Firewall εφαρμογών ιστού και προστασία από επιθέσεις

Σύντομη Περίληψη

Φίλτρα WAF/WAAP και χειριστήρια κυκλοφορίας HTTP (S )/WebSocket σε επίπεδο εφαρμογής: μπλοκάρει την εκμετάλλευση των τρωτών σημείων (OWASP Top 10), απόπειρες παράκαμψης της επαλήθευσης ταυτότητας, σάρωσης, αυτοματοποιημένης κυκλοφορίας bot και L7 DDoS S. Η σύγχρονη στοίβα συμπληρώνεται από έναν κινητήρα αντι-bot, προστασία API, περιορισμό ρυθμού, εικονικά μπαλώματα, καθώς και στενή ενσωμάτωση με CI/CD έτσι ώστε οι κανόνες να εκτυλίσσονται με την ίδια ασφάλεια όπως ο κώδικας.

Ρόλοι και θέση στην αρχιτεκτονική

Edge/CDN WAF (νέφος): χαμηλή καθυστέρηση, παγκόσμια φήμη/κανόνες διαχείρισης, L7 DDoS.
Αυτόνομη WAF (on-prem/K8): βαθιά ολοκλήρωση με εσωτερικά δίκτυα, λεπτή ρύθμιση.
Προσέγγιση WAAP: λειτουργίες WAF + API-Gateway (schema-validation, authZ), anti-bot, L7 DOS, mTLS.
Συστήματα ένταξης: αντίστροφη προσέγγιση πριν από την αίτηση· Χειριστήριο εισόδου σε K8s. Φίλτρα πλέγματος υπηρεσίας, sidecar.

Μοντέλο προστασίας

Αρνητική ασφάλεια (υπογραφές/ΗΣΚ): ταχεία κάλυψη γνωστών τεχνικών (SQLi/XSS/SSRF/RCE).
Θετική ασφάλεια (επιτρεπόμενος κατάλογος): επιτρέπονται μόνο «έγκυρα» αιτήματα (μέθοδοι/διαδρομές/σχήματα/τύποι περιεχομένου).
Εικονικό Patching: online μπλοκάρισμα της εκμετάλλευσης στον κώδικα.
Πλαίσιο: διαφορετικές πολιτικές για στατικό περιεχόμενο, API, διοικήσεις, τηλεφορτώσεις, webhooks.

Τυπικές απειλές και μέτρα

OWASP Top 10: SQLi, XSS, IDOR/BOLA, SSRF, ενέσεις προτύπων, απερήμωση, παρανοήσεις.
L7 DDoS: αργές αιτήσεις/κεφαλίδες, διάρρηξη για θερμά τελικά σημεία → προστασία: όρια ταχύτητας, πρόκληση, αυτόματο μπλοκ.
Ρομπότ/ξύστρες: συμπεριφορά, συχνότητα, «απάνθρωπα» μοτίβα, δακτυλικά αποτυπώματα συσκευών, δυναμικές μάρκες.
Credential Stuffing/ATO: υποκλοπή/καταμέτρηση συνδέσμων → ανωμαλία από IP/ASN, κανόνες ταχύτητας, πρόσθετοι παράγοντες.
Λήψη: τύπος/μέγεθος/πολυκανονικό αντιιικό, «μόνο εικόνα» σε ζώνες μέσων ενημέρωσης.
API/GraphQL: schema-validation, 'maxDepth '/' maxCost', απαγόρευση ατιμώρητων wildcards, έλεγχος μεθόδων και κεφαλίδων.

Πολιτικές και σχεδιαστές κανόνων

Βασικός σκελετός για κάθε εφαρμογή:

1. Μεταφορές: TLS 1. 2+/1. 3, HSTS, mTLS σε ευαίσθητα backends.

2. Μέθοδοι: Ο επιτρεπόμενος κατάλογος ('GET, POST, PUT, DELETE, PATCH, OPTIONS') είναι μοναδικός ανά πόρο.

3. Μονοπάτια: αυστηρές μάσκες/αναγεννήσεις. διαχείριση/τιμολόγηση - σε ξεχωριστό πρόθεμα/τομέα.

4. Κεφαλίδες: λευκοί κατάλογοι, απαγόρευση επικίνδυνων («X-Original-URL», μη τυποποιημένων) χωρίς λόγο.

