¿Qué es Firewall as a Service (FWaaS)?

¿Qué es Firewall as a Service (FWaaS)?

Firewall as a service (FWaaS) es un modelo de seguridad de red entregado desde la nube que inspecciona el tráfico, aplica políticas y detiene ataques desde infraestructura operada por el proveedor, sin ningún dispositivo local en la ruta. Sus políticas residen en un único plano de control, y los puntos de aplicación distribuidos las aplican dondequiera que se conecten los usuarios y las cargas de trabajo.

Los atacantes no tienen que atravesar un perímetro por el que pueden iniciar sesión. CISA y el FBI citan intrusiones como Volt Typhoon, donde los actores usaron credenciales válidas para mezclarse con el tráfico normal, en guía conjunta de acceso a la red que insta a alejarse del acceso remoto amplio.

Si sus usuarios acceden a aplicaciones SaaS sin pasar por la red corporativa, sus dispositivos ya no están en la ruta del tráfico del que usted es responsable.

Cómo se relaciona Firewall as a Service con la ciberseguridad

FWaaS cambia dónde ocurre la aplicación y quién la mantiene. La inspección se traslada del perímetro de la red al borde de la nube, por lo que un trabajador remoto que abre una aplicación SaaS recibe la misma política aplicada aunque esa sesión nunca cruce la red corporativa. La creación de políticas también se separa de la aplicación de políticas: usted escribe las reglas una vez en una consola central y el proveedor las distribuye, lo que pone fin a la deriva de configuración que aleja los firewalls de las sucursales de la sede central.

La inteligencia de amenazas sigue la misma ruta. Una firma o indicador enviado por el proveedor llega a todos los puntos de aplicación a la vez, sin ninguna ventana de actualización por sitio que programar y sin dejar ningún sitio atrás. Implementaciones de firewalls de hardware dejan una brecha en los tres lugares. Cuanto más tráfico suyo ya omita la red corporativa, mayor será esa brecha.

Componentes principales de Firewall as a Service

Un servicio de firewall se construye a partir de un motor de inspección, puntos de aplicación distribuidos, un plano de políticas central, una fuente de inteligencia de amenazas y una capa de registro. Tanto la resolución de problemas como la comparación de proveedores se aceleran una vez que sabe a cuál de ellos pertenece un problema determinado.

1. Motor de inspección nativo de la nube

El motor de inspección lee el tráfico en la capa de aplicación y aplica inspección profunda de paquetes, descifrado TLS de las cargas útiles de los paquetes y prevención de intrusiones. NIST SP 800-215 enumera esas tres capacidades para un firewall de próxima generación y nombra la entrega como servicio en la nube, FWaaS, como una de sus opciones de implementación. Debido a que un motor de firewall-as-a-service se ejecuta sobre cómputo elástico en la nube, la profundidad de inspección no está limitada por el silicio de un dispositivo que compró hace tres años.

2. Puntos de aplicación distribuidos

Los proveedores operan puntos de aplicación en distintas regiones geográficas, y cada sesión se enruta al más cercano para su inspección antes de llegar a su destino. Esa geografía elimina el desvío en el que un usuario en Singapur espera a un dispositivo en Ohio para llegar a una aplicación alojada a pocos kilómetros de su escritorio.

3. Gestión centralizada de políticas

La política reside en un único plano de control que envía reglas a cada punto de aplicación. Redactar la política y aplicarla dejan de ser el mismo trabajo. Una sola actualización se propaga en minutos, y ningún ingeniero tiene que tocar decenas de dispositivos para mantener las configuraciones de las sucursales alineadas con el estándar.

4. Integración de inteligencia de amenazas

Las plataformas de servicio de firewall ingieren fuentes de organismos gubernamentales, grupos de intercambio del sector y equipos de investigación de proveedores, y luego actualizan automáticamente cada punto de aplicación. Su equipo deja de mantener suscripciones a fuentes y de programar envíos de firmas. Un nuevo indicador se aplica en todas partes en la primera pasada.

5. Infraestructura de registro y análisis

Los registros de cada punto de aplicación se agregan en un almacenamiento central para investigación, informes de cumplimiento y correlación con el resto de su telemetría. Trate el período de retención de registros, el formato de exportación y el rendimiento de las consultas como requisitos de adquisición: determinan si los registros de FWaaS se convierten en evidencia utilizable de seguridad de red o en una factura de almacenamiento.

