Was ist eine Web Application Firewall (WAF)?
Anwendungen sind für die effizienten, vernetzten Arbeitsabläufe von heute unerlässlich – sie ermöglichen es den Mitarbeitern, mit Unternehmensdaten zu interagieren, miteinander zu kommunizieren und kontinuierliche Innovation und Wachstum voranzutreiben. Diese Bedeutung bringt jedoch auch ein erhöhtes Risiko mit sich: Das Risiko, dass Angreifer über Kontokompromittierung oder Schwachstellenausnutzung eindringen, ist höher denn je.
Eine Web Application Firewall (WAF) ist eine Sicherheitslösung, die das Risiko gängiger Angriffe durch die Überwachung der von jeder Anwendung empfangenen Datenpakete adressiert. Dies wiederum ermöglicht es dem Administratorteam, die Anwendung vor Bedrohungen zu schützen, indem schädliche Datenpakete überwacht, gefiltert und blockiert werden.
Wie funktioniert eine WAF?
Eine WAF schützt Anwendungen, indem sie potenziell schädlichen HTTP/S-Datenverkehr prüft, filtert und blockiert; manche gehen sogar noch weiter und verhindern auch, dass unautorisierte Daten die Anwendung verlassen. Die WAF erreicht dies durch die Analyse der vier kritischen Komponenten von HTTP-Interaktionen:
- GET-Anfragen: Diese werden verwendet, um Daten vom Server abzurufen.
- POST-Anfragen: Werden verwendet, um Daten an den Server zu senden, typischerweise um dessen Zustand zu ändern.
- PUT-Anfragen: Werden verwendet, um Daten zum Erstellen oder Aktualisieren von Ressourcen auf dem Server zu senden.
- DELETE-Anfragen: Werden verwendet, um die Entfernung von Daten vom Server anzufordern.
Wenn eine dieser Komponenten zusammengenommen einen Fehlerzustand aufweist oder der HTML-Header verdächtige Indikatoren enthält, wird die Verbindung abgebrochen.
Dies wird durch eine Serverarchitektur ermöglicht, die als Reverse-Proxy bezeichnet wird: Reverse-Proxys werden zwischen Clients (wie einem Gerät oder E-Mail-Client) und den internen Servern der Anwendung eines Unternehmens installiert. Wenn ein Client Daten von einer geschützten Anwendung anfordert, analysiert die WAF die Anfrage selbst sowie den Kontext. Dabei wird die ursprüngliche Anfrage zwischengespeichert – wir werden in Kürze darauf eingehen, wie diese Zwischenspeicherung zur Leistungsverbesserung genutzt werden kann. Sobald eine Anfrage als sicher verifiziert wurde, stellt die WAF eine eigene Verbindung zur internen Anwendung her und leitet sie weiter.
Die WAF ist in der Lage, den gesamten in die Anwendung ein- und ausgehenden Datenverkehr zu überprüfen und unterscheidet anhand von Richtlinien zwischen sicherem und schädlichem Datenverkehr. Hierbei handelt es sich um explizite Regeln, die festlegen, welche Art von Verkehr wo erlaubt ist. WAFs sind als Software, Hardware oder als Servicelösung verfügbar. Unabhängig von der zugrunde liegenden Architektur müssen WAF-Richtlinien angepasst und auf die spezifischen Anforderungen einer oder mehrerer Webanwendungen zugeschnitten werden. Traditionelle WAFs erfordern manuelle Aktualisierungen dieser Regeln, um gegen neue Schwachstellen wirksam zu bleiben, wohingegen modernere WAFs maschinelles Lernen nutzen, um Aktualisierungen zu automatisieren.
Wichtigste WAF-Funktionen
WAFs bieten folgende Kernfunktionen:
Datenbank für Angriffssignaturen
Angriffssignaturen sind identifizierbare Muster, die auf böswillige Aktivitäten hinweisen; dazu gehören beispielsweise bestimmte Anfragetypen, ungewöhnliche Serverantworten oder als bösartig gekennzeichnete IP-Adressen. Herkömmliche WAFs waren stark von Datenbanken mit diesen Mustern abhängig, während neuere Tools ein breiteres Spektrum an Erkennungswerkzeugen bieten.
