Web application firewall (WAF)

En WAF terminerer eller inspicerer HTTP(S)-trafik på lag 7, så den skal kunne se trafikken dekrypteret: enten terminerer den selv TLS som reverse proxy, kører som modul i webserveren eller ingress-controlleren eller leveres som cloud- eller CDN-tjeneste ved kanten. Den kan placeres inline og blokere, som transparent bro eller out-of-band på en kopi af trafikken, hvor den kun kan opdage, ikke blokere. Den opdeler forespørgslen i bestanddele som metode, URI, query-parametre, headers, cookies og en body dekodet som formulardata, JSON, XML eller multipart, normaliserer encodings og evaluerer regler mod hver del.

Det dominerende åbne regelsæt er OWASP ModSecurity Core Rule Set (CRS), der kører på ModSecurity-motoren, som nu er et OWASP-projekt, og på Coraza. CRS bruger som standard anomaly scoring: hver regel, der rammer, giver point, typisk 5 for et kritisk match, og forespørgslen blokeres først, når summen overstiger en tærskel, som standard 5 for indgående trafik. Paranoia-niveau 1 til 4 afvejer dækning mod falske positiver, og tuning i produktion består i høj grad af at skrive undtagelser for bestemte parametre, der legitimt indeholder SQL- eller HTML-lignende indhold. Kommercielle WAF'er lægger bot-genkendelse, rate limiting, IP-omdømme, håndhævelse af API-skemaer og maskinlæringsklassifikatorer oven på signaturerne.

Der bruges to sikkerhedsmodeller. En negativ model blokerer kendte farlige mønstre og er let at udrulle, men kan omgås; en positiv model tillader kun det, applikationen vides at acceptere, fx definerede stier, metoder, parametertyper og længder, ofte afledt af en OpenAPI-beskrivelse, hvilket er stærkere, men dyrt at vedligeholde, når applikationen ændrer sig. Kendte klasser af omgåelser er alternative encodings, tricks med store og små bogstaver og kommentarer i SQL, HTTP parameter pollution, request smuggling, hvor WAF og backend er uenige om, hvor en besked slutter, payloads i content types, WAF'en ikke parser, og for store bodies ud over inspektionsgrænsen. I 2022 viste Claroty, at flere store WAF'er kunne omgås med JSON-baseret SQL-syntaks, fordi deres parsere ikke forstod den.

Den vigtigste legitime anvendelse er virtuel patching: at blokere udnyttelse af en kendt sårbarhed, som Log4Shell i december 2021, mens rettelsen udvikles og udrulles. PCI DSS v4.0 krav 6.4.2, der har været obligatorisk siden 31. marts 2025, kræver en automatiseret teknisk løsning, der løbende opdager og forhindrer webbaserede angreb foran offentligt tilgængelige webapplikationer, og en WAF er den almindelige måde at opfylde det på. En WAF kan ikke se fejl i forretningslogik, manglende autorisation på objektniveau eller lagrede payloads, der allerede ligger i applikationen, så den supplerer sikker kode uden at erstatte den.