Una plataforma construida sobre un esquema abierto, como Singularity Data Lake de SentinelOne, mantiene esos registros junto con la telemetría de endpoints e identidad. Una sola consulta cubre entonces el evento de red y la actividad del endpoint a su alrededor.

Cómo funciona Firewall as a Service

FWaaS intercepta el tráfico en la capa de red, lo inspecciona en el borde de la nube y aplica su política antes de que la sesión llegue a su destino. Cada conexión pasa por interceptación, evaluación de identidad, coincidencia de políticas, inspección y acción, en ese orden:

1. Interceptación del tráfico. El dispositivo del usuario llega a la infraestructura de aplicación mediante enrutamiento basado en agente, redirección basada en DNS o un túnel IPsec desde un sitio. Ningún tráfico omite la inspección.
2. Evaluación de identidad. El punto de aplicación resuelve el usuario, la postura del dispositivo, la ubicación y la aplicación solicitada antes de que se aplique cualquier política.
3. Coincidencia de políticas. El sistema verifica la sesión con respecto a su conjunto central de políticas: controles de aplicaciones, categorías de URL, requisitos de cumplimiento y reglas de prevención de amenazas, desde la coincidencia más específica hasta la más general.
4. Inspección profunda de paquetes. FWaaS descifra la sesión TLS, analiza el contenido de la capa de aplicación y aplica firmas de prevención de intrusiones para visibilidad de Capa 7.
5. Acción y registro. FWaaS permite, bloquea, redirige o aísla la sesión según el resultado de la inspección, y escribe una entrada de registro con la identidad, la aplicación, la acción y la regla que coincidió.

La evaluación de identidad, la coincidencia de políticas y la inspección se repiten en cada sesión. La capacidad del punto de aplicación y la higiene de las políticas determinan si esa repetición protege algo o solo añade saltos.

Capacidades principales y métodos de inspección de FWaaS

Las capacidades siguientes apenas se superponen. Eso importa en el momento de la adquisición: una capacidad que el proveedor omite se convierte en una brecha en su cobertura, no en una versión más limitada de la misma protección.

• Control de aplicaciones y filtrado de URL: La inspección de Capa 7 identifica aplicaciones por patrones de comportamiento, no por números de puerto. Puede permitir Salesforce mientras bloquea cuentas personales de Dropbox, aunque ambos usen HTTPS en el puerto 443.
• Prevención y detección de intrusiones: La detección basada en firmas coincide con patrones de ataque conocidos. El análisis de comportamiento identifica anomalías que sugieren exploits de día cero o amenazas persistentes avanzadas.
• Descifrado TLS/SSL: FWaaS termina las conexiones TLS, inspecciona el contenido descifrado y luego vuelve a cifrarlo para su transmisión. Esto detecta amenazas ocultas en el cifrado, que ahora constituyen la mayoría del tráfico web.
• Seguridad DNS: El filtrado DNS bloquea dominios maliciosos antes de que se establezcan las conexiones, lo que evita la comunicación de comando y control del malware y los intentos de phishing.
• Antimalware y sandboxing: La inspección de archivos analiza las descargas en busca de firmas de malware. Los archivos sospechosos se ejecutan en entornos aislados de sandboxing para su análisis de comportamiento.

FWaaS en implementaciones híbridas y multicloud

La mayoría de las organizaciones ejecutan infraestructura local, más de un proveedor de nube y una larga lista de aplicaciones SaaS, y un servicio de firewall mantiene un único conjunto de políticas en los tres. Los proveedores colocan puntos de aplicación dentro de las principales regiones de nube, por lo que el tráfico entre entornos multicloud se inspecciona sin necesidad de hairpinning de regreso a su centro de datos. La integración local normalmente utiliza un túnel IPsec o un circuito dedicado desde el sitio hasta el punto de aplicación más cercano.

La parte difícil es verificar que la política que escribió sea la política que se está aplicando. La gestión distribuida entre regiones reduce la visibilidad del conjunto de reglas efectivo en cualquier punto de aplicación individual, y la configuración incorrecta sigue siendo la causa más común de fallas del firewall.

