Uma instituição financeira está revisando sua arquitetura de segurança de rede. O time de TI propôs a implementação de um Web Application Firewall (WAF) para proteger uma aplicação web crítica exposta à Internet. Durante os testes, notou-se que o WAF, configurado com regras baseadas em assinaturas, não bloqueou um ataque de SQL Injection que utilizava técnicas de ofuscação e codificação para evadir a detecção. Além disso, o WAF não inspecionava o tráfego criptografado (HTTPS), pois a terminação TLS ocorria no balanceador de carga, antes do WAF. Diante desse cenário, um analista de segurança propôs as seguintes medidas:

• I. Implementar um WAF com capacidade de descriptografar o tráfego TLS antes da inspeção, seja atuando como proxy reverso ou integrando-se ao balanceador para receber os dados já decifrados.
• II. Substituir o WAF por um IPS baseado em anomalias, que analisa o comportamento do tráfego e detecta desvios estatísticos, sendo imune a técnicas de ofuscação.
• III. Adotar um WAF com análise comportamental e aprendizado de máquina, capaz de identificar padrões anômalos mesmo sem assinaturas específicas.
• IV. Configurar o WAF para operar em modo de bloqueio (inline) em vez de modo de detecção (monitoramento), garantindo que ataques identificados sejam impedidos em tempo real.

Considerando as boas práticas de segurança e as limitações dos sistemas de proteção, quais medidas são adequadas para mitigar as vulnerabilidades identificadas?