5. Φορείς: JSON-μόνο/Multipart-μόνο κατά μήκος της διαδρομής. όρια «μήκους περιεχομένου», δέσμη δυαδικών μερών για «σύνδεση/αναζήτηση».

6. Όρια ποσοστών: ανά IP/ASN/κλειδί/οργάνωση· χωριστά όρια στα «ακριβά» αιτήματα.

7. Αντι-bot: συμπεριφορική βαθμολόγηση, «μη ερεθιστικές» προκλήσεις, συγκόλληση ταυτοτήτων (μάρκες cookie, FP JA3/TLS).

8. Κανόνες CRS/Διαχείριση: ενεργοποιημένη, ρύθμιση βάσει του ΠΠ.

9. Έμπλαστρα Wirth: γρήγορος αποκλεισμός γνωστών παραμέτρων/μοτίβων επίθεσης.

10. Καταγραφές/μετρήσεις: ομοιόμορφη μορφή, συσχέτιση με 'trace _ id', εκθέσεις FP/TP.

Πρακτική συντονισμού: πώς να μειωθούν τα ψευδώς θετικά αποτελέσματα

Εκτέλεση νέων κανόνων σε κατάσταση μόνο ανίχνευσης/καταμέτρησης (σκιά) με δειγματοληψία κυκλοφορίας.
Δημιουργία εξαιρέσεων από το πλαίσιο ('path =/search', 'param = q' επιτρέπουν ειδικούς χαρακτήρες).
Διαιρείται η ζώνη: «δημόσιες σελίδες» έναντι «ευαίσθητες πράξεις» (το κατώφλι επιθετικότητας είναι διαφορετικό).
Μεταφορέας: κανόνας στάσης καναρίνι (1-5%) prod. rollback με μετρήσεις FP.
Διατήρηση καταλόγου «ψευδών» ωφέλιμων φορτίων για δοκιμές παλινδρόμησης.

Ενσωμάτωση σε DevSecops

CI: στατικοί κανόνες στο Git· δοκιμές: επανάληψη πραγματικών αιτημάτων + συνθετικών από τον κατάλογο επιθέσεων.
CD: υπολογισμοί καναρινιών, σημαίες χαρακτηριστικών· «πολιτική» παρακολούθηση (αλλαγή κανόνα = αλλαγή).
RASP και SAST/DAST: συμπληρώματα WAF αλλά δεν αντικαθιστά τη διόρθωση κωδικών.

Παρατηρησιμότητα και SLO

Μετρήσεις:

p95/99 λεζάντα μέσω WAF· ποσοστό εμπλοκής/απώλειας· τους κανόνες διαχείρισης μετοχών έναντι των συνήθων· «ποσοστό επίθεσης».
Αντι-bot: μερίδιο των προκλήσεων/αλλαγών, ΠΠ/ΠΥ.
L7 DDoS: συμβάντα διάρρηξης, επεισόδια αυτόματου μετριασμού.

Παραδείγματα SLO:

"Δεν υπερβαίνει το 0. 5% ΠΠ για εγκεκριμένες λειτουργίες/ημέρα"
«p95 εναέρια WAF ≤ 10 мс».
«Εικονικό έμπλαστρο TTR ≤ 30 λεπτά».
Ειδοποιήσεις: 4xx/5xx ακίδα μετά την έκδοση κανόνων. Ανάπτυξη του ΠΠ πτώση στο πέρασμα captcha· υποβάθμιση της επικύρωσης JWKS/mTLS.

Διαμόρφωση δείγματος

ModSecurity + OWASP ΗΣΚ (Nginx)

nginx
Enabling ModSecurity modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main. conf;

'/κ.λπ./nginx/modsec/main. conf ':

apache
SecRuleEngine On
Include /usr/local/owasp-modsecurity-crs/crs-setup. conf
Include /usr/local/owasp-modsecurity-crs/rules/.conf

Example of an exception for a search parameter
SecRule REQUEST_URI "@beginsWith /search" "id:900100,phase:1,pass,nolog,ctl:ruleRemoveByTag=attack-xss"
SecRule REQUEST_URI "@beginsWith /search" "id:900101,phase:2,pass,ctl:ruleRemoveTargetById=942100; ARGS:q"