Cómo Firewall as a Service cambia la aplicación de red

Las reglas que escribe se ven prácticamente iguales en un dispositivo o en un servicio en la nube. Lo que cambia es todo lo que está aguas abajo de las reglas: dónde se ejecuta la aplicación, cuánta capacidad de cómputo la respalda y quién la corrige.

Descifrar, inspeccionar y volver a cifrar cada sesión requiere un uso intensivo de cómputo, y los dispositivos alcanzan un límite que obliga a elegir entre cobertura de inspección y rendimiento. Un firewall en la nube escala esa capacidad de cómputo bajo demanda. Los equipos que ejecutan descifrado completo suelen llegar primero al modelo en la nube.

Firewall as a Service y la arquitectura SASE

Firewall as a service proporciona la capa de aplicación de red de una arquitectura SASE. guía de CISA y el FBI describe SASE como una arquitectura en la nube que combina cinco capacidades: redes de área amplia definidas por software, Secure Web Gateway, Cloud Access Security Broker, Zero Trust Network Access y un firewall, que en una implementación SASE se ejecuta como un servicio en la nube. La mitad de seguridad de esa arquitectura es security service edge, y la misma guía identifica FWaaS como una de sus cuatro capacidades de seguridad.

Los dos recuentos difieren en un elemento, y ese elemento es SD-WAN. SD-WAN es una capacidad de red, no de seguridad, por lo que al eliminarla de las cinco quedan las cuatro capacidades de seguridad que conforman security service edge. Los componentes con los que FWaaS comparte un plano de control son:

• SD-WAN, para el enrutamiento del tráfico y el rendimiento de la WAN entre sitios.
• Secure Web Gateway, para el control de acceso web, la protección contra amenazas y la prevención de pérdida de datos.
• Cloud Access Security Broker, para la visibilidad y el control sobre el uso de aplicaciones SaaS.
• Zero Trust Network Access, para decisiones de acceso a nivel de aplicación basadas en identidad verificada y postura del dispositivo.

Ese plano de control compartido mantiene coherente la política de seguridad de SASE. Una consola cubre el tráfico web, de aplicaciones y de red, y las reglas dejan de divergir como lo hacen con el tiempo los conjuntos de políticas separados. Una consola también significa una sola respuesta para un auditor que pregunta qué control se aplicó a una sesión determinada. Los marcos más amplios de SASE security frameworks extienden la misma lógica a la identidad y al acceso a aplicaciones.

Beneficios clave de Firewall as a Service

FWaaS elimina la sobrecarga de gestión del hardware, escala automáticamente durante los picos de tráfico, se implementa en días en lugar de semanas y cuenta con validación de marcos federales de seguridad.

1. Reducción de la complejidad operativa: Elimina la gestión por dispositivo. En lugar de configurar individualmente 50 firewalls de sucursales, establece las políticas una sola vez. La infraestructura basada en la nube se ha convertido en la estructura SOC predominante, y la mayoría de las organizaciones integran mecanismos de respuesta automatizada.
2. Escalado elástico: Los dispositivos de hardware fallan durante los picos de tráfico porque la capacidad de procesamiento es fija. FWaaS escala horizontalmente añadiendo recursos de cómputo automáticamente. La arquitectura nativa de la nube maneja operaciones de uso intensivo de cómputo como el descifrado TLS/SSL de forma más eficaz porque los proveedores mantienen capacidad excedente entre regiones.
3. Implementación rápida: Abrir una nueva sucursal tradicionalmente requiere adquisición de hardware, envío, instalación y configuración. FWaaS requiere credenciales de autenticación de usuario y asignación de políticas. Según el análisis Magic Quadrant de Gartner, la adopción de FWaaS pasará de menos del 5 % en 2020 a más del 30 % de las nuevas implementaciones de firewalls distribuidos para sucursales en 2026.
4. Reconocimiento de marcos gubernamentales: La guía de múltiples agencias de CISA, FBI, GCSB, CERT-NZ y CCCS identifica explícitamente FWaaS como una capacidad central de seguridad SSE junto con Zero Trust Network Access, Cloud Secure Web Gateway y Cloud Access Security Broker. NIST SP 800-215 proporciona validación federal de los marcos SASE con FWaaS como componente central.

