Insikter i webbapplikationsbrandväggen

Är användningen av en webbapplikationsbrandvägg (WAF) en obligatorisk standard för att skydda webbresurser, eller är det ett viktigt men valfritt skyddslager? Hur väljer och implementerar man en WAF? Vad har framtiden att bjuda på för denna marknad? Läs vidare för att få svaren.

Vad gör en webbapplikationsbrandvägg?

Det är svårt att föreställa sig ett modernt företag som inte behöver en WAF. Detta instrument är endast överflödigt om det inte finns några digitala tillgångar att skydda. Det hjälper till att skydda webbresurser om de utgör ryggraden i företagets verksamhet, om de används för att lagra kritisk data om anställda och kunder, eller om de är kopplade till företagets infrastruktur och kunde bli en ingångspunkt för angripare.

En webbapplikationsbrandvägg skyddar också anpassade lösningar som används av företag. Dessa system innehåller ofta sårbara kod och kan utgöra en risk för företagets säkerhet. En WAF tillhandahåller försvar på lager 7 i OSI-modellen. Den analyserar förfrågningar som varken traditionella brandväggar eller nästa generations brandväggar (NGFW) kan kontrollera. Utöver att skydda företagets webbplats, skyddar den också webbapplikationsservrar, övervakar integrationer med tredjeparts tjänster och hanterar hot som inte är relaterade till sårbarheter, såsom DDoS-attacker.

Det finns två grundläggande skillnader mellan en WAF och andra brandväggar: funktionella och arkitektoniska. Funktionella funktioner inkluderar möjligheten att tolka specialiserade format inom HTTP (t.ex. JSON), vilket är något som NGFW och andra system inte kan göra. Arkitektoniska egenskaper relaterar till hur den implementeras inom ett nätverk. En webbapplikationsbrandvägg fungerar primärt som en omvänd proxy, som endast hanterar inbyggda applikationer.

Figurativt sett är en WAF en produkt som förhindrar att en sårbar webbplats hackas. När det gäller platsen installeras NGFW vid grinden, medan WAF installeras där webbplatsen finns.

NGFW, en vanlig brandvägg och en klassisk intrångsförebyggande system (IPS) är multiprotokoll enheter, medan en WAF är begränsad till webbapplikationsprotokoll som använder HTTP som transport. En sådan lösning visar större effektivitet inom ett visst område på grund av den djupare analysen av specialiserade protokoll. Det är viktigt att en WAF “vet” exakt vilka applikationer den skyddar. Den kan tillämpa olika säkerhetsprinciper beroende på vilket objekt trafiken är riktad mot.

Är det möjligt att använda en outsourcad lösning inom detta område? Detta är en livskraftig approach, men det är extremt svårt att genomföra. I detta fall blir företaget i princip utvecklaren av sin egen lösning och måste hantera inte bara utvecklingen utan också hela den tekniska supportcykeln.

Ett annat viktigt aspekt är valet mellan en lokal implementeringsvariant och en molntjänst. Detta är till stor del en fråga om förtroende för molntjänsteleverantören. Webbapplikationssäkerhetsmarknaden migrerar aktivt till molnet, vilket innebär att allt fler kunder finner riskerna med sådana tjänster acceptabla.

Det är också värt att nämna fördelarna och nackdelarna med färdiga programvaru- och hårdvaruverktyg för WAF jämfört med deras motsvarigheter som endast baseras på programvara. Lösningar som är finjusterade för specifik hårdvara kan fungera mer effektivt än universella system som körs på alla utrustningar. Den andra sidan av myntet handlar om kundens sannolika önskan att arbeta med vissa hårdvaruplattformar som redan används.

Frågan har också organisatoriska och byråkratiska aspekter. Ibland är det lättare för en informations säkerhetsavdelning att köpa en färdig hårdvaru- och programvarupaket än att motivera två separata budgetposter.

WAF-funktioner

Varje WAF har en uppsättning skyddsmoduler som all trafik passerar genom. Säkerheten börjar vanligtvis med de grundläggande nivåerna – DDoS-skyddsfunktioner och signaturanalys. Förmågan att utveckla egna säkerhetsprinciper och ett matematiskt lärande subsystem är en nivå högre. En block av integration med tredjeparts system dyker vanligtvis upp i en av de sista distributionsstadierna.

En annan viktig komponent i en WAF är en passiv eller aktiv skanner som kan upptäcka sårbarheter baserat på server svar och slutpunktsundersökningar. Vissa brandväggar kan upptäcka obehörig aktivitet på webbläsarsidan.

När det gäller attackupptäcktstekniker finns det två grundläggande olika uppgifter: validering (kontroll av data i specifika förfrågningar) och beteendeanalys. Var och en av dessa modeller tillämpar sin egen uppsättning algoritmer.

Om vi tittar på WAF-drift i termer av begäranbearbetningsstadierna, finns det en serie parsare, avkodningsmoduler (som inte ska förväxlas med dekryptering), och en uppsättning blockeringregler som är ansvariga för det slutliga utlåtandet. En annan lager omfattar säkerhetsprinciper som utvecklats av människor eller baserat på maskinlärningsalgoritmer.

