Was ist eine Web Application Firewall (WAF)?

Eine Web Application Firewall (WAF) schützt Webanwendungen vor einer Vielzahl von Angriffen auf Anwendungsebene, wie etwa Cross-Site-Scripting (XSS), SQL-Injection, Cookie-Poisoning und anderen. Angriffe auf Anwendungen sind die häufigste Ursache für Sicherheitsverletzungen – sie sind das Einfallstor zu Ihren wertvollen Daten. Mit der richtigen WAF können Sie zahlreiche Angriffe abwehren, die darauf abzielen, Ihre Systeme zu kompromittieren und diese Daten zu entwenden.

Wie funktioniert eine Web Application Firewall (WAF)?

Eine WAF schützt Ihre Webanwendungen, indem sie sämtlichen schädlichen HTTP/S-Datenverkehr zur Webanwendung filtert, überwacht und blockiert. Zudem verhindert sie, dass unbefugt Daten aus der Anwendung übertragen werden. Dazu folgt sie einer Reihe von Richtlinien, anhand derer schädlicher von sicherem Datenverkehr unterschieden werden kann. So wie ein Proxyserver als Vermittler fungiert, um die Identität eines Clients zu schützen, arbeitet eine WAF auf ähnliche Weise, jedoch in umgekehrter Richtung – dies wird als Reverse-Proxy bezeichnet. Dabei fungiert sie als Vermittler, der den Webanwendungsserver vor potenziell schädlichen Clients schützt.

WAFs können als Software, als Appliance oder als Service bereitgestellt werden. Die Richtlinien lassen sich an die individuellen Anforderungen Ihrer Webanwendung oder Ihrer Webanwendungen anpassen. Bei vielen WAFs müssen die Richtlinien regelmäßig aktualisiert werden, um neue Schwachstellen zu berücksichtigen. Fortschritte beim maschinellen Lernen ermöglichen es jedoch einigen WAFs, sich automatisch zu aktualisieren. Diese Automatisierung gewinnt zunehmend an Bedeutung, da die Bedrohungslandschaft immer komplexer und unübersichtlicher wird.

Reverse-Proxys, die zwischen Clients (z. B. Webbrowsern) und Backend-Servern (z. B. Anwendungsservern oder anderen Webservern) angesiedelt sind, können auch dazu verwendet werden, Antworten von Backend-Servern zwischenzuspeichern. Dadurch lässt sich die Leistung von Webanwendungen verbessern, da sich die Antwortzeiten für häufig abgerufene Ressourcen verkürzen und die Backend-Server entlastet werden. Zwischengespeicherte Antworten können schneller bereitgestellt werden als dynamisch von Backend-Servern generierte Antworten. Das Caching durch Reverse-Proxys kann außerdem zu einer besseren Skalierbarkeit und Ressourcennutzung führen, insbesondere bei hohem Datenverkehr oder bei der Bereitstellung statischer Inhalte.

Der Unterschied zwischen einer Web Application Firewall (WAF), einem Intrusion Prevention System (IPS) und einer Next-Generation Firewall (NGFW)

Ein IPS ist ein Intrusion-Prevention-System, eine WAF ist eine Web Application Firewall und eine NGFW ist eine Next-Generation Firewall. Worin unterscheiden sie sich?

Ein IPS ist ein Sicherheitsprodukt mit einem breiteren Schutzbereich. Es basiert in der Regel auf Signaturen und Richtlinien. Das bedeutet, dass es mithilfe einer Signaturdatenbank und festgelegter Richtlinien nach bekannten Schwachstellen und Angriffsvektoren suchen kann. Auf Grundlage dieser Datenbank und der Richtlinien definiert das IPS einen Standard und gibt Warnmeldungen aus, sobald der Datenverkehr davon abweicht. Die Signaturen und Richtlinien werden im Laufe der Zeit um neu bekannt gewordene Schwachstellen erweitert. Im Allgemeinen schützt ein IPS den Datenverkehr über eine Vielzahl von Protokollen wie DNS, SMTP, TELNET, RDP, SSH und FTP hinweg. Ein IPS arbeitet und schützt üblicherweise auf den Schichten 3 und 4, also der Netzwerk- und der Sitzungsschicht. Einige Systeme bieten jedoch auch einen begrenzten Schutz auf der Anwendungsschicht (Schicht 7).

