Веб-приложенный межсетевой экран (WAF) это инструмент безопасности, используемый для защиты от нежелательного доступа к веб-приложениям. Часто это устройство безопасности, расположенное поверх веб-сервера и защищающее от угроз из интернета или из-за пределов сетевого периметра.

В отличие от слоя 3 (Сети) и Слой 4 (Транспорт) межсетевые экраны, которые не могут идентифицировать злонамеренные запросы на уровне приложений, WAF - это уровень 7 межсетевой экран, который может видеть зашифрованные пакеты. Использование WAF позволяет организациям защищать свое онлайн-присутствие от многочисленных интернет-атак на веб, включая межсайтовый скриптинг (XSS), SQL-инъекции, и межсайтовую подделку запросов (CSRF). Эти атаки могут дать злоумышленникам возможность украсть критически важную информацию, захватить веб-серверы, или запустить атаки на другие системы, что может быть катастрофическим для веб-приложений.

Проблемы

1. Облачные микросервисы и WAF

WAF менее эффективны в облачных веб-приложениях и в облачных средах. Одна из причин заключается в том, что правила безопасности, которым подчинялись традиционные веб-приложения в локальных средах, не применимы в облаке.

В традиционных дата-центрах, межсетевые экраны веб-приложений обычно устанавливаются на границе сети для защиты приложений, работающих в пределах внутренней сети. Однако, в облачных средах, приложения часто разворачиваются в виртуальных машинах или контейнерах, которые гибкие и могут быть включены и выключены по мере изменения спроса. Это означает, что традиционные подходы к безопасности на основе периметра могут быть менее эффективными в облачных средах, где приложения могут находиться где угодно в сети и их труднее контролировать и мониторить.

Еще одной проблемой облачно-ориентированных веб-приложений является то, что они часто более распределены и сложны, чем традиционные веб-приложения. Облачно-ориентированные приложения обычно состоят из микросервисов, которые общаются друг с другом через API и могут использовать несколько хранилищ данных и сторонних сервисов. Это может усложнить выявление и смягчение рисков безопасности, так как атаки могут происходить в любой точке архитектуры приложения.

2. Проблемы WAF и API

API (интерфейсы прикладного программирования) являются основными методами подключения между микросервисами и также используются для обеспечения связи между внешними сервисами и приложениями. API используют различные протоколы связи и модели трафика, чем традиционные веб-приложения, что затрудняет WAF точно идентифицировать и защищать трафик API. Это может привести к ложным срабатываниям или ложным отрицаниям, ослабить безопасность, или ненужным образом блокировать легитимный трафик.

Одна из проблем с трафиком API заключается в том, что он может использовать различные протоколы, такие как HTTP, HTTPS, и Web-Sockets, которые могут содержать различные типы полезных нагрузок и заголовков, что затрудняет WAF точно идентифицировать трафик. Например, некоторые API могут использовать двоичные полезные нагрузки или шифрование, что затрудняет интерпретацию и разбор для WAF.

Еще одной проблемой является то, что API могут иметь разные модели трафика, чем традиционные веб-приложения. API, как правило, имеют высокий объем трафика с множеством запросов в секунду, что затрудняет WAF справляться с темпом трафика. Дополнительно, по сравнению с веб-приложениями, API часто имеют более предсказуемые и стабильные модели трафика, что облегчает злоумышленникам выявление уязвимостей и запуск атак.

Недавно, группа по исследованию безопасности опубликовала новый метод для обхода нескольких межсетевых экранов веб-приложений, включая Palo Alto, F5, Веб-сервисы Amazon, Cloudflare, и Imperva. Указанные поставщики признали (согласно исследователям) раскрытие и внесли изменения в свои продукты’ Процессы инспекции SQL для поддержки синтаксиса JSON.

Решения

1. Аномалии, указанные в API

Чтобы преодолеть упомянутые выше проблемы, WAF должен быть специально разработан для обработки трафика API. Это может включать в себя идентификацию и защиту трафика API с использованием различных техник, включая аналитику на основе сигнатур или алгоритмы машинного обучения, которые могут обнаруживать аномалии в паттернах трафика. WAF также может потребоваться интеграция с другими инструментами безопасности, такими как шлюзы API, для обеспечения более комплексного решения по безопасности.

В целом, защита трафика API с помощью WAF требует другого подхода, чем традиционная безопасность веб-приложений. WAF должен быть специально разработан для обработки специфичных для API протоколов связи и паттернов трафика, чтобы точно идентифицировать и защищаться от угроз безопасности.

