Resumo

  • A expansão anunciada em setembro acrescenta contexto de aplicações e inteligência de ameaças à proteção em execução. Parte dos recursos já está disponível; parte segue em implantação.
  • O elo comercial é transformar um resultado de varredura em uma regra direcionada. O patch virtual não corrige o código e continua exigindo validação e revisão após o reparo.

O relatório pode chegar à equipe certa e, ainda assim, deixar a aplicação exposta às mesmas requisições. Entre conhecer a vulnerabilidade e publicar o código corrigido, alguém precisa decidir qual proteção aplicar. A F5 está ampliando sua presença nesse intervalo.

O anúncio de 1º de setembro expande a proteção em execução do F5 WAF for Distributed Cloud. A detecção de anomalias por aplicação e a inteligência agêntica de ameaças acrescentam contexto à avaliação das requisições. O patch virtual permite aplicar uma proteção direcionada enquanto a solução permanente passa por desenvolvimento, testes e controle de mudanças. A proposta vai além de entregar uma lista de problemas: pretende aproximar a evidência da ação.

A disponibilidade, porém, não é única. A F5 apresenta como disponíveis os novos recursos WAF baseados em IA no Distributed Cloud, o patch virtual e a integração entre Web App Scanning e WAF for BIG-IP. Já a detecção de anomalias e a inteligência agêntica estão sendo implantadas, com ampliação nos próximos meses. Não se pode concluir que todos os clientes já tenham cada função anunciada.

A ligação da varredura com a política também precede setembro. Um artigo prático de junho descreve a exportação dos resultados do Web App Scanning para importação no BIG-IP Advanced WAF, com política existente ou nova e escolha dos domínios de vulnerabilidade a proteger. A expansão se apoia nesse caminho. Ela não demonstra que qualquer descoberta gere bloqueio sem uma escolha humana.

Antes da regra vem o alcance do teste. A explicação técnico-comercial de setembro apresenta testes assistidos por IA que interagem com formulários para explorar fluxos mais profundos. A documentação atual sobre a definição de aplicação, contudo, mantém fronteiras claras: URL de entrada e credenciais dos usuários de teste definem uma aplicação; outros nomes de host necessários precisam estar na lista de permitidos. Por padrão, recursos fora do host de entrada não são testados. Aprofundar um fluxo não equivale a cobrir todos os papéis de usuário e serviços relacionados.

Essa definição também organiza a compra. Scan é cobrado pelo número de aplicações examinadas no mês. Testes repetidos e diferentes Test Profiles da mesma aplicação não contam como novas aplicações para a cota. Assim, a frequência de validação não deve ser confundida com o tamanho do conjunto faturado. Isso não permite calcular a despesa total de um cliente sem conhecer seu contrato.

A própria F5 aponta o limite em sua orientação de junho: o patch virtual não elimina a vulnerabilidade, e regras incompletas podem ser contornadas. Registros, verificações do tráfego legítimo e novas varreduras ajudam a ajustar a política e a decidir quando relaxar controles depois de uma correção completa. Os números de eficácia do anúncio são de testes internos, não de validação independente em produção. A oportunidade é organizar esse percurso, não dispensar o reparo.