Glossario · Architettura di cybersecurity WAF (Web Application Firewall)
Livello di sicurezza che ispeziona il traffico HTTP/HTTPS da e verso applicazioni web, bloccando attacchi come SQL injection, XSS ed exploit dell'OWASP Top 10 prima che raggiungano il server d'origine. Consegnato come servizio reverse-proxy (Cloudflare, AWS WAF) o come agente sull'origine (CrowdSec, ModSecurity, HAProxy).
## Cosa fa realmente una WAF
Un Web Application Firewall ispeziona le richieste e le risposte HTTP/HTTPS che si muovono tra un client e un'applicazione web, applicando regole che identificano e bloccano attacchi che un firewall di livello di rete (che vede solo informazioni IP/porta) non può riconoscere. Le categorie canoniche di attacco coperte:
- **SQL injection** — input malevolo mirato al livello del database
- **Cross-site scripting (XSS)** — inserimento di script lato client in pagine servite ad altri utenti
- **Cross-site request forgery (CSRF)** — ingannare utenti autenticati per eseguire azioni indesiderate
- **Server-side request forgery (SSRF)** — costringere il server a effettuare richieste verso URL controllati dall'attaccante
- **XML External Entity (XXE)** — abuso dei parser XML per esfiltrare dati
- **Path traversal** — accesso a file al di fuori della directory prevista
- **Command injection** — passaggio di metacaratteri di shell a chiamate di sistema
- **Attacchi tramite upload di file** — file malevoli mascherati da upload legittimi
- **Bypass dell'autenticazione e falle nella gestione delle sessioni**
- **Abuso della logica di business** — uso improprio specifico dell'applicazione (endpoint con rate limit, abuso di codici sconto, credential stuffing)
Il ruleset di riferimento per la maggior parte delle WAF è l'**OWASP Core Rule Set (CRS)**, una libreria open source di regole di rilevamento basate su pattern mantenuta dall'OWASP Foundation.
## Due architetture di deployment
Le WAF esistono in due architetture fondamentalmente diverse — e la scelta ha implicazioni strutturali di sovranità.
### WAF reverse-proxy (cloud-hosted)
Il traffico viene instradato prima verso la rete edge del fornitore. Il fornitore ispeziona, filtra e (se legittimo) inoltra all'origine. Esempi:
- **Cloudflare WAF** (USA, Delaware, NYSE: NET)
- **AWS WAF** (USA, Delaware, Nasdaq: AMZN)
- **Akamai Kona** (USA, Nasdaq: AKAM)
- **Fastly Next-Gen WAF** (USA, NYSE: FSLY)
- **Bunny.net Shield** (Slovenia, controllato dall'UE)
Il modello reverse-proxy conferisce al fornitore un enorme potere (assorbimento DDoS su scala Tbps, CDN globale, edge compute) ma instrada il traffico dei clienti attraverso l'infrastruttura del fornitore — che diventa un'esposizione giurisdizionale se il fornitore ha capogruppo statunitense.
### WAF basata su agente (self-hosted o on-origin)
Un agente viene eseguito sul server d'origine (o davanti come componente inline), ispezionando il traffico senza instradarlo attraverso un servizio esterno. Esempi:
- **CrowdSec AppSec Component** (Francia, licenza MIT)
- **ModSecurity** (open source, storicamente il riferimento)
- **Coraza** (successore di ModSecurity basato su Go)
- **HAProxy Enterprise WAF**
- **NGINX App Protect**
- **AWS-shield agent-modes**
Le WAF basate su agente mantengono il traffico dei clienti sulla vostra infrastruttura. Il fornitore vede aggiornamenti delle regole e aggregati di telemetria, non il flusso grezzo delle richieste.
## Implicazioni di sovranità
Nel modello reverse-proxy, il traffico dei clienti — inclusi i corpi delle richieste contenenti dati personali, informazioni di pagamento, credenziali di autenticazione e token API — fluisce attraverso l'infrastruttura del fornitore WAF. Per un fornitore con capogruppo statunitense, tale flusso è esposto alla portata del CLOUD Act e della Sezione 702 di FISA:
- Cloudflare, AWS WAF, Fastly, Akamai — la capogruppo è costituita negli USA.
- Ai sensi del CLOUD Act, le autorità statunitensi possono obbligare il fornitore a divulgare i dati che elabora, incluse le richieste in transito dei clienti UE.
Per le organizzazioni europee che operano in settori regolamentati — banche, sanità, pubblica amministrazione, difesa — instradare il traffico dei clienti attraverso una WAF di corporation del Delaware è spesso un'esposizione di compliance che richiede o un'alternativa reverse-proxy con capogruppo UE (Bunny.net Shield) o un'architettura basata su agente (CrowdSec + un CDN europeo).
## Il pattern CrowdSec + Bunny.net
Un pattern comune di sostituzione europeo-sovrano per l'offerta combinata WAF + CDN + DDoS di Cloudflare:
1. **CrowdSec** (Parigi SAS, MIT open source, basato su agente) gestisce WAF + bot management + reputazione IP — in esecuzione sui vostri server, senza intermediario di corp statunitense.
2. **Bunny.net** (Slovenia) gestisce il caching edge CDN e l'origin shielding sotto giurisdizione UE.
3. Opzionale: **OVHcloud Anti-DDoS** o **Bunny Shield** gestisce lo scrubbing DDoS volumetrico di livello di rete.
Lo stack combinato sostituisce la superficie funzionale utile di Cloudflare mantenendo il traffico sotto custodia giurisdizionale UE ad ogni hop.
## Implicazioni NIS2 e DORA
- **NIS2**: le entità essenziali e importanti devono documentare i controlli di sicurezza inclusa l'architettura WAF. Per le entità prossime al settore pubblico, la giurisdizione del fornitore WAF diventa sempre più una considerazione documentata.
- **DORA**: i test di resilienza operativa per i servizi finanziari richiedono penetration test guidati dalle minacce che coprano la superficie di attacco esterna — inclusa la layer WAF. I test devono includere scenari adversariali realistici; se il fornitore WAF stesso si trova in una giurisdizione dove la portata regolatoria potrebbe essere imposta, è un fattore di rischio operativo.
## WAF gratuite / open source
Per team che desiderano una genuina capacità WAF open source:
- **ModSecurity** — il riferimento storico, passato dalla manutenzione di Trustwave a quella di OWASP nel 2024. Solido ma la v3 ha un preavviso di fine vita.
- **Coraza** — il moderno successore basato su Go raccomandato da OWASP per i nuovi deployment.
- **CrowdSec AppSec Component** — con licenza MIT, si integra con la blocklist crowdsourced e Security Engine di CrowdSec.
Per la maggior parte dei team europei che costruiscono infrastrutture sovrane, la combinazione di Coraza (o CrowdSec AppSec) al confine dell'applicazione + CrowdSec Security Engine che osserva i log + Bunny.net per il CDN offre uno stack WAF completamente open source e di giurisdizione UE a basso costo.
Ti è stato utile?
Grazie per il tuo feedback!