Estas ventajas operativas hacen que FWaaS sea convincente para las organizaciones distribuidas, pero la arquitectura nativa de la nube introduce una nueva complejidad que los firewalls tradicionales no enfrentan.

Desafíos y limitaciones de Firewall as a Service

La aplicación centralizada también centraliza los fallos, por lo que una regla incorrecta ahora llega a todos a la vez. Ejecutar la inspección en la infraestructura de otra persona también deja la latencia, la jurisdicción y el tiempo de actividad fuera de su control.

• Complejidad de la configuración. La gestión central de políticas es una ventaja hasta que una regla incorrecta se propaga globalmente en cuestión de minutos. La automatización impulsada por API amplía el margen de error, y una sola regla defectuosa puede afectar a todos los usuarios a la vez. Necesita validación automatizada de políticas y un entorno no productivo que refleje la producción.
• Latencia para aplicaciones en tiempo real. El enrutamiento a través de puntos de aplicación en la nube añade milisegundos a cada sesión. La mayoría de las aplicaciones empresariales nunca lo notan. La voz en tiempo real, las plataformas de trading y los entornos de tecnología operativa sí lo notan, y pequeños aumentos allí causan degradación funcional.
• Granularidad limitada para cumplimiento especializado. Las plataformas estandarizadas en la nube intercambian personalización por escala. Las organizaciones con requisitos de segmentación granular bajo PCI DSS, HIPAA, o CMMC a menudo descubren que un servicio de firewall no puede satisfacer todos los controles sin herramientas complementarias.
• Complejidad de la residencia de datos. La inspección procesa datos en la ubicación del punto de aplicación. Si el punto de aplicación más cercano se encuentra fuera de un límite requerido por GDPR, CCPA o la regulación sectorial, puede procesar datos regulados en una jurisdicción no conforme. Verifique la geografía del punto de aplicación antes de la implementación.
• Dependencia de la infraestructura del proveedor. Su disponibilidad de aplicación es la disponibilidad del proveedor. Evalúe los SLA, la arquitectura de redundancia y el tiempo de actividad histórico publicado como parte de la selección del proveedor, y sepa cuál es su postura durante una falla regional.
• Puntos ciegos para ataques no relacionados con la red. FWaaS inspecciona el tráfico. No detiene el malware que se ejecuta más allá de los controles de endpoint security, un atacante con credenciales válidas o un ataque en tiempo de ejecución contra una carga de trabajo en la nube. En el compromiso de SolarWinds de 2020, MITRE ATT&CK documented una puerta trasera firmada con los propios certificados de firma de código de SolarWinds, nombres de host de comando y control configurados para coincidir con nombres de host legítimos dentro del entorno de la víctima, e infraestructura VPN tomada del propio país de la víctima. Nada de eso parece anómalo para la inspección de red. Juzgar un binario firmado válidamente por lo que hace después de ejecutarse es trabajo de la capa de ejecución, que es donde se sitúa una herramienta como Singularity Endpoint.

Cuánto le cuesta cada uno de estos depende más del proveedor que de la arquitectura. Eso pone toda la lista en la agenda de selección del proveedor.

Errores comunes de Firewall as a Service

Las organizaciones fracasan con FWaaS al implementar configuraciones no probadas, seleccionar proveedores basándose en afirmaciones de marketing, omitir la revisión legal, subestimar la complejidad de la integración y tratar la seguridad de red como protección completa. Aquí hay cinco errores comunes clave:

1. Implementar sin pruebas de configuración: Las organizaciones implementan políticas directamente en producción sin validación en entornos no productivos. Los errores de configuración individuales se propagan simultáneamente a todos los puntos de aplicación.
2. Seleccionar basándose en afirmaciones de marketing: Los equipos de adquisiciones preseleccionan proveedores basándose en especificaciones en lugar de exigir resultados actuales de pruebas independientes utilizando metodologías reconocidas.
3. Omitir la revisión legal durante la adquisición: Las organizaciones descubren infracciones de GDPR o CCPA durante auditorías de cumplimiento porque no verificaron el manejo de datos y las ubicaciones de almacenamiento del proveedor antes de la implementación.
4. Subestimar los requisitos de integración: Los equipos asumen que las proyecciones del proveedor sobre la complejidad de la integración son precisas, y luego descubren incompatibilidades con plataformas SIEM, proveedores de identidad y protección de endpoints después de la compra.
5. Reemplazar pilas de seguridad completas: Las organizaciones tratan FWaaS como protección integral cuando solo aborda amenazas a nivel de red, dejando sin defensa el compromiso de endpoints y los ataques basados en identidad.

