WAF blockiert SQL Injection, XSS und Bot-Traffic auf der Anwendungsschicht. Eine Defense-in-Depth-Schicht.

ModSecurity + OWASP CRS¶

Nginx¶

modsecurity on; modsecurity_rules_file /etc/modsecurity/crs/crs-setup.conf; modsecurity_rules_file /etc/modsecurity/crs/rules/*.conf;

AWS WAF¶

resource “aws_wafv2_web_acl” “main” { default_action { allow {} } rule { name = “aws-managed” statement { managed_rule_group_statement { vendor_name = “AWS” name = “AWSManagedRulesCommonRuleSet” } } } }

Wichtigste Erkenntnis¶

WAF ist Defense-in-Depth, kein Ersatz für sicheren Code. Beginnen Sie mit Managed Rules.