Implementación y medida del rendimiento de un firewall para aplicaciones web (WAF) en un balanceador de carga

Abstract

Debido la masificación de clientes en Internet, y a los inevitables cortes que un servicio puede sufrir por su propia naturaleza, la tecnología está cambiando de paradigma. Los nuevos conceptos tecnológicos como son Big data, machine learning o data science, se basan en aplicaciones distribuidas con las que paliar las saturación de usuarios y dotar a la aplicación de alta disponibilidad, con la que se garantiza el acceso al servicio y de calidad. Este paradigma ha sido muy bien adoptado por las empresas, que ven en él una forma de ganarse la confianza de clientes, ya que éstos perciben un servicio de calidad, la empresa dispone de alta disponibilidad en aplicaciones críticas y se abaratan costes, debido a que la infraestructura escala fácilmente en función a la demanda de clientes. El rol que tiene el balanceador de carga como elemento centralizador del tráfico que circula hacia las aplicaciones distribuidas, lo hace ideal como punto en el cual aplicarles las políticas de seguridad. Esto presenta varias mejoras en el mantenimiento y rendimiento de la aplicación, como son: que la gestión de la seguridad se hace en un único nodo; se valida la información que reciben las aplicaciones, haciendo posible que la comunicación con ésta pueda viajar sin cifrar; y se aprovechan algunas de las operaciones del proxy Web que son compartidas con el WAF (Web Application Firewall) con lo que se elimina latencia. Con este proyecto se ha dotado a un balanceador de carga de capacidades WAF (Web Application Firewall), utilizando una librería de inspección de contenido que permite configurar reglas con las que proteger los servidores frente a amenazas y vulnerabilidades. El desarrollo se ha llevado a cabo teniendo en cuenta que el rendimiento fuese lo más óptimo posible y que el servicio de balanceo no sufra cortes durante la configuración de las políticas de seguridad, dado su criticidad. Para abstraerse de la librería y darle al operador de seguridad una herramienta fácil e intuitiva, se ha creado una API HTTP con la que pueda aplicar configuraciones sin tener que conocer la semántica de reglas usada por la librería elegida. Esta API puede ser utilizada para diversas tareas, como integrarse en otros sistemas, por ejemplo, un panel de control; o automatizar tareas a través de scripting.

Due to the mass of clients on the internet, and the inevitable breaks in service that an application can experience because of its very nature, technology is changing its paradigm. New technical concepts like Big Data, Machine Learning and Data Science, are based on distributed applications that solve the user saturation and gives the system high availability, and the guarantee of accessing a quality service. This paradigm has been widely adopted by companies, which are using these new techniques to gain the clients‟ confidence. Therefore the clients can receive quality services, the companies obtain better infrastructures in their critical applications and they save waste. The load balancer role, as a centralizing element of traffic to the distributed application, makes it an ideal point to apply the network security and ensure its veracity. This introduces some improvements in the maintenance and performance of the applications, they are: the security management is done in a single node; the information that the applications receive is validated, making communication between the load balancer and the processing nodes possible without a cipher; and it is possible to take advantage of some proxy operations that are shared with the WAF (Web Application Firewall), removing latency. In this project, a load balancer has been improved with WAF feature, using a content inspection library that allows setting security rules that help protect the Web servers from security threats and vulnerabilities. The development has been done, bearing in mind, the performance and not disturbing the load balancing services while the security policies are being configured, due the load balancer critical role for the provided service. An HTTP API has been developed with the purpose of abstracting the WAF library and providing the security administrators a tool which will let configure the system easily. The API compiles JSON objects to complex SecLang directives. The API can be used for several tasks like: integrating the system in another solution, for example, a graphic control panel; or automating jobs through scripting languages.