WAF

Что это значит

WAF, от английского web application firewall, - решение безопасности, которое защищает веб-приложения, сайты, интернет-магазины и API, проверяя входящие запросы и блокируя те, что похожи на атаку. В отличие от классического межсетевого экрана, фильтрующего сетевой трафик по адресам и портам, WAF понимает содержимое HTTP-запросов.

WAF распознаёт типичные атаки на веб-приложения, например внедрение вредоносного SQL-кода в форму, внедрение скриптов в страницы, попытки доступа к файлам вне сайта, подбор паролей перебором или автоматизированных ботов, копирующих контент или пробующих украденные пароли. Для этого он использует наборы правил и часто анализ поведения.

WAF может работать как облачный сервис, часто в составе CDN, как модуль веб-сервера или как отдельное устройство. Облачные решения обычно защищают и от некоторых видов DDoS-атак, поскольку перехватывают нагрузку до того, как она достигнет сервера фирмы.

Как это работает на практике

Для фирмы с интернет-магазином, клиентской зоной или формами, обрабатывающими персональные данные, WAF - один из самых эффективных уровней защиты. Он перехватывает большую часть автоматизированных атак, постоянно пробующих известные уязвимости популярных CMS и плагинов, и выигрывает время до установки исправления.

Внедрение начинают в режиме наблюдения, когда WAF лишь фиксирует подозрительные запросы. После настройки правил, чтобы не блокировать законных пользователей, его переключают в режим блокировки. Важно следить за журналами, разбирать ложные срабатывания и постоянно обновлять правила, поскольку злоумышленники меняют методы.

WAF не заменяет безопасную разработку и обновления. Это дополнительный защитный слой, который помогает, но ошибки в самом приложении не исправляет. Рекомендуем сочетать его с регулярным тестированием на проникновение, обновлениями и принципом минимальных прав для доступа к администрированию.

На что обратить внимание

Самая частая ошибка - оставить WAF в настройках по умолчанию без дальнейшего ухода. Слишком строгие правила могут блокировать клиентов или платёжные шлюзы, и фирма может об этом не знать. Слишком мягкие пропускают атаки. Правила нужно адаптировать к конкретному приложению и отслеживать результаты.

Осторожно и с обходом WAF. Если сервер доступен и напрямую, а не только через WAF, злоумышленник может обойти защиту. Сервер должен принимать трафик только от WAF или CDN. При миграции сайта или смене DNS нужно проверить, что защита по-прежнему работает и что исходные адреса сервера не были раскрыты.