Web Application Firewalls (WAF): Funktion und Arbeitsweise

Warum Ihre Web-App mehr als eine Firewall braucht

Sie haben eine traditionelle Netzwerkfirewall, aber Ihre Webanwendung wird trotzdem angegriffen. Warum? Weil Netzwerkfirewalls auf den Schichten 3 und 4 arbeiten und IP-Adressen und Ports prüfen. Sie können nicht zwischen einer legitimen Login-Anfrage und einer SQL-Injection-Nutzlast unterscheiden, die in einem Formularfeld versteckt ist. Hier kommt eine Web Application Firewall (WAF) ins Spiel.

Eine WAF sitzt zwischen Ihren Benutzern und Ihrem Webserver und analysiert HTTP/HTTPS-Traffic auf Schicht 7. Sie untersucht Anfragen und Antworten auf Muster, die auf Angriffe hindeuten – wie SQL-Injection, Cross-Site-Scripting (XSS) oder bösartige Datei-Uploads – und blockiert sie, bevor sie Ihre Anwendung erreichen.

Was genau macht eine WAF?

Stellen Sie sich eine WAF als Sicherheitspersonal für Ihren Web-Traffic vor. Zu ihren Kernfunktionen gehören:

• Filtern bösartiger Anfragen: Sie untersucht Header, Cookies, Query-Strings und POST-Bodies auf bekannte Angriffssignaturen.
• Durchsetzen von Sicherheitsrichtlinien: Sie definieren Regeln – wie das Blockieren von Anfragen aus bestimmten Ländern oder die Begrenzung von Anfragegrößen.
• Schutz vor den OWASP Top 10: Viele WAFs verfügen über vorkonfigurierte Regelsätze zur Abwehr häufiger Schwachstellen wie Injection, fehlerhafte Authentifizierung und Offenlegung sensibler Daten.
• Ratenbegrenzung und Bot-Abwehr: Sie kann übermäßige Anfragen von einer einzelnen IP drosseln oder bekannte bösartige Bots blockieren.
• Protokollierung und Benachrichtigung: Sie zeichnet blockierte Anfragen zur Analyse auf und kann bei verdächtigen Aktivitäten Warnungen auslösen.

Wichtig: Eine WAF ist keine Wunderwaffe. Sie ergänzt sichere Programmierpraktiken, ersetzt sie aber nicht. Eine gut konfigurierte WAF kann jedoch eine kritische Verteidigungsschicht bieten, insbesondere für Legacy-Anwendungen oder bei Zero-Day-Exploits.

Wie WAFs funktionieren: Die technischen Grundlagen

WAFs analysieren Traffic mit zwei primären Methoden: signaturbasierte Erkennung und anomaliebasierte Erkennung.

Signaturbasierte Erkennung

Diese Methode stützt sich auf eine Datenbank bekannter Angriffsmuster. Eine Regel könnte beispielsweise nach der Zeichenkette ' OR '1'='1 in einem Query-Parameter suchen, was ein klassischer SQL-Injection-Versuch ist. Signaturbasierte WAFs sind schnell und effektiv gegen bekannte Bedrohungen, können aber neuartige Angriffe übersehen.

Anomaliebasierte Erkennung

Anomaliebasierte WAFs erstellen eine Baseline des normalen Traffics und markieren Abweichungen. Wenn ein Benutzer beispielsweise plötzlich eine 10 MB große POST-Anfrage an einen Login-Endpunkt sendet, ist das anomal. Dieser Ansatz kann unbekannte Angriffe erkennen, erzeugt aber möglicherweise Fehlalarme.

Die meisten modernen WAFs kombinieren beide Methoden, oft unter Verwendung von maschinellem Lernen zur Verbesserung der Genauigkeit. Sie zerlegen HTTP-Anfragen auch in Komponenten (Methode, URL, Header, Body) und wenden Regeln auf jeden Teil an.

Bereitstellungsoptionen: Wo lebt eine WAF?

Sie können eine WAF auf verschiedene Arten bereitstellen, jede mit Vor- und Nachteilen:

Für die meisten modernen Web-Apps ist eine Cloud-basierte WAF oder eine hostbasierte Lösung wie ModSecurity die praktische Wahl. Cloud-WAFs sind besonders attraktiv für kleine Teams, da sie Infrastruktur und Regel-Updates übernehmen.

