Startseite > Datacenter & Verkabelung > Lieber in Kaffee investieren als in Web-Application-Security

Sicherheitskonzept für Web-Anwendungen

Lieber in Kaffee investieren als in Web-Application-Security

20. Juni 2011, 17:10 Uhr | Thomas Hruby, Geschäftsführer Sysob IT-Distribution

Fortsetzung des Artikels von Teil 2

Vorteile & Fazit

WAF im Vorteil zu IPS & Co.
An dieser Stelle springen dann leistungsfähige WAFs ein, die als Wächterinstanz zwischen Anwender und Applikation zunächst den einströmenden Datenverkehr stoppen, um ihn danach mehrstufig gefiltert weiterzuleiten. Auf diese Weise erreichen nur autorisierte und mehrfach geprüfte Benutzeranfragen den Web-Server. Im Anschluss an die Autorisierung schickt die WAF die Daten wieder SSL-verschlüsselt weiter. Durch diese WAF-Maßnahme werden sowohl Server als auch der User selbst entlastet.

Auch Komponenten wie Betriebssystem, Datenbanken oder Bibliotheken stellen jeweils eigene Sicherheitsrisiken dar. Schließlich können die Applikationsentwickler meist nur die Sicherheitsrisiken berücksichtigen, die zum Zeitpunkt der Entwicklung bekannt sind. Mit Software-Updates oder Neuinstallation aktuellerer Applikationsversionen können Nutzer zwar teilweise reagieren, oft ist es dann aber bereits zu spät. An dieser Stelle empfiehlt sich der Einsatz einer Web-Applikation mit vorgelagerter WAF, um schnell auf unvorhergesehene Bedrohungen zu reagieren. Nur die Kombination aus beidem bietet einen effektiven Schutz.

Leistungsstarke WAFs von Herstellern haben gegenüber anderen Security-Tools wie IPS, IDS oder herkömmlichen Netzwerk-Firewalls den entscheidenden Vorteil, dass sie http-, https- oder ftp-Traffic nicht unkontrolliert an Web-Anwendungen durchgehen lassen. Vielmehr leitet eine gute WAF den Traffic über einen Proxy-Server und prüft ihn so auf mögliche Angriffe. Der Web-Server wird auf diese Weise vor einem direkten Hacker-Zugriff abgeschirmt. Gleichzeitig verhindert eine WAF Verluste beim Versand vertraulicher Daten (z.B. Kreditkartennummern oder Bankverbindungen). Auch „leise“ Manipulationen am Zugangskontrollsystem der Web-Anwendungen, wie Cookie-Verfälschungen, erkennt eine professionelle WAF sofort. Denn während Intrusion-Detection-Systeme beispielsweise lediglich Analysen von Byte-Mustern vornehmen, unterbricht eine WAF den http-Traffic im Auftrag des Web-Servers. Kurz: Je besser eine Web-Application-Firewall bezüglich ihrer Features ausgestattet ist, desto weniger muss der Netzwerk-Verantwortliche bei Cyber-Attacken oder sonstigen Problemen bei Web-Applikationen eingreifen.

Fazit
Das Thema Web-Application-Security bleibt so heiß wie der Kaffee am Morgen in vielen IT-abhängigen Unternehmen. Wer entsprechende Schutzmaßnahmen vernachlässigt, läuft Gefahr, von Datendieben beraubt zu werden, ohne es zu merken. Eine professionelle Web-Application -Firewall (WAF) schützt die Web-Anwendungen genau in dem Moment, in dem sie für Angriffe offen ist und IPS, Firewall & Co. an ihre Grenzen stoßen.