Cos'è un WAF
Un Web Application Firewall (WAF) è un sistema di sicurezza che ispeziona il traffico HTTP/HTTPS verso applicazioni web, filtrando richieste malevole prima che raggiungano il server. Diversamente dai firewall di rete (che operano a livello 3-4), il WAF lavora a livello 7 analizzando contenuti, header, body, cookie. È fondamentale per protezione anti-spam, anti-bot e contro attacchi applicativi (SQL injection, XSS, RCE).
WAF cloud vs on-premise
I WAF si dividono in cloud-based (Cloudflare, AWS WAF, Akamai, Imperva) e on-premise (ModSecurity, NAXSI, OpenAppSec). I cloud offrono protezione DDoS integrata, regole sempre aggiornate, scaling automatico. Gli on-premise garantiscono controllo totale e nessuna dipendenza esterna, a costo di manutenzione superiore.
Regole rate limiting
Una regola fondamentale è il rate limiting: limitare il numero di richieste per IP/sessione in finestra temporale. Esempio: massimo 10 submit form/minuto, 100 login attempt/ora, 1000 page view/minuto. Eccessi vengono temporaneamente bloccati o sfidati con CAPTCHA. Previene bruteforce, scraping aggressivo, spam burst.
Regole su user agent
Filtri su user-agent: bloccare UA noti malevoli (bot scraping aggressivo, scanner di vulnerabilità). Bloccare richieste con UA vuoto o evidentemente fasullo (curl, wget, python-requests senza override). Whitelisting di UA di crawler legittimi (Googlebot, Bingbot) verificando reverse DNS per evitare spoofing.
Regole su pattern di richiesta
Identificare e bloccare pattern sospetti: richieste con header anomali, body con caratteri di controllo, query string con SQL/XSS pattern, accessi a path inesistenti o riservati. ModSecurity con OWASP CRS include regole predefinite per centinaia di pattern noti.
Geo-blocking
Il geo-blocking filtra in base a paese di origine dell'IP. Per business B2B locale, bloccare paesi non target riduce significativamente lo spam. Cloudflare offre geo-blocking nativo con database GeoIP aggiornato. Attenzione: utenti legittimi in viaggio o con VPN possono essere falsamente bloccati.
Reputation-based filtering
WAF moderni integrano threat intelligence: liste di IP noti per attività malevola, Tor exit nodes, hosting di botnet, proxy aperti, scanner. Cloudflare ha threat score 0-100 per ogni IP basato su comportamento globale. Bloccare automaticamente IP con score alto riduce il rumore prima dell'applicazione.
Custom rules per applicazione
Oltre alle regole standard, configurare regole custom specifiche per l'applicazione: bloccare submit a form senza referrer corretto, rilevare bot che ignorano robots.txt, identificare pattern bot specifici (es. tentativi su URL/wp-login.php se non WordPress). La conoscenza dell'applicazione permette regole più precise di quelle generiche.
Monitoring e tuning
Implementare WAF richiede monitoring continuo: log delle richieste bloccate, falsi positivi (utenti legittimi bloccati), nuovi pattern di attacco. Iniziare in modalità detection only (log no block) per 1-2 settimane, identificare falsi positivi, fine-tunare, attivare blocking. Strumenti come Cloudflare Analytics o ELK stack supportano l'analisi.
Hai bisogno di aiuto?
Se hai problemi di blacklist o deliverability email, il team di G Tech Group può aiutarti. Contattaci tramite il modulo di contatto.