Web Application Security - der blinde Fleck der Internetsicherheit

Eine Software-basierte Web Application Firewall (WAF) schützt die Web-Anwendung genau in dem Moment, in dem sie für Angriffe offen ist – und Firewall & Co. an ihre Grenzen stoßen. Sie kann als Plug-in ohne großen Verwaltungsaufwand in die bestehende Sicherheitsarchitektur eines Unternehmens integriert werden – und sichert dann die Web-Anwendung, indem sie die Logik der Requests versteht, die an eine solche Anwendung gestellt werden.

Ist die Anfrage, die gerade den Webserver erreicht, in diesem Zusammenhang sinnvoll? Gibt es eine gewisse Häufung auffälliger Anfragen? Entdeckt die „Türsteher“-Software solche Auffälligkeiten und Abweichungen, lässt sie den Request erst gar nicht passieren. Jede Anfrage fällt nach einem Ampel-Schema eindeutig in eine der drei folgenden Klassen: Legitime Requests erhalten ein grünes Signal, eindeutige Angriffe werden mit Rot bewertet und abgewehrt. Verfügbare Informationen werden dabei gespeichert. Ein fraglicher Request schließlich, dessen Gefährlichkeit in der vorgegebenen Kürze der Zeit nicht eindeutig zu beurteilen ist, wird bewertet und gemäß installierter Security-Policy abgelehnt oder weitergegeben.

Analyse- und Auswertungstools liefern dem Anwender Berichte gemäß den Compliance-Richtlinien. Web-Angebote aller Couleur erhalten so eine Art „Vollversiegelung“ gegen schädliche Zugriffe – gleich, ob Kontaktformular auf der Firmen-Website, Mitarbeiterportal oder Web-Shop und unabhängig von der verwendeten Skriptsprache. Angreifer können die Schwachstellen in der Programmierung einer Web-Anwendung nicht mehr ausnützen, da sie erst gar nicht bis hierhin vordringen. (mha/Richard Wieneke)