Seguridad
Página 8 de 9
-
Cuatro formas en que la tecnología obsoleta de los WAF antiguos deja tus aplicaciones desprotegidas
Liz Hurder
Los firewalls de aplicaciones web (WAF) antiguos no son omnipresentes por ser la tecnología perfecta. Se usan porque así lo exigen las normas, a pesar de los cuatro puntos débiles que suelen tener.
Seguridad -
Señales indicativas: cómo distinguir el tráfico de bots inocuos del de los nocivos
Brendon Macaraeg
Algunos bots son simples rastreadores de buscadores o supervisan el estado de un sitio web, pero otros merodean con la intención de efectuar apropiaciones de cuentas y poner API en peligro. En esta entrada, veremos cómo diferenciarlos para permitir los bots buenos y bloquear los maliciosos.
Seguridad -
Proceso de análisis de Cranelift para ofrecer espacios aislados seguros en Compute
Pat Hickey, Chris Fallin, + 1 más
Junto con la Bytecode Alliance, el equipo de WebAssembly de Fastly llevó a cabo hace poco una rigurosa evaluación de seguridad de Cranelift, un generador de código de última generación (y de código abierto), para usarlo en WebAssembly como funcionalidad de seguridad de espacios aislados.
Información del sector+ 3 más -
Respuestas a las preguntas más frecuentes sobre seguridad de Kubernetes
Brendon Macaraeg
A medida que Kubernetes se generaliza como solución para organizar contenedores, resulta lógico que vayan surgiendo cuestiones de seguridad. Estas son las respuestas a las preguntas que recibimos con más frecuencia acerca de Kubernetes.
Seguridad -
Acceso a la memoria debido a un fallo de generación de código en el módulo de Cranelift
El equipo de Security Technical Account Management de Fastly, Equipo de Security Research de Fastly
El error identificado en el backend x64 de Cranelift realiza una extensión de signo en lugar de una extensión de ceros en un valor cargado desde el stack cuando el asignador de registros vuelve a cargar un valor entero desbordado inferior a 64 bits. Este comportamiento choca con otra optimización: el selector de instrucciones elide un operador de extensión de ceros de 32 a 64 bits cuando sabemos que una instrucción que produce un valor de 32 bits en realidad pasa a cero los 32 bits superiores de su registro de destino. Así, el compilador x64 se basa en estos bits a cero, pero el tipo del valor sigue siendo i32, y el spill/reload reconstituye esos bits como la extensión de signo del bit más importante (MSB) de i32\.
Seguridad -
Medidas de seguridad a fondo: cómo evitar que un error del compilador de Wasm pase a mayores
iximeow, Chris Fallin
Hace poco descubrimos un error en parte del compilador de WebAssembly que utilizamos para Compute@Edge, el cual habría permitido a cualquier módulo de WebAssembly acceder a memoria ajena a su montón, aislado en un entorno seguro.No obstante, con la ayuda de nuestro equipo y de los eficientes procesos y herramientas a su disposición, detectamos el error y lo resolvimos en nuestra infraestructura antes de que alguien lo aprovechara.
SeguridadWebAssembly -
Más es menos: acabemos con la deuda técnica de herramientas de seguridad
Brendon Macaraeg
Desplegar más herramientas de seguridad para combatir cada amenaza nueva acaba por dispersar la protección e incrementar la deuda técnica. Las organizaciones necesitan una protección uniforme para sus aplicaciones y API, independientemente de dónde residan.
Seguridad -
Los paneles de protección de API y contra ataques de ATO abordan un creciente problema de seguridad aportando más visibilidad
Brendon Macaraeg
Los nuevos paneles del WAF de última generación de Fastly muestran la telemetría de seguridad a partir de más de 20 señales nuevas de posibles ataques avanzados, como los intentos de apropiación de cuentas, la validación de tarjetas de crédito y el restablecimiento de contraseñas.
SeguridadObservabilidad -
Fastly y Okta se unen para blindar la capa 7
Sean Leach
Las amenazas a la capa 7 constituyen el principal campo de batalla en el ámbito de la seguridad de las API y aplicaciones web. Fastly y Okta se han asociado para compartir información sobre amenazas y ayudar a los equipos de seguridad y desarrollo a proteger mejor sus sistemas.
SeguridadNoticias de la empresa -
Cuatro consejos en torno a las personas para inculcar una cultura de la seguridad en tu organización de ingeniería
Kevin Rollinson
Descubre cómo líderes de ambos departamentos han creado culturas de DevOps seguro que funcionan, priorizando la confianza en las personas.
SeguridadDevOps -
La pedisteis y ya está aquí: presentamos la compatibilidad de Terraform con TLS
Joe Hoffend, Sudhir Patamsetti
Los equipos ya pueden automatizar sus flujos de trabajo de Fastly TLS mediante Terraform, y eso incluye emitir certificados, recuperar información de TLS y realizar otras actualizaciones.
SeguridadProducto -
Fastly (Signal Sciences) recibe el reconocimiento «Customers’ Choice» por tercera vez
Andrew Peterson
Fastly (Signal Sciences) ha sido reconocido como «Customers’ Choice» en la categoría de firewalls de aplicaciones web del informe de Gartner Peer Insights «Voice of the Customer» de 2021.
Noticias de la empresa+ 2 más -
Protección del WAF de última generación ante las recientes vulnerabilidades de Microsoft Exchange
Equipo de Security Research de Fastly, Xavier Stevens, + 1 más
Nuestro personal de investigación de seguridad ha desarrollado y desplegado una regla para proteger a los clientes del WAF de última generación de Signal Sciences de Fastly ante las vulnerabilidades de Microsoft Exchange Server anunciadas recientemente.
