Protegendo suas APIs na Selva: Um Mergulho Profundo na Integração de WAF e API Gateway

January 30, 2024

Ecosystem

Na era digital de hoje, as APIs tornaram-se uma parte integrante de nossas vidas diárias. Elas nos permitem acessar e trocar dados entre diferentes aplicações e serviços. No entanto, com o crescente número de endpoints de API expostos ao público, há um risco cada vez maior de ciberataques e violações de dados. É por isso que é crucial implementar medidas de segurança robustas para proteger suas APIs de ataques maliciosos.

Benefícios da Integração de WAF e API Gateway para Proteção de APIs

O Web Application Firewall (WAF) e as tecnologias de API Gateway são duas das formas mais eficazes de proteger APIs contra ataques. Um WAF é uma solução de segurança que fica entre a internet e o servidor de API, analisando solicitações recebidas e bloqueando qualquer tráfego malicioso. Por outro lado, um API Gateway é uma camada de middleware que fica entre o servidor de API e o cliente, gerenciando controle de acesso, roteamento de tráfego e limitação de taxa.

Apache APISIX, um popular gateway de API de código aberto, oferece um conjunto robusto de plugins de segurança integrados. No entanto, diante de ataques cada vez mais sofisticados, como CVEs (Common Vulnerabilities and Exposures) e exploits de dia zero, confiar apenas nesses plugins pode deixar suas APIs vulneráveis. Integrar um Web Application Firewall (WAF) profissional com o APISIX fornece uma estratégia de defesa em camadas, garantindo proteção abrangente contra ameaças modernas.

Entendendo as Capacidades de Segurança do APISIX

  1. Autenticação e Autorização: O APISIX suporta plugins para JWT, basic auth, key auth e integração com provedores de OpenID Connect, aplicando controle de acesso.

  2. Limitação de Taxa: Previne picos de tráfego malicioso e ataques de DoS por meio de plugins como limit-conn, limit-req e limit-count.

  3. Restrição de IP e Filtragem de User-Agent: Permite controle granular sobre solicitações recebidas com base em endereços IP e agentes de usuário.

  4. Proteção contra CSRF: Impede ataques de Cross-Site Request Forgery.

Limitações do API Gateway

  1. Detecção Baseada em Assinatura: Os plugins do APISIX dependem principalmente de assinaturas de ataques conhecidos, tornando-os ineficazes contra exploits de dia zero que não possuem padrões definidos.

  2. Falta de Atualizações de Regras: As regras de segurança estão em constante mudança, o que exige a manutenção por especialistas em segurança e empresas profissionais.

  3. Escopo Limitado: Embora o APISIX proteja a camada do gateway, os WAFs oferecem proteção mais ampla em camadas de aplicação.

Benefícios da Integração de WAF e API Gateway

  1. Detecção Proativa de Ameaças: WAFs avançados utilizam aprendizado de máquina e análise comportamental para detectar tráfego anômalo, mesmo sem conhecimento prévio de vulnerabilidades.

  2. Atualizações de Regras em Tempo Real: WAFs baseados em nuvem podem atualizar rapidamente as regras para lidar com ameaças emergentes, minimizando janelas de exposição.

  3. Proteção Mais Profunda na Aplicação: WAFs podem filtrar e bloquear tráfego malicioso na camada de aplicação, protegendo contra ataques que contornam gateways de API.

  4. Conformidade e Adesão a Regulamentações: Certas indústrias exigem o uso de WAFs para conformidade com regulamentações de segurança de dados.

Mergulho Profundo no Processo de Integração

Para integrar WAF e API Gateway, você precisa escolher as ferramentas certas para o trabalho. O Apache APISIX é uma solução popular de API Gateway que fornece uma plataforma escalável e flexível para gerenciar suas APIs. Chaitin SafeLine e Coraza são as soluções de WAF que oferecem recursos de segurança avançados e conjuntos de regras personalizáveis.

APISIX e Chaitin SafeLine

O WAF Chaitin SafeLine é um plugin integrado do APISIX 3.5. Após a ativação do plugin chaitin-waf, o tráfego será encaminhado para o serviço Chaitin WAF para detectar e prevenir vários ataques a aplicações web, protegendo a segurança das aplicações e dos dados dos usuários.

