Webalkalmazás-tűzfal (WAF)
WAF-ot telepítünk a nyilvános webalkalmazások és portálok elé, hogy megfogja az alkalmazásrétegbeli támadásokat, például az injektálást és az automatizált visszaélést.
Mi ellen véd
Az alkalmazásréteg támadásai
A hálózati tűzfal átengedi a webes forgalmat, mert annak el kell jutnia a szerverhez. A WAF ezen belül vizsgálja a kéréseket.
Az OWASP Top 10 fenyegetései
A webalkalmazások leggyakoribb biztonsági hibáinak közösségi listája, amely prioritási sorrendet ad. A legtöbb tesztelési módszertan erre épül.
Injektálás
A támadó adatnak álcázott parancsot juttat az adatbázis-lekérdezésbe (SQL-befecskendezés). Ugyanez a hibatípus a parancsértelmezőnél és az LDAP-nál is előfordul.
XSS
Cross-site scripting: a támadó szkriptet juttat az oldalba, ami a látogató böngészőjében fut le. Ezzel munkamenet-süti lopható, vagy művelet hajtható végre a felhasználó nevében.
Automatizált visszaélés
Gépi, tömegesen ismételt kérések, például jelszavak végigpróbálása a bejelentkezésnél vagy adatok tömeges begyűjtése egy végpontról.
A bevezetés
Hogyan kerül élesbe a WAF
A blokkolást akkor kapcsoljuk be, amikor a szabályok már az alkalmazás valós forgalmához igazodnak.
-
Felmérés
Számba vesszük az internetről elérhető webalkalmazásokat és portálokat, és alkalmazásonként rögzítjük, mit kell védeni.
-
Telepítés
A WAF az alkalmazások elé kerül. A szabályokat alkalmazásonként állítjuk be, mert mindegyik más kéréseket fogad.
-
Élesítés
Tanuló üzemmódban a WAF naplózza a gyanús kéréseket, de nem tilt. Ilyenkor szűrjük ki a tévesen megjelölt, jogos forgalmat, és csak ezután váltunk blokkolásra.
-
Átadás
Az ügyfél a beállítások és a szabályok leírásával együtt veszi át a rendszert.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- A védendő alkalmazások felmérése
- Telepített WAF, alkalmazásonként hangolt szabályokkal
- Tanuló szakasz után blokkoló üzemmódban működő védelem
- Átadási dokumentáció
Technológiák és referenciák
Amivel és ahol dolgozunk
Webalkalmazás-tűzfalat a Fortinet kínálatából telepítünk, a gyártóval élő partnerségünk és bevezetési tapasztalatunk van.
Referenciák
- Magyar Táncművészeti Egyetem
- FortiWebAz internetre publikált webszervereket és webalapú szolgáltatásokat FortiWeb alapú WAF védi.
- Gödöllő Város Önkormányzata
- A publikált webszerverek és webalapú szolgáltatások elé WAF-ot állítottunk üzembe. A hivatal nemzetközi kapcsolatai miatt folyamatosan érkeznek támadások, a forgalom földrajzi alapon csak minimálisan korlátozható, ezért kifejezetten a webszerverek védelmére készített Security Profile-okat alkalmaztunk.
Kapcsolódó szolgáltatások
Ami a WAF mellé tartozik
A WAF a webalkalmazást védi. A hálózat peremét, a naplók elemzését és a szoftverek frissítését más szolgáltatás fedi le.
Tűzfal és VPN
Új generációs tűzfal tervezése, telepítése és beállítása, a telephelyek közötti és a távoli elérést biztosító VPN-nel együtt.
SIEM
A WAF naplói a legsűrűbb jelforrások közé tartoznak, mert az események már szűrve érkeznek. A naplókat a SIEM-be is bekötjük.
Patch- és frissítéskezelés
Az operációs rendszerek és az alkalmazások frissítéseinek központosított, ütemezett kezelése. A WAF mögött futó szoftvert is naprakészen kell tartani.
Gyakori kérdések
Amit a legtöbben kérdeznek
Ha van WAF, javítani kell még a webalkalmazás hibáit?
Igen. A WAF a hiba kihasználását akadályozza meg, magát a hibát nem javítja. A sebezhetőségek rangsorolásánál számít, hogy van-e az alkalmazás előtt WAF, de a javítás ettől nem marad el. Az injektálás ellen a paraméterezett lekérdezés véd, a bemenet szűrése ezt nem váltja ki, mert meg lehet kerülni.
Véd a WAF a túlterheléses (DDoS) támadás ellen?
A volumetrikus támadás ellen nem. Ez a sávszélességet telíti, és csak a szolgáltató vagy egy erre szakosodott szolgáltatás tudja megszűrni, a saját eszköz ilyenkor maga lesz a szűk keresztmetszet. Az alkalmazásszintű támadás kis forgalommal terhel meg egy erőforrásigényes műveletet, például a keresést vagy a bejelentkezést. Ez ellen a felhasználónkénti és IP-címenkénti sebességkorlát véd, ilyen korlátozás a WAF-on is beállítható. A részleteket a DDoS-védelemről szóló cikkünk tartalmazza.
Az API-kat is védi a WAF?
Az API-hívás is HTTP-kérés, ezért a WAF az API elé is telepíthető. A leggyakoribb API-hibát, a hiányzó objektumszintű jogosultság-ellenőrzést viszont nem fogja meg, mert a kérés technikailag helyes: ezt az API-ban, szerveroldalon kell javítani. A WAF csak azt az API-t védi, amelyik mögötte van, és a leggyakoribb belépési pont éppen az elfelejtett, nyilvántartásban sem szereplő API.
