{"id":55733,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem"},"modified":"2020-02-18T14:03:52","modified_gmt":"2020-02-18T11:03:52","slug":"evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/evolyutsiya-web-application-firewall-ot-setevyh-ekranov-do-oblachnyh-sistem-zashhity-s-mashinnym-obucheniem","title":{"rendered":"Die Evolution der Web Application Firewalls: von Netzwerkwalls zu Cloud-Schutzsystemen mit maschinellem Lernen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In unserem vorherigen Artikel \u00fcber Cloud-Themen haben wir \u00fcber<\/a><\/noindex>, wie man IT-Ressourcen in der \u00f6ffentlichen Cloud sch\u00fctzt und warum traditionelle Antivirenl\u00f6sungen daf\u00fcr nicht vollst\u00e4ndig geeignet sind. In diesem Beitrag setzen wir das Thema Cloud-Sicherheit fort und sprechen \u00fcber die Evolution von WAF und dar\u00fcber, was man besser w\u00e4hlen sollte: Hardware, Software oder Cloud.\u00a0<\/b><\/p>\n

\"Die
\n<\/p>\n

Was ist WAF<\/h3>\n

\n\u00dcber 75 % der Angriffe von Hackern zielen auf Schwachstellen von Webanwendungen und Webseiten ab: Solche Angriffe sind in der Regel f\u00fcr die Informationssicherheitsinfrastruktur und -dienste unsichtbar. Die Schwachstellen von Webanwendungen bringen Risiken einer Kompromittierung und Betrugsf\u00e4lle bei Konten, pers\u00f6nlichen Daten, Passw\u00f6rtern und Kreditkartennummern mit sich. Zudem bieten Schwachstellen auf der Webseite Angreifern einen Einstieg in das Unternehmensnetzwerk.<\/p>\n

Eine Web Application Firewall (WAF) ist eine Schutzmauer, die Angriffe auf Webanwendungen wie SQL-Injection, Cross-Site Scripting, Remote Code Execution, Brute-Force-Attacken und den Umgehung von Authentifizierung (auth bypass) blockiert. Dazu geh\u00f6ren auch Angriffe, die Zero-Day-Schwachstellen nutzen. Anwendungsfirewalls bieten Schutz, indem sie den Inhalt von Webseiten, einschlie\u00dflich HTML, DHTML und CSS, \u00fcberwachen und potenziell sch\u00e4dliche Anfragen \u00fcber HTTP\/HTTPS filtern.
\n<\/a><\/noindex><\/p>\n

Wie sahen die ersten L\u00f6sungen aus?<\/h3>\n

\nDie ersten Versuche, eine Web Application Firewall zu entwickeln, wurden bereits Anfang der 90er Jahre unternommen. Mindestens drei Ingenieure sind bekannt, die in diesem Bereich t\u00e4tig waren. Der erste ist der Informatikprofessor Gene Spafford von der Purdue University. Er beschrieb die Architektur einer Proxy-basierten Anwendungsfirewall und ver\u00f6ffentlichte diese 1991 in einem Buch. \u201eUNIX Sicherheit in der Praxis\u201c<\/a><\/noindex>.<\/p>\n

Die zweiten und dritten Ingenieure waren die IT-Sicherheitsspezialisten William Cheswick und Marcus Ranum von den Bell Labs. Sie entwickelten einen der ersten Prototypen von Anwendungsfirewalls. Die Verbreitung \u00fcbernahm das Unternehmen DEC \u2014 das Produkt wurde unter dem Namen SEAL (Secure External Access Link) herausgebracht. <\/p>\n

