Launchpad für die Advanced Web Application Firewall (WAF)

Warum benötigen Unternehmen eine WAF?

Unternehmen bauen ihr Geschäft heute mithilfe webbasierter und in der Cloud gehosteter Anwendungen aus. Daher ist eine robuste und flexible Web Application Firewall (WAF), die diese Anwendungen vor Sicherheitsbedrohungen schützt, kein Luxus, sondern eine Notwendigkeit.

Mit der zunehmenden Verbreitung dieser webbasierten und cloudbasierten Anwendungen werden Angriffe immer ausgefeilter und häufiger und bedrohen kritische Unternehmensdaten und -abläufe. Dadurch wird es für Administratoren und Sicherheitsteams erheblich schwieriger, über die neuesten Angriffe und Schutzmaßnahmen auf dem Laufenden zu bleiben. Gleichzeitig müssen sie strenge Compliance-Anforderungen für den Onlinehandel erfüllen (z. B. den Payment Card Industry Data Security Standard), geschäftskritische Webanwendungen vor gängigen Angriffen wie SQL-Injection, DDoS-Angriffen und komplexen Zero-Day-Angriffen schützen sowie einen sicheren Datenaustausch zwischen herkömmlichen Umgebungen und Cloud-Umgebungen ermöglichen.

Was ist für die Bereitstellung einer WAF erforderlich?

Unternehmen können eine Kombination verschiedener Techniken einsetzen, um eine zuverlässige Erkennungsabdeckung zu gewährleisten, ohne legitimen Datenverkehr zu blockieren. Traditionell basiert die am häufigsten verwendete WAF-Konfiguration auf einem negativen Sicherheitsmodell, das alle Transaktionen zulässt – mit Ausnahme derjenigen, die eine Bedrohung oder einen Angriff enthalten. Negative Sicherheit nutzt Signaturen und Regeln, die darauf ausgelegt sind, bekannte Bedrohungen und Angriffe zu erkennen. Die Datenbank mit Signaturregeln ist sehr umfangreich, da sich das Wissen über Angriffe im Laufe der Jahre stetig erweitert hat. Dieses Modell bietet einen hervorragenden sofort einsatzbereiten Schutz und blockiert allgemein bekannte Bedrohungen wie Web-Injections, die OWASP Top 10, Cross-Site-Scripting (XSS) und vieles mehr.

In den letzten Jahren haben positive Sicherheitsmodelle an Beliebtheit gewonnen. Bei diesem Ansatz wird der gesamte Datenverkehr blockiert, und nur Transaktionen, die bekanntermaßen gültig und sicher sind, werden zugelassen. Der positive Ansatz basiert auf einer strikten Inhaltsvalidierung und statistischen Analyse, wodurch sich Zero-Day-Bedrohungen und die Ausnutzung von Schwachstellen wirksamer verhindern lassen. Damit ein positiver Sicherheitsansatz wirklich effektiv ist, sind umfassende Kenntnisse der Anwendung und ihrer vorgesehenen Nutzung erforderlich.

Herausforderungen

Mehrere miteinander verzahnte Schritte sind durchzuführen

Sowohl Positiv- als auch Negativmodelle können das empfindliche Gleichgewicht zwischen „Sicherheit“ und „Funktionalität“ herstellen. Allerdings kann weder ein positives noch ein negatives Sicherheitsmodell allein in jeder Situation oder Umgebung die wirtschaftlichste Lösung bieten. In Verbindung mit den geschäftlichen Anforderungen ermöglicht ein integrierter positiver und negativer Ansatz Unternehmen, bei der Umsetzung von Sicherheitsrichtlinien den größtmöglichen ROI zu erzielen.

Die richtigen Entscheidungen für die Bereitstellung einer WAF zu treffen, die den Geschäftszielen bestmöglich entspricht, kann eine Herausforderung darstellen. Der Bedarf an Zeit und Ressourcen steht dabei meist im Spannungsverhältnis zum erforderlichen Know-how und zum Vertrauen in den Umgang mit dem ausgewählten Produkt.

