Introducción
Con su CDN Planisys, usted cuenta con distintas medidas de seguridad para proteger su sitio y aplicaciones de una variedad de cyber-ataques que ponen en riesgo a sus usuarios y a la funcionalidad de sus aplicaciones web.
A continuación veremos cuáles son algunas de estas medidas implementadas en su CDN Planisys y la manera en la que contribuyen a la seguridad de su sitio y aplicaciones web.
WAF
De manera automática y en tiempo real, el Web Application Firewall o WAF de su CDN Planisys monitorea, detecta y bloquea ataques desde y hacia su aplicación web, para que estos no afecten al servidor donde están alojadas sus aplicaciones ni a sus usuarios.
Mientras un Firewall regular sirve como medida de seguridad entre servidores, el WAF monitorea el trafico HTTP de sus sitios o aplicaciones web, detectando y aislando estas amenazas que ponen en peligro la integridad y funcionalidad de sus sitios. Es por esto que el WAF sirve como una medida de seguridad adicional para su aplicación web, neutralizando en tiempo real ataques nacidos de fallas de seguridad, como SQL Injection o XSS.
El WAF de su CDN Planisys no requiere ningún tipo de activación o instalación adicional y está completamente integrado con las configuraciones customizables de seguridad y reglas que implemente desde la CDN-App.
La implementación de una CDN con WAF es el complemento ideal a las medidas de seguridad de su servidor de origen, poniéndolo a salvo de ataques originados en la web.
Protección contra Clickjacking y XSS
El Clickjacking es un tipo de ataque que manipula la actividad de un usuario escondiendo detrás de links confiables otros links maliciosos en una capa transparente, generando acciones involuntarias por parte del usuario.
Este tipo de ataques puede provocar desde Likejacking o Cursorjacking, hasta la ejecución de scripts que instalen software malicioso y tomen control del equipo del usuario.
De manera similar, los ataques de tipo XSS nacen de vulnerabilidades en la seguridad de un sitio o aplicación web que permite la inyección de scripts por parte de terceros, por ejemplo para saltarse medidas de control de acceso a aplicaciones.
Este tipo de ataques pueden llegar a resultar en brechas de seguridad severas dentro de aplicaciones web, incluso si estas son de uso interno, y sobre todo cuando se maneja información sensible, como ser datos de facturación y tarjetas de crédito.
Como una medida de seguridad adicional a las que estén programadas en su aplicación, desde la CDN App puede habilitar la opción Clickjacking and XSS Protection, que actúa como una barrera extra para proteger su sitio específicamente de esta vulnerabilidad.
Strict Transport Security
En la CDN App usted puede instalar el certificado SSL de su sitio para habilitar la navegación por HTTPS. En muchos casos, una aplicación o sitio puede ser hibrida y ser navegada por HTTP pero tener su e-commerce o login de usuarios registrados por HTTPS.
A su vez, muchos sitios muestran elementos externos al servidor de origen, por ejemplo, iconos y enlaces de Facebook para compartir contenido, fuentes y estilos de Google, etc.
Como una medida adicional de seguridad, se puede forzar a que el sitio muestre a los usuarios únicamente el contenido seguro y confiable, y sea navegado exclusivamente en HTTPS. Todos los elementos que formen parte de su sitio y que no provengan de sitios confiables con navegación segura, no se mostrarán.
Esta opción se puede habilitar desde los Flags Globales de su sitio en la CDN-App.
Content Security Policies
Por diversos motivos, un sitio o aplicación web puede tener incrustado contenido de otros sitios, por ejemplo fuentes de Google Fonts, videos de YouTube, o Tweets, entre otros. Un iFrame, o inline Frame, permite incrustar frames de otros sitios en el HTML de su sitio.
Explotando fallas en la seguridad, pueden incrustarse iFrames en su sitio, dándoles un estilo y estética similar a la suya para, por ejemplo, capturar los datos ingresados por un usuario en un formulario de su sitio o aplicación web.
Desde la CDN-App de Planisys puede prevenir estos ataques seleccionando el nivel de control de iFrames que desee para su sitio entre cuatro niveles predefinidos:
- None: Permite todos los iFrames
- Relaxed: Permite únicamente los iFrames de sitios como Facebook, Google y Twitter
- Google: Permite únicamente iFrames de Google, como por ejemplo Google Fonts
- Strict: No permite ningún tipo de iFrame
Esconder Headers
Cuanta más información se encuentre publicada sobre la estructura de código de su sitio, más vulnerable se va a encontrar.
Si bien pueden parecer inocuos, para quien sabe leerlos los encabezados de un elemento de su sitio o aplicación web pueden delatar valiosa información sobre que puede ser explotada y poner en compromiso su sitio y los datos de sus usuarios.
Desde la CDN App usted podrá crear reglas para que se oculten ciertos encabezados, como por ejemplo X-Powered-by o Server. Al no publicar esta información en los encabezados, será más difícil encontrar qué vulnerabilidades existen para atacar en su aplicación o sitio.
Access Restrictions
Además de las reglas de su Firewall y del WAF de la CDN, usted puede configurar reglas adicionales de bypass, cache o redirect, para restringir o permitir el acceso a distintas URL desde determinadas IPs
Por ejemplo, podría crear una regla de bypass para la URL de administración de su sitio que únicamente permita el acceso desde su IP, o una regla de redirect para una URL cuando intenta acceder desde IPs específicas.
Con su CDN App de Planisys puede tomar control del nivel de seguridad que quiere dar a sus sitios y aplicaciones, cuidando la integridad de sus servidores y usuarios para mayor eficacia, de acuerdo a sus necesidades.
