Mejor WAF para HAProxy

A la hora de elegir cómo añadir un WAF a HAProxy, sopesa estos factores:

• En proceso frente a fuera de proceso - El WAF de HAProxy Enterprise se ejecuta dentro de HAProxy, sin añadir ningún salto de red. Las opciones de código abierto (coraza-spoa, SPOA de ModSecurity) se ejecutan como agentes independientes con los que HAProxy se comunica mediante el protocolo SPOA/SPOP. Los agentes fuera de proceso son gratuitos y flexibles, pero añaden un viaje de ida y vuelta entre procesos por cada petición inspeccionada.
• Soporte del OWASP Core Rule Set - Tanto coraza-spoa como el SPOA de ModSecurity ejecutan directamente el OWASP CRS y reglas SecLang. HAProxy Enterprise ofrece un modo de compatibilidad con el CRS que procesa las reglas del CRS a través de su motor de ML. Confirma la versión del CRS y cómo se entregan las actualizaciones de reglas.
• Madurez y soporte del SPOA - El ecosistema SPOA es más pequeño que el ecosistema de módulos WAF de NGINX. coraza-spoa es relativamente nuevo, y el SPOA de ModSecurity es un agente de ejemplo. Si necesitas soporte de un proveedor y SLA, HAProxy Enterprise o una opción comercial es la vía más segura.
• Latencia y rendimiento - HAProxy se elige por su rendimiento. Un WAF en proceso lo preserva; un agente SPOA añade una latencia proporcional al coste de inspección y al escalado del agente. Haz benchmark con tu tráfico real y dimensiona el pool de agentes en consecuencia.
• Limitación de tasa y ACL nativas - HAProxy ya hace mucho antes de cualquier WAF: las stick-tables proporcionan limitación de tasa de conexiones y peticiones, y las ACL filtran por cabeceras, rutas e IP. Decide qué resolver de forma nativa frente a qué necesita realmente inspección de contenido.
• IP real del cliente - Si HAProxy se sitúa detrás de un CDN u otro proxy, configura X-Forwarded-For o el protocolo PROXY para que el WAF y tus límites de tasa vean la dirección real del cliente, no la del proxy aguas arriba.

Consideraciones específicas de HAProxy al desplegar un WAF:

• Community no tiene módulo WAF - HAProxy de código abierto proporciona únicamente filtrado por ACL y limitación de tasa con stick-tables. Un WAF de la capa de aplicación requiere o bien un agente SPOA o bien una actualización a HAProxy Enterprise. No asumas que HAProxy Community incluye detección de amenazas basada en firmas o en ML; no lo hace.
• Cómo funciona SPOA/SPOE - HAProxy usa un filtro Stream Processing Offload Engine (SPOE) para reenviar los datos de la petición mediante el protocolo SPOP a un Stream Processing Offload Agent (SPOA). El agente inspecciona la petición y devuelve un veredicto (permitir, denegar, etiquetar) sobre el que HAProxy actúa. coraza-spoa y el SPOA de ModSecurity son ambos agentes SPOA.
• Estado de coraza-spoa - La integración coraza-spoa ejecuta el OWASP CRS a través del motor Coraza y es la vía de código abierto más activa, pero todavía está madurando (preview). Fija las versiones y prueba las actualizaciones de reglas antes de desplegar en producción.
• ModSecurity: agente de ejemplo o Nginx detrás de HAProxy - No existe un módulo oficial de ModSecurity para HAProxy. Tienes dos caminos consolidados: el SPOA de contrib/ejemplo que incluye HAProxy, que envuelve una compilación independiente de ModSecurity v2 fuera de proceso, o bien ejecutar ModSecurity con el conector oficial ModSecurity-nginx sobre una instancia de Nginx independiente que actúa como reverse proxy detrás de HAProxy. El primero exige compilarlo y mantenerlo tú mismo; el segundo añade un salto de proxy extra pero reutiliza un conector con soporte oficial.
• La limitación de tasa se queda en modo nativo - Incluso con un WAF desplegado, mantén los controles de abuso en las stick-tables y las ACL, que es donde corresponden. Se ejecutan en proceso a velocidad de línea y reducen el volumen de tráfico que tus agentes WAF necesitan inspeccionar.
• Forma de despliegue - El WAF de HAProxy Enterprise se distribuye para on-premises, nube, Kubernetes, el appliance ALOHA y el servicio totalmente gestionado HAProxy Edge, usando el mismo motor. Los agentes SPOA de código abierto se ejecutan allí donde ejecutes HAProxy, normalmente como proceso acompañante o contenedor sidecar.