![](/SYN/Blog/Vorlage/32103/image-thumb__32103__StyleSectionBegin-image-background/gradient-overlay-pink.png)
Lernen Sie in diesem Artikel, wie Ihre Daten und die Ihrer Kunden sicher mit einer internen Web Application Firewall (WAF) geschützt werden können und warum dies sinnvoll ist. Wir zeigen Ihnen Codeauszüge innerhalb einer kurzen Anleitung mit Tipps und Tricks.
Setup
In unserem hier dargestellten Szenario haben wir folgende Komponenten im Einsatz:
- Shopware
- NGINX Webserver
- ModSecurity v3
- Managed Kubernetes (Openstack by OVHcloud)
- ELK Stack
Die spezielle Herausforderung hierbei liegt bei der Trennung der Logs, da das Standardlogging rein über stdout funktioniert.
Warum eine Web Application Firewall sinnvoll ist und was sie genau macht
Das Open Web Application Security Project (OWASP) kategorisiert jährlich die größten Gefahren im Internet mit dem Ziel für mehr Sicherheit in Anwendungen und Diensten des World Wide Webs zu sorgen
Die aktuellen OWSAP TOP 10 besteht aus folgenden Gefahrenquellen:
- Injektion
- Defekte Authentifizierung
- Offenlegung sensibler Daten
- Externe XML Entitäten (XXE)
- Defekte Zugriffskontrolle
- Fehlkonfiguration
- Cross-site-Scripting
- Unsichere Deserialisierung
- Verwendung von Komponenten mit bekannten Schwachstellen
- Unzureichende Protokollierung und Überwachung
Eine Studie von Verizon verdeutlicht einen Anstieg von Angriffen auf Webanwendungen von 48 % auf 80 % innerhalb von 2020 auf 2021. Die Tendenz für 2022 ist steigend.
Aus diesem Grund ist eine Absicherung Ihrer E-Commerce-Plattform essenziell für die Datensicherheit. Folgende Abbildung veranschaulicht diese Absicherung mit einer zweistufigen WAF. Die Abbildung veranschaulicht exemplarisch den Datenverkehr von echten Usern und Angriffszenarien und den Schutz durch eine Web Application Firewall.
![](/SYN/Blog/Shopware%20auf%20der%20Ueberholspur/33854/image-thumb__33854__TextCombo-image-size-1-1/image2022-7-20_14-54-4-png.png)
Ein echter User geht über ihre Domain zum Shopsystem. Ein Hackangriff kann wahlweise über die Domain URL oder der IP Range vom Hostingprovider stattfinden. Daher ist es ratsam ein zweistufiges WAF-Konzept zu betreiben. Eine externe (bspw. mit Cloudflare) und eine interne, innerhalb des LAN vor der Anwendung (mit modsecurity).
Wir nutzen in diesem Fall ModSecurity als interne WAF. ModSecurity ist eine regelbasierte Engine, die Webanfragen mit ein Regelwerk filtert. Wenn die Prüfung erfolgreich ist, wird die HTTP-Anfrage an den Shop weitergeleitet. Wenn sie fehlschlägt, blockiert sie die Anfrage.
Über das Regelwerk lassen sich folgende Schwachstellen überwachen:
- SQL injection and Blind SQL injection.
- Cross Site Scripting (XSS).
- OS Command Injection and remote command access.
- File name injection.
- ColdFusion, PHP and ASP injection.
- E-Mail Injection
- HTTP Response Splitting.
- Universal PDF XSS.
- Trojans & Backdoors Detection
Die externe WAF, welche in der Regel von einem Anbieter gemanaged wird, würde zudem einen erweiterten Schutz bedeuten, mit dem auch beispielsweise Zero-Day Attacken frühzeitig geblockt werden können.
Doch was ist notwendig, um die interne Web Application Firewall aufzusetzen? Im Folgenden zeigen wir dir, wie du es umsetzen kannst!
Konfiguration Modsecurity
Für eine einfache Übermittlung wurde die ModSecurity so eingestellt, dass die Einträge im JSON Format gespeichert werden. Hierdurch wird im weiteren Verlauf die Transformation in die ELK Stack Objekte sehr vereinfacht.
Folgende Annotations müssen am Ingress hinzugefügt werden, damit Modsecurity aktiviert ist:
ModSecurity Config:
![](/SYN/Blog/Shopware%20auf%20der%20Ueberholspur/33858/image-thumb__33858__TextCombo-image-size-1-1/image-png.png)
Weiterhin muss der Ingress Controller so angepasst werden, dass er zwischen reinen NGINX Logs und denen von Modsecurity unterscheidet. Hierfür muss folgender Auszug integriert werden.
