Web Application Firewalls als Schutzwall für Web Services

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Onapsis Europe GmbH

Web Application Firewalls in der Praxis

Giegerich & Partner hat bereits seit ein paar Jahren umfangreiche Erfahrung im Umgang mit der Barracuda Web Application Firewall gesammelt. Erst der Einsatz eines solchen Gerätes in der Praxis zeigt, welchen Angriffen ein Webserver im Internet ausgesetzt ist. Es verwundert nicht, dass die Medien vermehrt über Datenpannen berichten, bei denen es Angreifern gelingt an sensible Kundeninformationen oder interne Daten von Unternehmen zu gelangen.

Im Gegensatz zu anderen Vertretern dieser Produktgruppe ist die Barracuda Web Application Firewall erfrischend übersichtlich gestaltet und vergleichsweise einfach zu bedienen: Wie bei Barracuda üblich wird die Maschine über ein Web Frontend direkt im Browser administriert und konfiguriert. Die Prämisse von Barracuda, Produkte auf den Markt zu bringen, die einfach und effektiv sind und dabei keinerlei Anwender- oder sonstige Mengenlizensierungen beinhalten, wurde bei der Entwicklung der WAF konsequent durchgesetzt.

Die Grundeinrichtung für eine Applikation ist sogar inklusive Load Balancing und SSL in der Regel mit minimalem Zeitaufwand von unter einer halben Stunde möglich. Dies soll allerdings nicht darüber hinweg täuschen, dass eine gründliche Konzeption und Konfiguration erforderlich ist, wenn wirklich ein individueller und umfassender Schutz einer Web Applikation erreicht werden soll. Der Zugriff erfolgt über lokale Anwender, es ist aber auch eine Nutzung vorhandener Strukturen wie z. B. Microsoft Active Directory oder Radius möglich. Einem Benutzer kann aber auch nur ein eingeschränkter, rollenbasierter Zugriff auf bestimmte Applikationen zugewiesen werden.

Der Status einer Applikation, oder eines einzelnen Servers wird direkt auf der Statusseite angezeigt. Die Antworten der einzelnen Server werden kontinuierlich überwacht, so dass die WAF einen nicht funktionierenden Server automatisch aus dem Load Balancing entfernen oder auf einen Backup-Server umschalten kann. Der Administrator kann bei Bedarf auch einzelne Server – z.B. für Wartungsarbeiten – deaktiveren.

Ein weiterer Pluspunkt ist: die Web Application Firewalls von Barracuda gehören zu den ersten Sicherheitssystemen ihrer Art, die nach dem US-amerikanischen Payment Card Industry Data Security Standard (PCI DSS) zertifiziert wurden. PCI DSS ist eine im Jahr 2004 von den vier großen Kreditkartenunternehmen Visa, MasterCard, Discover und American Express gemeinsam aufgestellte Verfahrensrichtlinie zur Sicherheitsoptimierung bei Kredit-, Kunden- und EC-Karten-Transaktionen und zum Schutz der Karteninhaber vor dem Missbrauch ihrer persönlichen Daten. Mit diesem Standard wird unter anderem die Aufrechterhaltung eines sicheren Netzwerkes für die Durchführung von Transaktionen durch die Verwendung widerstandsfähiger und effektiv arbeitender Firewalls als ein wichtiges Kriterium definiert.

Die Barracuda Web Application Firewall ist in verschiedenen Modellen erhältlich – angefangen mit dem Modell 360. Die Modelle unterscheiden sich in ihren Leistungsdaten, Redundanz-Optionen und teilweise in einzelnen (Zusatz-)Funktion. Wie bei allen Barracuda-Produkten ist eine kostenfreie Testphase für 30 Tage möglich.

Über die Autoren

Andreas Küchler ist Leiter Netzwerke und Service des IT-Systemhauses Giegerich & Partner in Dreieich (bei Frankfurt/M.), Detlev Spierling ist freier IT-Fachjournalist in Oberursel (bei Frankfurt/M.).

(ID:2044338)