O GoTestWAF é uma ferramenta de código aberto desenvolvida em Go, projetada para testar a robustez de firewalls de aplicação web (WAF) e APIs. Para obter resultados precisos sem sobrecarregar a infraestrutura ou ser bloqueado precocemente por mecanismos de rate limiting, é fundamental dominar as configurações de threads e temporização.

Gerenciamento de Concorrência com Workers

O processamento paralelo no GoTestWAF é controlado pelo conceito de "Workers". Aumentar esse valor permite que a ferramenta dispare múltiplos payloads simultaneamente, reduzindo drasticamente o tempo total da bateria de testes.

Configuração de Threads

No núcleo do sistema, a estrutura de configuração define como o paralelismo é instanciado. Veja uma representação simplificaad da lógica de processamento:

// Estrutura interna para controle de carga
type ExecConfig struct {
    MaxParallelRequests int `mapstructure:"workers"`
    // Outros parâmetros de execução
}

Por padrão, a ferramenta utiliza 5 threads. Para um desempenho otimizado, uma regra prática recomendada por engenheiros de performance é basear o número de workers na capacidade de processamento do host:

• Cálculo Sugerido: Threads = Núcleos de CPU × 2
• Exemplo: Em um servidor com 4 núcleos, configure --workers 8.

Execução via Linha de Comando

Para definir a concorrência diretamente no terminal, utilize a flag específica:

gotestwaf --url=https://api.alvo.com.br/ --workers 12 --noEmailReport

Controle de Cadência: Latência Fixa e Aleatória

Ajustar o intervalo entre as requisições é essencial para simular o comportamento humano ou para evitar que o WAF identifique o teste como um ataque de negação de serviço ou varredura automatizada agressiva.

Parâmetros de Delay

Existem dois controels principais para gerenciar o fluxo de saída:

• SendDelay: Intervalo estático (em milissegundos) aplicado após cada requisição.
• RandomDelay: Adiciona uma variação aleatória de tempo, tornando o padrão de tráfego menos previsível.

Abaixo, uma tabela comparativa de estratégias baseada no ambiente de destino:

Ajustes Avançados via Arquivo YAML

Para automações e CI/CD, é preferível utilizar o arquivo config.yaml. Isso garante que os parâmetros de performance sejam versionados e padronizados entre diferentes equipes.

# Exemplo de configuração de performance no config.yaml
performance:
  workers: 15          # Intensidade de threads
  sendDelay: 250       # Intervalo base entre envios
  randomDelay: 150     # Variância para evitar padrões fixos

Monitoramento e Refinamento do Ciclo de Teste

A otimização de performance não é um processo estático. É necessário observar as métricas geradas no relatório final para validar se os ajustes foram efetivos:

1. Taxa de Erro de Conexão: Se houver um aumento em erros 502, 503 ou Timeouts, reduza o número de workers ou aumente o sendDelay.
2. Taxa de Detecção: Se o WAF estiver bloqueando tudo instantaneamente por IP, aumente o randomDelay para tentar dispersar o tráfego.
3. Tempo Total de Execução: Utilize essa métrica para encontrar o "ponto ideal" onde o teste termina rapidamente sem comprometer a integridade das respostas do servidor.

Ao configurar esses parâmetros com precisão, o GoTestWAF se torna uma ferramenta muito mais versátil, capaz de atuar desde testes rápidos em laboratório até auditorias complexas em sistemas de produção protegidos por soluções avançadas de segurança.