Fortinet : seguridad en las Aplicaciones TIC

1. Fortinet: seguridad en las Aplicaciones TIC Pablo García SystemsEngineer pperez@fortinet.com

2. Aplicacionescorporativas Definición Seguridad Ataques Arquitectura EXTERNOS

3. NGFW vs WAF ¡Si yatengo un NGFW!

4. Protege tu negocio, protege tus aplicaciones web

5. Protege tu negocio, protege tus aplicaciones web • La complejidad de las aplicaciones Web • Estado del arte y tendencias de los ataques • Factores críticos • Consecuencias y ejemplos • Seguridad Web: una nueva aproximación • ¿Qué es FortiWeb? • Soluciones de ApplicationDelivery

6. La complejidad de la seguridad de las aplicaciones Web • ¿Que son las aplicaciones web? • Son aplicaciones públicas accesibles desde Internet • Se accede a ellas por medio de un navegador web y proporcionan servicios on-line variados • Están escritas con mentalidad de eficiencia en la entrega de contenidos • Pero en la mayoría de los casos no se han desarrollado teniendo en cuenta criterios de seguridad: • Aplicaciones abiertas con vulnerabilidades explotables • Potencial exposición de información sensible • Ataques: desde cambios en la imagen hasta robos de identidades, de tarjetas de crédito o de otro tipo de información personal Data Center Perimeter Front End Web Servers Database Servers

7. Últimastendencias…. • Automatización de los ataquespor parte de los hackers (DDoS, robots, scripts avanzados) • Acopiomasivo de bots • Aumento de ataquesDDoS de nivel 7 • Las grancantidad de herramientasexistenteshacemuyfácilpara los “Hacktivistas” unirse a ataquesDDos • Scanners, crawlers and spiders inundan los servidores Web • Orígenes de tráficoinfectados con malware • Claro predominio de ataques SQL Injection/XSS Web Application Servers

8. Factores críticos

9. Factores críticos

10. Las aplicaciones son en este momento críticas Pero … 49% de las web apps tienen vulnerabilidades de alto riesgo susceptibles de ser explotadas con herramientas automáticas* 80%-96% son vulnerables a ataques manuales 99% no cumplen el estándar PCI DSS La mayoría de las vulnerabilidades no son resueltas por las tecnologías firewall tradicionales Cross-site scripting SQL injection InformationLeakage HTTP Response Splitting Implicaciones de negocio de los ataques: Pérdidas de ingresos– 300$ por registro robado Multas por incumplimientos regulatorios Daños a la imagen corporativa y al valor de la marca Consecuencias *Source – Web Application Security Consortium (WASC)

11. Unoscuantosejemplos….

12. Ejemplos: SQL Injection

13. Enfoqueproactivo: Seguridad en el ciclo de vida de lasaplicaciones Diseño Desarrollo Despliegue Actualización Mantenimiento Ideal peromuytarde Diffícil Largo Costoso ¿Y lasaplicaciones legacy? ¿Quientiene la responsabilidad? El propietario del software Off the Shelf Nube EnfoquePaliativo: Control de lasaplicaciones Mitigación de amenazas – (solucionestécnicas y funcionales) Políticas de seguridad en aplicaciones Web Enfoques de la Seguridad en Aplicaciones Web

14. La seguridad de Aplicaciones requiere una nueva aproximación • Los firewall detectan ataques de red • Inspeccionan IP y puertos • Los IPS detectan solo firmas conocidas • Es posible la evasión de firmas • No hay protección de tráfico SSL • No comprenden realmente el protocolo HTTP (cabeceras, parámetros, etc) • No tienen en cuenta la aplicación • No tienen en cuenta los usuarios • Alta tasa de falsos positivos Network Firewall IPS/Deep Packet Inspection Firewalls FortiWeb Web Application Firewall Network layer (OSI 1-3) Application layer (OSI 4-7) Solo los Web Application Firewalls (WAF) puedendetectar y bloquearataques de aplicación

