Fortinet: seguridad en las Aplicaciones TIC Pablo García Systems Engineer pperez@fortinet.com

Aplicaciones corporativas Definición Arquitectura Seguridad Ataques EXTERNOS

¡Si ya tengo un NGFW! NGFW vs WAF Network firewalls detect network attacks - Inspect IP and port Focus on inbound and outbound traffic IPS products detect known signatures only - Signature evasion is possible - No protection of SSL traffic - No deep HTTP understanding (headers, parameters, etc) - No application/user awareness They tend to be also multi-directional and thus tuned to the lowest common security denominator No DDoS protection No bot/malicious sources protection

Protege tu negocio, protege tus aplicaciones web

Protege tu negocio, protege tus aplicaciones web La complejidad de las aplicaciones Web Estado del arte y tendencias de los ataques Factores críticos Consecuencias y ejemplos Seguridad Web: una nueva aproximación ¿Qué es FortiWeb? Soluciones de Application Delivery

La complejidad de la seguridad de las aplicaciones Web ¿Que son las aplicaciones web? Son aplicaciones públicas accesibles desde Internet Se accede a ellas por medio de un navegador web y proporcionan servicios on-line variados Están escritas con mentalidad de eficiencia en la entrega de contenidos Pero en la mayoría de los casos no se han desarrollado teniendo en cuenta criterios de seguridad: Aplicaciones abiertas con vulnerabilidades explotables Potencial exposición de información sensible Ataques: desde cambios en la imagen hasta robos de identidades, de tarjetas de crédito o de otro tipo de información personal Web applications are exposed and open for access to anyone on the internet. This exposure increases the risks of attack and exploitation by hackers. Data Center Perimeter Front End Web Servers Database Servers 6

Últimas tendencias…. Automatización de los ataques por parte de los hackers (DDoS, robots, scripts avanzados) Acopio masivo de bots Aumento de ataques DDoS de nivel 7 Las gran cantidad de herramientas existentes hace muy fácil para los “Hacktivistas” unirse a ataques DDos Scanners, crawlers and spiders inundan los servidores Web Orígenes de tráfico infectados con malware Claro predominio de ataques SQL Injection/XSS Web Application Servers

Factores críticos

Factores críticos

Consecuencias Las aplicaciones son en este momento críticas Pero … 49% de las web apps tienen vulnerabilidades de alto riesgo susceptibles de ser explotadas con herramientas automáticas* 80%-96% son vulnerables a ataques manuales 99% no cumplen el estándar PCI DSS La mayoría de las vulnerabilidades no son resueltas por las tecnologías firewall tradicionales Cross-site scripting SQL injection Information Leakage HTTP Response Splitting Implicaciones de negocio de los ataques: Pérdidas de ingresos– 300$ por registro robado Multas por incumplimientos regulatorios Daños a la imagen corporativa y al valor de la marca The implications of attacks include lost revenue, brand erosion, and fines and penalties. With web application attacks appearing on the news practically on a weekly basis security measures need to be taken. *Source – Web Application Security Consortium (WASC)

Unos cuantos ejemplos….

Ejemplos: SQL Injection

Enfoques de la Seguridad en Aplicaciones Web Enfoque proactivo: Seguridad en el ciclo de vida de las aplicaciones Diseño Desarrollo Despliegue Actualización Mantenimiento Ideal pero muy tarde Diffícil Largo Costoso ¿Y las aplicaciones legacy? ¿Quien tiene la responsabilidad? El propietario del software Off the Shelf Nube Enfoque Paliativo: Control de las aplicaciones Mitigación de amenazas – (soluciones técnicas y funcionales) Políticas de seguridad en aplicaciones Web Analysis from a life cycle perspective. ie quality by design, introducing the minimum vulnerabilities through development and deployment Unfortunately, most of the above hasn’t and isn’t really done too effectively …. We need to live with what we’ve got !! We are under time pressures to get our application environment under control today without having to rework the entire applications estate. So we take a controls oriented approach. – To do this, we must look at threats. 13

La seguridad de Aplicaciones requiere una nueva aproximación Los firewall detectan ataques de red Inspeccionan IP y puertos Los IPS detectan solo firmas conocidas Es posible la evasión de firmas No hay protección de tráfico SSL No comprenden realmente el protocolo HTTP (cabeceras, parámetros, etc) No tienen en cuenta la aplicación No tienen en cuenta los usuarios Alta tasa de falsos positivos Network Firewall IPS/Deep Packet Inspection Firewalls FortiWeb Web Application Firewall Network layer (OSI 1-3) Application layer (OSI 4-7) Solo los Web Application Firewalls (WAF) pueden detectar y bloquear ataques de aplicación 14

