NNumbers WAF

El NNumbers WAF es un firewall de aplicación (WAF de capa 7) para sitios web y APIs. Se ubica delante de tu origen, en la borda de NNumbers, e inspecciona cada solicitud HTTP antes de entregarla a tu servidor: lo que coincide con una regla de ataque se bloquea o se registra, según el modo de la política.

La administración es toda por la NNumbers Console: dominios, política, reglas personalizadas, limitación de tasa, eventos y excepciones. No instalas nada en el origen y no cambias el código de la aplicación.

Visión general

El WAF usa el motor OWASP Coraza 3.8.1 con el OWASP Core Rule Set 4.25.2 (LTS), el conjunto de reglas mantenido por la comunidad OWASP que describe, en reglas versionadas, cómo se ven los ataques conocidos.

Ítem	Qué es
Motor	OWASP Coraza 3.8.1
Conjunto de reglas	OWASP Core Rule Set 4.25.2, versión LTS
Dónde actúa	En la borda de NNumbers, delante de tu origen
Dónde se administra	NNumbers Console
Qué protege	Sitios web y APIs HTTP y HTTPS

El servicio es compartido entre varias organizaciones, con aislamiento por organización: cada organización solo ve y modifica sus propios dominios, políticas, reglas y eventos.

Cómo funciona

Cada solicitud recorre siempre el mismo camino:

cliente → borda NNumbers → inspección del WAF → tu origen

1. Borda de NNumbers. Es la primera parada: termina el TLS, aplica las protecciones HTTP de la plataforma y la limitación de tasa.
2. Inspección del WAF. La solicitud se compara con los controles de la plataforma, con tus reglas personalizadas y con el conjunto OWASP. La decisión (permitir, registrar o bloquear) sale de aquí.
3. Tu origen. Solo la solicitud permitida llega al servidor que indicaste al registrar el dominio.

La borda guarda la última configuración válida: si la Console queda indisponible, la protección sigue valiendo con lo que ya estaba aplicado, y los cambios pendientes se aplican cuando vuelve.

Qué protege

El conjunto OWASP cubre las familias de ataque más comunes contra aplicaciones web y APIs:

Familia	Ejemplos
Inyección de SQL	' OR 1=1 --, UNION SELECT, inyección en parámetros y cookies
Cross-site scripting (XSS)	Script en un parámetro, en una cabecera o en un cuerpo HTML
Ejecución remota de código	Inyección de comando de sistema, shell inverso
Inclusión de archivo local (LFI) y salto de ruta	../../etc/passwd, wrapper de archivo
Inclusión remota de archivo (RFI)	Inclusión de un archivo alojado fuera de la aplicación
Inyección en PHP y Java	Inyección de función PHP, deserialización Java
Ataques y anomalías de protocolo	Solicitud malformada, cabecera duplicada, método sospechoso
Escáneres y rastreadores	Barrido automatizado en busca de paneles y archivos conocidos
Fijación de sesión	Inyección de identificador de sesión
Abuso de multipart	Cuerpo multipart malformado o con partes en exceso

Limitaciones

• No protege contra ataques volumétricos de capa 3 y 4 (inundación UDP o SYN, saturación de enlace). Esa defensa es de la red delante, fuera del WAF.
• No inspecciona el cuerpo de la respuesta. El WAF mira la solicitud; lo que devuelve tu aplicación no se evalúa.
• WebSocket pasa, pero no se inspecciona después del upgrade. El streaming (SSE) también pasa.
• Un cuerpo por encima del límite de la política se rechaza con 413, no se permite en silencio. El valor por defecto es 64 KiB por solicitud, y el máximo que una política puede declarar es 1 MiB; para cargas mayores, usa la exención de inspección de cuerpo.
• Los tipos de contenido fuera de la lista del conjunto OWASP se bloquean en el nivel de paranoia 1 (regla 920420). Un text/plain o un +json de proveedor puede necesitar una excepción.
• La limitación de tasa vale por instancia de borda, así que el valor global efectivo puede ser mayor que el configurado. Ver Limitación de tasa.
• El WAF no corrige la aplicación. Reduce la exposición a ataques conocidos; una vulnerabilidad en tu código sigue siendo tuya.

Diferencias entre las protecciones

Protección	Qué hace	Cuándo usarla
NNumbers WAF	Inspecciona la solicitud HTTP y bloquea ataques conocidos	Siempre que haya un sitio o una API expuestos
Cuotas del API Gateway	Limita el consumo por consumidor y por clave de API	Contratos de uso de la API, facturación, fair use
Firewall de red	Permite o bloquea puerto y dirección de origen	Exponer solo los puertos necesarios
Protección contra DDoS volumétrico	Absorbe volumen de tráfico en la red	Ataque de volumen, saturación de enlace

Son capas distintas y complementarias: el WAF no sustituye al firewall de red ni a la protección de volumen, y no consume cuota del API Gateway.

Próximos pasos

• Primeros pasos — del dominio a la protección activa.
• Dominios — registro, verificación de propiedad, certificado y DNS.
• Políticas — modos de operación y nivel de paranoia.