NNumbers WAF
O NNumbers WAF é um firewall de aplicação (WAF de camada 7) para sites e APIs. Ele fica na frente da sua origem, na borda da NNumbers, e inspeciona cada requisição HTTP antes de entregá-la ao seu servidor: o que casa com uma regra de ataque é bloqueado ou registrado, conforme o modo da política.
A administração é toda pela NNumbers Console: domínios, política, regras personalizadas, limitação de taxa, eventos e exceções. Você não instala nada na origem e não altera o código da aplicação.
Visão geral
O WAF usa o motor OWASP Coraza 3.8.1 com o OWASP Core Rule Set 4.25.2 (LTS), o conjunto de regras mantido pela comunidade OWASP que descreve, em regras versionadas, como se parecem ataques conhecidos.
| Item | O que é |
|---|---|
| Motor | OWASP Coraza 3.8.1 |
| Conjunto de regras | OWASP Core Rule Set 4.25.2, versão LTS |
| Onde age | Na borda da NNumbers, antes da sua origem |
| Onde se administra | NNumbers Console |
| O que protege | Sites e APIs HTTP e HTTPS |
O serviço é compartilhado entre várias organizações, com isolamento por organização: cada organização vê e altera somente os próprios domínios, políticas, regras e eventos.
Como funciona
Cada requisição percorre sempre o mesmo caminho:
cliente → borda NNumbers → inspeção do WAF → sua origem
- Borda da NNumbers. É a primeira parada: termina o TLS, aplica as proteções HTTP da plataforma e a limitação de taxa.
- Inspeção do WAF. A requisição é comparada com os controles da plataforma, com as suas regras personalizadas e com o conjunto OWASP. A decisão (liberar, registrar ou bloquear) sai daqui.
- Sua origem. Só a requisição liberada chega ao servidor que você indicou no cadastro do domínio.
A borda guarda a última configuração válida: se a Console ficar indisponível, a proteção continua valendo com o que já estava aplicado, e as mudanças pendentes são aplicadas quando ela volta.
O que protege
O conjunto OWASP cobre as famílias de ataque mais comuns contra aplicações web e APIs:
| Família | Exemplos |
|---|---|
| Injeção de SQL | ' OR 1=1 --, UNION SELECT, injeção em parâmetros e cookies |
| Cross-site scripting (XSS) | Script em parâmetro, em cabeçalho ou em corpo HTML |
| Execução remota de código | Injeção de comando de sistema, shell reverso |
| Inclusão de arquivo local (LFI) e travessia de caminho | ../../etc/passwd, wrapper de arquivo |
| Inclusão remota de arquivo (RFI) | Inclusão de arquivo hospedado fora da aplicação |
| Injeção em PHP e Java | Injeção de função PHP, desserialização Java |
| Ataques e anomalias de protocolo | Requisição malformada, cabeçalho duplicado, método suspeito |
| Farejadores e scanners | Varredura automatizada em busca de painéis e arquivos conhecidos |
| Fixação de sessão | Injeção de identificador de sessão |
| Abuso de multipart | Corpo multipart malformado ou com partes em excesso |
Limitações
- Não protege contra ataque volumétrico de camada 3 e 4 (inundação UDP ou SYN, saturação de link). Essa defesa é da rede à frente, fora do WAF.
- Não inspeciona o corpo da resposta. O WAF olha a requisição; o que a sua aplicação devolve não é avaliado.
- WebSocket passa, mas não é inspecionado depois do upgrade. Streaming (SSE) também passa.
- Corpo acima do limite da política é recusado com 413, e não liberado em silêncio. O padrão é 64 KiB por requisição, e o máximo que uma política pode declarar é 1 MiB; para uploads maiores, use a isenção de inspeção de corpo.
- Tipos de conteúdo fora da lista do conjunto OWASP são bloqueados no nível de paranoia 1 (regra 920420). Um
text/plainou um+jsonde fornecedor pode precisar de exceção. - A limitação de taxa vale por instância de borda, então o valor global efetivo pode ser maior que o configurado. Veja Limitação de taxa.
- O WAF não corrige a aplicação. Ele reduz a exposição a ataques conhecidos; vulnerabilidade no seu código continua sendo sua.
Diferenças entre as proteções
| Proteção | O que faz | Quando usar |
|---|---|---|
| NNumbers WAF | Inspeciona a requisição HTTP e bloqueia ataques conhecidos | Sempre que houver site ou API expostos |
| Quotas do API Gateway | Limita o consumo por consumidor e por chave de API | Contratos de uso da API, cobrança, fair use |
| Firewall de rede | Libera ou bloqueia porta e endereço de origem | Expor somente as portas necessárias |
| Proteção contra DDoS volumétrico | Absorve volume de tráfego na rede | Ataque de volume, saturação de link |
São camadas diferentes e complementares: o WAF não substitui o firewall de rede nem a proteção de volume, e não consome quota do API Gateway.
Próximos passos
- Primeiros passos — do domínio à proteção ativa.
- Domínios — cadastro, verificação de propriedade, certificado e DNS.
- Políticas — modos de operação e nível de paranoia.
Esta página ajudou?
Reportar um problema nesta páginaNão envie senhas, chaves, tokens ou dados de clientes.