WAF

Entstehung und Beteiligte

Web Application Firewalls entwickelten sich Ende der 1990er- und frühen 2000er-Jahre, als dynamische Webanwendungen neue Angriffsflächen schufen. Projekte wie ModSecurity machten regelbasierte HTTP-Filterung ab 2002 breit verfügbar.

Welches Problem sollte gelöst werden?

Normale Netzwerkfirewalls sehen, dass HTTP auf Port 80 oder 443 erlaubt ist, erkennen aber nicht automatisch SQL-Injection, manipulierte Formularwerte oder verdächtige Uploads. Schutz musste den Inhalt und Kontext von Webanfragen bewerten.

Technische Hürden und Lösungen

Webanwendungen sind individuell. Strenge Regeln blockieren legitime Eingaben, lockere Regeln lassen Angriffe durch. TLS muss an einer sichtbaren Stelle beendet werden. APIs, JSON, WebSockets und schnelle Releases verlangen laufende Regelpflege.

Standardisierung und Einordnung

IT-Sicherheit ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Kryptografie, Identitäten, Protokollen, Segmentierung, Überwachung und menschlichem Verhalten. Viele Verfahren entstanden als Reaktion auf konkrete Missbräuche. Jede Schutztechnik besitzt Grenzen: Sie kann falsch konfiguriert, umgangen oder durch gestohlene Zugangsdaten entwertet werden. Historische Entwicklung erklärt deshalb, warum heutige Systeme mehrere Schutzschichten kombinieren.

Technik im praktischen Betrieb

Eine Schutztechnik ist erst wirksam, wenn Ereignisse ausgewertet, Ausnahmen begrenzt und Wiederherstellungswege getestet werden. Sicherheitsprodukte erzeugen sonst lediglich weitere Konfiguration. Besonders wichtig sind eindeutige Verantwortlichkeiten, ein aktuelles Inventar und Protokolle mit korrekter Zeit. Regeln sollten auf einem dokumentierten Datenfluss beruhen und regelmäßig auf veraltete Freigaben geprüft werden. Bei einem Vorfall müssen Zugangsdaten, Schlüssel, Sitzungen und betroffene Systeme als zusammenhängende Vertrauenskette betrachtet werden.

Warum das Thema heute noch relevant ist

Angriffe verändern sich, die Grundmuster bleiben: Identitäten werden getäuscht, Eingaben missbraucht, Vertrauen falsch vergeben und knappe Ressourcen überlastet. Historische Vorfälle sind deshalb mehr als Anekdoten; sie zeigen, welche Annahmen gescheitert sind. Gute Sicherheitsarchitektur baut nicht auf einem perfekten Filter auf, sondern auf begrenzten Rechten, überprüfbaren Protokollen, schneller Erkennung und der Fähigkeit, Systeme und Schlüssel nach einem Vorfall kontrolliert zu erneuern.

Daten und Meilensteine

• ModSecurity wurde 2002 von Ivan Ristić gestartet.
• Positive Security erlaubt nur bekannte Muster, Negative Security blockiert bekannte Angriffe.
• OWASP Core Rule Set liefert herstellerunabhängige Regeln.
• Eine WAF ersetzt keine Fehlerbehebung im Anwendungscode.

Was ist eine WAF?

Eine Web Application Firewall (WAF) arbeitet auf Layer 7 (Applikationsschicht) und analysiert HTTP/HTTPS-Anfragen auf bekannte Angriffsmuster. Sie schützt Webanwendungen vor den OWASP Top 10 Schwachstellen – den häufigsten Web-Sicherheitsproblemen.

Im Gegensatz zu einer normalen Netzwerk-Firewall, die nur IP, Port und Protokoll prüft, versteht eine WAF den Inhalt der HTTP-Anfragen: URL, Parameter, Header, Cookies und Body.

OWASP Top 10 – Was WAFs schützen

• SQL Injection: Bösartiger SQL-Code in Eingabefeldern. WAF erkennt SQL-Keywords in Parametern.
• Cross-Site Scripting (XSS): JavaScript-Einschleusung in Webseiten. WAF filtert Script-Tags und Event-Handler.
• CSRF: Angreifer lässt authentifizierte Nutzer ungewollte Aktionen ausführen. WAF prüft Referrer und CSRF-Tokens.
• Path Traversal: "../../../etc/passwd" in URL-Parametern. WAF normalisiert und prüft Pfade.
• File Inclusion (LFI/RFI): Einbinden externer Dateien via PHP-Include. WAF blockiert verdächtige Dateipfade.
• Bot-Abwehr: Rate-Limiting, CAPTCHA-Integration, IP-Reputation.

WAF-Modi und -Typen

WAFs gibt es in drei Deployment-Formen: Cloud-WAF (Cloudflare, AWS WAF, Fastly – einfach, keine eigene Infrastruktur), Hardware-WAF (dediziertes Gerät vor dem Webserver) und Software-WAF (ModSecurity als Modul im Webserver).

Betriebsmodi: Detection Mode (nur alarmieren, nicht blockieren – für anfängliches Tuning) und Prevention Mode (aktiv blockieren). WAFs nutzen Positiv- (Whitelist) oder Negativ-Sicherheitsmodell (Blacklist) – oder beides.