Co to jest WAF i czy strona firmowa go potrzebuje

WAF (web application firewall) to filtr, który stoi przed Twoją stroną i odrzuca żądania wyglądające na atak, zanim dotrą one do WordPressa. Firmowa strona go potrzebuje wtedy, gdy przyjmuje jakiekolwiek dane od użytkownika: formularz kontaktowy, logowanie do panelu, koszyk albo komentarze. Nie zastępuje aktualizacji ani kopii zapasowej, ale kupuje czas między ujawnieniem luki w popularnej wtyczce a chwilą, w której ktoś ją u Ciebie załata.

Co to jest WAF

Zwykła zapora sieciowa patrzy na adresy i porty: przepuszcza ruch na port 443, blokuje resztę. To za mało, bo atak na stronę przychodzi dokładnie tym samym kanałem, którym przychodzą klienci, czyli zwykłym żądaniem HTTPS. WAF działa piętro wyżej. Zagląda do treści żądania: jakie parametry są w adresie, co siedzi w polach formularza, jakie nagłówki wysyła przeglądarka, i porównuje to z regułami opisującymi znane wzorce ataków.

Jeśli ktoś w polu wyszukiwarki na Twojej stronie wpisze fragment zapytania SQL, WAF rozpozna wzorzec i odrzuci żądanie z kodem 403, zamiast pozwolić WordPressowi wykonać je na bazie danych. Jeśli ten sam adres IP próbuje w minutę pięćdziesiąt razy zalogować się do panelu, WAF przestanie go obsługiwać. W obu przypadkach kod Twojej strony w ogóle nie zostanie uruchomiony, a to jest sedno pomysłu.

Przed czym realnie chroni WAF

Reguły w typowej konfiguracji zatrzymują kilka rodzin ataków, z którymi strona firmowa styka się codziennie:

• SQL injection. Próba przemycenia zapytania do bazy przez formularz albo parametr w adresie. Skutek przy udanym ataku to wyciek danych z bazy, łącznie z hasłami użytkowników panelu.
• Cross-site scripting (XSS). Wstrzyknięcie skryptu, który wykona się w przeglądarce odwiedzającego. Najczęściej służy do przekierowania ruchu na cudzą stronę albo podmiany numeru konta na fakturze wyświetlanej klientowi.
• Ataki na logowanie. Automatyczne zgadywanie haseł do panelu, prowadzone z setek adresów naraz. Bez limitu prób to kwestia czasu, a nie umiejętności.
• Skanowanie znanych luk. Boty odpytują tysiące stron o konkretne adresy plików z podatnych wersji wtyczek. WAF odrzuca te żądania jeszcze zanim wtyczka je zobaczy.
• Wysyłka spamu przez formularze. Boty zostawiające treści reklamowe w formularzach kontaktowych, które potem lecą z Twojego serwera i psują reputację domeny.

Najbardziej praktyczna funkcja nazywa się wirtualnym łataniem. Gdy ujawniona zostaje luka w popularnej wtyczce, reguła blokująca konkretny wzorzec żądania trafia do WAF w ciągu godzin, a Ty aktualizujesz wtyczkę wtedy, gdy autor wyda poprawkę i gdy ktoś ją u Ciebie przetestuje. Ten okres, zwykle od jednego do kilku dni, jest właśnie momentem, w którym masowe skanery przechodzą przez internet w poszukiwaniu niezałatanych instalacji.

Przed czym WAF nie ochroni

Tu trzeba być uczciwym, bo sprzedawcy zabezpieczeń chętnie tego nie mówią. WAF nie pomoże, gdy ktoś pozna Twoje hasło i zaloguje się normalnie, bo z punktu widzenia filtra to prawidłowe żądanie od uprawnionego użytkownika. Nie naprawi wtyczki, która sama wysyła dane w niezabezpieczony sposób. Nie cofnie skutków ataku, który już się udał, bo złośliwy kod siedzi wtedy w plikach na serwerze, po wewnętrznej stronie filtra. Nie zastąpi też kopii zapasowej, a to ona ratuje sytuację, gdy wszystko inne zawiedzie.

Druga rzecz to fałszywe alarmy. Zbyt agresywnie ustawione reguły potrafią zablokować rzeczy zupełnie zwyczajne: dłuższy tekst w formularzu, załącznik w nietypowym formacie, wtyczkę do importu produktów albo integrację z zewnętrznym systemem. Dlatego WAF wymaga dostrojenia do konkretnej strony i przeglądania logów przez pierwsze tygodnie, a nie jednorazowego włączenia przełącznika.

