Los firewalls de WordPress son firewalls de aplicaciones web (WAF) creados principalmente para proteger los sitios web de WordPress.
Los WAF son relativamente nuevos en la industria de la seguridad web. Esta guía explica qué son los firewalls y cómo se convirtieron en WAF. También describe los distintos tipos de firewalls de WordPress que hay en el mercado y cómo funcionan.
La idea detrás de los firewalls
Se establece un firewall entre dos o más redes para administrar el tráfico entrante y saliente de cada red. Funciona como barrera entre una red confiable y una red no segura.
Un cortafuegos se suele implementar entre una conexión a Internet y una red interna en una configuración convencional. Se utiliza para defender la red contra amenazas entrantes de Internet. Además, se utiliza para regular quién puede acceder a Internet. Si utiliza un enrutador WiFi en casa, el enrutador también funciona como el cortafuegos de su hogar. Casi todos los enrutadores WiFi residenciales incluyen un cortafuegos en la actualidad.
Cortafuegos de primera generación: el filtrado de paquetes evoluciona hacia los cortafuegos de aplicaciones web
En un principio, los cortafuegos tenían como finalidad restringir y controlar el tráfico de la red. Se limitaban a filtrar los paquetes y no comprendían la carga útil de la transmisión. Si alojabas un sitio web en tu red, tenías que exponer el puerto 80 al público a través del cortafuegos.
Una vez que se abre un puerto, el firewall permite que cualquier tipo de tráfico entrante, incluido el tráfico malicioso, pase a través de él.
2.ª generación: filtrado con estado
Los cortafuegos de segunda generación trabajaban en la capa 4 del modelo OSI, lo que indica que son capaces de determinar el tipo de conexión que están gestionando, por ejemplo, si un paquete está estableciendo una nueva conexión o si la conexión ya se ha establecido, etc.
A pesar de ello, los firewalls de segunda generación tienen muchos problemas a la hora de regular el tráfico. Los administradores podrían al menos definir reglas de firewall en función del estado de la conexión.
Filtrado de la capa de aplicación en firewalls de tercera generación
Los firewalls actuales se introdujeron a mediados de la década de 1990. La tecnología de firewall moderna tiene en cuenta los protocolos y las aplicaciones. Por lo tanto, los firewalls de tercera generación pueden determinar si la carga útil de un paquete es para un servidor FTP y cuál es la solicitud, o si se trata de una solicitud de conexión HTTP y cuál es la solicitud.
Esta tecnología condujo a la creación de firewalls con un alcance limitado, como los Firewalls de Aplicaciones Web.
Cortafuegos de WordPress / Cortafuegos de aplicaciones web
Esquema del firewall de WordPress
Los firewalls de aplicaciones web tienen un alcance limitado. En una red, su función es defender un sitio web de ataques peligrosos de piratas informáticos.
Un firewall de WordPress es un firewall de aplicaciones web creado específicamente para proteger WordPress. Cuando se implementa un firewall de WordPress en un sitio de WordPress, analiza todas las solicitudes HTTP entrantes de Internet.
Cuando la carga útil de una solicitud HTTP es maliciosa, el firewall de WordPress finaliza la conexión.
¿Cómo se implementan los firewalls de WordPress?
Un firewall de WordPress identifica las solicitudes dañinas de una manera similar a la del software antimalware. Las firmas son una colección de ataques conocidos y, cuando la carga útil de una solicitud HTTP coincide con una firma, la solicitud es maliciosa.
La mayoría de los firewalls de WordPress no permiten modificar las firmas de ataque. Sin embargo, los firewalls de aplicaciones web que no están centrados en WordPress son muy ajustables. Puede personalizarlos con precisión para su sitio web, ya sea que esté usando WordPress o una solución personalizada. Puede diseñar sus propias políticas de seguridad, excepciones, etc. Al configurar un firewall de aplicaciones web, debe tener cuidado de no impedir el tráfico legítimo.
Además, algunos firewalls de aplicaciones web cuentan con tecnologías de autoaprendizaje. Esta tecnología heurística examina el tráfico de su sitio web para determinar qué visitantes son legítimos y cuáles no.
Varios tipos de firewalls de WordPress
Plugins de cortafuegos para WordPress
La mayoría de los firewalls de WordPress alojados por el usuario son complementos de WordPress. Cuando se instala un complemento de firewall, cada solicitud HTTP que se recibe en su sitio web se gestiona de la siguiente manera:
- Primero, lo recibe el servicio del servidor web (Apache o Nginx).
- A continuación, inicia el procedimiento de arranque/carga de WordPress, que inicializa WordPress (wp-config.php, inicializa la conexión a la base de datos, la configuración de WordPress, etc.).
- Antes de que WordPress procese realmente la solicitud, el complemento de firewall de WordPress la analiza.