FortiWeb : Componentes clave Firewall de aplicaciones Web - WAF Securiza apps Web protegiendo frente a ataques y ayudando al cumplimiento regulatorio Escaner de vulnerabilidades Web Escanea, analiza y detecta vulnerabilidades de aplicaciones Web Application delivery Garantiza la disponibilidad y asegura el rendimiento de las aplicaciones Web críticas IP Reputation Intelligence Service: IRIS Combina el conocimiento de amenazas geográficas (GeoIP) e información de reputación para alimentar un motor de análisis y detección por origen Securiza aplicaciones Web Protege Web Services Optimiza la entrega de Aplicaciones

La familia de appliances FortiWeb (I) Despliegues medios Rendimiento de 100 Mbps HTTP 10,000 transacciones por segundo Almacenamiento: 1 TB 4 interfaces 10/100/1000 en cobre Reader’s Choice Winner searchsecurity.com FortiWeb-400C Competitivo en mercado PCI pequeño Despliegues grandes Aceleración basada en ASIC – Dual CP8 Rendimiento de 750 Mbps HTTP Almacenamiento: 2x2 TB storage Soporte RAID Fuente de alimentación redundante y Hot-swap 6 interfaces 10/100/1000 en cobre (4 bypass) + 2 SFP NEW! FortiWeb-1000D Plataforma de rendimiento medio Despliegues grandes/ Service Providers Aceleración basada en ASIC – Dual CP8 Rendimiento de 1.5 Gbps HTTP 60,000 transacciones por segundo Almacenamiento: 2x2 TB storage Soporte RAID Fuente de alimentación redundante y Hot-swap 6 interfaces10/100/1000 en cobre (2 bypass) (+ 2 SFP Fibra en el FSX) NEW! FortiWeb-3000D/3000D FSX Entornos de enterprise, High End y MSSPs 16

La familia de appliances FortiWeb (II) Despliegues grandes/ Service Providers Aceleración basada en ASIC – Dual CP8 Rendimiento de 4 Gbps HTTP 100,000 transacciones por segundo Almacenamiento: 2x2 TB storage Soporte RAID Fuente de alimentación redundante y Hot-swap 8 interfaces10/100/1000 en cobre (2 bypass)+ 2 SFP Fibra bypass NEW! FortiWeb-4000D Entornos de enterprise, High End y MSSPs FortiWeb Virtual Requisitos Min needed for FortiWeb-VM Licencias disponibles 2-vCPU, 4-vCPU, 8-vCPU Hypervisor VMware ESXi/ESX 3.5/4.0/4.1/5.0/5.1 Memoria Min. 1024 CPU Min. 2 virtual CPU’s 10/100/1000 Interfaces Min. 2 Max. 4virtual NIC’s Almacenamiento Min. 40G Desktops / Private Servers / DMZ FortiWeb Virtual Appliance Virtualized Data Center Public Zone DMZ 17

ADN: Foco en las aplicaciones. Soluciones End-to-End APPLICATION DELIVERY NETWORK Server Side Security Outer Perimeter FortiADC Coyote Point FortiGate FortiGuard FortiAnalyzer FortiManager FortiWeb FortiADC (LLB/GSLB) Coyote Point (GSLB) FortiDirector (GSLB) AscenLink (LLB/Tunnel Routing) ADC Server LB SSL Offloading Compression Firewall/VPN Antivirus/malware IPS/IP Reputation WAF WAN Optimization GSLB Link Load Balancing

Application Delivery Controller (ADC) Qué es un FortiADC? Empieza con un Balanceador L4 TCP/UDP Funcionalidad L7 limitada Health checks básicos Persistencia por IP Algoritmos básicos Y entonces añade… Reglas a L7 personalizables, redirects and rewrites Health checks avanzados Automatización avanzada Balanceo Global/disaster recovery Aceleración SSL, compresión Application Delivery Controller (ADC) El ADC es la nueva generación de balanceadores con funcionalidades avanzadas que gestiona el tráfico a nivel de aplicación y proporciona otros servicios adicionales como SSL offloading y compresión Gzip con el objetivo de mejorar y aumentar el rendimiento de las aplicaciones para los usuarios finales.

Gracias