WAF

Що це означає

WAF, від англійського web application firewall, - рішення безпеки, що захищає вебзастосунки, сайти, інтернет-магазини й API, перевіряючи вхідні запити й блокуючи ті, що схожі на атаку. На відміну від класичного міжмережевого екрана, який фільтрує мережевий трафік за адресами й портами, WAF розуміє вміст HTTP-запитів.

WAF розпізнає типові атаки на вебзастосунки, наприклад упровадження шкідливого SQL-коду у форму, упровадження скриптів у сторінки, спроби доступу до файлів поза сайтом, підбір паролів перебором чи автоматизованих ботів, що копіюють контент або пробують украдені паролі. Для цього він використовує набори правил і часто аналіз поведінки.

WAF може працювати як хмарний сервіс, часто у складі CDN, як модуль вебсервера чи як окремий пристрій. Хмарні рішення зазвичай захищають і від деяких видів DDoS-атак, оскільки перехоплюють навантаження до того, як воно досягне сервера фірми.

Як це працює на практиці

Для фірми з інтернет-магазином, клієнтською зоною чи формами, що обробляють персональні дані, WAF - один із найефективніших рівнів захисту. Він перехоплює більшість автоматизованих атак, які постійно пробують відомі вразливості популярних CMS і плагінів, і виграє час до встановлення виправлення.

Впровадження починають у режимі спостереження, коли WAF лише фіксує підозрілі запити. Після налаштування правил, щоб не блокувати законних користувачів, його перемикають у режим блокування. Важливо стежити за журналами, розбирати хибні спрацювання й постійно оновлювати правила, оскільки зловмисники змінюють методи.

WAF не замінює безпечної розробки й оновлень. Це додатковий захисний шар, який допомагає, але помилок у самому застосунку не виправляє. Радимо поєднувати його з регулярним тестуванням на проникнення, оновленнями й принципом мінімальних прав для доступу до адміністрування.

На що звернути увагу

Найчастіша помилка - залишити WAF у налаштуваннях за замовчуванням без подальшого догляду. Надто суворі правила можуть блокувати клієнтів чи платіжні шлюзи, і фірма може про це не знати. Надто м'які пропускають атаки. Правила треба адаптувати до конкретного застосунку й відстежувати результати.

Обережно й з обходом WAF. Якщо сервер доступний і напряму, а не лише через WAF, зловмисник може обійти захист. Сервер має приймати трафік лише від WAF чи CDN. Під час міграції сайту чи зміни DNS треба перевірити, що захист і далі працює і що початкові адреси сервера не було розкрито.