AWS WAF (JSON, όριο επιτοκίου + δέσμη καταλόγων χωρών)

json
{
"Name": "prod-web-acl",
"Scope": "CLOUDFRONT",
"DefaultAction": { "Allow": {} },
"Rules": [
{
"Name": "BurstLogin",
"Priority": 1,
"Statement": {
"RateBasedStatement": {
"Limit": 100,
"AggregateKeyType": "IP",
"ScopeDownStatement": { "ByteMatchStatement": {
"SearchString": "/login",
"FieldToMatch": { "UriPath": {} },
"TextTransformations": [{ "Priority": 0, "Type": "NONE" }],
"PositionalConstraint": "CONTAINS"
}}
}
},
"Action": { "Block": {} },
"VisibilityConfig": { "MetricName": "BurstLogin", "SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true }
}
]
}

Cloudflare (Κανόνες έκφρασης)


(http. request. uri. path contains "/admin" and ip. geoip. country ne "UA")
or (http. request. uri. path eq "/login" and cf. threat_score > 10)
or (http. request. uri. path contains "/api" and not http. request. headers["authorization"][0] contains "Bearer ")

NGINX: Απλός κανόνας μεθόδου/σώματος

nginx location /api/withdraw {
limit_except POST { deny all; }
if ($request_method = POST) {
set $cl $http_content_length;
if ($ cl = "") {return 411;} # length is required if ($ cl> 1048576) {return 413;} # ≤ 1MB add_header X-Idempotency-Required "true";
}
}

GraphQL: αστυνομικοί

'MaxDepth = 6', 'maxCost = 1000', απαγόρευση του '__ schema' στην πώληση, επιτρεπόμενος κατάλογος πράξεων, επικύρωση κεφαλίδων ('Τύπος περιεχομένου: εφαρμογή/json').

Αντιρρυπαντικοί και ανθρωπογενείς έλεγχοι

Αόρατη πρόκληση (προκλήσεις JS χωρίς captcha), απόδειξη εργασίας σε «ακριβά» μονοπάτια, συμπεριφορική ανάλυση (κινήσεις/συγχρονισμοί).
δακτυλικά αποτυπώματα, φήμη IP/ASN, καταλόγους διαμεσολαβητή/VPN (εντός λογικών ορίων).
Παγίδες (πεδία μελιού) σε μορφές, δυναμική μορφή/μάρκες συνεδρίας.
Προστασία της ιδιωτικής ζωής: ελαχιστοποίηση της παρακολούθησης, διαφανείς πολιτικές, επιλογές εξαίρεσης.

API εστίασης

Σχήμα-πρώτα: OpenAPI/JSON Schema για επικύρωση. απαγόρευση επιπλέον πεδίων.
Auth: υποχρεωτικός κομιστής JWT ή mTLS. απορρίπτει без «εξουσιοδότηση».
Συντελεστής/ποσόστωση: ανά κλειδί/ανά όργανο σε περίπτωση υπέρβασης - «μαλακό μπλοκ «/επιβράδυνση.
Webhooks: υπογραφή HMAC, 'timestamp + nonce', σύντομο παράθυρο υποδοχής.
GraphQL: βλ. Καταγραφή του ονόματος/της ετικέτας της πράξης.

Λήψεις και μέσα

Όριο μεγέθους, whitelists MIME/επεκτάσεις, μετονομασία αρχείων.

σάρωση AV (πολυκινητήρες), πολιτική ImoMagick (χωρίς επικίνδυνους αποκωδικοποιητές)·

Υπηρεσία αντίχειρα σε ξεχωριστό τομέα, σερβίρετε μόνο εικόνες.

Ασφάλεια των χορηγών και κρίσιμων περιοχών

Χωριστός τομέας/διαδρομή, mTLS/απαγόρευση από κοινό ASN/χώρες, όρια σκληρού επιτοκίου, πρόσβαση JIT, λίστα επιτρεπόμενων IP.
Επιπρόσθετα σήματα (στάση συσκευής, βαθμολογία κινδύνου) → απαιτούν δεύτερο έλεγχο.

Λειτουργίες, περιστατικά και εικονικά έμπλαστρα

Runbook: γρήγορη απελευθέρωση των κανόνων μπλοκ, περιορισμός TTL, κοινοποίηση εντολών.
Κριτήρια αναστροφής: ανάπτυξη 4xx/5xx> κατώφλι, κατώφλι FP>, p95 latency↑.
Μετά τη σφαγή: προσθήκη δοκιμής στο σύνολο κανόνων παλινδρόμησης, δέσμευση συναγερμού SIGMA στο SIEM.