ProductoSeguridad -
Líderes de ingeniería: la seguridad también es vuestra responsabilidad
Sean Leach
El auge de DevOps seguro ha hecho que muchos profesionales de la seguridad tengan que luchar por ganarse la atención y el apoyo de sus compañeros ingenieros. ¿Qué pueden hacer los líderes de ingeniería para garantizar que haya una estrecha colaboración? Te presentamos cuatro ideas para integrar la seguridad en tu cultura, flujos de trabajo y objetivos de DevOps.
Cultura+ 3 más -
Tres ventajas de la CDN para las startups
Simon Wistow
Una CDN moderna puede ayudar a mejorar el posicionamiento en buscadores, facilitar la distribución de contenido personalizado y proteger tus sitios y aplicaciones. Tres factores clave en el éxito de cualquier startup.
Rendimiento+ 2 más -
Las nuevas reglas de seguridad para aplicaciones web y API
Sean Leach
Casi todo lo que sabemos sobre el diseño de aplicaciones web y API ha cambiado en las últimas décadas. ¿Y por qué no ha cambiado la seguridad? Creemos que ya es hora de adoptar un nuevo enfoque de seguridad para aplicaciones web y API más acorde al modo en que se diseñan las aplicaciones y a la manera de trabajar de los equipos.
DevOpsSeguridad -
Entrega incorrecta de registro parcial
Equipo de Security Research de Fastly, El equipo de Security Technical Account Management de Fastly
El 29 de julio a las 00:00 UTC, Fastly recibió un mensaje de un cliente (cliente X) en el que se informaba de que su sistema de registros había recibido una línea de registro que estaba destinada a otro cliente (cliente Y). Fastly empezó a investigar inmediatamente y determinó que, cuando confluyen una serie compleja de condiciones, es posible que una línea de registro se enrute por error a un servicio de registro que no corresponde. Logramos averiguar que la raíz del incidente era un error en la lógica que Fastly había introducido en abril de 2012 para mejorar el rendimiento. En Fastly nos consta que la notificación de este cliente ha sido el único caso en ocho años en que se han dado a la vez todas las condiciones necesarias.
Seguridad -
Seguridad a escala: Fastly anuncia su intención de adquirir Signal Sciences, la solución de protección de API y aplicaciones web
Joshua Bixby
La seguridad forma parte del ADN de Fastly y se pone de manifiesto en los productos y en nuestra visión de confianza y protección como plataforma moderna. Hoy nos complace comunicar nuestra intención de adquirir Signal Sciences.
Noticias de la empresaSeguridad -
Advertencia de seguridad de Fastly: Vulnerabilidad por envenenamiento de caché que aprovecha el encabezado X-Forwarded-Host
Equipo de Security Research de Fastly, El equipo de Security Technical Account Management de Fastly
Fastly recibió una notificación del problema el 21 de mayo de 2020 a las 13:30 UTC e, inmediatamente, abrió una investigación para identificar los servidores de origen que respondieron con un número de puerto de prueba en la respuesta de redireccionamiento, con el fin de entender la vulnerabilidad e identificar posibles soluciones. Concluida la investigación, Fastly notificó los hechos por primera vez el 15 de julio de 2020 a las 04:30 UTC a los clientes potencialmente afectados. La vulnerabilidad es una variante de una vulnerabilidad [previamente comunicada](/security-advisories/cache-poisoning-leveraging-various-x-headers) y, en última instancia, es el resultado de diseñar respuestas de origen almacenables en caché basadas en datos definidos por el usuario. El problema se produce cuando un atacante emite una petición HTTPS y especifica en el encabezado Host un número de puerto que no se está utilizando realmente para ningún servicio. Existe la posibilidad de almacenar en caché un recurso de tal manera que se impida que futuras peticiones se atiendan de forma adecuada.
Seguridad -
Enrutamiento de servicio incorrecto en conexiones de cliente HTTP/2
Equipo de Security Research de Fastly, El equipo de Security Technical Account Management de Fastly
El 11 de noviembre de 2019, a las 21:57 UTC, Fastly desplegó una nueva compilación de su software de terminación HTTP/2 en dos servidores de caché de Fastly del centro de datos de Mineápolis-St. Paul (STP). Esta compilación contenía un fallo de procesamiento que implicaba la reutilización de la conexión entre sistemas internos de Fastly (no relacionada con la multiplexación de HTTP/2) y provocaba que algunas peticiones entrantes de HTTP/2 destinadas a servicios de los clientes de Fastly pudieran enrutarse por error a un grupo de hasta 20 servicios y orígenes de clientes de Fastly. Esto daba lugar a que algunos datos de peticiones de cliente se entregaran a un origen de cliente incorrecto, con el consiguiente envío de respuesta por parte de este. Es posible que los clientes cuyos orígenes recibían estas peticiones por error registraran los datos de las solicitudes incorrectamente enrutadas. Fastly recibió por primera vez notificación de este incidente por parte de un cliente el 12 de noviembre de 2019 a las 23:07 UTC. El 13 de noviembre de 2019, a las 00:50 UTC, todo el tráfico de clientes se desvió del centro de datos afectado. Fastly comenzó inmediatamente una investigación, y el 14 de noviembre de 2019, a las 00:31 UTC, confirmamos la presencia de datos de peticiones incorrectamente enrutadas en los registros de un cliente. Calculamos que el fallo afectó al 0,00016 % de nuestro tráfico global de peticiones durante un periodo de 27 horas. Es poco probable que las peticiones de cliente afectadas procedieran de fuera de Norteamérica. Como Fastly no almacena datos de registro de los clientes, no podemos asegurar con certeza si una petición afectada en concreto se enrutó incorrectamente.
Seguridad