Geautomatiseerde aanvalstools raken de hele dag websites, en ze checken niet of een site groot, klein, populair of onbekend is. Een webapplicatiefirewall is de laag die elk binnenkomend verzoek leest voordat je site dat doet, en de schadelijke verzoeken tegenhoudt. Wat het onderscheidt van andere beveiligingstools is het niveau waarop het werkt en wat het precies leest.
Het meeste verkeer dat probeert in te breken op een website komt niet van een persoon achter een toetsenbord. Het komt van geautomatiseerde tools die lijsten met bekende zwakke plekken afwerken en schadelijke verzoeken naar duizenden sites tegelijk sturen. Een webapplicatiefirewall is speciaal ontworpen om die te onderscheppen. Het volledige beeld van waarom websites worden aangevallen, ongeacht grootte of doel, vind je in het artikel over waarom websitebeveiliging belangrijk is.
Wat is een webapplicatiefirewall?
Een webapplicatiefirewall, vaak WAF genoemd, is een beschermingslaag tussen internet en je website. Elk verzoek dat bij je site aankomt, gaat eerst door de firewall. De firewall toetst elk verzoek aan een set regels en bepaalt of hij het doorlaat of blokkeert.
Het belangrijkste verschil tussen een webapplicatiefirewall en een gewone netwerkfirewall is waar ze naar kijken. Een netwerkfirewall werkt op verbindingsniveau en bepaalt welke servers met elkaar mogen praten. Een webapplicatiefirewall kijkt naar de inhoud van het verzoek zelf, en daar zitten aanvallen via het web verstopt. Hij leest wat er wordt verstuurd, en niet alleen waar het vandaan komt.
Hoe werkt een webapplicatiefirewall?
Wat hij leest
- Elk binnenkomend verzoek bevat informatie: de gevraagde URL, gegevens die via formulieren worden verstuurd en de details die de browser meestuurt
- De firewall leest dit alles naast een set regels die beschrijven hoe schadelijke verzoeken eruitzien
- Verzoeken die bij een schadelijk patroon passen, worden geblokkeerd voordat ze de server of de code van je site bereiken
Hoe hij bepaalt wat hij blokkeert
- Firewalls gebruiken regelsets die bekende aanvalspatronen beschrijven. Die worden regelmatig bijgewerkt als er nieuwe aanvalsmethoden worden ontdekt
- Sommige firewalls kijken ook naar gedrag in de tijd. Een bron die honderden verzoeken per seconde stuurt, of de site aftast op een manier die bij een scantool past, kan worden geblokkeerd, ook als geen enkel afzonderlijk verzoek een specifieke regel overtreedt
- Beheerde firewalldiensten werken de regels automatisch bij. Een firewall met oude regels is veel minder effectief tegen de aanvallen van nu
Welke aanvallen stopt een webapplicatiefirewall?
SQL-injectie
- SQL-injectie is een van de meest voorkomende aanvallen via het web. Het werkt door schadelijke databasecommando's in een formulierveld of URL te zetten, in de hoop dat de site die commando's uitvoert alsof het echte instructies zijn
- Een geslaagde SQL-injectie kan een aanvaller alle gegevens uit de database laten halen, inhoud laten wijzigen of helemaal laten verwijderen
- Een webapplicatiefirewall herkent de patronen die deze aanvallen gebruiken en blokkeert ze voordat ze de site bereiken
Cross-site scripting
- Cross-site scripting, vaak XSS genoemd, werkt door schadelijke scripts in een pagina te zetten die andere bezoekers daarna in hun browser laden
- Die scripts kunnen inlogsessies stelen, bezoekers naar andere sites omleiden of gegevens verzamelen die in formulieren worden ingevoerd, zonder dat iemand het doorheeft
- Een firewall blokkeert verzoeken met deze aanvalspatronen voordat schadelijke code de pagina kan bereiken
Verkeer van kwaadaardige bots
- Geautomatiseerde bots zijn goed voor een groot deel van het websiteverkeer. Sommige zijn onschuldig, zoals crawlers van zoekmachines. Andere zijn gebouwd om zwakke plekken te zoeken, grote aantallen wachtwoorden op de inlogpagina te testen of inhoud te kopiëren
- Een webapplicatiefirewall kan bots herkennen en blokkeren die bij bekende schadelijke patronen passen. Zo vinden ze minder en verminderen ze de belasting van de server
Bekende aanvalstools
- Aanvallers gebruiken tools die verzoeken sturen in patronen die zijn bestudeerd en gedocumenteerd. Hun kenmerken zijn ingebouwd in de regelsets van firewalls
- Een webapplicatiefirewall met actuele regels blokkeert verzoeken die bij deze patronen passen automatisch, zonder dat je iets hoeft te doen
Wat een webapplicatiefirewall niet alleen kan stoppen
Een firewall is één laag in een beveiligingsopzet en geen compleet antwoord.
