Remitly se protege con Fastly

El desafío

Con Remitly, quienes viven en el extranjero pueden enviar y recibir dinero entre países de la forma más sencilla y a un bajo coste. La empresa necesitaba una solución que cumpliera la normativa del pago con tarjetas y protegiera las importantes transacciones que realizan sus clientes a través de la aplicación móvil.

Para ello, se propuso proteger su red global de transferencias con un firewall de aplicaciones web (WAF) que, además de satisfacer dichos requisitos, fuera capaz de mejorar sus defensas ante ataques nuevos y emergentes, todo ello sin pérdidas de rendimiento.

Los patrones de tráfico irregulares son el pan de cada día en Remitly. En una ocasión, se produjo un aumento considerable de las operaciones entre cuentas en un pequeño segmento de la red ubicado en la costa del Pacífico de Sudamérica, por lo que hubo que determinar en tiempo real si se debía a un ataque o a transferencias legítimas. Si Remitly permitía ese tráfico y las transacciones resultaban ser fraudulentas, la empresa corría el riesgo de tener que reembolsarlas íntegramente. Como un WAF convencional jamás habría podido hacer esa distinción; tal vez se hubiera optado por bloquear la IP, con los consiguientes contratiempos para los clientes.

«Nuestra prioridad número uno es proteger la información de los clientes para garantizar su seguridad. Fastly resultaba idóneo a este respecto, pero lo que más nos impresionó fue su capacidad para imponer requisitos flexibles en lugar de forzar el cumplimiento mediante expresiones regulares, que ya eran cosa del pasado». Kevin Hanaford, Senior Manager of Security & IT

La solución

Gracias al WAF de última generación de Fastly, el equipo de seguridad de Remitly puede equipar y proteger sus aplicaciones web y API con una solución que no genera falsos positivos ni bloquea el tráfico de los clientes.

Luz verde al tráfico legítimo y luz roja a las peticiones maliciosas de una misma red
Como los clientes de Remitly están repartidos a lo largo y ancho del planeta, la empresa necesitaba una solución que dejara pasar el tráfico legítimo y bloqueara el tráfico malicioso dentro de un mismo rango de red o IP. En cuanto al pico de actividad en la costa del Pacífico, resultó tener su origen en un cúmulo de peticiones de clientes que se ganaban la vida en alta mar y que, al desembarcar en el puerto, transferían dinero desde un pequeño segmento de red con una IP concreta. Fastly proporcionó al equipo la visibilidad necesaria para concluir que esas peticiones eran legítimas y no formaban parte de un ataque.

«Otros productos habrían metido todo en el mismo saco, bloqueando ese tráfico, o nos habrían expuesto a un ataque potencialmente dañino dejando pasar tanto lo bueno como lo malo. Como el WAF de última generación establece umbrales a la hora de responder, nos hemos dado cuenta de que el tráfico ilegítimo se lleva por delante al legítimo con mucha menos frecuencia que antes».

Más allá de cumplir la normativa del pago con tarjetas
Remitly sabía que necesitaba un WAF para cumplir la normativa del pago con tarjetas, pero quería proteger todo su sitio web, no solo la parte de la aplicación que se encarga de las tarjetas de crédito. Las alternativas a Fastly implicaban ampliar la plantilla e invertir una cantidad ingente de horas en tareas de gestión. Según los cálculos de Hanaford, los analistas de seguridad tendrían que dedicar a esto entre un 30 y un 50 % de su tiempo, porcentaje que iría aumentando a medida que se añadieran firmas y excepciones debido al crecimiento de la empresa. En realidad, lo que buscaban era algo que funcionara sin más. Con Power Rules de Fastly, la empresa lo tuvo fácil para desplegar instrumentación y mecanismos de defensa allí donde hacía falta sin complicarse la vida con las reglas de expresiones regulares presentes en otros productos.

Adaptación a aplicaciones web y puntos de conexión de API públicos y privados
Remitly gestiona aplicaciones y puntos de conexión públicos dirigidos a los clientes, así como puntos de conexión privados dirigidos al personal interno. Había que proteger ambas partes sin las limitaciones propias de las arquitecturas que exigen cuellos de botella en las redes. Con la arquitectura flexible de Fastly, pueden ejecutarlos en producción y vincularlos a las capas de proxy de redes públicas y privadas sin dificultad.

«¿El WAF de última generación de Fastly, en tres palabras? Intuitivo, potente e increíble. Se lo recomendaría sin dudarlo a cualquier empresa que busque una solución WAF que proteja los entornos de forma adecuada y se pueda ajustar y gestionar sin invertir mucho tiempo y esfuerzo. Lo hace todo bien a la primera». Kevin Hanaford, Senior Manager of Security & IT