obhut / Web Application Firewall
Vorhaben besprechenErst prüfen.
Dann weiterleiten.
Bevor eine Anfrage Ihre Anwendung erreicht, liest der Edge sie und vergleicht sie mit bekannten Angriffsmustern.
Die Web Application Firewall von obhut läuft im Edge in Nürnberg, vor Ihren Anwendungsservern. Virtuelle Patches erkennen Angriffe auf bekannte Schwachstellen. Sie wählen je Zone und Hostname, ob die WAF blockiert, nur protokolliert oder aus ist.
Anfragen vor dem Ursprung prüfen
Den Modus je Hostname wählen
Treffer zählen statt Anfragen speichern
Der Ort
Im Edge.
Vor Ihrem Ursprung.
Die WAF arbeitet dort, wo obhut TLS terminiert. Erst hier wird die Anfrage lesbar, und erst hier lässt sie sich prüfen.
TLS und Reverse ProxyVor Ihrer Anwendung
Leitet der Edge einen Hostnamen an eine öffentliche IP-Adresse oder einen DNS-Namen weiter, prüft die WAF jede Anfrage vorher, sofern sie für die Zone oder den Hostnamen nicht ausgeschaltet ist.
Anfragekörper prüfen
Die WAF liest Anfragekörper bis 128 KiB. Zielt ein Patch auf die Anfrage, sind es bis zu 1 MiB. Den Rest eines größeren Körpers prüft sie nicht.
Statische Websites und Vorschauen
Statische Websites und ihre Vorschauen laufen nicht durch die WAF, denn hinter ihnen läuft kein Code Ihrer Anwendung.
Die Prüfung
Bekannte Lücken.
Früh abgefangen.
Ein virtueller Patch beschreibt, wie ein Angriff auf eine bekannte Schwachstelle aussieht. Die WAF vergleicht jede Anfrage mit diesen Mustern.
-
01
Anfrage lesen
TLS endet am Edge. Die WAF erhält die entschlüsselte Anfrage, bevor der Edge sie weiterleitet.
-
02
Mit Patches vergleichen
Die virtuellen Patches stammen aus dem CrowdSec-Hub (MIT-Lizenz) und sind für die Coraza-Engine umgewandelt, auf der sie laufen. Neue oder geänderte Patches protokollieren in ihren ersten 24 Stunden nur; ein Patch für eine Lücke, die bereits aktiv ausgenutzt wird, kann sofort blockieren.
-
03
Abweisen oder weiterleiten
Im Modus
blockerreicht eine Anfrage, auf die ein Patch passt, Ihren Ursprung nicht; der Edge antwortet mit dem Status 403. Greift eine Ausnahme oder protokolliert der Patch vorerst nur, leitet der Edge die Anfrage weiter, ebenso alle anderen Anfragen.
Ein virtueller Patch ersetzt kein Update Ihrer Anwendung. Er wehrt bekannte Muster ab, bis die Lücke geschlossen ist. WAF verstehen
Die Steuerung
Ihr Modus.
Je Zone und Hostname.
Für eine Zone gilt ein Modus, einzelne Hostnamen können davon abweichen. Im laufenden Betrieb blockiert die WAF seit dem 14. Oktober 2026.
Blockieren
Die Voreinstellung. Eine Anfrage, auf die ein Patch passt, erreicht Ihre Anwendung nicht.
Protokollieren
Die WAF zählt den Treffer und leitet die Anfrage weiter. So sehen Sie, was sie blockieren würde.
Ausschalten
Für die Zone oder den Hostnamen wendet die WAF keine virtuellen Patches an. Ihre Grenzen für Anfragen bleiben: Mehr als ein Content-Type-Header ergibt 400, ein zu langsamer Anfragekörper 408.
Ausnahmen festlegen
Eine Ausnahme überspringt benannte Regeln für die Anfragen, auf die eine CEL-Bedingung zutrifft. Jede Ausnahme wird beim Speichern geprüft.
Die Nachweise
Zählen
statt mitschneiden.
Die WAF hält fest, welche Regel wie oft gegriffen hat. Wer die Anfrage gestellt hat, hält sie nicht fest.
Je Stunde, Hostname und Regel
Die WAF zählt Treffer je Stunde, Hostname, Regel, Aktion und Ausnahme. obhut bewahrt die Zählungen 30 Tage auf; die WAF-Seiten zeigen die letzten 24 Stunden.
Keine Adressen, Pfade oder Werte
Die Zählungen enthalten keine IP-Adresse, keinen Pfad und keinen Wert aus der Anfrage.
So sehen Sie, welche Regel wie oft greift und ob eine Ausnahme wirkt.
Die Verwaltung
Eine Einstellung.
Mehrere Wege dorthin.
Modus und Ausnahmen ändern Sie im Dashboard oder über die API, die Zählungen lesen Sie dort ebenfalls.
Zählungen im Blick
Die WAF-Seiten einer Domain und eines Hostnamens zeigen die letzten 24 Stunden. Dort ändern Sie Modus und Ausnahmen.
Aus Skript und Automatisierung
Dieselben Einstellungen lesen und ändern Sie über die API, etwa aus einem eigenen Skript.
Rechte für Agenturen
Eine Agentur kann für die WAF Leserechte oder Verwaltungsrechte erhalten.
Der Einstieg
Zeigen Sie uns,
was Sie schützen wollen.
Eine bestehende Anwendung hinter dem Reverse Proxy ist ein guter Anfang.
Bringen Sie den Hostnamen, den Ursprung und bekannte Sonderfälle Ihrer Anwendung mit, etwa große Uploads. Gemeinsam klären wir Modus und Ausnahmen.
Gespräch beginnenErsetzt die WAF eine sichere Anwendung?
Nein. Die WAF erkennt bekannte Angriffsmuster, bevor eine Anfrage Ihre Anwendung erreicht. Sicherer Code, Anmeldung und Berechtigungen bleiben Aufgabe Ihrer Anwendung. Ein virtueller Patch überbrückt die Zeit bis zum Update; er ersetzt es nicht.
Schützt die WAF statische Websites?
Nein. Statische Websites und ihre Vorschauen laufen nicht durch die WAF. Für sie gelten die Verbindungsgrenzen des Edge: Er begrenzt die Verbindungen je Client-Netz, damit ein einzelner Client den Knoten nicht auslastet.
Gibt es Rate Limits?
Eine Ratenbegrenzung je Zone läuft im Edge und beantwortet zu viele Anfragen mit dem Status 429; für Kundentarife ist sie noch nicht freigegeben. Unabhängig davon begrenzt der Edge die Verbindungen je Client-Netz. Rate Limiting verstehen
Gibt es OWASP CRS, eigene Regeln, Bot-Abwehr oder DDoS-Schutz?
Nein. Die WAF arbeitet mit virtuellen Patches. Das OWASP Core Rule Set, eigene Regeln, eine Bot-Abwehr und IP-Reputation gehören nicht zum Angebot. Einen DDoS-Schutz bietet obhut nicht an; er ist geplant.
Welche Daten speichert die WAF?
Nur Zählungen: je Stunde, Hostname, Regel, Aktion und Ausnahme, 30 Tage lang. Sie enthalten keine IP-Adressen, Pfade oder Werte. Einzelne Sicherheitsereignisse, Beispielanfragen und Anfrageprotokolle speichert die WAF nicht.
Was kostet die WAF?
Die WAF ist Teil der Plattform und steht jedem Konto zur Verfügung. Preise nennen wir auf Anfrage.
Weiterdenken