WAF
Desplegar cortafuegos de aplicaciones web para proteger los servicios.
WAF se define por los resultados de NIST CSF 2.0 PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage); DE.CM-01 (Networks and network services are monitored to find potentially adverse events). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001 y 800-53. Editorial Con correspondencia editorial en CIS v8.1, SOC 2 y PCI DSS. Solo relación tangencial en CMMC, HIPAA y NIS2. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para GDPR, Essential Eight, DORA, CPS 234 y Cyber Essentials.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.IR-01DE.CM-01 | Networks and environments are protected from unauthorized logical access and usage; Networks and network services are monitored to find potentially adverse events | Definición del tema | PR.IR-01 DE.CM-01 |
| ISO 27001 | A.8.20 | Networks security | Correspondencia | A.8.20: via PR.IR-01; NIST 800-53 map: SC-7 |
| CIS v8.1 | CIS 13.10 | Perform Application Layer Filtering | Editorial | CIS 13.10: Application layer filtering; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | Editorial | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.4.2 | Automated solution blocks attacks on public web apps | Editorial | 6.4.2: Automated technical solution that detects and prevents web-based attacks (i.e. a WAF); omitted from NIST's PCI references. |
| CMMC | AC.L2-3.1.2AC.L2-3.1.3SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3SC.L2-3.13.4 | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.IR-01, DE.CM-01) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| 800-53 | SC-7 | Boundary Protection | Correspondencia | SC-7: via PR.IR-01; DE.CM-01 |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)§164.312(a)§164.312(a)(2)(i) | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.IR-01, DE.CM-01) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| GDPR | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de GDPR está asignado a este tema en nuestros datos. |
| NIS2 | 6.76.84.36.9 | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.IR-01, DE.CM-01) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| Essential Eight | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Essential Eight está asignado a este tema en nuestros datos. |
| DORA | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de DORA está asignado a este tema en nuestros datos. |
| CPS 234 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CPS 234 está asignado a este tema en nuestros datos. |
| Cyber Essentials | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Cyber Essentials está asignado a este tema en nuestros datos. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de WAF
Los cortafuegos de aplicaciones web (WAF, por sus siglas en inglés) inspeccionan el tráfico HTTP/HTTPS hacia y desde las aplicaciones web, bloqueando patrones de ataque comunes, como la inyección SQL, el cross-site scripting y la inclusión remota de archivos, antes de que lleguen a la capa de aplicación. Los WAF pueden desplegarse como servicios en la nube, como appliances de hardware o como módulos de software, con conjuntos de reglas que deben ajustarse a la aplicación específica para minimizar los falsos positivos sin renunciar a la protección. PCI DSS v4.0.1 (requisito 6.4.2) exige específicamente el uso de WAF o soluciones equivalentes para las aplicaciones web expuestas al público, y las organizaciones deben revisar periódicamente los registros de los WAF y actualizar los conjuntos de reglas para hacer frente a las técnicas de ataque recién descubiertas.