15. IP Reputation Intelligence Service: IRIS Combina el conocimiento de amenazas geográficas (GeoIP) e información de reputación para alimentar un motor de análisis y detección por origen Application delivery Garantiza la disponibilidad y asegura el rendimiento de las aplicaciones Web críticas Securiza aplicaciones Web Protege Web Services Optimiza la entrega de Aplicaciones FortiWeb : Componentes clave Firewall de aplicaciones Web - WAF Securiza apps Web protegiendofrente a ataques y ayudando al cumplimientoregulatorio Escaner de vulnerabilidades Web Escanea, analiza y detectavulnerabilidades de aplicaciones Web

16. La familia de appliances FortiWeb (I) • Reader’s Choice Winnersearchsecurity.com • Despliegues medios • Rendimiento de 100 Mbps HTTP • 10,000 transacciones por segundo • Almacenamiento: 1 TB • 4 interfaces 10/100/1000 en cobre FortiWeb-400C Competitivo en mercado PCI pequeño • Desplieguesgrandes • Aceleraciónbasada en ASIC – Dual CP8 • Rendimiento de 750 Mbps HTTP • Almacenamiento: 2x2 TB storage • SoporteRAID • Fuente de alimentaciónredundante y Hot-swap • 6 interfaces 10/100/1000 en cobre (4 bypass) + 2 SFP FortiWeb-1000D Plataforma de rendimientomedio • Desplieguesgrandes/ Service Providers • Aceleraciónbasada en ASIC – Dual CP8 • Rendimiento de 1.5 Gbps HTTP • 60,000 transaccionesporsegundo • Almacenamiento: 2x2 TB storage • Soporte RAID • Fuente de alimentaciónredundante y Hot-swap • 6 interfaces10/100/1000 en cobre (2 bypass) (+ 2 SFP Fibra en el FSX) NEW! NEW! FortiWeb-3000D/3000D FSX Entornos de enterprise, High End y MSSPs

17. La familia de appliances FortiWeb (II) • Desplieguesgrandes/ Service Providers • Aceleraciónbasada en ASIC – Dual CP8 • Rendimiento de 4 Gbps HTTP • 100,000 transaccionesporsegundo • Almacenamiento: 2x2 TB storage • Soporte RAID • Fuente de alimentaciónredundante y Hot-swap • 8 interfaces10/100/1000 en cobre(2 bypass)+ 2 SFP Fibra bypass FortiWeb-4000D Entornos de enterprise, High End y MSSPs DMZ Public Zone FortiWeb Virtual Appliance FortiWeb Virtual Servers / DMZ Desktops / Private Virtualized Data Center NEW!

18. ADN: Foco en las aplicaciones. Soluciones End-to-End APPLICATION DELIVERY NETWORK Server Side Security Outer Perimeter • FortiGate • FortiGuard • FortiAnalyzer • FortiManager • FortiWeb • FortiADC (LLB/GSLB) • Coyote Point (GSLB) • FortiDirector (GSLB) • AscenLink (LLB/Tunnel Routing) • FortiADC • Coyote Point • Firewall/VPN • Antivirus/malware • IPS/IP Reputation • WAF • WAN Optimization • GSLB • Link Load Balancing • ADC • Server LB • SSL Offloading • Compression

19. Quées un FortiADC? Y entoncesañade… Reglas a L7 personalizables, redirects and rewrites Health checks avanzados Automatizaciónavanzada Balanceo Global/disaster recovery Aceleración SSL, compresión Empieza con un Balanceador • L4 TCP/UDP • Funcionalidad L7 limitada • Health checks básicos • PersistenciaporIP • Algoritmosbásicos Application Delivery Controller (ADC) El ADC es la nuevageneraciónde balanceadores con funcionalidadesavanzadasquegestiona el tráfico a nivel de aplicacióny proporcionaotrosserviciosadicionalescomoSSL offloading y compresiónGzipcon el objetivo de mejorar y aumentar el rendimiento de las aplicaciones para los usuarios finales.

20. Gracias