Doch SEAL war keine vollwertige WAF-L\u00f6sung. Es handelte sich um eine klassische Netz-Firewall mit erweiterten Funktionen \u2013 insbesondere der M\u00f6glichkeit, Angriffe auf FTP und RSH zu blockieren. Daher gilt das Produkt von Perfecto Technologies (sp\u00e4ter Sanctum) heute als die erste WAF-L\u00f6sung. pr\u00e4sentierte<\/a><\/noindex> Im Jahr 1999 wurde das System AppShield eingef\u00fchrt. Zu der Zeit entwickelte Perfecto Technologies Sicherheitsl\u00f6sungen f\u00fcr den E-Commerce, und die Zielgruppe ihres neuen Produkts waren Online-Shops. AppShield konnte HTTP-Anfragen analysieren und Angriffe auf Basis dynamischer Sicherheitsrichtlinien blockieren.<\/p>\n

Etwa zur gleichen Zeit wie AppShield (2002) erschien die erste Open-Source-WAF. Es handelte sich um ModSecurity<\/a><\/noindex>. Diese wurde mit dem Ziel entwickelt, WAF-Technologien zu verbreiten und wird bis heute von der IT-Community unterst\u00fctzt (hier ist seine Repository auf GitHub<\/a><\/noindex>). ModSecurity blockiert Angriffe auf Anwendungen basierend auf einem standardisierten Set von regul\u00e4ren Ausdr\u00fccken (Signaturen) \u2013 Werkzeugen zur \u00dcberpr\u00fcfung von Anfragen anhand von Mustern \u2013 OWASP Core Rule Set<\/a><\/noindex>.<\/p>\n

Infolgedessen gelang es den Entwicklern, ihr Ziel zu erreichen \u2013 auf dem Markt erschienen immer mehr neue WAF-L\u00f6sungen, darunter auch solche, die auf ModSecurity basieren.<\/p>\n

Drei Generationen \u2013 das ist bereits Geschichte.<\/h3>\n

\nEs werden drei Generationen von WAF-Systemen unterschieden, die sich mit der Entwicklung der Technologien weiterentwickelt haben.<\/p>\n

Erste Generation<\/b>. Sie arbeitet mit regul\u00e4ren Ausdr\u00fccken (oder Grammatiken). Dazu geh\u00f6rt ModSecurity. Der Anbieter des Systems untersucht die Arten von Angriffen auf Anwendungen und erstellt Muster, die legitime sowie potenziell schadhafte Anfragen beschreiben. Die WAF vergleicht diese Listen und entscheidet, wie im konkreten Fall zu verfahren ist \u2013 ob der Datenverkehr blockiert werden soll oder nicht.<\/p>\n

Ein Beispiel f\u00fcr die Erkennung auf Basis von regul\u00e4ren Ausdr\u00fccken ist das bereits erw\u00e4hnte Projekt Core Rule Set<\/a><\/noindex> mit offenem Quellcode. Ein weiteres Beispiel ist Naxsi<\/a><\/noindex>, das ebenfalls Open Source ist. Systeme mit regul\u00e4ren Ausdr\u00fccken haben einige Nachteile, insbesondere wenn es darum geht, eine neue Schwachstelle zu entdecken, muss der Administrator manuell zus\u00e4tzliche Regeln erstellen. Bei einer umfangreichen IT-Infrastruktur kann es mehrere Tausend Regeln geben. Mit so vielen regul\u00e4ren Ausdr\u00fccken umzugehen, ist ziemlich schwierig, ganz zu schweigen davon, dass deren \u00dcberpr\u00fcfung die Netzwerkleistung beeintr\u00e4chtigen kann.<\/p>\n

Regul\u00e4re Ausdr\u00fccke haben auch eine relativ hohe Rate an Fehlalarmen. Der ber\u00fchmte Linguist Noam Chomsky schlug eine Klassifikation der Grammatiken vor, in der er sie in vier bedingte Schwierigkeitsgrade unterteilte. Laut dieser Klassifikation k\u00f6nnen regul\u00e4re Ausdr\u00fccke nur Regeln f\u00fcr Firewalls beschreiben, die keine Abweichungen vom Muster zulassen. Das bedeutet, dass Angreifer WAFs der ersten Generation leicht \"\u00fcberlisten\" k\u00f6nnen. Eine Methode, um dem entgegenzuwirken, besteht darin, spezielle Zeichen in die Anfragen an Anwendungen einzuf\u00fcgen, die die Logik der sch\u00e4dlichen Daten nicht beeinflussen, jedoch die Signaturregel verletzen.<\/p>\n