Verkehrsmusteranalyse
Maschinelles Lernen ermöglicht die Ermittlung von Referenzwerten für normale Verkehrsmuster. Sobald diese Systeme eingerichtet sind, können sie Abweichungen vom normalen Verhalten erkennen – was auf einen potenziellen Angriff hindeuten kann, selbst wenn kein bösartiges Muster vorhanden ist, zu dem es passen würde.
Anwendungsprofilierung
So wie der alltägliche Datenverkehr auf Anomalien analysiert werden kann, ermöglicht das Anwendungsprofiling die Bildung von Mustern im Verhalten der Anwendung selbst. Hierbei werden die üblichen Anfrageparameter der Anwendung, die von ihr verarbeitete URL, die verwendete API und die verarbeiteten Datentypen betrachtet. Nachdem all diese Daten in normale Baselines zusammengefasst wurden, kann die WAF Anfragen erkennen und blockieren, die möglicherweise bis zur Anwendung durchgerutscht sind.
Integration des Content Delivery Netzwerks
Da WAFs am Netzwerkrand positioniert sind, ermöglicht die Einbindung eines CDN, die WAF geografisch viel näher an den Endnutzer heran zu rücken. CDNs funktionieren, indem sie eine Website über mehrere global verteilte Points of Presence (PoPs) zwischenspeichern: Wenn sich ein App-Benutzer anmeldet und Daten anfordert, kann ein CDN dann Daten vom nächstgelegenen Punkt zurückgeben. Dies trägt dazu bei, eine optimale Leistung zu gewährleisten.
WAF-Funktionen der nächsten Generation
KI-gestützte Reduzierung von Fehlalarmen
Die Anwendung und die Erstellung von Benutzerprofilen sind in der Lage, Abweichungen vom normalen Anwendungs- und Benutzerverhalten zu erkennen – dies garantiert jedoch nicht, dass die generierte Warnung ein tatsächlicher Hinweis auf eine Gefährdung ist. So entstehen Fehlalarme , und das ist eine erhebliche Belastung für die Sicherheitsressourcen. Next-Gen WAFs begegnen diesem Problem durch die Implementierung einer weiteren Analyseebene; diese betrachtet den umfassenderen Kontext des Geräts, des Benutzers oder API , die für eine anormale Anfrage verantwortlich ist. Anschließend kann eine differenziertere Reaktion erfolgen – sei es das Senden einer CAPTCHA-Anfrage oder die genaue Identifizierung des offengelegten und somit angreifbaren API-Schlüssels.
API-Identifizierung und -Schutz
Nicht mehr nur Benutzer und Bots übertragen Daten in und aus Anwendung: APIs sind mittlerweile ein wichtiger Bestandteil des Datenökosystems. WAFs müssen eine umfassende API-Erkennung und einen umfassenden API-Schutz bieten. Next-Gen WAFsbeinhalten API Schutz durch anpassbare Regeln und Warnmeldungen für API Änderungen sowie Compliance-Überwachung.
Arten von WAFs liefern
Die von verschiedenen sicheren WAF-Tools gebotenen Funktionen hängen von ihrer zugrunde liegenden Bereitstellung ab – und wie bei allem anderen in der Netzwerksicherheit gibt es mehr als einen Weg, um Datenverkehrsabfang und -sicherheit zu erreichen.
Netzwerkbasierte WAF
Dieser Typ wird typischerweise als Hardware eingesetzt und vor Ort installiert, um die Latenz zu minimieren. Diese Methode ist zwar effektiv, aber aufgrund des Bedarfs an physischer Ausrüstung, die zudem gelagert und gewartet werden muss, die kostspieligste Option.
Hostbasierte WAF
Da diese Art von Lösungen vollständig in die Anwendungssoftware integriert ist, ist sie kostengünstiger als netzwerkbasierte WAFs und ermöglicht eine größere Anpassungsfähigkeit. Allerdings benötigt es erhebliche lokale Serverressourcen, ist komplex einzurichten und kann hohe Wartungskosten verursachen. Darüber hinaus erfordert der Server, auf dem die WAF gehostet wird, häufig eine Härtung und Anpassung, was zeitaufwändig und teuer sein kann.
CloudWAF als Service
Dies ist eine kostengünstige und unkomplizierte Lösung, die weitgehend auf Vorabinvestitionen verzichtet und ein abonnementbasiertes WAF-as-a-Service- Modell bietet. Aktualisierungen werden vom Anbieter durchgeführt, in der Regel ohne zusätzliche Kosten oder Aufwand für den Benutzer. Da die WAF jedoch von einem Drittanbieter verwaltet wird, ist es entscheidend sicherzustellen, dass der Dienst ausreichend Anpassungsmöglichkeiten bietet, um mit den Geschäftsregeln Ihrer Organisation übereinzustimmen.
