Eine Webanwendungsfirewall steht vor der Webanwendung und prüft Anfragen, bevor der Anwendungscode sie verarbeitet und annimmt.
Sie kann an einem Cloud Rand oder als Reverse Proxy stehen, und ein Nebenweg, der sie umgeht, macht die Kontrolle wirkungslos.
So funktioniert es
Die Stellung erlaubt, feindliche Muster zu sperren, Größengrenzen zu erzwingen und Angriffe zu protokollieren, die den Serverprozess nie erreichen.
Die Anwendung muss ihre eigenen Regeln trotzdem durchsetzen, nachdem eine Anfrage durchgelassen wurde.
Was diese Firewall an Geschäftslogik nicht verstehen kann, ist ein eigenes Thema.
Hier geht es um die Position: Jede öffentliche Anfrage sollte die Firewall vor dem Ursprung treffen.
Konkrete Beispiele
- Ein Cloud Rand prüft Anfragen und leitet sie erst danach an den Ursprung weiter.
- Ein Reverse Proxy sperrt eine Welle fehlerhafter Anfragen, bevor sie den Anwendungscode erreichen.
- Eine im Internet offene Ursprungsadresse lässt Clients die Firewall vollständig umgehen.
Schutzmaßnahmen
- Führen Sie jede öffentliche Anfrage durch die Firewall, bevor sie die Anwendung erreicht.
- Verbergen Sie Ursprungsadressen, damit Clients die Kontrolle nicht umgehen.
- Protokollieren Sie gesperrte und erlaubte Anfragen für eine spätere Prüfung.
- Testen Sie regelmäßig, dass kein direkter Weg zur Anwendung offen bleibt.