Eine WAF (Web Application Firewall) ist eine virtuelle Sicherheitsanwendung, die als Cloud-Dienst Organisationen auf der Applikationsebene schützt, indem er den HTTP- und HTTPS-Datenverkehr zwischen den Webapplikationen und dem Internet filtert, überwacht und analysiert.
In dieser Radware Minute-Folge mit Uri Dorot von Radware erfahren Sie, was eine Web Application Firewall ist, warum es wichtig ist, eine solche zu haben, wie sie funktioniert und worauf Sie bei der Auswahl einer solchen achten sollten.
WAF schützt Web-Applikationen unter anderem vor Angriffen wie Cross-Site Forgery, Server-Side-Request-Forgery, File Inclusion und SQL-Injection. Außerdem schützt sie Applikationen und Websites vor Schwachstellen, Exploits und Zero-Day-Angriffen. Angriffe auf Applikationen sind die Hauptursache für Datenschutzverletzungen – sie sind der Zugang zu Ihren wertvollen Daten. Mit der richtigen WAF können Sie eine Vielzahl von Angriffen erfolgreich abwehren, die durch Kompromittierung der Systeme auf das Ausschleusen von Daten abzielen.
Bei der Bereitstellung einer WAF vor einer Web-Applikation wird ein Schutzschild zwischen der Web-Applikation und dem Internet errichtet, das den gesamten Datenverkehr zwischen der Applikation und den Endnutzern überwacht. Eine WAF schützt die Web-Applikationen, indem sie jeglichen bösartigen HTTP/S-Verkehr, der zur Web-Applikation gelangt, filtert, überwacht und blockiert. Außerdem verhindert sie, dass nicht autorisierte Daten die Applikation passieren, indem sie ein Set von Richtlinien einhält, mit deren Hilfe bestimmt wird, welcher Datenverkehr bösartig und welcher sicher ist. So wie ein Proxy-Server als Zwischenstelle fungiert, um die Identität eines Clients zu schützen, arbeitet eine WAF bei einer klassischen Bereitstellung ganz ähnlich, jedoch in umgekehrtem Sinne – als sogenannter Reverse-Proxy – als Zwischenstelle, die den Web-App-Server vor einem potenziell bösartigen Client schützt.
WAFs verfolgen in der Regel drei Sicherheitsansätze:
Whitelisting – Eine „Erlaubnisliste“, die Machine Learning und Algorithmen zur Verhaltensmodellierung nutzt, um zu definieren, welchen Verkehr die WAF durchlässt. Danach blockiert sie den Rest.
Blacklisting – Eine „Blockliste“, die auf aktuellen Signaturen gegen bekannte Schwachstellen basiert und festlegt, welcher Datenverkehr von der WAF abgelehnt wird. Der Rest wird akzeptiert.
Hybridansatz – Die WAF stützt sich auf eine Kombination aus positiven und negativen Sicherheitsmodellen – eine Kombination aus Erlaubnis- und Sperrlisten, die bestimmt, was durchgelassen wird.
Der wesentliche Unterschied zwischen einer Firewall und einer Web Application Firewall besteht darin, dass eine Firewall in der Regel nur die Netzwerk- und Transportschicht (Schichten 0 und 1) schützt. Eine Web Application Firewall bietet jedoch Schutz bis zur Schicht 7.
Eine WAF kann auf verschiedene Arten implementiert werden, mit den jeweiligen Vor- und Nachteilen. Es gibt drei WAF-Typen:
- Eine netzwerkbasierte WAF ist meist hardwarebasiert. Da sie lokal installiert wird, sinkt die Latenz auf ein Minimum, jedoch müssen die physischen Geräte auch gelagert und gewartet werden.
- Eine softwarebasierte WAF wird von einem Service Provider verwaltet, der die WAF als Security-as-a-Service anbietet.
Cloudbasierte WAF bieten eine kostengünstige und einfach zu implementierende Option. Meist handelt es sich um eine schlüsselfertige Installation, bei der lediglich eine Änderung des DNS zur Umleitung des Datenverkehrs erforderlich ist. Cloudbasierte WAF haben auch nur minimale Vorlaufkosten, da Benutzer monatlich oder jährlich für Sicherheit als Service bezahlen. Cloudbasierte WAF können auch eine Lösung bieten, die kontinuierlich aktualisiert wird, um vor den neuesten Bedrohungen zu schützen, ohne dass für den Benutzer zusätzliche Aufgaben oder Kosten anfallen. Der Nachteil einer cloudbasierten WAF ist, dass die Benutzer die Verantwortung an einen externen Anbieter abgeben.
Im Idealfall kann eine WAF entweder inline bereitgestellt werden, wobei die Lösung als „Vermittler“ fungiert, oder als API-basierter Out-of-Path-Service (OOP). Eine API-basierte OOP-Bereitstellung kann verschiedene entscheidende Vorteile bieten, mit denen sie für Multi-Cloud-Umgebungen optimiert werden kann. Sie ermöglicht die direkte Weiterleitung von Applikationsanfragen vom Client an den Applikationsserver ohne Unterbrechung. Zu den Vorteilen gehören eine geringere Latenz, keine Traffic-Umleitung, erhöhte Uptime und umfassender Schutz in heterogenen Umgebungen.
