WAF

Дізнайтеся, як Web Application Firewall фільтрує HTTP-трафік і захищає застосунки від поширених атак.

Що таке WAF

Web Application Firewall (WAF) — це спеціалізований компонент безпеки, який аналізує HTTP-запити та відповіді й блокує ті, що схожі на атаки проти вебзастосунку.

WAF працює на рівні вебтрафіку:

HTTP та HTTPS;
URL і query-параметрів;
HTTP-заголовків;
cookies;
тіла запиту;
іноді — відповіді сервера.

Його основна мета — захистити вебзастосунок від поширених атак без необхідності змінювати код самого застосунку.

Типовий потік запиту виглядає так:

text

Клієнт
  ↓
WAF
  ↓
Reverse proxy або load balancer
  ↓
Вебзастосунок
  ↓
База даних та інші сервіси

text

1. Прийняти HTTP-запит
2. Нормалізувати його
3. Перевірити базові обмеження
4. Застосувати правила безпеки
5. Дозволити, заблокувати або записати подію

javascript

const http = require("node:http");
const { URL } = require("node:url");

const blockedPatterns = [
  /<script\b/i,          // Ознака простого XSS
  /\.\.(?:%2f|\/)/i,     // Спроба path traversal
  /\bunion\s+select\b/i, // Поширений шаблон SQL injection
  /\bor\s+1\s*=\s*1\b/i  // Поширений шаблон SQL injection
];

function containsAttackPattern(value) {
  return blockedPatterns.some((pattern) => pattern.test(value));
}

const server = http.createServer((request, response) => {
  const requestUrl = new URL(
    request.url,
    `http://${request.headers.host || "localhost"}`
  );

  const normalizedTarget = decodeURIComponent(
    `${requestUrl.pathname}?${requestUrl.searchParams.toString()}`
  );

  if (request.method !== "GET") {
    response.writeHead(405, { "Content-Type": "text/plain; charset=utf-8" });
    response.end("Метод не дозволено");
    return;
  }

  if (normalizedTarget.length > 2048) {
    response.writeHead(414, { "Content-Type": "text/plain; charset=utf-8" });
    response.end("URL задовгий");
    return;
  }

  if (containsAttackPattern(normalizedTarget)) {
    console.warn("WAF заблокував запит:", {
      method: request.method,
      path: requestUrl.pathname,
      ip: request.socket.remoteAddress
    });

    response.writeHead(403, { "Content-Type": "text/plain; charset=utf-8" });
    response.end("Запит заблоковано");
    return;
  }

  response.writeHead(200, { "Content-Type": "text/plain; charset=utf-8" });
  response.end("Запит дозволено");
});

server.listen(3000, () => {
  console.log("Навчальний WAF слухає http://localhost:3000");
});

text

Погано:
вимкнути всі правила для всього застосунку

Краще:
не застосовувати конкретне правило лише до POST /articles
для параметра body.content

WAF

Що таке WAF

Від яких атак захищає WAF

Як WAF приймає рішення

Нормалізація

Режими роботи

Detection або log-only

Blocking або prevention

Вбудовані та власні правила

Вбудовані правила

Власні правила

Приклад простого фільтра

Розміщення WAF в архітектурі

Хмарний WAF

WAF на reverse proxy

WAF перед load balancer

False positives і винятки

WAF і HTTPS

Журналювання та моніторинг

Обмеження WAF

Типові помилки

Вважати WAF заміною безпечного коду

Увімкнути блокування без тестування

Дозволити прямий доступ до origin

Створювати надто широкі винятки

Ігнорувати журнали

Довіряти IP-адресі як єдиній ознаці

Підсумок