WAF, Bot e DDoS: segurança com control plane único

O WAF bloqueou o ataque. A ferramenta de bot não detectou. A camada de DDoS nunca viu. E nenhuma delas sabia o que as outras estavam fazendo.

A maioria dos times de segurança opera três ferramentas: um WAF, um produto de gerenciamento de bots e um serviço de mitigação de DDoS. Comprados em momentos diferentes, de vendors diferentes, geralmente depois de incidentes diferentes.

Cada um fazia sentido quando foi adquirido. A combinação é o problema.

A premissa por trás desse stack é que cada ferramenta cuida da sua camada e, juntas, cobrem tudo. Três post-mortems de incidentes em times rodando exatamente esse setup contam uma história diferente. Em todos os casos, cada ferramenta estava funcionando corretamente. O ataque ainda teve sucesso porque as ferramentas não compartilhavam sinal. Cada uma tomou uma decisão independente sobre o mesmo tráfego, e essas decisões não resultaram na resposta certa.

Resumo: Ferramentas isoladas de WAF, bot e DDoS acrescentam de 30 a 50 minutos à investigação inicial de incidentes, criam policy drift em três consoles separados e deixam brechas de coordenação que ataques multicamada são projetados para explorar. A solução não são regras melhores. É um control plane compartilhado.

---

Como um stack de segurança fragmentado processa o tráfego na prática

O problema é arquitetural antes de ser operacional. Entender onde o sinal morre explica por que ataques coordenados têm sucesso.

O tráfego chega primeiro ao WAF. Ele inspeciona a requisição na Camada 7: HTTP headers, corpo da requisição, padrões de URL. Pontua a requisição, decide bloquear ou permitir, e registra essa decisão no próprio sistema. O tráfego permitido passa para a aplicação. O log do WAF vai para o console do WAF e para por aí.

A ferramenta de gerenciamento de bots fica em algum ponto desse fluxo, inline ou monitorando uma cópia do tráfego. Analisa sinais comportamentais: frequência de requisições, dados de fingerprint, comportamento do browser. Toma sua própria decisão de classificação e registra no próprio console. Essa decisão nunca chega ao WAF.

A proteção DDoS fica mais acima no fluxo, absorvendo tráfego volumétrico antes que chegue à camada de aplicação. Inspeciona taxas de pacotes, anomalias de protocolo, volume de tráfego por origem. Quando detecta um ataque, descarta ou redireciona o tráfego e registra no próprio sistema. Não informa ao WAF o que foi descartado.

Três ferramentas inspecionando o mesmo tráfego. Três decisões independentes. Três sistemas de log sem nenhuma conexão entre si.

Quando algo acontece e a pergunta é “o que está nos atacando, de onde, em qual camada?” responder isso significa abrir três consoles, exportar três conjuntos de logs e correlacionar timestamps manualmente. Durante um ataque ativo.

---

Como um ataque coordenado multicamada age contra esse stack

Não é hipotético. É um padrão documentado em relatórios públicos de incidentes, e funciona porque é projetado em torno da brecha de coordenação.

Fase um: flood volumétrico. O atacante inicia um flood DDoS com alta taxa de pacotes usando IPs spoofados. A ferramenta de DDoS detecta e começa a absorver. Está fazendo seu trabalho. A atenção do time migra para o dashboard de DDoS.

Fase dois: ataque de baixa taxa na camada de aplicação. Enquanto a ferramenta de DDoS está ocupada e o time está monitorando o evento volumétrico, o atacante roda uma campanha de credential stuffing contra a API de login. As taxas de pacotes estão baixas, dentro dos limites normais. A ferramenta de DDoS não identifica como ameaça. O tráfego passa.

Fase três: atraso na fila de alertas. A ferramenta de bot detecta comportamento incomum no login e sinaliza. Mas o flood volumétrico gerou milhares de entradas de log. O alerta de credential stuffing fica numa fila. Leva 40 minutos para um analista chegar até ele.

Fase quatro: comprometimento. Contas são comprometidas. O atacante para o flood volumétrico — era uma distração. O time ainda está trabalhando no incidente de DDoS quando a notificação de comprometimento de contas chega.

Cada ferramenta fez o que deveria fazer. O WAF não bloqueou tráfego que não devia. A ferramenta de bot sinalizou os eventos corretos. A camada de DDoS absorveu o flood. O ataque funcionou porque nenhuma ferramenta sabia o que as outras estavam vendo.

---

Três brechas operacionais que stacks fragmentados criam toda semana

Não são casos extremos que aparecem só em grandes incidentes. São custos recorrentes que se acumulam em toda operação de segurança rodando ferramentas desconectadas.