Czy moja firmowa strona potrzebuje WAF

Odpowiedź zależy od tego, co strona robi. Prosta wizytówka bez żadnego formularza, bez logowania i bez wtyczek zewnętrznych jest mało atrakcyjnym celem i WAF nie zmieni tam wiele. Za to każda strona, która przyjmuje dane albo pozwala się zalogować, jest atakowana automatycznie, bez związku z rozmiarem firmy. Skanery nie wybierają celów, tylko przechodzą po całych zakresach adresów.

Widać to szczególnie w branżach, gdzie strona jest jednocześnie kanałem kontaktu i zawiera dane wrażliwe. Gabinet lekarski, do którego pacjenci trafiają z internetowych wyszukiwarek specjalistów, ma formularz rejestracji przetwarzający dane o stanie zdrowia, a więc dane szczególnej kategorii w rozumieniu RODO. Kancelaria trzyma w skrzynce korespondencję objętą tajemnicą zawodową. W obu wypadkach koszt incydentu to nie tylko naprawa strony, ale też obowiązek zgłoszenia naruszenia.

WAF w hostingu, wtyczka czy usługa zewnętrzna

Są trzy sposoby wdrożenia i różnią się miejscem, w którym filtr stoi.

WAF po stronie serwera działa w warstwie serwera WWW, więc odrzucone żądanie nigdy nie uruchamia PHP. To najlżejsze rozwiązanie dla strony i najskuteczniejsze przy atakach masowych, bo zablokowany ruch nie zjada zasobów. Wadą jest to, że nie skonfigurujesz go sam, jeśli nie masz dostępu do serwera. My prowadzimy go po swojej stronie od planu Biznes, jako jedną z warstw zabezpieczenia strony WordPress, obok hardeningu i kopii przed każdą aktualizacją.

Wtyczka w WordPressie uruchamia się już wewnątrz PHP, więc każde żądanie, także to złośliwe, ładuje kawałek WordPressa, zanim zostanie odrzucone. Chroni dobrze przed logowaniem siłowym i skanowaniem, ale przy dużym ataku sama obciąża serwer. Za to jest w zasięgu każdego i zna kontekst WordPressa, więc reguły są celniejsze. Szerzej porównujemy te podejścia we wpisie o tym, czy wtyczka zabezpieczająca wystarczy.

WAF w chmurze stoi przed Twoją domeną, bo cały ruch przechodzi przez sieć dostawcy, zanim trafi na serwer. Radzi sobie najlepiej z ruchem wolumenowym, ale wymaga przepięcia DNS i oznacza kolejnego pośrednika przetwarzającego dane odwiedzających, co trzeba uwzględnić w dokumentacji RODO.

Co zrobić, zanim włączysz WAF

Kolejność ma znaczenie, bo filtr postawiony na zaniedbanej stronie daje złudne poczucie bezpieczeństwa. Najpierw zaktualizuj WordPressa, wtyczki i PHP, potem usuń wtyczki i motywy, których nie używasz, bo nieaktywna wtyczka z luką nadal leży na serwerze. Następnie włącz uwierzytelnianie dwuskładnikowe dla kont administratorów i sprawdź, czy kopia zapasowa faktycznie się wykonuje i czy potrafisz ją odtworzyć. Dopiero wtedy WAF ma co chronić.

Jeśli szukasz pełnej listy działań w kolejności od najważniejszych, zebraliśmy ją na stronie zabezpieczenia strony WordPress. Gdy zależy Ci na tym, żeby całość leżała po stronie dostawcy razem z aktualizacjami i kopiami, opisujemy ten zakres w hostingu dla małych firm.

Ile to kosztuje i co się opłaca

Samodzielna wtyczka w wersji płatnej to zwykle kilkaset złotych rocznie za stronę. WAF w chmurze zaczyna się od podobnych kwot i rośnie z ruchem. U nas filtr po stronie serwera, hardening i usuwanie złośliwego kodu mieszczą się w abonamencie od planu Biznes, czyli 79 zł netto miesięcznie, bez osobnej pozycji na fakturze. Dla porównania jednorazowe czyszczenie zainfekowanej strony u specjalisty to koszt liczony w setkach złotych, a do tego dochodzi przestój i wypadnięcie z wyników wyszukiwania, o czym piszemy we wpisie o koszcie naprawy zhakowanej strony.

Podsumowując: WAF jest wart włączenia na każdej stronie firmowej, która przyjmuje dane, ale traktuj go jako trzecią warstwę, nie pierwszą. Pierwsza to aktualizacje, druga to działająca kopia zapasowa, którą potrafisz odtworzyć. Dopiero na tym fundamencie filtr robi to, do czego naprawdę służy: daje Ci kilka dni spokoju wtedy, gdy w sieci pojawia się exploit na wtyczkę, której używa pół polskiego internetu.