\"Die
\n
\nZweite Generation<\/b>. Um Probleme mit der Leistung und Genauigkeit von WAFs zu umgehen, wurden zweite Generation von Anwendungs-Firewalls entwickelt. Diese verf\u00fcgen \u00fcber Parser, die speziell daf\u00fcr zust\u00e4ndig sind, bestimmte Angriffsarten (z. B. auf HTML, JS usw.) zu erkennen. Diese Parser arbeiten mit speziellen Tokens, die die Anfragen beschreiben (z. B. variable, string, unknown, number). Potenziell sch\u00e4dliche Token-Sequenzen werden in eine separate Liste aufgenommen, mit der das WAF-System regelm\u00e4\u00dfig abgeglichen wird. Dieser Ansatz wurde erstmals auf der Black Hat-Konferenz 2012 in Form einer C\/C++-Bibliothek pr\u00e4sentiert.\u00a0libinjection<\/a><\/noindex>, die SQL-Injektionen erkennen kann.<\/p>\n

Im Vergleich zu WAFs der ersten Generation k\u00f6nnen spezialisierte Parser schneller arbeiten. Allerdings haben sie die Herausforderungen der manuellen Systemkonfiguration bei neuen sch\u00e4dlichen Angriffe nicht gel\u00f6st. <\/p>\n

\"Die
\n
\nDritte Generation<\/b>. Die Evolution der Logik zur Erkennung der dritten Generation besteht in der Anwendung von Methoden des maschinellen Lernens, die die Erkennungsg grammatik so nah wie m\u00f6glich an der realen Grammatik von SQL\/HTML\/JS-Systemen anpassen. Diese Erkennungslogik kann die Turing-Maschine anpassen, um rekursiv aufgelistete Grammatiken abzudecken. Zuvor war die Aufgabe, eine anpassungsf\u00e4hige Turing-Maschine zu schaffen, unl\u00f6sbar, bis die ersten Studien zu neuronalen Turing-Maschinen ver\u00f6ffentlicht wurden.<\/p>\n

Maschinelles Lernen bietet die einzigartige M\u00f6glichkeit, jede Grammatik anzupassen, um jeden Angriffs typ abzudecken, ohne manuell Signaturlisten zu erstellen, was bei der Erkennung der ersten Generation erforderlich war, und ohne neue Tokenizer\/Parser f\u00fcr neue Angriffstypen wie Memcached-, Redis-, Cassandra- und SSRF-Injektionen zu entwickeln, was die Methodik der zweiten Generation erforderte. <\/p>\n

Durch die Kombination aller drei Generationen von Erkennungstechnologien k\u00f6nnen wir ein neues Diagramm zeichnen, in dem die dritte Generation der Erkennung (Abb. 3) rot umrandet ist. Zu dieser Generation geh\u00f6rt eine der L\u00f6sungen, die wir gemeinsam mit \u00abOnsec\u00bb, dem Entwickler der Plattform f\u00fcr adaptive Sicherheitsl\u00f6sungen f\u00fcr Webanwendungen und APIs Valarm, in der Cloud implementieren. <\/p>\n

In der Erkennungslogik wird nun Feedback von der Anwendung zur Selbstoptimierung genutzt. Im Rahmen des maschinellen Lernens wird dieser Feedbackzyklus als \u201eVerst\u00e4rkung\u201c bezeichnet. In der Regel gibt es einen oder mehrere Typen dieser Verst\u00e4rkung:<\/p>\n