F5 Shape: protección contra bots y defensa antifraude

Internamente, Shape se apoya en tres componentes principales: el Shape Defense Engine (un proxy inverso de capa 7 que inspecciona el tráfico en tiempo real), la Shape AI Cloud (donde los modelos de machine learning aprenden de forma continua a partir de miles de millones de solicitudes de toda la red) y el Shape Protection Manager (la consola donde los equipos de seguridad configuran las reglas y consultan las analíticas). Como el sistema aprende del tráfico de miles de empresas, se adapta con rapidez cuando los atacantes cambian de herramientas, una ventaja clave frente a las defensas basadas en reglas.

F5 Shape utiliza tecnología de IA avanzada y análisis de datos en tiempo real para separar de forma eficaz a los usuarios legítimos de los bots automatizados. Esta plataforma de servicios de seguridad de aplicaciones utiliza diversos factores, que van desde el comportamiento del usuario hasta el tipo de dispositivos utilizados y los patrones de tráfico de red, para identificar y bloquear el tráfico malicioso que intenta acceder a las aplicaciones web y a las aplicaciones móviles.

¿Contra qué protege F5 Shape?

F5 Shape está diseñado para detener el tipo de ataques automatizados que los cortafuegos tradicionales no detectan. Las amenazas más habituales que mitiga son:

• Credential stuffing — atacantes que utilizan listas de pares de usuario y contraseña robados para entrar en cuentas a gran escala.
• Apropiación de cuentas (ATO) — credential stuffing o phishing con éxito que acaba en una cuenta de usuario secuestrada.
• Web scraping — bots que recopilan datos de precios, inventario o contenido de sitios web y API.
• Creación de cuentas falsas — registros automatizados utilizados para spam, fraude o para inflar métricas.
• Fraude con tarjetas regalo y programas de fidelización — bots que vacían el saldo almacenado o abusan de las promociones.
• Acaparamiento de inventario y reventa — bots que compran stock limitado (zapatillas, entradas, GPU) más rápido de lo que puede hacerlo una persona.
• Abuso de API — tráfico automatizado dirigido a los endpoints para extraer datos o cometer fraude a gran escala.

F5 Shape vs. CAPTCHA vs. WAF: cómo se comparan

Los CAPTCHA funcionan pidiendo a los usuarios que demuestren que son personas, a menudo mediante varias pruebas que solo un humano puede completar. F5 Shape, en cambio, trabaja en segundo plano con métodos más sofisticados e inteligentes para detectar bots y comportamientos maliciosos, sin que los usuarios tengan que realizar pasos ni procedimientos adicionales.

Un Web Application Firewall (WAF) tradicional es otra capa de defensa. Los WAF se centran en exploits conocidos: inyección SQL, cross-site scripting y los patrones del OWASP Top 10. Son excelentes a la hora de filtrar payloads maliciosos conocidos, pero tienen dificultades con la automatización sofisticada que utiliza huellas de navegador reales, IP residenciales y patrones «low-and-slow» para parecer humana. F5 Shape complementa a un WAF en lugar de sustituirlo: el WAF bloquea los payloads maliciosos y Shape bloquea la automatización maliciosa.

Ventajas y desventajas

Ventajas de Shape

• F5 Shape funciona de forma silenciosa, sin ninguna interacción del usuario, y protege las aplicaciones sin arruinar la experiencia de usuario
• F5 Shape ofrece una protección sólida frente a los bots sofisticados y el fraude
• Los productos de F5 utilizan IA y ML para tomar decisiones más inteligentes

Desventajas de Shape

• Los productos de F5 requieren configuraciones más complejas que otras soluciones similares
• Puede resultar caro para las pequeñas empresas

Alternativas a F5 Shape

F5 Shape es una de las principales plataformas empresariales de gestión de bots, pero no es la única. Las alternativas con las que más se compara son:

• DataDome — conocida por su rápido despliegue y su sólida protección para el comercio electrónico y el ad-tech.
• Imperva Advanced Bot Protection (antes Distil Networks) — una opción madura que suele venir integrada con el WAF de Imperva.
• Akamai Bot Manager — muy integrado con la CDN de Akamai, adecuado para sitios que ya están en la infraestructura de Akamai.
• Cloudflare Bot Management — fácil de activar en sitios que ya están detrás de Cloudflare, con una potente detección basada en machine learning.
• PerimeterX (HUMAN) — se centra en el análisis de comportamiento del lado del cliente y lo utilizan muchos minoristas.

Los principales puntos fuertes de F5 Shape son su larga trayectoria con bancos del Fortune 500 y sus modelos de comportamiento profundos, entrenados con un enorme conjunto de datos de múltiples empresas. La contrapartida es que está pensado para grandes empresas; a las compañías más pequeñas, DataDome o Cloudflare les suelen resultar más fáciles de desplegar y más asequibles.

Ejemplo de aplicación real de Shape

Una aplicación bancaria puede utilizar F5 Shape para bloquear de forma eficaz los intentos de inicio de sesión suplantados y no autorizados, y así proteger la integridad de las cuentas de los clientes. En este caso, los sistemas de F5 permiten que los clientes autorizados accedan a sus cuentas sin retrasos ni pruebas de verificación adicionales.

Preguntas frecuentes

¿Es F5 Shape lo mismo que Shape Security?

Sí. Shape Security era una empresa independiente de ciberseguridad fundada en 2011 y adquirida por F5 en enero de 2020. Su tecnología se vende ahora bajo la marca F5, primero como Silverline Shape Defense y hoy como F5 Distributed Cloud Bot Defense. La gente sigue usando «Shape», «Shape Security» y «F5 Shape» de forma indistinta.

¿Qué significa F5?

F5 hace referencia a F5 Networks, la empresa de seguridad y entrega de aplicaciones propietaria de la línea de productos Shape. No tiene relación con la tecla F5 de actualización del teclado. F5 Networks es conocida sobre todo por sus balanceadores de carga BIG-IP, NGINX y sus productos de protección contra bots y WAF.

¿F5 Shape protege las API?

Sí. F5 Shape protege aplicaciones web, aplicaciones móviles y API. Los endpoints de API son un objetivo habitual del credential stuffing, el scraping y el fraude, y Shape puede desplegarse delante de las pasarelas de API para filtrar el abuso automatizado.

¿Puede F5 Shape detener el credential stuffing?

El credential stuffing es uno de los principales casos de uso de F5 Shape. La plataforma inspecciona el tráfico de inicio de sesión antes de la autenticación, analiza las señales de comportamiento y bloquea las solicitudes que parecen automatizadas, incluso cuando los atacantes rotan las IP y utilizan huellas de navegador reales.

¿Cómo se despliega F5 Shape?

Shape suele desplegarse como proxy inverso delante de las aplicaciones protegidas, ya sea on-premises (mediante BIG-IP o NGINX) o a través de la plataforma F5 Distributed Cloud. Se sirve JavaScript a los navegadores y a los SDK móviles para recopilar señales del cliente, que después se analizan en la Shape AI Cloud.