Inloggen met gestolen wachtwoorden
- Een webapplicatiefirewall kan niet zien of een login van de echte accounteigenaar komt of van iemand die het wachtwoord ergens anders heeft bemachtigd
- Een login met de juiste gebruikersnaam en het juiste wachtwoord ziet eruit als een normaal verzoek. De firewall laat hem door
- Daarom zijn sterke wachtwoorden en tweestapsverificatie naast een firewall nog steeds nodig. Een volledig overzicht van hoe deze beschermingen samenwerken, vind je in het artikel over hoe je je website beschermt tegen hackers
Nieuwe aanvalsmethoden waar de regels nog niet op zijn aangepast
- Wordt er een nieuwe zwakke plek gevonden in websitesoftware, dan zit er een gat tussen het moment waarop aanvallen die gebruiken en het moment waarop de regels van de firewall zijn bijgewerkt om ze te blokkeren
- In die periode kan de firewall precies die aanvallen doorlaten
- Websitesoftware up-to-date houden naast een firewall dicht dit gat aanzienlijk
Schadelijke code die al op de site staat
- Een webapplicatiefirewall filtert binnenkomende verzoeken. Hij scant de eigen bestanden van de site niet op schadelijke code die er al staat door een eerdere aanval
- Is er iets op de site gekomen voordat de firewall er was, of via een methode die de firewall niet opving, dan wordt het niet gevonden
- Hoe schadelijke code op een site eruitziet en wat je eraan doet, lees je in het artikel over wat website-malware is en wat het met je site doet
Firewalls op netwerkniveau en op siteniveau
Firewalls op netwerkniveau
- Een firewall op netwerkniveau werkt op hostingniveau en filtert verkeer voordat het individuele sites bereikt
- Die worden meestal geleverd door het hostingbedrijf of de CDN. Ze zijn gebouwd om grootschalige aanvallen te blokkeren, waaronder overbelastingsaanvallen die servers proberen plat te leggen met enorme hoeveelheden verkeer tegelijk
- Ze werken op breed niveau en filteren beter op verkeersvolume en verbindingspatronen dan dat ze de specifieke inhoud van afzonderlijke verzoeken lezen
Firewalls op siteniveau
- Een webapplicatiefirewall op siteniveau werkt dichter bij de site en leest de echte inhoud van elk verzoek, waardoor hij aanvalspatronen opmerkt die een firewall op netwerkniveau kan missen
- Die kun je op platformniveau instellen bij beheerde hostingdiensten, of toevoegen via een plugin of beveiligingsdienst bij zelfbeheerde sites
- Beide typen dekken ander terrein en werken goed samen. Een hostingprovider die firewallbescherming op netwerkniveau meelevert, handelt al een groot deel van de geautomatiseerde aanvallen af voordat er configuratie op siteniveau nodig is
Hoe een webapplicatiefirewall past in een complete beveiligingsopzet
Een firewall werkt naast andere beschermingen, die elk een ander soort risico dekken.
- Een firewall filtert schadelijke verzoeken. Software up-to-date houden dicht de zwakke plekken waar die verzoeken op mikken. Samen pakken ze de twee meest voorkomende manieren aan waarop aanvallen binnenkomen
- Sterke wachtwoorden en tweestapsverificatie stoppen toegang met gestolen inloggegevens, wat geen firewall alleen kan blokkeren
- Back-ups zorgen dat een site snel kan herstellen als er toch iets doorheen komt. Lees het artikel over hoe je een back-up van je website maakt voor de volledige gids
Hoe WEMASY firewallbescherming regelt
De hosting van WEMASY bevat firewallbescherming en verkeersfiltering op netwerkniveau. Schadelijke verzoeken en overbelastingsaanvallen worden gefilterd voordat ze individuele sites op het platform bereiken. Dit zit in elk abonnement en vraagt geen installatie of configuratie van site-eigenaren.