Dem Pod wird ein weiterer Container hinzugefügt, welcher die ModSecurity Logs seperiert:
![](/SYN/Blog/Shopware%20auf%20der%20Ueberholspur/33852/image-thumb__33852__TextCombo-image-size-1-1/image-png-1.png)
Konfiguration Filebeat
Für die Überführung der Log Einträge aus dem modsecurity Audit log gibt es 2 Varianten.
- Elastic Agent: ModSecurity Audit log
- File Beat
Da die Realisierung über File Beat für Kubernetes besser geeignet ist, gehen wir im weiteren Verlauf auf diese Variante ein.
Um die zuvor seperierten Logs in den ELK Stack zu übertragen, verwenden wir die filebeat.autodiscover Funktion.
Wir trennen die Logs über das Label "kubernetes.container.name". Dies ist notwendig, da das Audit File ansonsten mit dem aktuellen Standard NGINX Pipeline von elastic verarbeitet werden würde und dieses mit jedem neuen Release automatisch überschrieben wird. Damit wir die Nachrichten besser von einander trennen können, haben wir zudem, wie oben beschrieben, Modsecurity die Erweiterung "mod-security-logger" in Kubernetes angefügt.
![](/SYN/Blog/Shopware%20auf%20der%20Ueberholspur/33856/image-thumb__33856__TextCombo-image-size-1-1/image-png-2.png)
Konfiguration Elastic Pipeline
Da wir, wie oben beschrieben, JSON Formate übermitteln, ist die Pipeline in Elastic rein auf die Transformation dieses Objektes beschränkt. Hierfür bietet elastic eine vordefinierte Methode "json" an. Diese muss zweimal hintereinander ausgeführt werden, um eine automatische Transformation durchzuführen. Warum das so ist, fragen Sie bitte nicht ;).
![](/SYN/Blog/Shopware%20auf%20der%20Ueberholspur/33853/image-thumb__33853__TextCombo-image-size-1-3/image-png-3.png)
Folgend dargestellt ein beispielhafter Angriff, der die ".env" Datei versucht zu öffnen.
{"transaction":{"client_ip":"5.147.64.XXX","time_stamp":"Tue Jun 28 20:47:07 2022","server_id":"ffbd70bb61277107b0608c3d2be5824751fecdce","client_port":58758,"host_ip":"10.2.0.XXX","host_port":443,"unique_id":"70b0ae977efcb4521a4795c94bc87c9b","request":{"method":"GET","http_version":2.0,"uri":"/Products/RNA-Extraction/.env"},"response":{"http_code":403},"producer":{"modsecurity":"ModSecurity v3.0.5 (Linux)","connector":"ModSecurity-nginx v1.0.2","secrules_engine":"Enabled","components":["OWASP_CRS/3.3.2\""]},"messages":[{"message":"Restricted File Access Attempt","details":{"match":"Matched \"Operator `PmFromFile' with parameter `restricted-files.data' against variable `REQUEST_FILENAME' (Value: `/Products/RNA-Extraction/.env' )","reference":"o24,5v4,29t:utf8toUnicode,t:urlDecodeUni,t:normalizePathWin,t:lowercase","ruleId":"930130","file":"/etc/nginx/owasp-modsecurity-crs/rules/REQUEST-930-APPLICATION-ATTACK-LFI.conf","lineNumber":"105","data":"Matched Data: /.env found within REQUEST_FILENAME: /products/rna-extraction/.env","severity":"2","ver":"OWASP_CRS/3.3.2","rev":"","tags":["application-multi","language-multi","platform-multi","attack-lfi","paranoia-level/1","OWASP_CRS","capec/1000/255/153/126","PCI/6.5.4"],"maturity":"0","accuracy":"0"}},{"message":"Inbound Anomaly Score Exceeded (Total Score: 5)","details":{"match":"Matched \"Operator `Ge' with parameter `5' against variable `TX:ANOMALY_SCORE' (Value: `5' )","reference":"","ruleId":"949110","file":"/etc/nginx/owasp-modsecurity-crs/rules/REQUEST-949-BLOCKING-EVALUATION.conf","lineNumber":"80","data":"","severity":"2","ver":"OWASP_CRS/3.3.2","rev":"","tags":["application-multi","language-multi","platform-multi","attack-generic"],"maturity":"0","accuracy":"0"}}]}}
Aus diesem JSON Array sind für die weitere Analyse folgende Attribute besonders wichtig:
- modsecurity.transaction.client_ip - Angreifer ip
- modsecurity.transaction.messages.details.file - Angreifer Name
- modsecurity.transaction.messages.details.ruleId <- modsecurity regel
- modsecurity.transaction.messages.details.match: Detailinformationen
- modsecurity.transaction.request.uri - URL Aufruf
Ausnahmen hinzufügen
Nach Aktivierung der WAF kann es vorkommen, dass einige gewollte Zugriffe blockiert werden.
