B2W automatiza la seguridad de sus aplicaciones de e-commerce con Edge Firewall programable de Azion

Desafío

Algunas de las marcas de comercio electrónico más exitosas de América Latina son parte de B2W Digital. Juntas suman más de 2 000 millones de visitas al año y alrededor de 17 millones de clientes activos, que confían en B2W para realizar compras de forma cómoda y segura.

Sin embargo, proteger los datos y el acceso de los consumidores es un desafío cada vez más complejo, ya que:

• las incidencias de fraude, así como la exposición y el robo de datos de tarjetas de crédito, han aumentado: desde el comienzo de la pandemia de COVID-19, el 53 %^[1] del total de estos eventos en el mundo ocurren en Brasil;
• los grupos de ciberdelincuentes dirigidos a empresas minoristas crean complejos ataques de día cero que pueden ejecutarse en cualquier momento;
• los incidentes con DDoS crecieron un 151 % en la primera mitad de 2020 en comparación con el mismo período en 2019^[2], lo que amenaza la disponibilidad de los e-commerces en todo el mundo, y
• los bots maliciosos que realizan fraudes con tarjetas de crédito y débito, así como relleno de credenciales (credential stuffing).

Para B2W, el control de seguridad es un desafío muy grande, debido a la gestión de cada una de las plataformas de comercio electrónico —que generan millones de accesos diarios— y de las múltiples CDN (Content Delivery Network) que utiliza la empresa.

Solución

B2W aumentó su línea de defensa con los recursos edge-native de Azion y, con ello, amplió las posibilidades de monitoreo, mitigación de ataques y recolección de insights en tiempo real, además de simplificar sus flujos de trabajos.

La Plataforma de Edge de Azion es abierta y permite la integración con los sistemas usados por B2W, incluidas las soluciones de terceros. Esto permite que B2W utilice Azion para automatizar la seguridad de sus aplicaciones a través de API (application programming interface) con:

• monitoreo y detección automática de ataques complejos y de día cero;
• reglas de bloqueo avanzadas que se ejecutan en el edge, y
• recopilación de datos en tiempo real de los eventos que ocurren en las plataformas de comercio electrónico, que se transforman en insights de seguridad.

Para ello, B2W cuenta con el firewall programable y extensible de Azion, Edge Firewall, que, a través de los módulos Network Layer Protection y Web Application Firewall, permite la creación y gestión simplificada de reglas de seguridad via API.

Estas reglas contemplan tanto las capas de red de la aplicación como la construcción de códigos y aplicaciones serverless en el edge. Por lo tanto, cada implementación se valida automáticamente en Edge Firewall, lo que simplifica el flujo de CI/CD (continuous integration / continuous delivery) y fortalece la cultura DevSecOps de B2W.

Además de la protección automatizada y en tiempo real, B2W optimizó las prácticas de observabilidad con Data Streaming de Azion, al crear un flujo de datos en tiempo real integrado con el SIEM, lo que proporciona una vista panorámica de las áreas de la empresa y conocimientos indispensables para los expertos en seguridad de B2W.

Resultados e impacto

El uso de Edge Firewall de Azion trajo importantes ganancias a B2W, principalmente por la automatización de su mecanismo de seguridad con la implementación de reglas de bloqueo inteligente, basadas en la puntuación de comportamiento y expandida a otras áreas de la empresa.

Por ejemplo, B2W aprovechó las características de programabilidad de la Plataforma de Edge de Azion, aceleró la validación de implementación de software e aumentó la autonomía de los equipos de seguridad e infraestructura, que pueden gestionar el ecosistema sin interferir con las responsabilidades de otros equipos.

Con la automatización de bloqueo de Edge Firewall de Azion, B2W pudo reducir los costos mediante la implementación de reglas de contención en Network Layer Protection que se aplican antes de que la solicitud llegue a WAF de Azion, lo que hace que el costo de bloqueo por solicitud sea hasta 6 veces menor.

Para controlar el acceso a sus aplicaciones de comercio electrónico, B2W utiliza Network Lists, tanto de Azion como de otras fuentes, a través de API, y publica listas de direcciones IP vinculadas a redes maliciosas, lo que permite:

• recopilar datos de todas las solicitudes para su plataforma de SIEM;
• bloquear, castigar o simplemente monitorear direcciones IP;
• aplicar reglas de acuerdo con IP, geolocalización, ASN y redes Tor, y
• llevar la base de datos de reputación de IP para complementar las Network Lists.

Estas acciones se ven intensificadas por la inteligencia obtenida al recolectar cientos de TB de datos de eventos que ocurren en las aplicaciones de comercio electrónico, lo que posibilita que los expertos de B2W:

• eleven la protección de las capas de red a la aplicación;
• optimicen las prácticas de observabilidad, y
• mejoren la auditoría de conformidad.

Mediante la separación de las reglas de firewall de las reglas de negocio – como caching, cookies y otras más – y con la creación de listas de seguridad comunes para el entorno, la operación llegó a ser más ágil y concisa, lo que facilita la implementación, así como el mantenimiento de políticas de seguridad.

Sobre B2W Digital

B2W (o Americanas S.A.) adopta un enfoque único en la atención de sus clientes, al ofrecer una plataforma física con diferentes formatos de tienda. B2W posee una plataforma digital con varias marcas, con el objetivo principal de brindar la mejor experiencia de consumo omnicanal en Brasil al proporcionar agilidad, receptividad, confianza, eficiencia, diversidad y competitividad. Además, B2W cuenta con un motor de innovación para acelerar sus plataformas, construir negocios disruptivos y potencializar diferentes iniciativas. Estas vertientes, juntas, constituyen el Universo Americanas, que es único, flexible y resiliente.