WAF_APISIX_1

Supondo que você tenha instalado o Apache APISIX e o SafeLine, a seguinte linha de comando pode integrar os dois:

curl http://127.0.0.1:9180/apisix/admin/plugin_metadata/chaitin-waf -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d '
{
  "nodes":[
     {
       "host": "192.168.99.11",
       "port": 8000
     }
  ]
}'

192.168.99.11 é o IP do serviço SafeLine. Em seguida, podemos criar uma rota no APISIX:

curl http://127.0.0.1:9180/apisix/admin/routes/1 -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d '
{
   "uri": "/*",
   "plugins": {
       "chaitin-waf": {}
    },
   "upstream": {
       "type": "roundrobin",
       "nodes": {
           "192.168.99.12:80": 1
       }
   }
}'

192.168.99.12 é o IP do serviço upstream. A integração está completa.

Agora, vamos simular uma injeção de SQL para ver o efeito:

curl http://127.0.0.1:9080 -d 'a=1 and 1=1'

Um erro HTTP 403 foi retornado, e, como pode ser visto na mensagem de erro, o Chaitin SafeLine defendeu com sucesso contra o ataque.

{"code":403,"success":false,"message":"blocked by Chaitin SafeLine Web Application Firewall","event_id":"18e0f220f7a94127acb21ad3c1b4ac47"}

APISIX e Coraza-proxy-wasm

O APISIX suporta o desenvolvimento de plugins com WebAssembly (Wasm), e o Coraza também fornece plugins Wasm como uma opção. Portanto, integrar o Coraza com o APISIX tem um custo relativamente baixo.

O Wasm pode ser utilizado em várias plataformas, permitindo que o APISIX e o Coraza funcionem sem modificações ou adaptações extensas adicionais. Isso elimina a necessidade de modificações e adaptações extensas de código.

O Coraza também é um plugin integrado do Apache APISIX, que pode ser ativado modificando o arquivo de configuração conf/config-default.yaml:

wasm:
  plugins:
    - name: coraza-filter
      priority: 7999
      file: /home/ubuntu/coraza-proxy-wasm/build/main.wasm

Em seguida, crie uma rota no APISIX com as regras do Coraza:

curl -i http://127.0.0.1:9180/apisix/admin/routes/1 -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d '{
  "uri": "/anything",
  "plugins": {
    "coraza-filter": {
      "conf": {
        "directives_map": {
          "default": [
            "SecDebugLogLevel 9",
            "SecRuleEngine On",
            "SecRule REQUEST_URI \"@beginsWith /anything\" \"id:101,phase:1,t:lowercase,deny\""
          ]
        },
        "default_directives": "default"
      }
    }
  },
  "upstream": {
    "type": "roundrobin",
    "nodes": {
      "httpbin.org:80": 1
    }
  }
}'

Agora, vamos enviar uma solicitação para ver o efeito:

curl http://localhost:9080/anything -v

Verifique os logs em logs/error.log:

2023/08/31 09:20:39 [info] 126240#126240: *23933 Transaction interrupted tx_id="JVhHVfDuGjVbfgvDjik" context_id=2 action="deny" phase="http_request_headers", client: 127.0.0.1, server: _, request: "GET /anything HTTP/1.1", host: "localhost:9080"
2023/08/31 09:20:39 [debug] 126240#126240: *23933 Interruption already handled, sending downstream the local response tx_id="JVhHVfDuGjVbfgvDjik" context_id=2 interruption_handled_phase="http_request_headers"

Melhores Práticas para Proteger APIs Usando a Integração de WAF e API Gateway

Para garantir a segurança de suas APIs, você deve seguir estas melhores práticas:

  1. Implemente uma estratégia de defesa em profundidade que inclua múltiplas camadas de controles de segurança;

  2. Use criptografia SSL/TLS para proteger dados em trânsito;

  3. Atualize regularmente seus conjuntos de regras de WAF para garantir que estejam atualizados com as últimas ameaças;

  4. Monitore o tráfego e os logs de suas APIs para detectar e responder rapidamente a incidentes de segurança.

Tendências Futuras e Avanços em Segurança e Proteção de APIs

À medida que o número de APIs em uso cresce, haverá uma maior necessidade de medidas de segurança avançadas para protegê-las. Algumas das tendências e avanços futuros em segurança e proteção de APIs incluem:

  1. Soluções de segurança alimentadas por IA que podem detectar e responder a ameaças automaticamente;

  2. Mecanismos de autenticação e controle de acesso baseados em blockchain;

  3. Arquiteturas de API baseadas em microsserviços que oferecem maior flexibilidade e escalabilidade.

Resumo

Em conclusão, a integração de WAF e API Gateway é um componente crítico da segurança de APIs. Seguindo as melhores práticas e implantando as ferramentas certas, você pode criar uma camada de segurança robusta que protege suas APIs contra uma ampla gama de ataques. Com a abordagem correta, você pode garantir a disponibilidade, integridade e confidencialidade de suas APIs e dos dados que elas trocam.

Tags:
WAF
APISIX Basics