F5 ha ampliado las capacidades de seguridad de su plataforma para bloquear intentos de explotación mientras una vulnerabilidad todavía no dispone de un parche definitivo aplicado en la aplicación. La compañía incorpora detección de anomalías, inteligencia de amenazas basada en agentes y nuevas funciones de parcheo virtual a su Web Application Firewall (WAF), con el objetivo de reducir el intervalo entre la detección de un fallo y la protección efectiva del servicio.

Las claves del nuevo parcheo virtual de F5 en 30 segundos

• F5 refuerza su WAF con detección de anomalías, aprendizaje automático e inteligencia de amenazas basada en agentes.
• El parcheo virtual permite bloquear determinadas vías de explotación sin modificar inmediatamente el código vulnerable.
• En pruebas internas, F5 afirma haber alcanzado un 98 % de eficacia de detección y un 1 % de falsos positivos.
• Distributed Cloud Web App Scanning puede generar protecciones dirigidas a vulnerabilidades detectadas.
• El parche virtual es una medida temporal: la vulnerabilidad subyacente sigue necesitando una corrección definitiva.

El planteamiento responde a un problema que está ganando peso con el uso de inteligencia artificial en ciberseguridad. Las mismas herramientas que ayudan a investigadores y desarrolladores a encontrar errores pueden reducir también el trabajo necesario para analizar una vulnerabilidad, estudiar sus condiciones de explotación y desarrollar ataques.

F5 sostiene que los modelos de IA más avanzados están acortando el tiempo entre el descubrimiento de una vulnerabilidad y su explotación. Frente a ese escenario, la compañía propone trasladar parte de la respuesta al propio tráfico de la aplicación: impedir que llegue una petición maliciosa mientras los desarrolladores preparan, prueban y despliegan el parche real.

Qué es un parche virtual y qué puede proteger

Un parche virtual no modifica el software vulnerable.

En su lugar, introduce una regla o control de seguridad delante de la aplicación para reconocer y bloquear las peticiones que intentan aprovechar un determinado fallo. Un WAF ocupa una posición especialmente adecuada para hacerlo porque inspecciona las solicitudes antes de que alcancen la aplicación protegida.

Esto puede ser útil cuando una organización conoce una vulnerabilidad, pero no puede actualizar inmediatamente el sistema.

Una corrección convencional puede exigir modificar código, probar dependencias, comprobar que la nueva versión no introduce regresiones y pasar por los procedimientos internos de gestión de cambios. En aplicaciones empresariales que deben permanecer disponibles, ese proceso puede necesitar más tiempo del que requiere un atacante para empezar a probar una vulnerabilidad recién divulgada.

F5 quiere reducir ese intervalo.

Su sistema permite utilizar firmas existentes o crear reglas personalizadas asociadas a un CVE (Common Vulnerabilities and Exposures), una ruta de ataque, un método HTTP, una cabecera o un parámetro concreto.

La protección puede aplicarse mediante F5 WAF for Distributed Cloud y extenderse a entornos híbridos con F5 WAF for BIG-IP.

Pero existe una diferencia importante entre mitigar una explotación y corregir una vulnerabilidad.

Si una regla del WAF impide que una petición maliciosa alcance el código vulnerable, disminuye la exposición a ese vector de ataque. El error original continúa existiendo en la aplicación y debería corregirse mediante una actualización definitiva cuando resulte posible.

Por eso F5 plantea el parcheo virtual como una forma de ganar tiempo, no como sustituto permanente de la gestión de vulnerabilidades.

La IA analiza cada petición y busca comportamientos anómalos

F5 está reforzando además el análisis que realiza antes de decidir qué tráfico bloquear.

Su WAF utiliza clasificación mediante aprendizaje automático y un motor neuronal de riesgo que evalúa las peticiones a medida que llegan y les asigna una puntuación.

El objetivo es reducir la dependencia exclusiva de firmas conocidas.

Las firmas continúan siendo útiles cuando existe un patrón de ataque identificable, pero presentan limitaciones frente a intentos desconocidos o variaciones diseñadas específicamente para evitar reglas estáticas.

F5 sostiene que la puntuación dinámica puede ayudar a detectar intentos contra vulnerabilidades de día cero, ataques de inyección y cadenas de explotación polimórficas, aunque la eficacia real dependerá del tipo de ataque, la aplicación y la configuración utilizada.

La compañía añade ahora detección de anomalías a Distributed Cloud WAF.

Esta función aprende los patrones estadísticos habituales de cada aplicación y compara las nuevas solicitudes con esa referencia. Una desviación no significa automáticamente que exista un ataque, pero puede proporcionar otra señal para determinar el riesgo de una petición.

Este enfoque también introduce uno de los problemas habituales de cualquier sistema de detección basado en comportamiento: diferenciar una actividad maliciosa de una utilización legítima pero poco frecuente.

Los falsos positivos resultan especialmente delicados en un WAF. Una herramienta que genera demasiadas alertas puede convertirse simplemente en ruido. Una que bloquea tráfico legítimo puede afectar directamente a clientes y servicios.