Bei der Planung und Durchführung eines Projekts zur Implementierung eines WAF-Dienstes muss ein Kunde mehrere Schritte durchlaufen:

1. Entwickeln Sie die „am besten geeignete“ WAF-Strategie und lassen Sie sie von allen internen Stakeholdern genehmigen.
2. Das WAF-Produkt effizient nutzen, um die richtigen Richtlinien und Parameter zu implementieren.
3. Planen Sie die Bereitstellung des WAF-Dienstes, die sich häufig über mehrere Hundert Anwendungen erstreckt.
4. Planen Sie den täglichen Servicebetrieb und das Lebenszyklusmanagement in der Produktionsumgebung.

Jeder Schritt bringt typische Herausforderungen mit sich

• Sicherheitsanforderungen (oder -erwartungen) auf Unternehmens- und Geschäftsbereichsebene berücksichtigen technische, betriebliche und ressourcenbezogene Einschränkungen nicht immer in vollem Umfang. Dies kann dazu verleiten, zur Erreichung eines übergeordneten Ziels eine hochkomplexe Strategie zu entwickeln, bevor sichergestellt ist, dass die Organisation alle erforderlichen Voraussetzungen geschaffen hat, um dieses Ziel erreichen zu können. In vielen Fällen kann eine neutrale Bewertung und Analyse der Situation erforderlich sein, um dieses Problem zu lösen.
• Das richtige Gleichgewicht zwischen der von den Fachverantwortlichen geforderten Anwendungsverfügbarkeit und dem vom CISO-Team geforderten Schutzniveau zu finden, ist nicht immer einfach. So möchten die Fachverantwortlichen beispielsweise nicht, dass ihre Anwendungen aufgrund von Fehlalarmen oder zu restriktiven WAF-Richtlinien blockiert werden. Auch hier kann eine unparteiische und fachkundige Bewertung und Analyse der Situation Unternehmen dabei helfen, das richtige Gleichgewicht zu finden und Maßnahmenpläne zu erstellen, um mögliche Auswirkungen auf den Produktivbetrieb zu begrenzen.
• Die Teilnahme an Schulungen des Softwareanbieters oder der Erwerb einer Produktzertifizierung ist sehr zu empfehlen, ersetzt jedoch keinesfalls die praktische Anwendung im konkreten Kontext des Unternehmens unter Berücksichtigung seiner Ziele und Rahmenbedingungen.
• Eine der Fragen, mit denen Kunden sehr häufig zu kämpfen haben, ist, wie sich eine große Anzahl von Anwendungen absichern lässt. Oft ist jedoch nicht die Menge an sich das Hauptproblem. Vielmehr können die Qualität und Vollständigkeit der zu jeder Anwendung verfügbaren Informationen ein WAF-Projekt erheblich erschweren und sollten daher bei der Ausarbeitung der Design- und Implementierungsstrategie eingehender berücksichtigt werden. Erfahrungen mit WAF-Implementierungen sind äußerst hilfreich, um relevante Kriterien zu ermitteln, Anwendungen zu charakterisieren und zu gruppieren sowie das Gesamtdesign und die Implementierungsstrategie des WAF-Dienstes entsprechend anzupassen.
• Häufig vergessen Kunden, bereits im Vorfeld spätere Schritte zu berücksichtigen, um die Umsetzbarkeit und den Support sicherzustellen. Dies ist wahrscheinlich der häufigste Fehler (d. h., die Lösung wird konzipiert und geplant, ohne die Auswirkungen der gewählten Design- und Implementierungsmodelle auf ihren langfristigen Betrieb in einer Produktionsumgebung zu untersuchen). Ein typisches Beispiel ist die Unterschätzung der Ressourcen, die für die Pflege hochkomplexer WAF-Richtlinien erforderlich sind, während sich die gesamte Umgebung regelmäßig in allen Bereichen verändert: Bedrohungen, Abwehrmaßnahmen, Anwendungs-Releases usw.

Die F5-Lösung

F5 Professional Services passt die Lösung an Ihre Umgebung an

Der umfassende Funktionsumfang von BIG-IP Advanced WAF – darunter mehrere Bereitstellungsmethoden (einschließlich der Erstellung von Richtlinien anhand realer Datenverkehrsmuster), manuelles Lernen sowie erweiterte Funktionen wie die Integration von Schwachstellenscannern, Angriffssignaturen, Schutz vor Brute-Force-Angriffen, standortbasierte Zugriffssteuerung, Bot-Erkennung und DDoS-Abwehr – ermöglicht die schnelle Erstellung bedarfsgerechter Konfigurationen, die anschließend skaliert und optimiert werden können, um der sich ständig weiterentwickelnden Bedrohungslandschaft und selbst den anspruchsvollsten Kundenanforderungen gerecht zu werden.

