Web Application Firewall
Anfragen prüfen, bevor sie die Anwendung erreichen
EdgeWall setzt Coraza v3 als eigenständigen Prozess ein, den die Datenebene über HTTP anspricht. Als Regelwerk dient das OWASP Core Rule Set.
Aufbau
Coraza als eigener Prozess
Die Trennung in einen eigenen Prozess macht das Ausfallverhalten steuerbar. Fällt die WAF-Engine aus, kann der Verkehr für ein befristetes Fenster weiterlaufen, danach schließt das System. Alternativ stellen Sie ein, dass sofort geschlossen wird. Beides ist je Site konfigurierbar.
Jede Site betreibt einen eigenen Modus: aus, erkennen oder blockieren. Im Erkennungsmodus werden Treffer protokolliert, Anfragen aber durchgelassen.
Neue Sites schalten wir im Erkennungsmodus auf. Das OWASP-Regelwerk kennt Ihre Anwendung nicht: Redaktionssysteme mit Rich-Text-Feldern und Formulare, die Freitext übertragen, lösen Regeln aus der SQL-Injection- und XSS-Gruppe aus, ohne dass ein Angriff vorliegt. Erst wenn das Ereignisprotokoll ruhig bleibt oder die nötigen Ausnahmen stehen, stellen wir auf Blockieren um.
- aus
- Keine Prüfung.
- erkennen
- Treffer werden protokolliert, die Anfrage läuft weiter.
- blockieren
- Anfragen über der Schwelle werden abgewiesen.
Zwei Größen, ein Ergebnis
Paranoia-Stufe und Anomalie-Schwelle
Die Stufe bestimmt, wie viele Regeln greifen. Die Schwelle bestimmt, ab wann eingegriffen wird. Beides zusammen ergibt das Verhalten.
Paranoia-Stufe 1 bis 4
- 1 Die offensichtlichsten Angriffsmuster.
- 2 Mehr Regeln, engere Muster.
- 3 Deutlich strenger, mehr Fehlalarme.
- 4 Das vollstaendige Regelwerk.
Eine höhere Stufe aktiviert deutlich mehr Regeln und damit mehr potenzielle Fehlalarme. Ob eine Anfrage tatsächlich blockiert wird, entscheidet die Paranoia-Stufe allein nicht.
Anomalie-Schwelle
Jede ausgelöste Regel trägt einen Anomaliewert. Erst wenn der Summenwert aller ausgelösten Regeln die Schwelle überschreitet, greift die WAF ein. Eingehender und ausgehender Verkehr haben getrennte Schwellen.
Nach einer Erhöhung der Paranoia-Stufe zeigen die Protokolle, welche Regeln zusätzlich greifen. Der Eintrag nennt Regel-ID, Anomaliewert, Urteil und URI. Die Schwelle wird danach angepasst, nicht vorher.
Ein Protokolleintrag enthält
Regel-ID · Anomaliewert · Urteil · URI
Anpassung und Aktualisierung
Wenn das Regelwerk nicht passt
Zwei Stellschrauben im Betrieb: Ausnahmen für die eigene Anwendung, und die Frage, woher neue Regeln kommen.
Regelausnahmen
Kein Regelwerk passt ohne Anpassung auf jede Anwendung. Regelausnahmen lassen sich je Site einrichten und mit einem Geltungsbereich versehen: global, auf einen Pfad begrenzt oder auf einen bestimmten Parameter beschränkt. Eine gezielte Ausnahme ist oft genug, ohne eine Regel vollständig abschalten zu müssen.
Reihenfolge und Regelaktualisierungen
Die WAF-Prüfung läuft vor dem Cache. Eine Anfrage, deren Antwort aus dem Speicher käme, wird trotzdem geprüft. Sie wird nicht am WAF vorbeigeleitet. Body-Anfragen ab einer einstellbaren Größe können entweder protokolliert oder direkt abgewiesen werden; welches Verhalten gilt, ist je Site festgelegt.
Regel-Bundles werden mit Ed25519 signiert. Die Signatur wird geprüft, bevor das Bundle übernommen wird. Ein manipuliertes oder beschädigtes Paket wird nicht eingespielt.
Zugriffskontrolle
Wer überhaupt durchkommt
Neben der inhaltlichen Prüfung steuern Sie, welche Quellen wie oft anfragen dürfen.
Rate Limiting
Begrenzt die Anfragen je Quelle über ein Zeitfenster. Überschreitungen werden verzögert oder abgewiesen.
Zugriffslisten je Site
IP-Bereiche erlauben oder sperren — etwa, um eine Verwaltungsoberfläche auf bekannte Netze zu beschränken.
Sperrlisten je Organisation
Ein Bereich, der für alle Sites einer Organisation gesperrt sein soll, wird einmal eingetragen.
Was eine WAF leisten kann — und was nicht
Ein Regelwerk erkennt bekannte Muster. Es ersetzt keine sichere Anwendung, keine Aktualisierung veralteter Software und keine ordentliche Rechteverwaltung. Es verschafft Zeit und filtert das Übliche heraus.
Welche Anwendungen sollen dahinter laufen?
Standardanwendungen wie Shops und Redaktionssysteme verhalten sich beim Regelwerk anders als selbst entwickelte Oberflächen. Das ist der erste Punkt im Gespräch.
Schreiben Sie an support@itworxx.de. Diese Seite hat kein Kontaktformular und setzt keine Cookies.