Tempo de investigação. Quando algo está acontecendo, os analistas precisam de contexto rápido. Quais IPs? Quais endpoints? É um ataque coordenado ou três eventos separados? Em um stack fragmentado, isso significa puxar dados de três sistemas. Times de operações de segurança rodando stacks fragmentados relatam consistentemente de 30 a 50 minutos a mais na investigação inicial em comparação com plataformas unificadas. Durante um ataque ativo, 30 minutos é a janela do breach. Não dá para resolver isso com regras melhores.

Policy drift. As regras vivem em três consoles diferentes e evoluem de forma independente. O WAF tem uma regra bloqueando um ASN específico. A ferramenta de bot não sabe disso. A camada de DDoS tem uma blocklist de IPs configurada há 14 meses que ninguém revisou desde então. Bloqueie algo em uma ferramenta, e as outras duas ainda processam esse tráfego na própria camada. Três estados de policy separados, nenhum sincronizado. Essa brecha é identificável por qualquer pessoa que esteja mapeando o stack.

Decisões conflitantes. Cada ferramenta bloqueia com base no próprio sinal, sem visibilidade do que as outras decidiram. O WAF vê uma URL com alta entropia e um user agent incomum e bloqueia a requisição. A ferramenta de bot vê a mesma origem e classifica como um crawler legítimo conhecido. A camada de DDoS tem aquele IP numa allowlist de uma exceção solicitada meses atrás. Três respostas diferentes sobre o mesmo tráfego, de três ferramentas na mesma linha de budget, sem como reconciliar sem puxar os logs manualmente.

Nenhuma dessas é uma falha de ferramenta. É o que acontece quando ferramentas sem contexto compartilhado tomam decisões independentes sobre o mesmo tráfego.

---

O que uma arquitetura de segurança unificada muda

A solução mapeia diretamente para cada brecha: Control plane compartilhado, telemetria compartilhada, policy compartilhada.

Sinal compartilhado. Quando WAF, Bot Manager e proteção de camada de rede rodam na mesma infraestrutura e registram no mesmo stream de telemetria, um bloqueio em uma camada informa imediatamente as outras. Um IP sinalizado na camada de rede entra no escopo de classificação de bot. Uma origem identificada como bad bot tem o tráfego limitado na camada de rede. A correlação que levava 30 minutos de trabalho manual acontece dentro do mesmo fluxo de requisição, automaticamente.

Policy compartilhada. Network Lists (faixas de IP, grupos de ASN, bloqueios por país) são definidas uma vez e aplicadas em todas as camadas de enforcement. Identifique uma nova fonte de ameaça, atualize uma lista. Todas as regras associadas no WAF, proteção de camada de rede e classificação de bot atualizam automaticamente. Policy drift deixa de ser um problema porque há uma única policy para manter.

Superfície de investigação compartilhada. Quando um incidente acontece, um console mostra dados no nível de requisição de todos os módulos de segurança: qual regra disparou, em qual camada, para qual requisição, com contexto completo da origem. A investigação começa imediatamente porque o contexto já está montado. Sem exportar logs. Sem correlacionar timestamps manualmente.

É isso que a arquitetura de segurança da Azion entrega. WAF, Bot Manager e Network Shield rodam como módulos dentro do mesmo Firewall na rede distribuída da Azion. Compartilham telemetria pelo Real-Time Events e Real-Time Metrics. Compartilham policy pelo Firewall Rules Engine e Network Lists. Um evento na camada de rede é visível na camada de aplicação imediatamente — sem correlação manual, sem troca de consoles.

Brecha	Stack fragmentado	Arquitetura unificada
Tempo de investigação	30 a 50 min a mais em três consoles	Imediato — todas as camadas visíveis em uma view
Consistência de policy	Três conjuntos de regras independentes, drift acumula	Um Firewall Rules Engine, uma Network List
Decisões conflitantes	Três ferramentas, três respostas, mesmo tráfego	Contexto único de requisição, um modelo de enforcement

---

O argumento de consolidação que o financeiro aceita

O argumento de consolidação geralmente não convence o financeiro porque é enquadrado como comparação de custo: uma plataforma versus três contratos de ferramentas. Esse é o enquadramento errado, e raramente funciona.

O enquadramento certo é custo operacional. Quantas horas de analista por semana vão para correlacionar logs de três sistemas? Quantas investigações de falsos positivos desaparecem quando as ferramentas compartilham sinal de classificação? Quanto tempo a mais o time leva para responder quando o contexto precisa ser montado manualmente? Coloque um número em qualquer um desses. O argumento de consolidação se constrói sozinho.

