Web Application Firewall (WAF) Best Practices

Das Problem mit Datenbanken und Datenzugriff

Bei vielen Unternehmen werden sensible Daten in einer Reihe von Backend-Datenbanken gespeichert und über Webanwendungen und APIs abgerufen. Diese Daten werden innerhalb der relevanten Teams geteilt – aber da die Teamarchitektur im Laufe der Zeit gewachsen ist, haben die Anzahl und die Arten der Geräte, die darauf zugreifen, begonnen, weit über die manuelle Erfassung hinaus zu skalieren.

Ohne eine Möglichkeit zur Überwachung der Online-Transaktionen auf der Anwendungsebene sind Anwendungen einer Hauptzielscheibe für Angreifer ausgesetzt, die Schwachstellen ausnutzen und Zugang zu wertvollen Daten erlangen wollen.

WAF-Best Practices

Als Grundprinzip sollte jede einzelne Webanwendung während ihrer gesamten Entwicklung so sicher wie möglich sein. Schwachstelle sind jedoch keine statische Landschaft:

• Post-Bereitstellung Schwachstelle kann ohne Vorwarnung auftauchen, insbesondere bei Apps, die auf Open-Source-Komponenten angewiesen sind.

Und wenn sich herausstellt, dass der Anwendungscode unsicher ist, kann es zu kostspielig sein oder zu lange Ausfallzeiten erfordern, ihn offline zu nehmen und die Probleme im Quellcode zu beheben.

Hier erfahren Sie, wie WAFs trotz potenzieller Risiken zur Aufrechterhaltung der Sicherheit von Webanwendungen beitragen können.

#1: Integration in die zentrale, bereits bestehende Infrastruktur

Um die Sicherheit zu gewährleisten, müssen WAFs sich reibungslos in Ihre bestehende Infrastruktur integrieren lassen. WAFs sollten flexibel sein und sich leicht an Ihre Anwendung und Ihre Benutzer anpassen lassen und Schutz bieten, ohne dass umfassende Änderungen erforderlich sind.

Das bedeutet jedoch nicht, dass WAFs ohne sorgfältige Überwachung installiert werden sollten.

Naben-Speichen-Modell

Wenn Ihr Unternehmen beispielsweise auf einem Hub-and-Spoke-Modell basiert und viele Benutzer und Datenbanken von einem zentralen Ort aus verwaltet werden, gibt es im Grunde nur einen Ort, an dem die WAF installiert werden muss. Es muss auf einem stabilen, zentralen Infrastrukturelement, wie beispielsweise einem Hardwaregerät, installiert werden.

Dies bildet die Grundlage für eine zuverlässige Leistung, auf die sich dann die Sicherheitsregeln aufbauen lassen.

Dezentrale oder schnell wachsende Infrastruktur

Wenn Ihre Organisation hingegen über eine dezentrale oder schnell wachsende Infrastruktur verfügt, wie sie beispielsweise bei einem Online-E-Commerce-Shop zu finden ist, eignet sich eine verteilte WAF besser.

Nur weil ein WAF-Produkt über mehrere Anwendungen hinweg eingesetzt wird, heißt das nicht, dass es kompliziert zu verwalten sein muss – moderne Sicherheitstools wie Check Point WAF ermöglichen es Ihnen, alles von einer zentralen Plattform aus zu verwalten und die Dinge einfach zu halten.

#2: Leistungskriterien festlegen

Die Überwachung der WAF-Performance ist für das langfristige Management unerlässlich und sollte idealerweise frühzeitig im Lebenszyklus der WAF erfolgen.

Im Hinblick auf den technischen Durchsatz kann dies so grundlegend sein wie der Echtzeit-Durchsatz der WAF: Achten Sie auf Folgendes:

• Die Anzahl der gleichzeitigen Nutzer der Anwendung
• Die Anzahl der HTTP-Anfragen pro Zeiteinheit im Durchschnitt und zu Spitzenlastzeiten

Um dies zu unterstützen, aktivieren Sie die Protokollierung innerhalb Ihrer WAF und verbinden Sie diese mit einem zentralen Protokollverwaltungssystem (weiter unten finden Sie Best Practices für die Integration). Da Ihnen diese Kennzahlen ein Echtzeitverständnis der Regelleistung ermöglichen, sind Sie für den Erfolg Ihrer WAF bestens gerüstet.

#3: Einführung WAF-spezifischer Rollen

Die Fähigkeit von WAF, Anwendung zu schützen, beruht fast ausschließlich auf der korrekten Implementierung und der fortlaufenden Pflege seiner Regeln – daher ist es wichtig zu klären, wer dafür verantwortlich ist. Wenn Sie einen Auftragnehmer mit der einmaligen Inbetriebnahme einer neuen WAF beauftragen, muss dessen Verständnis der WAF-Fähigkeiten Ihren eigenen Infrastrukturanforderungen entsprechen.