Συμμόρφωση και ιδιωτικότητα

Log minimum: διαδρομή/μέθοδος/κωδικός/λόγος μπλοκ/αναγνωριστικά. μη φυλάσσετε τα μυστικά PII/σώματος.
Περίοδοι διατήρησης ημερολογίου πολιτικής· πρόσβαση - με ρόλους, κρυπτογράφηση στο δίσκο.

Χαρακτηριστικά για iGaming/fintech

Πληρωμές/πληρωμές/πορτοφόλια: ποσοστώσεις ανά ώρα, mTLS προς PSP, αυστηροί επιτρεπόμενοι κατάλογοι διαδρομών, HMAC για webhooks PSP.
Κατάχρηση ATO/bonus: κανόνες ταχύτητας για κώδικες σύνδεσης/εγγραφής/προώθησης, όρια συμπεριφοράς και αντι-bot.
Πάροχοι/στούντιο περιεχομένου: μεμονωμένοι τομείς/πολιτικές, κατάλογος αδειών IP/ASN, παρακολούθηση/μετατροπές χρόνου σε πορτοφόλι σχετικά με τον αντίκτυπο WAF.
Περιφερειακές απαιτήσεις: γεωπολιτικές πολιτικές (χώρες/περιφέρειες), διαφάνεια μεταχείρισης για το GDPR.

Χάρτης πορείας για την εφαρμογή

1. Απογραφή ζωνών (δημόσια, API, admin panel, downloads).
2. Βασικό προφίλ: TLS, επιτρεπόμενες μέθοδοι/διαδρομές, κανόνες διαχείρισης/ΗΣΚ.
3. Όρια ταχύτητας + αντισφαίριση σε ευαίσθητες οδούς.
4. Εικονικά έμπλαστρα και διαδικασία επειγόντων κανόνων (SLA ≤ 30 λεπτά).
5. CI/CD για κανόνες, στάθμευση/καναρίνι/σκιώδης τρόπος.
6. Τηλεμετρία, SLO, δοκιμές παλινδρόμησης των κανόνων.
7. Περιοδική επανεξέταση των εξαιρέσεων και «καθαρισμός» των παρακαμπτηρίων.

Κοινά σφάλματα

«Γύρισε σε όλα τα ΗΣΚ στο μέγιστο» → χιονοστιβάδα FP και εξάντληση της ομάδας.
Κανόνες χωρίς καναρίνια και σκιώδη λειτουργία.
Όχι κατακερματισμός: μία πολιτική για τα πάντα.
Αγνοώντας τις ιδιαιτερότητες API/GraphQL (σχήμα/όρια).
Αρχεία καταγραφής χωρίς συσχέτιση ('trace _ id') και χωρίς μετρήσεις ποιότητας.

ΣΥΧΝΈΣ ΕΡΩΤΉΣΕΙΣ

Το WAF αντικαθιστά τον ασφαλή κωδικό

Όχι, δεν είναι. Πρόκειται για ένα στρώμα μετριασμού και ένα «εικονικό έμπλαστρο», αλλά το τεχνικό χρέος του κώδικα πρέπει να εξαλειφθεί.

Πώς να καταλάβετε ότι ήρθε η ώρα να ενεργοποιήσετε σκληρά μπλοκ

Όταν η αναφορά σκιώδους λειτουργίας εμφανίζει χαμηλό ΠΠ και υπάρχουν δοκιμές παλινδρόμησης των κανόνων.

Χρειάζομαι ξεχωριστό WAF για το API

Καλύτερη WAAP/ενσωμάτωση με την πύλη API: σύστημα, όρια, επαλήθευση ταυτότητας, υπογραφές webhook.

Σύνολο

Η αποδοτική WAF/WAAP είναι ένας συνδυασμός βασικών κανόνων ΗΣΚ/διαχείρισης, θετικού μοντέλου, αντι-bot, ορίων και εικονικών εμπλάστρων, υποστηριζόμενων από διαδικασίες DevSecOps, τηλεμετρία και σαφείς SLO. Η προσέγγιση αυτή παρέχει ταχεία αντίδραση σε τρωτά σημεία, αντοχή σε αυτοματοποιημένες επιθέσεις και προβλέψιμο αντίκτυπο στην UX και τις επιδόσεις.