F5 Professional Services hat den Service „Advanced WAF Launchpad“ speziell für Kunden entwickelt, die das Advanced WAF-Modul für BIG-IP erworben und teilweise sogar bereits bereitgestellt, jedoch noch keinen effektiven WAF-Service implementiert haben (z. B. weil nur wenige Richtlinien und diese lediglich im transparenten Modus ausgeführt werden).

Der Advanced WAF Launchpad-Service bietet Kunden die Möglichkeit, von der Kompetenz und Erfahrung der F5 Professional Services zu profitieren, um spezifische Probleme bei ihren Anwendungsfällen zu bewältigen und ein Advanced WAF-Implementierungsprojekt erfolgreich durchzuführen.

Leistungsumfang

Im Rahmen des Service arbeiten ein Sicherheitsexperte von F5 Professional Services und die für Sicherheit, Infrastruktur, Netzwerk und Anwendungsmanagement zuständigen Teams des Kunden zusammen.

Das zweifache Ziel des Service besteht darin, anhand der Best Practices von F5 eine bedarfsgerechte Strategie für die Implementierung von Advanced-WAF-Richtlinien zu entwickeln und Know-how sowie Fachwissen zu vermitteln, das der Kunde direkt in die Praxis umsetzen kann.

Ansatz zur Leistungserbringung

Bei diesem Service handelt es sich um eine zweitägige Veranstaltung, in der Theorie und Praxis der Funktionen, Bereitstellung und Verwaltungsanforderungen von Advanced WAF behandelt werden. So wird sichergestellt, dass Kunden über das nötige Vertrauen und die erforderlichen Fähigkeiten verfügen, um effektive Advanced-WAF-Lösungen für optimale Anwendungssicherheit zu implementieren.

Schritt 1: Strategie für Design und Bereitstellung von Advanced WAF

Der erste Tag des Projekts beginnt mit einer Arbeitssitzung, an der die Sicherheitsarchitekten, Designer, Ingenieure, das Betriebsteam und weitere für die Verwaltung der Advanced-WAF-Sicherheitsrichtlinien zuständige Beteiligte teilnehmen. Der F5-Berater leitet die Datenerfassung und die objektive Analyse des bestehenden Kontexts und der Ziele, gibt Empfehlungen und vermittelt Best Practices und führt eingehende Überlegungen durch, um eine übergeordnete Design- und Implementierungsstrategie zu entwickeln.

Am Ende dieses ersten Tages erstellt der F5-Berater einen Bericht, in dem die Erkenntnisse und Empfehlungen hervorgehoben werden.

Schritt 2: Erstellung und Implementierung von Richtlinien

Dieser Schritt umfasst das Erstellen einer Richtlinie und deren Anwendung auf einen virtuellen Server, um eine bestimmte Webanwendung abzudecken. Er kann in einem Durchgang ausgeführt oder in separate Teilaufgaben unterteilt werden, um der gewählten Strategie zur Richtlinienimplementierung zu entsprechen.

Beispielsweise kann die Implementierung einer Richtlinie in einer Testumgebung des Kunden mithilfe der Methode zur schnellen Bereitstellung in einer einzigen Sitzung erfolgen. Die Erstellung einer Richtlinie mit dem Automatic Policy Builder (d. h. wenn „echter“ Datenverkehr über einen längeren Zeitraum analysiert werden kann) lässt sich hingegen in zwei Teilaufgaben unterteilen: zunächst das Einrichten der grundlegenden Richtlinie und später die Richtlinienoptimierung sowie der Wechsel in den Blockierungsmodus.

Fazit

Die direkte Unterstützung durch einen qualifizierten Berater mit dem entsprechenden Fachwissen und der nötigen Erfahrung hat sich sehr häufig als beste Lösung erwiesen, um ein Projekt zur Bereitstellung eines WAF-Dienstes auf den richtigen Weg zu bringen und Betreiber einer Advanced WAF dabei zu unterstützen, fundierte und effiziente Entscheidungen zu treffen.

Weitere Informationen zum BIG-IP Advanced WAF Launchpad-Service erhalten Sie bei F5 Professional Services .

VERÖFFENTLICHT AM 21. MÄRZ 2018