2. Интегрированные WAF

Чтобы справиться с этими вызовами, WAF должен быть построен специально для облачно-ориентированных веб-приложений. Это может включать развертывание WAF как части архитектуры вашего приложения, а не как решение на основе периметра. Дополнительно, WAF могут потребоваться интеграция с другими облачно-ориентированными инструментами безопасности, такими как платформы безопасности контейнеров и шлюзы API, для обеспечения более комплексного решения по безопасности.

WAF все еще могут играть важную роль в защите облачно-ориентированных веб-приложений, но их может потребоваться адаптировать и улучшить для решения уникальных проблем безопасности облачно-ориентированных сред.

3. WAF и защита в глубину

WAF следует рассматривать как один из уровней многоуровневого подхода к безопасности, наряду с другими инструментами безопасности, такими как системы обнаружения и предотвращения вторжений, безопасные шлюзы API, защита конечных точек, сетевые файрволы, и средства контроля доступа. Реализуя несколько уровней средств безопасности, организации могут создать более надежную безопасность и лучше защищаться от различных угроз.

Использование WAF в рамках стратегии глубокой защиты может помочь предотвратить широкий спектр атак на веб-приложения и снизить риск утечек данных и других инцидентов безопасности. WAF помогает обеспечить видимость трафика веб-приложений, позволяя организациям отслеживать и анализировать паттерны трафика и выявлять потенциальные угрозы безопасности. Это особенно важно в облачных средах, где веб-приложения и API могут стать более распределенными и сложными.

Интегрируя WAF с другими средствами безопасности, такими как API-шлюзы и системы управления информацией и событиями безопасности (SIEM) системы, организации могут создать более комплексное решение по безопасности, которое даст им большую видимость и контроль над их облачной средой.

4. Распределенные WAF

Распределенный WAF (файрвол веб-приложений) является ответом на задачу обеспечения безопасности распределенных облачных микросервисов. Для традиционных монолитных приложений, один WAF может быть развернут на границе сети для защиты всего приложения. Однако, в облачных распределенных микросервисных средах, приложения разбиваются на более мелкие, модульные компоненты, каждый из которых имеет свой собственный API и требования к безопасности. Это может затруднить защиту всех компонентов с помощью одного WAF, так как каждый компонент может требовать различных политик безопасности и конфигураций.

Для решения этой проблемы был разработан распределенный WAF, который предоставляет распределенное и масштабируемое решение для безопасности облачных микросервисов. Распределенный WAF состоит из нескольких экземпляров WAF, развернутых в различных местах, таких как центры обработки данных и облачные регионы. Каждый экземпляр WAF может быть настроен с собственной политикой безопасности и конфигурацией, адаптированной к конкретным потребностям защищаемых микросервисов.

Разворачивая несколько экземпляров WAF в разных местах, организации могут развернуть более комплексное и масштабируемое решение для безопасности, которое может адаптироваться к изменяющимся потребностям среды микросервисов. Распределенный WAF также может улучшить устойчивость и доступность, так как он может продолжать работать, даже если один или несколько экземпляров выйдут из строя.

Дополнительно, распределенные WAF могут быть интегрированы с другими инструментами безопасности, такими как API-шлюзы и системы SIEM, чтобы предоставить более комплексное решение для безопасности облачных микросервисов. Например, API-шлюз может использоваться для управления доступом к микросервисам, распределенный WAF может использоваться для защиты от атак на веб-приложения, и можно добиться видимости трафика веб-приложений.

Заключение

Межсетевые экраны для веб-приложений (WAF) играют значительную роль в защите веб-приложений от атак, исходящих из интернета, включая SQL-инъекции, межсайтовый скриптинг (XSS), и межсайтовую подделку запросов (CSRF). Однако, облачно-ориентированные веб-приложения и API представляют собой особые проблемы для WAF из-за их сложной и распределенной природы, что затрудняет WAF правильное обнаружение и смягчение рисков безопасности.

Чтобы решить эти проблемы, WAF должны быть специально разработаны для облачно-ориентированных веб-приложений и интегрированы с другими облачно-ориентированными инструментами безопасности, включая платформы безопасности контейнеров и API-шлюзы. Дополнительно, WAF следует рассматривать как один из уровней многоуровневого подхода к безопасности, включая другие инструменты безопасности, такие как системы обнаружения и предотвращения вторжений, защищенные API-шлюзы, защита конечных точек, сетевые файрволы, и средства контроля доступа.

Интегрируя WAF с другими инструментами безопасности и развертывая несколько уровней средств управления безопасностью, организации могут создать более комплексное решение по безопасности, которое обеспечивает большую видимость и контроль над их облачной средой.