Häufige Bedrohungen, die durch WAF gemildert werden
Die Bedrohungsabwehr durch WAFs basiert vollständig auf den Regeln und der KI-Engine, auf der sie beruhen: Bei korrekter Konfiguration sind die folgenden Bedrohungen am häufigsten.
Injektionsangriffe
SQL-Injection -Angriffe können Schwachstellen in den Eingabefeldern einer Anwendung ausnutzen, um bösartigen SQL-Code in eine Datenbankabfrage einzuschleusen. Dies ermöglicht es Angreifern, die Datenbank zu manipulieren und so möglicherweise unbefugten Zugriff auf Daten zu erlangen, Datensätze zu ändern oder zu löschen oder administrative Vorgänge auszuführen. SQL ist zwar nicht die einzige Sprache, die für Injection-Angriffe verwendet wird, aber sicherlich die am häufigsten verwendete.
Eine WAF (Web Application Firewall) beseitigt diese Bedrohung, indem sie Anfragen auf SQL-Schlüsselwörter oder unerwartete Zeichen in Benutzereingaben scannt, bevor diese die Anwendung erreichen und mit der Datenbank interagieren.
Fehlerhafte Authentifizierung und Sitzungsverwaltung
Dies beschreibt eine ganze Reihe von Sicherheitsrisiken im gesamten Prozess der Benutzeridentitäts- und Zugriffskontrolle. Es könnte sich um unzureichend geschützte Anmeldeinformationen handeln, die in einem nicht gehashten Format gespeichert sind, um unsichere Sitzungs-IDs, die es Angreifern ermöglichen, Token zu stehlen und wiederzuverwenden, oder um Sitzungen, die nicht ordnungsgemäß beendet werden.
Eine WAF kann all dies durch eine Vielzahl unterschiedlicher Regeln verhindern: von der Begrenzung der Anfragenrate (und damit der Blockierung von Credential-Stuffing-Anfragen) bis hin zum Abgleich der Anmeldedaten mit häufig gestohlenen Passwörtern. Andere Regeln können sicherstellen, dass Sitzungen nach dem Ausloggen oder dem Ablauf einer Zeitüberschreitung ungültig werden, wodurch weitere Anfragen mit demselben Token blockiert werden.
Cross-Site-Scripting (XSS)
Diese Angriffe, die oft als XSS bezeichnet werden, gehören zu den einfachsten, die man gegen anfällige Websites und Apps einrichten und automatisieren kann. Eine WAF kann strenge Regeln für Eingabefelder durchsetzen, um <,> oder Skriptelemente zu verhindern – die häufig bei XSS-Angriffen vorkommen. Die Mustererkennung ermöglicht es WAFs auch, Angriffsindikatoren außerhalb spezifischer Tags zu identifizieren.
App-Komponenten mit bekannter Schwachstelle
Im heutigen App-Ökosystem kommt es äußerst häufig vor, dass nachgelagerte App-Komponenten Datenlecks verursachen. WAFs sind in der Lage zu erkennen, ob sich eine Komponente mit bekannter Schwachstelle in Ihrer Umgebung befindet, sofern diese WAF eine regelmäßig aktualisierte Bedrohungsinformationen- Datenbank verwendet.
WAF vs. traditionelle Firewall: Die Unterschiede verstehen
Eine Firewall ist ein Oberbegriff für jede Firmware, die den ein- und ausgehenden Datenverkehr in einem Netzwerk filtert. Innerhalb dieser weit gefassten Definition gibt es mehrere Kategorien, die sich hinsichtlich der Art des von ihnen gebotenen Schutzes unterscheiden. Dazu gehören Stateful Inspection, Paketfilterung, Proxy-Server und Next Generation Firewalls (NGFW).
WAF ist eine spezielle Art von Firewall, die sich durch die Art und Weise auszeichnet, wie sie Datenpakete filtert. WAF untersucht die Anwendungsschicht des Netzwerks und kann viele Angriffe verhindern, die für andere Firewall-Typen unsichtbar sind. Beispielsweise würde ein SQL-Injection-Angriff von einer herkömmlichen Firewall nicht erkannt werden, da diese die Nutzdaten von Anwendungsanfragen, wie etwa SQL-Abfragen, nicht überprüft.
