment. In FedCSIS.