WAF - observación, shadow y enforcement

Un WAF bien operado no es una caja que se enciende: es un programa que empieza observando, valida cada regla en sombra y solo entonces bloquea, con un responsable y una métrica para cada decisión.

Cloudflare WAFOWASP Core Rule SetAWS WAFModSecurity

Qué es

Un WAF () inspecciona el tráfico HTTP en la capa 7 y decide, solicitud por solicitud, si continúa, se desafía, se limita o se bloquea. Ve lo que un firewall de red no ve: ruta, método, cabeceras, parámetros y el cuerpo de la solicitud.

No corrige la aplicación. Su papel es reducir la superficie expuesta y ganar tiempo: bloquear patrones de ataque conocidos, aplicar un "" mientras el equipo corrige la falla de verdad y contener la automatización abusiva antes de que llegue al origen.

Modelo negativo y modelo positivo

El modelo negativo bloquea lo que parece malo: firmas de inyección SQL, , path traversal, como las reglas administradas (OWASP Core Rule Set y los rulesets que mantiene el proveedor). Es la base lista para usar, pero genera falsos positivos y puede ser eludido por quien conoce el patrón.

El define qué es válido y bloquea el resto: para un endpoint crítico, qué métodos, rutas, tipos de contenido y tamaños se aceptan. Da mucha más precisión, pero exige conocer la aplicación, así que se aplica endpoint por endpoint, empezando por los más críticos (login, pago, administración).

Negativo: cobertura amplia y rápida, más ruido, actualizado por el proveedor.
Positivo: precisión alta y superficie mínima, mayor costo de mantenimiento, escrito por quien conoce la aplicación.
En la práctica se combinan: el administrado como red de seguridad y el positivo en los endpoints que más importan.

Observación, shadow y enforcement

La regla de oro es no activar nunca una regla nueva directamente en bloqueo. El camino seguro tiene tres fases:

Observación: la regla solo registra (acción de log). Usted mide cuánto tráfico atraparía y de quién.
Shadow: la regla corre en paralelo y la decisión simulada se compara con la realidad (¿qué habría sido bloqueado y era legítimo?). Aquí se ajusta la precisión.
Enforcement: la regla empieza a actuar, comenzando por un desafío (challenge) en lugar de un bloqueo seco cuando hay dudas, y recibe un responsable y una métrica de falsos positivos.

Ejemplo: reglas en el lenguaje de expresiones de Cloudflare

Dos reglas ilustrativas. La primera es positiva: en un endpoint de pedidos, solo se aceptan GET y POST. La segunda protege el login: las solicitudes de login que vienen de fuera de una lista de confianza reciben un desafío. Los nombres de los campos siguen el lenguaje de reglas de Cloudflare; ajústelos a su entorno.

custom rules - ilustrativotext

# 1) modelo positivo: método inesperado en /api/orders
(http.request.uri.path eq "/api/orders" and not http.request.method in {"GET" "POST"})
  -> action: Block

# 2) login fuera de la lista de confianza recibe desafío
(http.request.method eq "POST" and http.request.uri.path eq "/api/login" and not ip.src in $trusted_ips)
  -> action: Managed Challenge

# fase de observación: misma expresión, solo registrando
  -> action: Log

El falso positivo es el costo real

Bloquear a un cliente legítimo cuesta ingresos y confianza, y es lo que hace que los equipos apaguen el WAF. Por eso cada regla necesita una métrica de precisión, una excepción documentada (y con plazo) y un ciclo semanal de revisión. Un WAF que nadie ajusta se convierte, en pocos meses, en un muro que estorba o en un adorno que no bloquea nada.

WAFweb application firewallFiltro en el borde que bloquea patrones de ataque conocidos en HTTP. Complementa al código: no reemplaza corregir la vulnerabilidad, solo compra tiempo.ver en el glosario →Parche virtualvirtual patchingRegla de WAF que bloquea la explotación de una vulnerabilidad conocida mientras la corrección real aún no llega a la aplicación. Gana tiempo, no elimina la falla.ver en el glosario →XSScross-site scriptingInyección en una página web: la entrada no confiable se renderiza como HTML o script en el navegador de otro usuario. Haz escape en la salida según el contexto y agrega una Content-Security-Policy.ver en el glosario →Modelo positivoallowlistDefinir qué es válido para un endpoint (métodos, rutas, formatos, tamaños) y bloquear el resto. Más preciso que las firmas, pero exige conocer la aplicación.ver en el glosario →

conexiones en el mapa

Ingeniería de deteccióngenera reglasWAF - observación, shadow y enforcement
WAF - observación, shadow y enforcementejecutaRunbooks, respuesta y hardening posincidente
SLOs de SOC y tuning continuomide la precisiónWAF - observación, shadow y enforcement
Defensa en capas: diseño de sistemas de bordeposicionaWAF - observación, shadow y enforcement

actualizado el 14/10/2026 · fuentes para profundizar · reportar un error

en otros dominios

Estrategias de release y rollbackdevopsobservación, shadow y enforcement: la misma escalera gradual
DASTappsecencuentra la falla; el WAF mitiga mientras no se corrige (virtual patching)