Wichtige WAF-Regelsätze und das OWASP Core Rule Set

Wenn Sie ModSecurity verwenden, werden Sie es wahrscheinlich mit dem OWASP Core Rule Set (CRS) kombinieren. Das CRS ist eine Sammlung generischer Angriffserkennungsregeln, die Schutz vor den OWASP Top 10 bieten. Es enthält Regeln für:

• SQL-Injection
• Cross-Site-Scripting
• Local File Inclusion
• Remote Code Execution
• PHP-Injection
• Session Fixation

Allerdings kann das CRS aggressiv sein. Sie müssen es anpassen, um legitimen Traffic nicht zu blockieren. Beginnen Sie im Nur-Erkennungsmodus, überprüfen Sie die Protokolle und aktivieren Sie schrittweise blockierende Regeln.

So richten Sie eine einfache WAF mit ModSecurity und Nginx ein

Hier ist ein vereinfachtes Beispiel für die Bereitstellung von ModSecurity mit Nginx auf Ubuntu. Dies gibt Ihnen eine hostbasierte WAF.

1. Installieren Sie ModSecurity und den Nginx-Connector:

   sudo apt install libmodsecurity3 libnginx-mod-http-modsecurity

2. Aktivieren Sie das Modul in Nginx: Fügen Sie load_module modules/ngx_http_modsecurity_module.so; am Anfang von /etc/nginx/nginx.conf hinzu.
3. Laden Sie das OWASP CRS herunter:

   git clone https://github.com/coreruleset/coreruleset.git /etc/nginx/modsec/coreruleset

4. Konfigurieren Sie ModSecurity: Erstellen Sie /etc/nginx/modsec/main.conf mit:

   Include /etc/nginx/modsec/modsecurity.conf
   Include /etc/nginx/modsec/coreruleset/crs-setup.conf
   Include /etc/nginx/modsec/coreruleset/rules/*.conf

5. Aktivieren Sie ModSecurity in Ihrem Serverblock:

   server {
       modsecurity on;
       modsecurity_rules_file /etc/nginx/modsec/main.conf;
       ...
   }

6. Testen und laden Sie Nginx neu:

   sudo nginx -t && sudo systemctl reload nginx

Überwachen Sie nach der Einrichtung /var/log/modsec_audit.log auf blockierte Anfragen. Optimieren Sie Regeln, indem Sie Ausschlüsse für Fehlalarme hinzufügen.

WAF-Einschränkungen und Best Practices

Eine WAF ist nicht narrensicher. Angreifer können WAFs mithilfe von Kodierungstricks, Verschleierung oder durch Ausnutzung von Logikfehlern umgehen, die Signaturen nicht erfassen. Außerdem kann eine WAF nicht vor Angriffen schützen, die nicht über HTTP erfolgen, wie direkter Datenbankzugriff.

Um das Beste aus Ihrer WAF herauszuholen:

• Halten Sie Regeln aktuell: Neue Schwachstellen entstehen regelmäßig; aktualisieren Sie Ihre Regelsätze.
• Überwachen und optimieren: Überprüfen Sie regelmäßig Protokolle und passen Sie Regeln an, um Fehlalarme zu reduzieren.
• Nutzen Sie sie als Teil einer Defense-in-Depth-Strategie: Kombinieren Sie sie mit sicherer Programmierung, regelmäßigem Patchen und Least-Privilege-Zugriff.
• Testen Sie Ihre WAF: Verwenden Sie Tools wie OWASP ZAP oder Burp Suite, um zu prüfen, ob Ihre WAF gängige Angriffe blockiert.

FAQ

Kann eine WAF sichere Programmierpraktiken ersetzen?

Nein. Eine WAF ist eine ergänzende Schicht. Sie kann viele Angriffe blockieren, aber Schwachstellen in Ihrem Code können weiterhin ausgenutzt werden, wenn die WAF umgangen oder falsch konfiguriert wird. Befolgen Sie stets Richtlinien für sichere Programmierung.

Verlangsamt eine WAF meine Website?

Sie kann eine leichte Latenz hinzufügen, insbesondere wenn sie Cloud-basiert ist oder eine tiefe Inspektion durchführt. Moderne WAFs sind jedoch optimiert, und die Sicherheitsvorteile überwiegen normalerweise die geringfügigen Leistungseinbußen. Hostbasierte WAFs wie ModSecurity können auf Leistung optimiert werden.

Wie wähle ich zwischen einer Cloud-WAF und einer selbst gehosteten WAF?

Berücksichtigen Sie Ihr Budget, die Expertise Ihres Teams und Compliance-Anforderungen. Cloud-WAFs sind einfacher einzurichten und zu skalieren, während selbst gehostete WAFs mehr Kontrolle bieten und Daten in Ihrer Infrastruktur belassen. Für kleine Teams sind Cloud-WAFs oft praktischer.

Bereit, Ihre Nginx-Protokolle zu analysieren und zu sehen, welche Angriffe Ihre WAF blockiert? Verwenden Sie unseren kostenlosen Nginx Log Analyzer, um Ihre Protokolle schnell zu parsen und zu visualisieren.