WACE: Un integrador de clasificadores de ataques web

Abstract

Desde principios de los años 90 cuando se desarrolló por primera vez la idea de un firewall de aplicación (WAF por sus siglas en inglés), hasta la actualidad donde existen un gran número de WAFs protegiendo muchas de las aplicaciones utilizadas en internet, el uso de esta tecnología ha aumentado en gran medida y es una herramienta más que ayuda a proteger, en conjunto con otras, a las aplicaciones web. Dentro de las soluciones que existen actualmente hay un gran número de implementaciones comerciales, pero la más importante y reconocida en el ambiente open-source es ModSecurity. La motivación de este trabajo es mejorar los resultados que se obtienen cuando se utiliza ModSecurity junto con el CRS de OWASP en modo de detección por acumulación de puntajes, desarrollando una herramienta que permita integrar modelos de aprendizaje automático con ModSecurity. Se buscan detectar las transacciones maliciosas utilizando ambos criterios de manera complementaria, el de ModSecurity y el de los modelos de aprendizaje automático, principalmente para reducir el alto número de falsos positivos que pueden surgir del uso de ModSecurity en niveles de paranoia mayores a 1, sin aumentar la tasa de falsos negativos significativamente.