F5 asegura que, en sus propias pruebas internas, su WAF con IA consiguió una eficacia de detección del 98 % y redujo los falsos positivos al 1 %. Son resultados del fabricante y no deben interpretarse como niveles garantizados para cualquier aplicación o entorno de producción.

De encontrar una vulnerabilidad a bloquear su explotación

Otra pieza de la estrategia es conectar el descubrimiento del problema con la protección aplicada durante la ejecución.

F5 Distributed Cloud Web App Scanning (WAS) puede buscar vulnerabilidades expuestas, API sin protección y determinados fallos de lógica de negocio. Cuando identifica un problema susceptible de mitigación, puede utilizarse para activar un parche virtual específico.

La idea es acortar un proceso que tradicionalmente requiere varias etapas: un escáner descubre una vulnerabilidad, genera una alerta, el equipo de seguridad la revisa, determina su prioridad y posteriormente configura una medida de protección.

F5 pretende automatizar parte de ese recorrido.

A ello suma inteligencia de amenazas basada en agentes, construida sobre tecnología procedente de Fletch, compañía adquirida por F5.

El sistema combina información externa sobre amenazas emergentes o vulnerabilidades que están siendo explotadas con los eventos observados en las aplicaciones de cada organización.

Esto intenta resolver otro problema habitual de los centros de operaciones de seguridad: conocer una nueva vulnerabilidad no significa necesariamente que represente el mismo riesgo para todas las empresas.

El contexto importa.

Una vulnerabilidad crítica en un componente que una organización no utiliza tiene una prioridad diferente de otra que afecta directamente a una aplicación expuesta a Internet y contra la que ya se están observando intentos de explotación.

F5 quiere que el sistema ayude a determinar qué amenazas son relevantes para cada entorno y proponga mitigaciones que puedan convertirse en parches virtuales.

La automatización, sin embargo, aumenta también la importancia de mantener controles sobre las decisiones de bloqueo. Una recomendación incorrecta aplicada automáticamente sobre tráfico de producción puede provocar problemas de disponibilidad, así que la reducción de falsos positivos y la capacidad de revisar las mitigaciones resultan especialmente importantes.

La IA está reduciendo el tiempo disponible para reaccionar

El trasfondo del anuncio va más allá de una nueva versión de un WAF.

La inteligencia artificial está acelerando diferentes partes del trabajo de seguridad. Puede revisar código, analizar cambios, localizar patrones vulnerables y ayudar a construir pruebas de concepto. Estas capacidades benefician a los defensores, pero algunas también pueden ser utilizadas para estudiar objetivos y acelerar el desarrollo de ataques.

Eso obliga a reconsiderar cuánto tiempo puede permanecer una vulnerabilidad expuesta mientras llega el parche convencional.

F5 propone separar temporalmente las dos necesidades: mitigar primero el ataque en el tráfico y corregir después el problema en el software, manteniendo los procedimientos necesarios para probar adecuadamente la actualización.

La compañía complementa este modelo con F5 Insight for Application Delivery and Security Platform (ADSP), destinado a ayudar a los equipos de operaciones con los procesos de actualización de la propia infraestructura F5.

Las nuevas capacidades del WAF basadas en IA están disponibles en Distributed Cloud dentro de F5 ADSP. El parcheo virtual y la integración entre Distributed Cloud WAS y F5 WAF for BIG-IP también están disponibles, mientras que la detección de anomalías y la inteligencia de amenazas basada en agentes se están desplegando progresivamente entre los clientes de Distributed Cloud WAF.

El valor práctico del planteamiento dependerá de algo especialmente sensible en seguridad: que la protección temporal sea suficientemente precisa para bloquear el ataque sin convertirse en una nueva fuente de interrupciones.

El parche virtual puede reducir la ventana de exposición. Pero sigue existiendo una regla básica que la automatización no cambia: bloquear el camino hacia una vulnerabilidad no equivale a eliminarla.

Preguntas frecuentes

¿Qué es un parche virtual en ciberseguridad?

Es una protección aplicada delante del software vulnerable, normalmente mediante tecnologías como un WAF, para bloquear determinadas vías de explotación sin modificar inmediatamente el código original. Se utiliza como mitigación hasta que pueda instalarse una corrección definitiva.

¿F5 utiliza inteligencia artificial para decidir qué tráfico bloquear?

F5 utiliza aprendizaje automático, un motor de puntuación de riesgo y detección de anomalías para analizar las peticiones. También está incorporando inteligencia de amenazas basada en agentes para contextualizar vulnerabilidades y recomendar mitigaciones.

¿Un parche virtual sustituye a una actualización de seguridad?

No. Puede reducir temporalmente la exposición a determinados ataques, pero la vulnerabilidad continúa presente en el software. La aplicación debe actualizarse o corregirse para eliminar el problema subyacente.

¿Qué eficacia tiene el WAF con IA de F5?

F5 afirma que en sus pruebas internas alcanzó un 98 % de eficacia de detección con un 1 % de falsos positivos. Son métricas proporcionadas por la propia compañía y los resultados pueden variar en entornos reales.

Fuente: f5