Software-updates worden op platformniveau beheerd, zodat sites beschermd blijven tegen bekende zwakke plekken zonder dat je iets hoeft te doen. SSL-certificaten zijn inbegrepen en worden automatisch toegepast op elke site.
Bekijk wat erbij zit op de WEMASY Websitebouwer, of vergelijk de abonnementen op de prijzenpagina.
Veelgestelde vragen
Wat is een webapplicatiefirewall?
Een webapplicatiefirewall, of WAF, is een beschermingslaag tussen je website en het verkeer dat van internet binnenkomt. Hij toetst elk binnenkomend verzoek aan een set regels die beschrijven hoe schadelijke verzoeken eruitzien, en blokkeert de verzoeken die erbij passen voordat ze je site bereiken. Dat is anders dan een gewone netwerkfirewall, die verbindingen op een breder niveau regelt. Een webapplicatiefirewall leest de inhoud van elk verzoek, en daar zitten aanvallen via het web verstopt. Met de Websitebouwer van WEMASY stel je dit direct op je eigen website in.
Welke aanvallen blokkeert een webapplicatiefirewall?
Een webapplicatiefirewall blokkeert een reeks veelvoorkomende aanvallen via het web, waaronder SQL-injectie (schadelijke databasecommando's in een formulier of URL zetten), cross-site scripting (schadelijke scripts in pagina's zetten die andere bezoekers laden) en verkeer van bots die de site op zwakke plekken aftasten. Hij blokkeert ook verzoeken van bekende aanvalstools die verzoeken in herkenbare patronen sturen. De firewall doet dit automatisch, op basis van regels die worden bijgewerkt als er nieuwe aanvalsmethoden worden gevonden.
Vervangt een webapplicatiefirewall andere beveiligingsmaatregelen?
Nee. Een webapplicatiefirewall is een onderdeel van een beveiligingsopzet en geen complete oplossing. Hij filtert schadelijke binnenkomende verzoeken, maar kan aanvallen met gestolen wachtwoorden niet stoppen, omdat een login met de juiste gegevens eruitziet als een normaal verzoek. Hij scant ook de eigen bestanden van de site niet op schadelijke code die er al kan staan. Hij werkt het best naast sterke wachtwoorden, tweestapsverificatie, software-updates en regelmatige back-ups.
Wat is het verschil tussen een netwerkfirewall en een webapplicatiefirewall?
Een netwerkfirewall regelt verkeer op verbindingsniveau en bepaalt welke servers en netwerken met elkaar mogen communiceren. Een webapplicatiefirewall werkt op inhoudsniveau: hij leest de details van elk binnenkomend verzoek en blokkeert de verzoeken die bij schadelijke patronen passen. Beide werken op een ander niveau en hebben een ander doel. Veel hostingproviders leveren firewallbescherming op netwerkniveau mee die grootschalige aanvallen afhandelt, terwijl een webapplicatiefirewall specifiekere bescherming toevoegt voor de inhoud en code van de site zelf.
Heb ik een webapplicatiefirewall nodig als mijn hosting al firewallbescherming heeft?
Firewallbescherming op hostingniveau werkt meestal op netwerkniveau en filtert grootschalige aanvallen en verkeersoverbelasting. Een webapplicatiefirewall werkt dichter bij de site zelf en kan de inhoud van afzonderlijke verzoeken lezen, waardoor hij aanvalspatronen opmerkt die een firewall op netwerkniveau kan missen. Of je allebei nodig hebt, hangt af van je hostingopzet. Beheerde hostingplatforms met firewallbescherming op platformniveau dekken vaak de meest voorkomende aanvalstypen zonder extra instellingen. Bij zelfbeheerde hosting is een webapplicatiefirewall toevoegen de moeite waard.
Hoe vaak worden de regels van een webapplicatiefirewall bijgewerkt?
Beheerde webapplicatiefirewalldiensten werken hun regels automatisch bij zodra nieuwe aanvalsmethoden worden gevonden en gedocumenteerd. Dat is een van de belangrijkste redenen om een beheerde dienst te kiezen in plaats van een handmatige opzet. Verouderde regels maken een firewall veel minder effectief tegen de aanvallen van nu. Gebruik je een zelfbeheerde firewall of plugin, zorg dan dat hij regelmatig updates krijgt, want dat is net zo belangrijk als hem installeren.