WAF-Konfiguration — Web Application Firewall

WAF (Web Application Firewall) blockiert SQL Injection, XSS, Path Traversal und Bot-Traffic auf der Anwendungsschicht. Es ist eine Defense-in-Depth-Schicht — sie ergaenzt sicheren Code, ersetzt ihn aber nicht. WAF analysiert HTTP-Requests und -Responses anhand von Regeln und blockiert verdaechtige Muster, bevor sie die Anwendung erreichen. Fuer internetexponierte Webanwendungen ist WAF Standard.

ModSecurity + OWASP CRS¶

# Nginx-Konfiguration
modsecurity on;
modsecurity_rules_file /etc/modsecurity/crs/crs-setup.conf;
modsecurity_rules_file /etc/modsecurity/crs/rules/*.conf;

ModSecurity ist eine Open-Source-WAF-Engine fuer Nginx, Apache und IIS. Das OWASP Core Rule Set (CRS) enthaelt Regeln gegen die OWASP Top 10 Schwachstellen — SQL Injection, XSS, Command Injection, Path Traversal und mehr. CRS arbeitet mit Anomaly Scoring — jedes verdaechtige Muster addiert Punkte und der Request wird beim Ueberschreiten des Schwellenwerts blockiert. Dies minimiert False Positives im Vergleich zu binaerer Block/Allow-Logik.

AWS WAF¶

resource "aws_wafv2_web_acl" "main" {
  default_action { allow {} }
  rule {
    name = "aws-managed"
    statement {
      managed_rule_group_statement {
        vendor_name = "AWS"
        name        = "AWSManagedRulesCommonRuleSet"
      }
    }
  }
}

AWS WAF bietet Managed Rule Groups von AWS und Drittanbietern. Die Integration mit CloudFront und ALB ist nativ. Cloudflare WAF ist eine Alternative mit einem globalen Edge-Netzwerk und einfacherer Konfiguration. Beide bieten Bot Management, Geo-Blocking und Custom Rules.

Bereitstellung und Tuning¶

Stellen Sie WAF nie direkt im Blocking-Modus bereit. Beginnen Sie im Detection/Logging-Modus, analysieren Sie Logs und identifizieren Sie False Positives. Typische False Positives: JSON-API-Payloads, die als SQL Injection erkannt werden, base64-Inhalte, die als XSS erkannt werden. Erstellen Sie Ausnahmen fuer legitime Muster und schalten Sie erst dann auf Blocking um.

Wichtigste Erkenntnis¶

WAF ist Defense-in-Depth, kein Ersatz fuer sicheren Code. Beginnen Sie mit Managed Rules im Detection-Modus, tunen Sie False Positives und verschaerfen Sie schrittweise. ModSecurity fuer Self-Hosted, AWS WAF oder Cloudflare WAF fuer Cloud.