WAF (Web Application Firewall)

Was ist eine WAF

WAF (Web Application Firewall) ist eine spezialisierte Lösung zur Gewährleistung der Sicherheit von Webanwendungen, API-Gateways und Websites, die auf der Anwendungsebene (L7) des OSI-Modells arbeitet. Im Gegensatz zu klassischen Firewalls, die IP-Adressen und Ports analysieren, „schaut" eine WAF in HTTP-Anfragen: Methoden, URI, Header und den Anfragetext, und entscheidet, ob der Verkehr durchgelassen oder blockiert wird.

In einfachen Worten: Wenn eine gewöhnliche Firewall ein Wachmann am Eingang eines Gebäudes ist, der Ihren Ausweis prüft, dann ist eine WAF ein Inspektor, der den Inhalt Ihrer Tasche prüft, um sicherzustellen, dass Sie keine Waffen (Schadcode) bei sich tragen. Eine WAF analysiert jede Anfrage an Ihre Website oder Anwendung und blockiert verdächtige.

Eine WAF ist ein obligatorisches Schutzelement für Unternehmen, die mit dem digitalen Rubel, SBP und staatlichen Informationssystemen arbeiten, da Webschnittstellen oft zum Haupteintrittspunkt für Hacker werden. Laut Positive Technologies waren 2025 in Russland mehr als 70 % aller Angriffe auf Webanwendungen mit SQL-Injection und XSS-Schwachstellen verbunden, die von einer WAF effektiv blockiert werden.

Im Rahmen der Importsubstitution sind russische WAF-Lösungen in das Register der inländischen Software aufgenommen und von FSTEC für den Schutz von Objekten der kritischen Informationsinfrastruktur (KII) zertifiziert.

Wie eine WAF funktioniert

Eine WAF verwendet mehrere Methoden zur Erkennung und Blockierung von Angriffen, die in Echtzeit (inline) arbeiten:

1. Signaturanalyse: Vergleich eingehender Anfragen mit einer Datenbank bekannter Angriffe (z. B. SQL-Injection, XSS, RCE). Datenbanken werden regelmäßig aktualisiert (täglich oder wöchentlich) und enthalten Tausende von Signaturen für verschiedene Angriffsarten.
2. Verhaltensanalyse: Maschinelles Lernen erkennt Anomalien im Verkehr: uncharakteristische Anfragemuster, Aktivitätsspitzen oder verdächtige Aktionssequenzen. Das System lernt aus typischem Verkehr und erkennt Abweichungen.
3. Einhaltung von Standards: Blockierung von Anfragen, die gegen Protokollspezifikationen verstoßen (z. B. HTTP Smuggling, falsche Header, nicht standardmäßige Methoden).
4. Bot-Schutz: Verhaltensanalyse (CAPTCHA, Timing-Analyse, User-Agent-Verifizierung), um automatisierten Verkehr herauszufiltern und vor Brute-Force- und DDoS-Angriffen auf Anwendungsebene zu schützen.

Eine WAF kann im „Lernmodus" arbeiten, wenn das System nur Daten über legitimen Verkehr sammelt und ein Profil des normalen Verhaltens erstellt, und im „Blockierungsmodus", wenn alle verdächtigen Anfragen abgelehnt werden. Die Wahl des Modus und die Feineinstellung der Regeln werden häufig im Rahmen der Dienstleistung Planung und Entwicklung automatisierter Systeme durchgeführt.

Haupttypen von WAF

WAF-Lösungen werden nach der Bereitstellungsmethode klassifiziert, die Leistung, Verwaltbarkeit und Sicherheitsniveau beeinflusst:

• Cloud (Cloud WAF / SaaS): Werden als Abonnementdienst bereitgestellt. Sie erfordern keine Geräteinstallation auf Kundenseite, sind leicht skalierbar und werden zentral aktualisiert. Geeignet für kleine und mittlere Unternehmen sowie Unternehmen mit verteilter Infrastruktur. Beispiele: Cloudflare WAF, AWS WAF.
• Software (On-Premise): Werden auf den eigenen Servern des Unternehmens in seiner Infrastruktur installiert. Sie bieten volle Kontrolle über Daten und Konfiguration, was für KII-Objekte und staatliche Systeme entscheidend ist. Beispiele: PT Application Firewall (Positive Technologies), ModSecurity.
• Hardware: Physische Geräte, die in Rechenzentren vor Webservern installiert werden. Sie bieten maximale Leistung und geringe Latenz und eignen sich für Hochlastsysteme. Üblicherweise in großen Unternehmen und Rechenzentren eingesetzt.

Bei der Wahl einer WAF ist es wichtig, die Integration in die bestehende Infrastruktur zu berücksichtigen: SIEM-Systeme zur Sammlung von Protokollen und Datenspeichersysteme zur Archivierung von Sicherheitsereignissen.

Warum eine WAF benötigt wird und wie sie schützt

Eine WAF schützt Webanwendungen vor den häufigsten Bedrohungen, die in OWASP Top 10 beschrieben sind:

• Injection (SQL, NoSQL, OS Command): Blockierung von Versuchen, bösartigen Code in Anfragen an eine Datenbank oder ein Betriebssystem einzuschleusen. Zum Beispiel die Blockierung der Anfrage `' OR 1=1 --` in einem URL-Parameter.
• Cross-Site Scripting (XSS): Verhinderung der Einschleusung von JavaScript-Code in Websiteseiten, die Cookies stehlen oder den Benutzer auf eine Phishing-Seite umleiten kann.
• Cross-Site Request Forgery (CSRF): Schutz vor Angriffen, die einen Benutzer zwingen, unerwünschte Aktionen auf einer Website durchzuführen, auf der er autorisiert ist (z. B. Geldüberweisungen).
• DDoS-Angriffe auf Anwendungsebene (L7 DDoS): Herausfiltern von Bot-Verkehr, der legitime Anfragen nachahmt (z. B. massenhafte GET-Anfragen an schwere Seiten).
• Brute-Force (Passwort-Erraten): Blockierung mehrerer fehlgeschlagener Anmeldeversuche, Schutz vor automatisiertem Passwort-Erraten.

Die Implementierung einer WAF als Teil eines umfassenden Sicherheitssystems wird häufig von Attestierungsprüfungen und Personalschulungen in Kursen Schulung begleitet.