Im Idealfall verbindet eine WAF sowohl positive als auch negative Sicherheitsmodelle, um einen umfassenden Schutz zu bieten. Dabei kann sie bekannte Angriffe auf Web-Applikationen wie Zugriffsverletzungen, hinter CDN getarnte Angriffe, API-Manipulationen und Angriffe, die bereits erwähnten HTTP/S Floods und Brute-Force-Angriffe und andere mildern. Ferner bietet diese Kombination auch Schutz vor unbekannten Angriffen und Schwachstellen, wie z. B. Zero-Day-Attacken.
Eine Web Application Firewall sollte auch verhaltensbasierte Machine-Learning-Algorithmen für einen umfassenden Schutz nutzen, damit sie Sicherheitsrichtlinien in Echtzeit erstellen und optimieren kann und dabei nur minimale oder gar keine Fehlalarme produziert. Diese Fähigkeit sollte auch die automatische Erkennung und den Schutz neuer Applikationen ermöglichen, sobald sie einem Netzwerk hinzugefügt werden.
Eine WAF sollte außerdem folgende wichtige Funktionen bieten:
- Zu den Kernfunktionen sollte die Filterung des Netzwerkverkehrs auf Grundlage von Geoblocking, IP-Gruppen, Blocklist, Allowlist, Whitelisting und Blacklisting gehören.
- API-Erkennung und API-Schutz, der Sichtbarkeit, Durchsetzung und Milderung aller Formen von API-Missbrauch und Manipulation bietet, und zwar für On-Premise- wie für Cloud-Umgebungen
- Built-in DDoS protection to stop the aforementioned application-layer DDoS attacks
- Die Fähigkeit zur Integration mit Bot-Management-Lösungen, um hochentwickelte, menschenähnliche Bots zu erkennen und zu integrieren
- Mechanismen zur Verhinderung von Datenverlusten maskieren automatisch sensible Benutzerdaten wie personenbezogene Daten (PII)
Für viele Unternehmen bestehen aufgrund dynamischer Entwicklungsmethoden, der Verlagerung in die Cloud, der verstärkten Nutzung von webbasierter Software oder SaaS-Anwendungen und von Mitarbeitern an entfernten Standorten erhöhte Sicherheitsrisiken auf Applikationsebene. Durch die Einbindung einer WAF können Unternehmen Angriffe abwehren, die auf Web-Applikationen und Programmierschnittstellen (API) abzielen.
WAF schützen Unternehmen zwar nicht vor allen digitalen Bedrohungen, aber sie bekämpfen diejenigen, die auf die Applikationsebene abzielen, darunter die OWASP Top 10-Applikationsschwachstellen. Beispiele dafür sind:
- Cross-Site-Scripting (XSS): Ein Angriff durch Code-Injection, bei dem ein Angreifer bösartigen Code in eine reguläre Website einbringt. Der Code wird dann als infiziertes Skript im Webbrowser des Benutzers gestartet und ermöglicht es dem Angreifer, vertrauliche Informationen zu stehlen oder sich als der entsprechende Benutzer auszugeben.
- Applikationsschicht-DDoS-Angriffe: Ein volumetrischer DoS oder DDoS-Angriff, der sich auf die Applikationsschicht konzentriert. Gängige Beispiele sind HTTP/S Floods, SSL-Angriffe, Low-and-Slow-Angriffe und Brute-Force-Angriffe.
- SQL-Injection: Ein SQL-Injection-Angriff ähnelt XSS, da die Angreifer eine bekannte Schwachstelle ausnutzen, um bösartige SQL-Anweisungen in eine Applikation einzuspeisen. So können Hacker dann Informationen extrahieren, verändern oder löschen.
- Zero-Day-Angriffe: Ein Zero-Day-Angriff liegt vor, wenn ein Hacker eine noch unbekannte Sicherheitslücke oder einen Softwarefehler ausnutzt, bevor der Softwareentwickler einen Patch veröffentlicht hat.
Laut einer Studie von Quadrant Knowledge Solutions sind die folgenden Faktoren die wichtigsten Markttreiber für WAF:
- WAF-Anbieter, die ihr Angebot verbessern wollen, integrieren ihre Produkte in SIEM-Systeme (Security Information and Event Management), AST (Application Security Testing) und WAM (Web Access Management).
- Die Anbieter stellen WAF-Lösungen bereit, die auf einem positiven Sicherheitsmodell beruhen und einen Machine Learning-Algorithmus zur Analyse von HTTP-Anfragen verwenden.
- Dank der zunehmenden Anzahl von IoT-Geräten ist es wahrscheinlich, dass Organisationen in WAF-Lösungen investieren werden, um die Datenschutznormen einzuhalten, einschließlich IoT-spezifischer Funktionen wie Device Fingerprinting und Protokollvalidierung.
- Unternehmen suchen nach verbesserten Bedrohungsdaten, erweitertem WAF-Schutz und einer Vielzahl von sofort einsatzbereiten Integrationen.
- Der Schwerpunkt liegt auf neuen Erkennungsmethoden zur Verhinderung von Webangriffen und zur Minimierung von Fehlalarmen.
Radwares Produkte und Dienstleistungen