WAF (защитна стена за уеб приложения)
Какво е WAF (защитна стена за уеб приложения)?
WAF (web application firewall) е защитна стена за уеб приложения: филтър пред сайта, който проверява всяка заявка и спира онези, които приличат на атака. Типичните примери са инжекция през полето за търсене, хиляди опита за вход с крадени пароли и ботове, които обхождат администраторски адреси. Не поправя пропуска в кода, а купува време, докато поправката излезе.
Пример
За една нощ входът в администрацията на магазин получава 40 000 опита за влизане от около 900 адреса — крадени пароли от чужд пробив, пробвани една по една. Сървърът не пада, но всяка заявка минава през базата и сайтът се влачи. Филтър пред сайта прави три неща:
- Ограничава опитите: пет за десет минути от един адрес, а следващите се отказват, преди да стигнат до приложението.
- Спира заявки с познати образци за атака — например SQL инжекция през полето за търсене или скрипт, подаден в поле за коментар.
- Затваря административните адреси за всички освен за няколко познати мрежи.
Има и обратна страна. Правило, писано за атака, понякога спира истинска работа: редактор, който поставя HTML в статия, получава отказ. Затова новите правила вървят първо седмица-две в режим на наблюдение: записват какво биха спрели, без да го спират, и чак тогава започват да блокират.
Защо има значение за бизнеса
Ползата от WAF е във времето. Когато се появи публично известен пропуск в разширение, а поправка още няма, правило пред сайта може да спре точно този вид заявка — това се нарича виртуална кръпка и често е разликата между спокоен уикенд и възстановяване от копие. По същия начин се ограничават ботовете, които свалят цените ви всяка сутрин, и опитите за вход с крадени пароли. Важно е и къде минава трафикът: ако сървърът продължава да приема заявки направо на адреса си, атакуващият просто заобикаля филтъра.
Какво да попитате
- Къде работи филтърът — в мрежата пред сайта или като модул на сървъра — и кой обновява правилата?
- Приема ли сървърът заявки направо, или само през филтъра?
- Има ли ограничение на скоростта за вход, търсене, кошница и API?
- Кой преглежда блокираните заявки и как се отпушва погрешно блокиран клиент?
- Колко време новите правила само наблюдават, преди да започнат да блокират?
WAF е превръзка, не лечение: показва, че нещо чука по вратата, но не казва коя врата е отключена. Това го казва тестът за сигурност на сайта, който опитва самите атаки и подрежда находките по тежест.