Web application firewall (WAF)
Wat doet een web application firewall?
Een web application firewall, kortweg WAF, is een beveiligingslaag die webverkeer inhoudelijk controleert voordat het je website bereikt. Waar een netwerkfirewall vooral kijkt naar afzender en poort, bekijkt een WAF wat er in een aanvraag staat: de URL, de parameters, de headers en de gegevens uit een formulier.
Zo kan een WAF herkennen of een verzoek lijkt op een poging tot SQL-injectie of cross-site scripting. Verdachte verzoeken worden geblokkeerd of gelogd, en legitiem verkeer gaat gewoon door.
Hoe herkent een WAF aanvallen?
De meeste WAF's werken met regels en patronen. Een set regels beschrijft bekende aanvalstechnieken, zoals verdachte SQL-fragmenten in een invoerveld of scriptcode in een parameter. Sommige WAF's signaleren daarnaast afwijkend gedrag, zoals een ongewoon groot aantal verzoeken naar een inlogformulier.
Dat werkt goed tegen bekende aanvallen en veelvoorkomende fouten. Het blijft wel patroonherkenning. Een nieuwe of slim verpakte aanval kan door de regels heen glippen, en een legitiem verzoek kan soms ten onrechte worden geblokkeerd. Daarom moet een WAF regelmatig worden nagekeken en moeten de meldingen worden gecontroleerd.
Waar zit een WAF: op de server, in een plugin of extern?
Een WAF kan op verschillende plekken staan, elk met eigen voor- en nadelen:
- Op de server: het verkeer wordt al gecontroleerd voordat de applicatie het ziet. Dit ligt bij de hoster of, bij een eigen server, bij jou.
- Als plugin of module in je CMS: eenvoudig te installeren, maar hij werkt alleen binnen de applicatie. Een plugin kan zelf ook kwetsbaar zijn of de site trager maken.
- Als externe dienst: het verkeer loopt eerst langs de dienst voordat het je server bereikt. Dat is vaak een sterke laag, maar een derde partij ziet dan het verkeer, en je bent afhankelijk van die dienst.
Bij elke optie geldt dat je de instellingen moet begrijpen. Een te strenge WAF blokkeert formulieren en betalingen, een te losse laat aanvallen door. Vraag je hoster of een WAF is ingeschakeld en wie de regels bijhoudt.
Veelgestelde vragen
Heb ik een WAF nodig voor een eenvoudige website?
Niet altijd. Een statische site zonder formulieren en zonder inlog heeft minder aanvalsoppervlak dan een CMS met plugins, een webwinkel of een ledenomgeving. Voor die laatste drie is een WAF een zinvolle extra laag. Belangrijker blijft het bijhouden van software, sterke wachtwoorden en goede back-ups.
Vervangt een WAF de noodzaak van updates?
Nee. Een WAF kan bekende aanvallen op een kwetsbaarheid blokkeren, maar hij lost het lek zelf niet op. Een verouderde plugin blijft kwetsbaar, ook met een WAF ervoor. Een update is daarom de echte oplossing, en de WAF is hooguit een tijdelijke extra bescherming.