När det gäller interaktionen mellan en webbapplikationsbrandvägg och containrar, kan den enda skillnaden ligga i distributionspecifikiteterna, men de grundläggande principerna är alltid desamma. I en containeriserad miljö kan WAF fungera som en IP-gateway genom att filtrera all trafik som flödar in i virtualiserings ekosystemet. Dessutom kan den fungera som en container i sig och integreras med en databuss.

Är det möjligt att tillhandahålla en WAF på en programvara som en tjänst (SaaS)-basis? I princip ger SaaS-principen full åtkomst till en applikation och dess administration i molnet. Detta tillvägagångssätt ger inga betydande fördelar, men det är det första steget för att flytta en IT-infrastruktur till molnet. Om företaget också delegerar systemkontrollen till en tredje part, är detta mer likt det hanterade säkerhetstjänsteleverantörsparadigmet, som kan ge vissa betydande fördelar.

En penetrationstest som kunden kan genomföra i pilotprojektets skede hjälper till att bedöma hur effektiv WAF är. Dessutom kan leverantörer och systemintegratörer tillhandahålla kunden med regelbundna brandväggsprestandarapporter som återspeglar resultaten från trafikanalys.

Hur man distribuerar en webbapplikationsbrandvägg

De viktigaste stadierna för WAF-distribution är följande:

•       Skapande av ett pilotprojekt.
•       Val av leverantör.
•       Bestämning av lösningens arkitektur.
•       Specificering av säkerhetskopieringstekniker.
•       Distribution av programvaru- eller hårdvarukomplexet.
•       Utbildning och motivering av personalen att använda WAF.

I en ideal värld tar det bara några minuter att integrera en WAF-övervakningstjänst i en enda applikation. Men att konfigurera reglerna för att blockera hot kommer att ta extra tid. Det finns också ytterligare aspekter av implementeringen, inklusive godkännanden, personalutbildning och andra teknikaliteter. Distributionstiden beror också på metoden samt den specifika applikationen och typerna av trafik som ska övervakas.

En välkoordinerad distributionsprocess hjälper till att minimera falska positiva. Omfattande tester i förproduktionsstadiet och efter systemstarten bör göra trick. En viktig del av denna rutin är att “lära” lösningen: en säkerhetsspecialist kan korrigera vissa av dess utlåtanden under testerna. InfoSec-team bör studera WAF-genererade statistik inom den första månaden av drift för att se om systemet blockerar legitimitetstrafik. Samtidigt betonar experter att alla WAF-verktyg har en viss falsk positiv frekvens.

När det gäller WAF-integration med andra säkerhetsmekanismer, är här de viktigaste områdena för denna aktivitet:

•       Säkerhetsinformation och händelsehantering (SIEM) system (WAF fungerar som en dataleverantör).
•       Olika typer av sandlådor.
•       Antiviruskärnor.
•       Dataförlustsförebyggande (DLP) system.
•       Sårbarhetsskannrar.
•       Säkerhetverktyg inom Kubernetes-plattformen.
•       NGFW.

WAF-marknadstrender och förutsägelser

Populariteten för olika öppen källkodswebb-API:er ökar, och analytiker förutspår en skiftning i fokus för säkerhetslösningar mot dessa ramverk. Gartner har till och med en definition för en sådan produkt – Webbapplikations- och API-skydd (WAAP).

Pandemin har orsakat en dramatisk ökning av beroendet av den online-världen. Därför kommer WAF:s betydelse att öka, och det kan bli en av de viktigaste förutsättningarna för att säkerställa webbresursens säkerhet. Det kommer troligen att bli ännu “närmare” webbapplikationer och kommer att integreras i utvecklingsprocessen.

När det gäller tekniska trender för WAF-utveckling förutspår experter en mer aktiv involvering av artificiell intelligens och multi-nivå maskinlärningssystem. Detta kommer att ta förmågan att upptäcka olika hot till en ny nivå, och användningen av förgenererade modeller som skapats inom företaget kommer att bli normen. Dessutom noterar analytiker den ökande implementeringen av filtermekanismer baserade på beteendefaktorer.

På distributionsidan kommer integrationen av WAF med molntjänster att fortsätta. En trend mot att använda öppna säkerhetssystem kommer att påverka denna industri också. Både kunder och leverantörer kommer att dra nytta av denna naturliga reaktion på marknadens krav.

Sammanfattning

Webbapplikationsbrandväggen är en nyckelkomponent i dagens webbsäkerhet. Den ökande mängden kritiska uppgifter som utförs via webbgränssnitt och öppna API:er är en kraftfull drivkraft i detta område. En kund kan välja mellan att distribuera en WAF

En annan banbrytande trend är integrationen av WAF med andra informationssäkerhetssystem och webbapplikationsutvecklingsflöden. Detta gör det till en oumbärlig komponent i en effektiv DevSecOps-process.