WAF - Ochrana webu bez zásahu do aplikace

Přínosy řešení

• Skutečná ochrana webových aplikací na základě znalosti protokolu i logiky aplikace
• Ochrana webů bez nutnosti jakkoliv zasahovat do samotné aplikace (v mnoha případech zásah do kódu ani není možný)
• Možnost doplnit řadu důležitých vlastností – autentifikace uživatele, integrace s AD/RADIUSem, SSO (Single Sign On), povolení přístupu na základě geolokace, a to opět bez zásahu do kódu aplikace
• Ochrana před automatickým stahováním dat a provozem z „robotů“ (scraping, botnety, brute force útoky atd.)
• Snadné nasazení díky schopnosti naučit se logiku aplikace z provozu

Jakkoliv zákazník bude chránit vstup (perimetr) své sítě, ať už použije firewall atd., nezbývá mu než nechat otevřený přístup ke svému webu. Dnes je téměř vše dostupné přes webové rozhraní – SAP, CRM, mail atd. Řada aplikací (např. WordPress) využívá i rozšíření třetích stran. Dosáhnout tak zabezpečení samotné aplikace je prakticky nemožné. Útočníci jsou si toho dobře vědomi a řada útoků míří na weby (viz open source iniciativa OWASP TOP 10, která pravidelně vyhodnocuje největší rizika v této oblasti). 

Dopady nedostatečné ochrany aplikace na zákazníka

• Zcizení dat (např. pomocí SQL injection) a poškození firmy nebo zákazníků (zcizení informací o kreditních kartách apod.)
• Modifikace obsahu webu (ztráta reputace nebo finanční ztráta). Např. hacker si může sám „zlevnit“ zboží v e-shopu
• Znepřístupnění webu (finanční ztráta)

Dobrý WAF nabízí nejen maximální bezpečnost, ale i snadnou implementaci. Musí být schopen naučit se veškeré informace o konkrétní aplikaci sám, následně vyhodnotit rizika a vytvořit přesná pravidla.