Evitar estos errores requiere prácticas deliberadas de adquisición e implementación que validen las capacidades antes del compromiso.

Mejores prácticas de Firewall as a Service

La mayoría de los problemas operativos en un servicio de firewall comienzan con un cambio de política que nadie probó o un registro que nadie revisó. Las prácticas a continuación abordan eso:

• Ejecute flujos de trabajo automatizados de validación de políticas que prueben cada cambio de regla en un entorno de ensayo antes de que se propague a los puntos de aplicación en producción.
• Audite el conjunto de reglas según un cronograma para detectar reglas no utilizadas, ensombrecidas y contradictorias. La proliferación de reglas convierte silenciosamente una política limpia en una impredecible.
• Documente las ubicaciones de los puntos de aplicación, la geografía del almacenamiento de registros y las ubicaciones de procesamiento de datos, y complete la revisión legal durante la evaluación, no después de que se firme el contrato.
• Conecte los registros de FWaaS a su plataforma SIEM para que los eventos de red se correlacionen con las señales de endpoint e identidad.
• Trate FWaaS como un control de capa de red dentro de una arquitectura por capas. Combínelo con seguridad de endpoint, gestión de identidades y accesos, y protección de cargas de trabajo en la nube para cubrir las superficies de ataque que la inspección de red no puede ver.

Incluya cada elemento en un runbook con un equipo responsable designado, porque un flujo de trabajo de validación sin asignar deja de cumplirse en menos de un trimestre.

Refuerce la seguridad de red con SentinelOne

FWaaS protege la ruta de red. Los ataques más dañinos operan más allá de ella, usando credenciales que se autentican correctamente, código firmado con un certificado válido y cargas de trabajo que nunca se enrutan a través de un punto de aplicación. Cubrirlos requiere protección de endpoint, identidad y nube trabajando sobre los mismos datos.

La Singularity Platform de SentinelOne aplica protección autónoma con IA en las superficies de ataque a las que un servicio de firewall no puede llegar. Singularity Endpoint utiliza IA conductual para detener ransomware, ataques sin archivos y exploits de día cero en la capa de ejecución, el punto en el que una carga útil que pasó la inspección finalmente se evalúa por lo que hace. Singularity Identity detecta el uso indebido de credenciales, viajes imposibles y movimiento lateral a través de Active Directory, actividad que un servicio de firewall interpreta como una sesión autenticada legítima. Singularity Cloud Security añade protección en tiempo de ejecución para cargas de trabajo, contenedores y entornos Kubernetes, donde un atacante que se mueve desde un endpoint comprometido nunca cruza un punto de aplicación en absoluto.

La correlación es lo que convierte esas señales en una investigación. Singularity AI SIEM ingiere registros de FWaaS junto con telemetría de endpoint, identidad y nube en un único lago de datos a escala de petabytes, y Purple AI procesa esos datos mediante consultas en lenguaje natural e investigación autónoma, reconstruyendo una cadena de ataque a partir de un único evento de red sospechoso sin recopilación manual de datos. Según el estudio de IDC sobre Purple AI, los clientes identificaron amenazas un 63% más rápido y redujeron el tiempo de remediación en un 55%.

SentinelOne también fue nombrado líder de plataformas SOC en la evaluación de operaciones de seguridad de Latio, la revisión inaugural de la firma sobre plataformas SOC que abarca capacidades de EDR, XDR, SIEM, SOAR y MDR. 

Solicite una demostración con SentinelOne para ver la cobertura que un servicio de firewall deja abierta.

Plataforma Singularity

Mejore su postura de seguridad con detección en tiempo real, respuesta a velocidad de máquina y visibilidad total de todo su entorno digital.

Demostración