Im Gegensatz zu einer herkömmlichen Firewall , die den Datenverkehr aus bestimmten IP-Bereichen, geografischen Regionen usw. blockieren kann, ermöglichen WAFs die Definition von Regeln, die bestimmte Arten von Anwendungsverhalten ausschließen, die als bösartig erscheinen.
Bewährte Verfahren für die Implementierung einer WAF
WAF-Regeln sind die grundlegenden Bausteine, die die Funktionsweise der Firewall bestimmen. Aber das ist längst nicht der einzige Aspekt, den Ihr WAF-Management berücksichtigen muss.
Verstehen Sie die Bedrohungen Ihrer Anwendung
Jede Anwendung verfügt über ein einzigartiges Bedrohungsprofil, das von ihrer Funktionalität, ihrer Nutzerbasis und ihrem Gefährdungsgrad beeinflusst wird. Beginnen Sie damit, die häufigsten und kritischsten Bedrohungen für Ihre Anwendung zu identifizieren. Beispielsweise sind E-Commerce-Plattformen aufgrund ihrer großen Datenbanken mit Kundendaten häufiger Ziel von SQL-Injection-Angriffen. API Anbieter hingegen müssen möglicherweise ein genaueres Auge auf Parametermanipulationen haben (Schwachstelle).
Verkehrsmuster analysieren
Analysieren Sie das typische Datenverkehrsverhalten Ihrer Anwendung, um zwischen legitimen und schädlichen Aktivitäten zu unterscheiden. Mithilfe dieser Analyse können Sie präzise Regeln definieren, um spezifische Bedrohungen effektiv zu bekämpfen. Wenn Ihre WAF KI-basiert ist, wird automatisch eine Basislinie für normalen Datenverkehr und Anwendungsverhalten erstellt.
Nutzen Sie verwaltete Regelgruppen
Die meisten WAF-Anbieter liefern ihre Tools mit vorkonfigurierten Regelsätzen aus – prüfen Sie aber, ob sie auch verwaltete Regelgruppen anbieten. Hierbei handelt es sich um vordefinierte Regelsätze , die von den Anbietern kontinuierlich aktualisiert werden. Diese Regelgruppen decken ein breites Spektrum an Bedrohungen ab, darunter die OWASP Top 10, und setzen gleichzeitig erhebliche administrative Ressourcen frei.
Priorisieren Sie Skalierbarkeit und Leistung
Sobald die WAF eingerichtet und betriebsbereit ist, ist es unerlässlich, die Konfiguration und Leistung regelmäßig zu überprüfen. Behalten Sie die KPIs im Auge, die den Erfolg Ihres Sicherheitsteams anzeigen, wie z. B. MTTR, und überwachen Sie gleichzeitig alle langfristigen Veränderungen der Latenz der Anwendung.
Durch regelmäßige Überprüfungen ist es möglich sicherzustellen, dass Ihre WAF das Wachstum und das Benutzererlebnis Ihrer Anwendung auch bei Veränderungen der Organisation und der Benutzerbasis unterstützt.
Choose Next-Gen WAF Capabilities with Check Point
Check Point nutzt fortschrittliche KI, um proaktiven Schutz für Webverkehr und API zu bieten und so eine robuste Sicherheit für moderne Anwendungen zu gewährleisten. Durch die Unterscheidung zwischen API Typen, Endgeräten, öffentlich zugänglichen versus internen Systemen und neueren versus älteren Komponenten ermöglichtCheck Point die präzise Anpassung von Sicherheitsmaßnahmen an spezifische unternehmenskritische Anforderungen.
Wie wichtig der Schutz API für die Anwendungssicherheit ist, erfahren Sie im GigaOm Radar Report 2024 (hier). Gewährleisten Sie die Einhaltung der DSGVO und der PII-Richtlinien und fördern Sie das Bewusstsein für sensible Inhalte, indem Sie die Nutzung sensibler Daten überwachen, mit integrierter Identifizierung von PII, Finanzdaten, Gesundheitsinformationen und Anmeldeinformationen. Erfahren Sie, wie sich Check Point im Vergleich zu anderen Marktführern im WAF-Bereich positioniert – oder, wenn Sie dies eingehender erkunden möchten, melden Sie sich noch heute für eine ausführliche Check Point-Demo an.