O segundo argumento é superfície de ataque. Um stack fragmentado tem costuras entre ferramentas. Um atacante que mapeou a arquitetura consegue empurrar tráfego por uma camada que cada ferramenta ignora individualmente. O ataque de credential stuffing na Fase dois funcionou porque o threshold da ferramenta de DDoS não sinalizou tráfego de baixa taxa na camada de aplicação, e o alerta da ferramenta de bot ficou na fila. Um stack unificado remove essas costuras porque as decisões de WAF e bot acontecem na mesma plataforma com o mesmo contexto de requisição.

O argumento que convence é o custo do incidente. Um breach que leva 40 minutos a mais para ser contido por causa do overhead de correlação de logs tem um custo direto: dados vazados, contas comprometidas, tempo de recuperação. Esse número quase sempre é maior do que o custo da consolidação. Mostre a conta e a conversa muda.

---

WAF, Bot Manager, proteção DDoS: as três camadas são necessárias. A questão é se elas compartilham sinal ou operam em isolamento. Ferramentas isoladas tomam decisões independentes sobre o mesmo tráfego. As brechas entre essas decisões são onde ataques coordenados chegam.

Control plane compartilhado. Telemetria compartilhada. Policy compartilhada. Se o stack atual não oferece isso, as costuras já existem. A única questão é se um atacante já as mapeou.

Fale com um especialista da Azion para ver como WAF, Bot Manager e Network Shield funcionam como uma arquitetura de segurança integrada.

---

Perguntas frequentes

O que é fragmentação de stack de segurança? Fragmentação de stack de segurança ocorre quando ferramentas de WAF, gerenciamento de bots e proteção DDoS operam como produtos separados de vendors diferentes, sem telemetria, policy ou superfície de investigação compartilhadas. Cada ferramenta registra no próprio sistema e toma decisões de bloqueio de forma independente, sem visibilidade do que as outras estão vendo sobre o mesmo tráfego.

Por que ferramentas fragmentadas de WAF e DDoS deixam passar ataques coordenados? Ataques coordenados dividem deliberadamente o tráfego entre camadas. Um flood volumétrico de DDoS consome a atenção do time e a capacidade de log enquanto um ataque de baixa taxa na camada de aplicação avança pelo bot e pela camada de WAF simultaneamente. Quando cada ferramenta processa apenas sua fatia do tráfego sem compartilhar sinal, nenhuma delas tem o quadro completo. O ataque explora a brecha de coordenação entre as ferramentas, não a capacidade de detecção de cada uma individualmente.

Quanto tempo um stack de segurança fragmentado acrescenta à investigação de incidentes? Times de operações de segurança rodando stacks fragmentados relatam consistentemente de 30 a 50 minutos a mais na investigação inicial de incidentes em comparação com plataformas unificadas. Esse tempo vai para abrir múltiplos consoles, exportar conjuntos de logs de cada ferramenta e correlacionar timestamps manualmente para reconstruir o que aconteceu. Durante um ataque ativo, essa janela é a diferença entre conter e não conter o breach.

O que é policy drift em um stack de segurança? Policy drift é o acúmulo de inconsistências entre ferramentas de segurança que cada uma mantém seus próprios conjuntos de regras independentes. Uma regra do WAF bloqueando um ASN não propaga automaticamente para a ferramenta de gerenciamento de bots ou para a camada de DDoS. Um IP em uma allowlist em uma ferramenta pode estar bloqueado em outra. Com o tempo, os três estados de policy divergem, criando brechas de enforcement difíceis de auditar e que atacantes podem descobrir mapeando o stack.

Como é uma arquitetura unificada de WAF, bot e DDoS na prática? Em uma arquitetura unificada, WAF, gerenciamento de bots e proteção de camada de rede rodam como módulos dentro de um único Firewall em infraestrutura compartilhada. Compartilham telemetria por uma superfície de observabilidade única, compartilham policy por um único rules engine e network lists, e tomam decisões de enforcement com visibilidade de todas as camadas simultaneamente. Quando uma requisição é bloqueada, o motivo é visível em todos os módulos em um só lugar — sem correlação de logs.

Qual é o argumento de negócio para consolidação de stack de segurança? O caso de consolidação se apoia em três argumentos. Primeiro, horas de analista: o custo recorrente de correlação manual de logs em três sistemas se acumula semanalmente, não só durante incidentes. Segundo, superfície de ataque: um stack fragmentado tem costuras exploráveis entre ferramentas que uma arquitetura unificada remove. Terceiro, custo do incidente: um breach que leva 40 minutos a mais para ser contido por causa do overhead de correlação tem um custo direto em exposição de dados e tempo de recuperação que geralmente supera o custo de consolidar para uma plataforma unificada.