Los complementos de firewall de WordPress son perfectos para las PYMES debido a su bajo costo y facilidad de uso. Además, la mayoría de ellos tienen escáneres de malware integrados. Sin embargo, estos firewalls están activos en su sitio y fueron iniciados por WordPress. Por lo tanto, si existe una vulnerabilidad en su sitio antes de que se active el firewall, existe la posibilidad de que los atacantes puedan obtener acceso completo a su sitio de WordPress.
Dispositivo de firewall para aplicaciones web de WordPress
Los firewalls para aplicaciones web en general también se pueden utilizar como firewalls de WordPress. Puede tratarse de un dispositivo de hardware o software específico.
Instalación de firewalls de aplicaciones web genéricos entre su sitio web de WordPress y la conexión a Internet. Por lo tanto, cada solicitud HTTP enviada a su sitio de WordPress debe pasar primero por el WAF. Estos WAF son indudablemente más seguros que los complementos de firewall de WordPress. Lamentablemente, son costosos y requieren conocimientos técnicos especializados para su administración. Por lo tanto, rara vez los utilizan las pequeñas empresas.
Cortafuegos en la nube para sitios web de WordPress (SaaS)
A diferencia de los complementos o dispositivos de firewall alojados en servidores propios, WordPress Cloud Firewall no necesita implementarse en la misma red que su servidor web. Es un servicio de Internet que funciona como un servidor proxy y filtra el tráfico de su sitio web antes de reenviarlo a su dominio.
Al utilizar un firewall de WordPress en línea, los registros DNS de su dominio se configuran para apuntar al WAF en línea. Esto implica que los visitantes de su sitio web se comunican con el firewall de WordPress en línea y no con su sitio de WordPress directamente.
Un firewall en línea típico tiene múltiples alcances. Además de proteger su sitio de WordPress de ataques de piratas informáticos, también puede funcionar como servidor de almacenamiento en caché y red de distribución de contenido (CDN). Al comparar los firewalls de aplicaciones web en línea con los firewalls de aplicaciones web genéricos alojados por uno mismo, se revela que los firewalls de aplicaciones web en línea también son muy rentables.
Se puede omitir el firewall/WAF en la nube.
Para que el WAF reenvíe tráfico a su sitio de WordPress, existe una restricción en los firewalls de WordPress en línea: su servidor web debe estar disponible en Internet. Esto implica que cualquier persona que conozca la dirección IP de su servidor web puede comunicarse directamente con él.
Por lo tanto, en los ataques no dirigidos a WordPress, en los que los atacantes escanean redes enteras en busca de sitios susceptibles, su servidor web y su sitio web siguen siendo directamente accesibles. Para evitar ser víctima de un ataque de este tipo, puede configurar el firewall de su servidor para que solo responda al tráfico que se origina desde el firewall en línea de WordPress.
Limitación de restricciones genéricas de los firewalls de WordPress Defensa contra vulnerabilidades de día cero
La comprobación de la carga útil de una solicitud HTTP con una base de datos de firmas es una de las técnicas de protección WAF más utilizadas. Por lo tanto, cuando un usuario accede a su sitio web, el WAF compara la carga útil con una base de datos de ataques web conocidos. Si coincide, es dañino; si no, se le permite el acceso.
En caso de una vulnerabilidad de día cero en WordPress, existe la posibilidad de que el firewall de WordPress no impida el ataque. Por este motivo, la capacidad de respuesta del proveedor es fundamental y solo debe utilizar software de empresas receptivas y de buena reputación. Es preferible que el proveedor pueda cambiar las reglas del firewall lo antes posible.
Cómo eludir el firewall de aplicaciones web
Los firewalls de aplicaciones web son programas como cualquier otro. Tienen sus propios problemas y pueden tener debilidades. De hecho, hay una cantidad significativa de artículos e informes técnicos que analizan las estrategias utilizadas para eludir la protección de los firewalls de aplicaciones web. No obstante, siempre que el proveedor esté atento y solucione estos problemas de manera oportuna, todo está bien.
¿Deberías utilizar un firewall con WordPress?
¡Por supuesto! ¿Qué firewall deberías usar con WordPress? Cada firewall de WordPress tiene ventajas y desventajas, así que elige el que mejor se adapte a tus necesidades. Por eso, incluso si tienes un firewall de WordPress, debes estar atento.
En cuanto a la seguridad de WordPress, no existe una solución infalible. Por lo tanto, siempre debe reforzar > supervisar > mejorar > probar. Mantenga un registro de la actividad del sitio de WordPress, cree una solución de copia de seguridad de WordPress sólida como una roca y emplee un firewall de WordPress. Estas son las organizaciones que recomendamos y con las que nos gusta trabajar:
Español 
English 
简体中文 
香港中文 
繁體中文 
日本語 
Français 
العربية 
हिन्दी 
বাংলা