Für die langfristige Pflege der WAF-Regelwerke sollte klargestellt werden, von wem und wie oft diese überprüft werden. Um dies zu erleichtern, ist es wichtig, die Verbindungen zwischen WAF und den übergeordneten Mechanismen Ihres Unternehmens herzustellen.

Im Hinblick auf die Sicherheit muss Ihr umfassenderes SOC Folgendes beinhalten:

• Workflow für die Verwaltung von Benachrichtigungen einrichten
• Geeignete KPIs für die Zeiträume des Alarmmanagements

Auf der Seite der Anwendungsentwicklung müssen Ihre Regeln parallel zu den Protokollen und Anforderungen der jeweiligen Anwendung entwickelt werden – eine Zusammenarbeit zwischen dem WAF-Team und DevOps ist unerlässlich.

Wenn Ihre Anwendungsdokumentation die Verantwortlichen für die einzelnen Dienste enthält, geht dieser Prozess wesentlich schneller vonstatten.

#4: Passe die Regeln deiner WAF an

Sichere WAF-Tools verfügen über vorkonfigurierte Listen, die schnell einsatzbereit sind. Sie können auch die Art Ihres Regelsatzes frei wählen – Blacklisting basiert darauf, nur schädlichen Datenverkehr zu identifizieren und zu blockieren. Die Whitelist blockiert alles außer nachweislich sicherem Datenverkehr.

Whitelisting ist zwar der sicherere Ansatz, aber nicht unbedingt für die konkrete Bereitstellung Ihrer WAF geeignet.

Die Anpassung des Regelsatzes Ihrer WAF an Ihre spezifische Anwendungsbereitstellung ist unerlässlich, um Fehlalarme zu vermeiden und die Regelkomplexität zu reduzieren. Um dies zu erreichen, ist Folgendes möglich:

• Öffnen Sie das WAF-Tool.
• Ausnahmen können über das Dashboard definiert werden.

Beachten Sie jedoch, wie Ihr WAF-Anbieter diese Regeln bei der Installation von Updates handhabt.

Wenn Sie Ihre WAF-Regelausschlüsse als Code über PowerShell oder die CLI definiert haben, kann die Regeloptimierung in der Regel auch nach der Aktualisierung der Regelsätze beibehalten werden.

#5: Integration mit anderen Sicherheitstools

Ein Intrusion Prevention System (IPS) ist eine Sicherheitslösung, die weiter innerhalb des Netzwerks platziert wird, um schädliche Aktivitäten zu erkennen und abzuschwächen, die eine Firewall umgehen könnten.

Intrusion Prevention Systeme

Es kann so konfiguriert werden, dass verdächtiger Datenverkehr auf ähnliche Weise gemeldet, blockiert oder verworfen wird – aber durch die Integration dieser beiden Lösungen ist es möglich, den WAF-Ansatz des Verweigerns oder Zulassens mit einem Teil des kontextbezogenen Anwendungsverständnisses von IPS zu verbinden.

Zur Verbesserung des Schutzes könnten Sie auch eine Cloud-basierte Lösung integrieren, die speziell für die Abwehr von DDoS-Angriffen (Distributed Denial of Service ) entwickelt wurde. Wenn eine integrierte WAF einen DDoS-Angriffsversuch erkennt, kann sie den Datenverkehr an die DDoS-Schutzplattform umleiten, die für die Bewältigung groß angelegter, ressourcenintensiver Angriffe geeignet ist – und so Ihr Netzwerk schützt.

Und es sind noch weitere Upgrades möglich…

Content Delivery Netzwerk

Da WAFs am Netzwerkrand positioniert sind, kann eine Cloud-basierte WAF auch eine Content Delivery Netzwerk (CDN)-Funktion beinhalten, um Website-Daten zwischenzuspeichern und die Ladezeiten zu verbessern. Das CDN nutzt mehrere global verteilte Points of Presence (PoPs) und gewährleistet so eine bessere Performance für die Nutzer, indem es sie vom nächstgelegenen Standort aus bedient.

Sicherheitsinformations- und Ereignismanagement

Schließlich ermöglicht die Integration mit einem Security Information and Event Management (SIEM)-System die zentrale Überwachung und Analyse von Sicherheitsereignissen. Die WAF kann Protokolle und Warnmeldungen an die SIEM-Plattform senden, sobald eine Regel ausgelöst wird. Dort werden sie mit Daten aus anderen Sicherheitstools zusammengeführt, wie zum Beispiel:

• Firewalls
• Intrusion Prevention System (IPS)
• Antivirensoftware

Dies ermöglicht es Sicherheitsteams, Muster zu erkennen, Ereignisse miteinander zu korrelieren und Vorfälle nach Risiko zu ordnen.

Diese Integrationen ermöglichen es Ihnen, die Regelsätze für jede einzelne Anfrage zu erweitern und einen umfassenden Überblick über Ihre gesamte Sicherheitslage zu erhalten, mit Echtzeit-Bedrohungserkennung und der Möglichkeit, detaillierte Berichte für Compliance- und Prüfungszwecke zu generieren.