Firewall de aplicação (WAF): o que é e como funciona
Firewall de aplicação web (WAF) é um firewall que atua na camada do HTTP: ele aplica um conjunto de regras às requisições que chegam a um site e bloqueia as que parecem ataques, como injeção de SQL e XSS. A OWASP resume a ideia assim: um WAF protege o servidor, e não o visitante.
Qual a diferença entre um WAF e um firewall comum?
O firewall de rede decide se o tráfego passa olhando, principalmente, o endereço de origem e a porta de destino. O WAF lê o conteúdo do pedido HTTP: o endereço pedido, os parâmetros e os dados de um formulário. É isso que permite barrar, por exemplo, um endereço com um trecho de SQL escondido:
https://exemplo.com.br/produto?id=1' OR '1'='1Como o WAF decide o que bloquear?
Por regras. O conjunto genérico mais conhecido é o OWASP Core Rule Set (CRS), feito para o ModSecurity e para firewalls compatíveis. Segundo a OWASP, ele cobre categorias como injeção de SQL, XSS e inclusão de arquivos locais, e busca manter os alertas falsos no mínimo. O ModSecurity é o motor que aplica essas regras: nasceu como módulo do Apache e hoje é um projeto de código aberto que também roda em outros servidores. O LiteSpeed tem um motor próprio, compatível com as regras do ModSecurity.
O que é um falso positivo?
É quando o WAF bloqueia um pedido legítimo porque ele se parece com um ataque. Num site WordPress, isso costuma aparecer ao salvar um texto que contém trechos de código ou ao enviar um formulário com certos caracteres, geralmente com erro 403. O jeito certo de resolver é descobrir, no registro de auditoria, qual regra disparou e liberar só ela. Desligar o firewall inteiro para resolver um bloqueio pontual tira a proteção de todo o resto.
O que o WAF não faz?
Ele não conserta um plugin vulnerável: a OWASP avisa que adaptar um WAF a uma aplicação dá trabalho e precisa de manutenção contínua. Manter o sistema, os plugins e os temas atualizados continua sendo a base. Também não substitui a varredura de malware nos arquivos.
Como fica na PW Host?
O servidor web da hospedagem é o LiteSpeed, e o painel DirectAdmin tem a tela do firewall de aplicação ModSecurity, em Recursos avançados, chamada Web Application Firewall. Ali você vê os endereços do domínio, o estado do firewall (ativado ou desativado) e as exceções criadas. O menu de cada linha leva a Modificar, para mudar as regras daquele endereço, e a Audit log, o registro do que foi bloqueado.
Se uma ação legítima for barrada, repita-a anotando a hora, procure esse horário no Audit log e libere apenas a regra que bloqueou. O passo a passo está em Firewall de aplicação (ModSecurity). Já a proteção contra arquivos infectados é outra camada: veja como ver as varreduras do Imunify360.