Wächter der Web-Anwendungen

Web Application Firewalls in der Praxis

03.01.2011
Von Stefan Marx

Die Stolpersteine

So komplex Integration und Betrieb einer WAF zunächst erscheinen mögen, hält sich der Aufwand doch erfreulich in Grenzen - wenn man einige Grundsätze beachtet.

Nach der Entscheidung, ob die WAF als Bridge oder Reverse Proxy integriert wird, gilt es, eine hinreichend lange Testphase einzuplanen, in der die Policy erstellt und optimiert wird. In dieser Phase kommt es darauf an, die richtige Balance zwischen erreichbarem Sicherheitsniveau und vertretbarem Administrationsaufwand zu finden. Das erfordert sicher einige Erfahrung. Wird diese Aufgabe sorgfältig erledigt, verläuft der Übergang vom Test- zum Produktionsbetrieb jedoch ohne nennenswerte Probleme.

In der Regel wird die WAF als "Firewall" organisatorisch der für das Netz zuständigen Administratorengruppe zugeordnet. Der Betrieb der WAF stellt dieses Umfeld vor nicht allzu große Herausforderungen, da für den Betrieb einer WAF - entgegen der Ausrede mancher Administratoren - keine Softwareentwicklungskenntnisse nötig sind. Grundkenntnisse in Sachen http oder zur Schreibweise von URLs sind jedoch erforderlich.