Eine Web Application Firewall (WAF) schützt die Anwendungsschicht und wurde speziell dafür entwickelt, jede HTTP/S-Anfrage auf dieser Schicht zu analysieren. Sie berücksichtigt in der Regel Benutzer, Sitzungen und Anwendungen und kennt die hinter ihr liegenden Webanwendungen sowie deren angebotene Dienste. Daher kann eine WAF als Vermittler zwischen dem Benutzer und der Anwendung selbst betrachtet werden, der die gesamte Kommunikation analysiert, bevor sie die Anwendung oder den Benutzer erreicht. Herkömmliche WAFs stellen sicher, dass nur zulässige Aktionen (gemäß den Sicherheitsrichtlinien) ausgeführt werden können. Für viele Unternehmen sind WAFs eine bewährte erste Verteidigungslinie für Anwendungen, insbesondere zum Schutz vor den OWASP Top 10 – der grundlegenden Liste der am häufigsten auftretenden Anwendungsschwachstellen. Diese Top 10 umfassen derzeit:

• Injektionsangriffe
• Fehlerhafte Authentifizierung
• Offenlegung sensibler Daten
• Externe XML-Entitäten (XXE)
• Fehlerhafte Zugriffskontrolle
• Sicherheitsfehlkonfigurationen
• Cross-Site-Scripting (XSS)
• Unsichere Deserialisierung

Holen Sie sich das E-Book darüber, wie Sie sich auf die OWASP Top 10 vorbereiten können

Sehen Sie sich dieses kurze Video zum Thema IPS vs. WAF an

Eine Next-Generation Firewall (NGFW) überwacht den ausgehenden Internetverkehr – über Websites, E-Mail-Konten und SaaS-Anwendungen hinweg. Einfach ausgedrückt schützt sie den Benutzer (und nicht die Webanwendung). Eine NGFW setzt benutzerbasierte Richtlinien durch, ergänzt Sicherheitsrichtlinien um Kontext und bietet zusätzliche Funktionen wie URL-Filterung, Viren- und Malware-Schutz sowie gegebenenfalls ein eigenes Intrusion-Prevention-System (IPS). Während eine WAF in der Regel als Reverse-Proxy fungiert (und von Servern verwendet wird), werden NGFWs häufig als Forward-Proxys eingesetzt (und von Clients wie Browsern verwendet).

Ist eine WAF ein Reverse-Proxy?

Ein Reverse-Proxy-Server ist eine Art Proxy-Server, der sich in einem privaten Netzwerk üblicherweise hinter der Firewall befindet und Client-Anfragen an den entsprechenden Backend-Server weiterleitet. Während Proxys im Allgemeinen Clients schützen, schützen WAFs Server und werden zum Schutz einer bestimmten Webanwendung eingesetzt. Daher kann eine WAF als Reverse Proxy betrachtet werden. WAFs können als Appliance, Server-Plug-in oder Filter bereitgestellt und an eine Anwendung angepasst werden.

Die verschiedenen Möglichkeiten zur Bereitstellung einer WAF

Eine WAF kann auf verschiedene Arten bereitgestellt werden – entscheidend ist, wo Ihre Anwendungen bereitgestellt werden, welche Dienste Sie benötigen, wie Sie die WAF verwalten möchten und welches Maß an architektonischer Flexibilität und Leistung Sie benötigen. Möchten Sie sie selbst verwalten oder die Verwaltung auslagern? Ist eine cloudbasierte Lösung besser geeignet, oder soll Ihre WAF lokal betrieben werden? Die gewünschte Bereitstellungsart hilft Ihnen dabei, die für Sie passende WAF zu bestimmen. Nachfolgend finden Sie die verfügbaren Optionen.

WAF-Bereitstellungsmodi:

• Cloudbasiert + vollständig als Managed Service – dies ist eine hervorragende Option, wenn Sie eine WAF möglichst schnell und unkompliziert vor Ihre Anwendungen schalten möchten (insbesondere, wenn Ihnen intern nur begrenzte Sicherheits- bzw. IT-Ressourcen zur Verfügung stehen).
• Cloudbasiert + selbstverwaltet – profitieren Sie von der Flexibilität und Portabilität von Sicherheitsrichtlinien in der Cloud und behalten Sie gleichzeitig die Kontrolle über das Traffic-Management und die Einstellungen der Sicherheitsrichtlinien.
• Cloudbasiert + automatisch bereitgestellt – dies ist der einfachste Einstieg in eine WAF in der Cloud, wobei sich Sicherheitsrichtlinien einfach und kostengünstig implementieren lassen
• Lokale Advanced WAF (virtuelle oder Hardware-Appliance) – diese Lösung erfüllt selbst anspruchsvollste Bereitstellungsanforderungen, bei denen Flexibilität, Leistung und erweiterte Sicherheitsaspekte geschäftskritisch sind

Dieser Leitfaden hilft Ihnen bei der Auswahl der passenden WAF und Bereitstellungsart.

Erfahren Sie mehr über WAF und darüber, wie Sie Ihre Anwendungen mit F5s Advanced WAF schützen können. F5 bietet außerdem F5 NGINX App Protect, eine moderne WAF-Anwendung, die mit F5 NGINX Plus, dem F5 NGINX Ingress Controller und anderen Servern funktioniert. NGINX Plus bietet zudem eine hochgradig skalierbare Caching-Lösung und einen Reverse-Proxy, um statische und selten geänderte Inhalte optimiert und zuverlässig für eine Vielzahl von Clients bereitzustellen. Der Caching-Server von NGINX Plus kann auch dynamische Antworten verarbeiten, die von Skriptsprachen über Protokolle wie FastCGI, SCGI und uwsgi zurückgegeben werden.