Blog · Grundlagen ·
Was ist eine WAF?
Eine WAF filtert Angriffe aus dem Webverkehr, bevor sie die Anwendung erreichen. Wie sie erkennt, was böse ist, und wo ihre Grenzen liegen.
Signaturen und Verhalten
Die WAF vergleicht jede Anfrage mit Mustern bekannter Angriffe: eingeschleuste Datenbankabfragen, seitenübergreifende Skripte, Pfadtricks in URLs. Katalog dafür sind Listen wie die OWASP Top 10, die festhalten, womit Anwendungen am häufigsten fallen. Was passt, wird verworfen; was knapp daneben liegt, wird bepunktet und erst in der Summe verdächtig.
Dazu kommen eigene Regeln des Betreibers für das Besondere seiner Anwendung und Ausnahmen für das Harmlose, das wie Böses aussieht. Verwaltete Regelsätze liefern den Anfang, gestimmt wird per Hand: Keine Anwendung gleicht der anderen genug für reine Standardregeln.
WAF ist keine Firewall
Die klassische Firewall fragt nach Ports und Protokollen und versteht kein HTTP; die WAF versteht HTTP und fragt nicht nach Ports. Beide braucht es, an verschiedenen Stellen: eine am Netzeingang, eine vor der Anwendung. Wer nur eine hat, sieht nur die halbe Anfrage.
Und die WAF braucht Einsicht: Verschlüsseltes prüft nur, wer entschlüsselt. Sie steht darum hinter der TLS-Terminierung oder terminiert selbst, und was sie nicht sieht, schützt sie nicht.
Das Tuning-Problem
Jede Regel täuscht sich manchmal: Harmlose Anfragen sehen Bösen zum Verwechseln ähnlich, und eine scharfe WAF blockiert dann Kunden statt Angreifern. Darum beginnt der Betrieb im Beobachtungsmodus: protokollieren, auswerten, Ausnahmen pflegen, erst dann blockieren. Eine WAF, die niemand stimmt, schützt zufällig.
Gestimmt wird laufend, nicht einmal: Neue Funktionen bringen neue Anfragen, neue Angriffe neue Muster. Wer die Pflege einstellt, betreibt ein Museum bedrohter Regeln.
Was sie nicht ersetzt
Sauberen Code ersetzt sie nicht, Updates nicht und Anmeldung nicht: Sie kauft Zeit zwischen Bekanntwerden und Behebung, indem sie die bekannte Form des Angriffs schon an der Tür abweist. Unbekanntes geht durch, bis jemand eine Regel dafür schreibt.
Was sie ersetzt, ist die verteilte Antwort: Eine neue Regel gilt sofort für jeden Hostnamen dahinter. Schutz als Leitregel, nicht als Patch in jeder Anwendung.
WAF bei obhut
Regeln und WAF stehen bei obhut auf der Roadmap: eine Regelsprache für WAF, Ratenbegrenzung, Transformationen und Cache aus einer Hand. Heute schützt der Edge durch Terminierung und Leitung; die Prüfungstiefe einer WAF versprechen wir erst, wenn sie existiert.
Häufige Fragen
Braucht jede Anwendung eine WAF? Jede, die aus dem Netz erreichbar ist und etwas zu verlieren hat: Die automatischen Netze tasten alles ab, auch die kleine Seite. Wer nichts schützt, verlässt sich auf Glück und sauberen Code.
Ersetzt die WAF Updates? Nein: Sie kauft Zeit zwischen Bekanntwerden und Behebung, indem sie bekannte Angriffsformen abweist. Die Lücke selbst schließt nur das Update.
Macht eine WAF alles langsamer? Jede Prüfung kostet Zeit, aber am Edge sind es Millisekunden gegen die Laufzeit des Weges. Teuer wird es erst, wenn Regeln schlecht geschrieben sind oder alles protokollieren.