O que é o Protection Coverage Score (PCS)?

O Protection Coverage Score (PCS) é um indicador que utilizamos para avaliar como está a cobertura de segurança do ambiente, considerando a atuação das camadas de proteção como WAF e Bot Mitigation.

De forma simplificada, o PCS é construído a partir da análise do tráfego que efetivamente passa pelas camadas de segurança. Ou seja, ele considera as requisições avaliadas pelas ferramentas e, com base nisso, mede o nível de proteção aplicado ao ambiente.

Como o tráfego é analisado e o impacto do Firewall

Quando uma requisição chega à plataforma, ela pode seguir dois caminhos principais:

• Ser tratada diretamente por uma regra de firewall (por exemplo, um whitelist), sendo liberada sem passar pelas demais camadas de segurança.

• Seguir para análise das camadas de proteção, como WAF e Bot Mitigation.

Se o motivo do WAF e do Bot Mitigation não terem atuado sobre uma requisição for uma whitelist de Firewall ou uma Smart Rule de Firewall, o PCS indicará a porcentagem de requisições que estão com todas as proteções desabilitadas (incluindo WAF, Bot Mitigation, Rate Limit e API Firewall). 

Isso indica o quanto de tráfego sequer está sendo inspecionado pelas demais ferramentas de segurança. Uma porcentagem grande de tráfego liberado pelo Firewall pode apontar para uma regra de whitelist permissiva demais, o que pode representar uma brecha de segurança a ser explorada na sua aplicação.

Além disso, o PCS leva em conta como as ferramentas estão configuradas e atuando sobre o tráfego analisado, refletindo não apenas eventos específicos, mas o comportamento geral da proteção ao longo das requisições avaliadas.

O papel das regras de exceção no WAF e Bot Mitigation

Outro ponto importante é o uso de regras de exceção no WAF e no Bot Mitigation. Diferente do whitelist no firewall, essas exceções não retiram as requisições da análise de proteção de forma integral. Elas continuam sendo consideradas, porém, com um nível de proteção reduzido, conforme como a exceção foi configurada (por exemplo, modos mais permissivos ou desativação de determinadas validações).

Na prática, isso significa que:

• O tráfego continua sendo analisado pelas ferramentas;

• Porém, com menor rigor de proteção;

• E isso é refletido no PCS como uma cobertura parcial.

Por fim, é importante destacar que nem todo o volume de tráfego necessariamente aparecerá nas análises de segurança ou influenciará o PCS, dependendo das configurações gerais. Em resumo, o PCS representa uma visão consolidada da cobertura de segurança, ajudando a identificar oportunidades de melhoria na configuração e na proteção do ambiente.

Gráficos de Análise de Cobertura

Atualmente, dois gráficos auxiliam na análise e visualização da cobertura:

1. Impacto por produto

Mostra a porcentagem de redução da pontuação de cada ferramenta. Este gráfico exibe quais ferramentas de segurança estão reduzindo sua pontuação e quanto cada uma impacta negativamente o resultado geral.

• A visualização permite analisar, por dia, qual ferramenta manteve configurações que representavam brechas de segurança, considerando o total de requisições e todos os domínios da conta. Assim, é possível quantificar o impacto individual de cada produto na sua nota de cobertura.

2. Impacto por domínio

Mostra quais domínios estão afetando negativamente a nota geral. Aqui, são exibidos os 3 domínios que mais impactam na nota geral (os demais ficam reunidos em “Outros domínios”).

• A visualização permite identificar de forma clara os principais domínios com brechas de segurança. Assim, é possível avaliar quais exigem maior atenção, priorizando ajustes naqueles com configurações mais permissivas ou com exceções que reduzem a cobertura.

Como as configurações impactam o PCS

Cada produto tem peso sobre a sua nota de acordo com como ele está configurado e o quanto protege efetivamente a aplicação. Configurações mais restritivas aumentam a segurança; exceções e modos permissivos reduzem a cobertura e, consequentemente, a pontuação.

Firewall

Como as regras de Firewall podem impedir a atuação de outras camadas de segurança, elas impactam a nota sempre que são identificadas regras muito amplas ou whitelists que aceitam todas as requisições, reduzindo a cobertura geral de proteção.

Recomendação: Para manter uma boa pontuação, restrinja as exceções apenas ao estritamente necessário e revise periodicamente as regras configuradas.

Bot Mitigation

A proteção é influenciada pelas configurações das classes e suas exceções:

• Classes em bloqueio: Aumentam a proteção e contribuem positivamente para a nota.

• Classes em desafio: Oferecem proteção parcial, gerando impacto intermediário.

• Classes em simulação ou exclusões pouco específicas: (como simular certos User-Agents ou URLs) reduzem a eficácia da ferramenta, impactando negativamente a pontuação.

WAF

O WAF avalia a cobertura de segurança com base no nível e no modo de segurança configurados. Mesmo requisições atendidas via cache são consideradas na análise. Se o WAF estiver desativado, em modo simulação ou com nível baixo, a pontuação será impactada negativamente.

Configurações e impactos no WAF:

• Nível alto: Aplica a tolerância mais restritiva da ferramenta. É o cenário mais seguro e contribui positivamente para a pontuação geral.

• Nível médio: Mantém a cobertura de proteção, com tolerância moderadamente ampliada, gerando leve impacto negativo na nota.

• Nível baixo ou desligado: Preserva a cobertura sobre as mesmas categorias, mas com tolerância significativamente maior, aumentando a chance de falsos negativos e reduzindo a eficácia. Causa maior impacto negativo na pontuação.

• Modo de segurança: Configurações em simulação ou desafio reduzem a eficácia da proteção quando comparadas ao modo de bloqueio.

Nota: Exceções aplicadas a endpoints específicos (como desativar o WAF em um endpoint) também diminuem a cobertura e impactam negativamente a nota final.

Por que a métrica é consolidada entre todos os domínios?

Toda a métrica foi construída para refletir o nível de segurança global da conta, considerando o conjunto das ferramentas e todos os domínios associados. A ideia é garantir que a análise represente a proteção da aplicação como um todo, e não apenas de um domínio isolado.

Por isso, a visualização não é separada por domínio. O contrário poderia enviesar a análise e fazer com que vulnerabilidades importantes passassem despercebidas, principalmente em contas com muitos domínios. A consolidação é essencial para manter uma visão completa da sua segurança.

Ficou com alguma dúvida?

Caso tenha algum problema em algum dos passos acima, entre em contato com o nosso suporte. Teremos prazer em ajudá-lo!

• E-mail: suporte@gocache.com.br

• Veja mais detalhes sobre boas práticas de segurança aqui!