Web Application Firewalls

Software lässt sich bekanntlich nie ganz fehlerfrei gestalten. Diese Binsenweisheit ist bei massenhaft verwendeten Web-Applikationen wie Online-Shopping oder Online-Banking indes besonders kritisch zu bewerten. Schließlich sind solche Applikationen irgendwann und irgendwo an eine Datenbank angebunden. Ein beliebtes Angriffsmittel ist deshalb das Einschmuggeln von SQL-Befehlen in die Eingabemasken von solchen Applikationen. Mit Filtermechanismen, meist unter dem Etikett »Web Application Firewall« (WAF) gehandelt, will man gültige Eingaben von Eingabe-Attacken unterscheiden und damit dem Problem begegnen. »Ein Problem vieler solcher Systeme ist der große Umfang der Regelwerke, die in großen Systemen auf Dauer nicht verwaltbar sind und zudem sehr schnell veralten«, sagt Cyrill Osterwalder von Phion. Die WAF Airlock von Phion arbeite demgegenüber mit sehr viel weniger Regeln, die dafür aber dynamisch angelegt seien, erklärt Osterwalder. Darüber hinaus ­erkenne ein semantisches Verfahren, welche Eingabe eine Web-Applikation erwarte. Geradezu das Gegenteil von Osterwalders Ansicht vertritt Dr. Georg Heß, Geschäftsführer des Phion-Konkurrenten art of defence aus Regensburg, der auf der CeBIT die neueste Version seiner dreistufigen Verteidigungslinie für Web-Applikationen vorführt, die aus dem WAF-Produkt Hyperguard, dem Quellcode-Analyseprogramm Hypersource und dem Schwachstellenscanner Hyperscan besteht. Die WAF kann laut Heß die vom Code-Analysator und dem Scanner gefundenen Schwachstellen-Informationen automatisch importieren. Danach generiere das Abwehrtrio »Regelvorschläge, die Web-Applikationen punktgenau vor Angriffen schützen«.