Diese unterscheiden sich je nach Applikation und eingesetzten Erweiterungen und müssen daher individuell ermittelt werden.
Will man Ausnahmen für diese Zugriffe hinzufügen, ist folgendes zu tun:
- modsecurity.transaction.messages.details.ruleId - aus diesem Feld kann die ID der Regel entnommen werden. Beispiel: "932115"
Nun folgenden Eintrag unterhalb von "nginx.ingress.kubernetes.io/modsecurity-snippet: |" hinzufügen:
SecRuleRemoveById 932115
Konfiguration Elastic Kibana Dashboard
Für die Aufbereitung der Log im ELK Stack stellen wir euch folgendes von uns definiertes Dashboard zur Verfügung: Dieses zeigt eine Gruppierung der Angreifer nach Uhrzeit, Angriffstyp , Angriffsregion sowie die eigentlichen Angriffe.
![](/SYN/Blog/Shopware%20auf%20der%20Ueberholspur/33857/image-thumb__33857__TextCombo-image-size-1-1/image-png-Aug-18-2022-06-03-46-87-PM.png)
Vertiefe dein Wissen mit uns
![](/SYN/Blog/33403/image-thumb__33403__MediumTileGrid-item-main-s1-3/insights%20-70.jpg)
Mit KI-Suche zu personalisierten Sucherlebnissen
![](/SYN/Blog/33395/image-thumb__33395__MediumTileGrid-item-main-s1-3/insights%20-78.jpg)
E-Commerce, KI und Personalisierung im Schäfer Shop
![](/SYN/Blog/Wie%20sicher%20sind%20deine%20Systeme/33528/image-thumb__33528__MediumTileGrid-item-main-s1-3/Wie%20sicher%20sind%20deine%20Systeme.jpg)
Wie sicher sind deine Systeme?
![](/SYN/Blog/33502/image-thumb__33502__MediumTileGrid-item-main-s1-3/insights%20-79.jpg)
So personalisiert KI mit Datenanalyse deinen Onlineshop
![](/SYN/Blog/33396/image-thumb__33396__MediumTileGrid-item-main-s1-3/insights%20-77.jpg)
Vom Gästeerlebnis zur Kundenbindung: CX-Strategien im Okura
![](/SYN/Blog/33397/image-thumb__33397__MediumTileGrid-item-main-s1-3/insights%20-76.jpg)
E-Commerce-Strategie: Augmented Reality für bessere CX
![](/SYN/Blog/33398/image-thumb__33398__MediumTileGrid-item-main-s1-3/insights%20-75.jpg)
Zukunft:Omnichannel-Strategien für ROI und Kundenzentrierung
![](/SYN/Blog/33400/image-thumb__33400__MediumTileGrid-item-main-s1-3/insights%20-73.jpg)
Digitaler Erfolg durch gemeinsame Unternehmenswerte
![](/SYN/Blog/33401/image-thumb__33401__MediumTileGrid-item-main-s1-3/insights%20-72.jpg)
Effizienzmaximierung durch KI, Personalisierung & Daten
![](/SYN/Blog/33402/image-thumb__33402__MediumTileGrid-item-main-s1-3/insights%20-71.jpg)
Personalisierung als Herzstück der Sales& Marketing-Strategy
![](/SYN/Blog/%C3%9Cberwindung%20der%20Kreativit%C3%A4tsblockade/33537/image-thumb__33537__MediumTileGrid-item-main-s1-3/Ueberwindung%20der%20Kreativitaetsblockade_visual.jpg)
Überwindung der Kreativitätsblockade
![](/SYN/Blog/Top%205%20Superkr%C3%A4fte%20f%C3%BCr%20Product%20Owner/34047/image-thumb__34047__MediumTileGrid-item-main-s1-3/Blogbeitrag%20Visuals%20-%20Top%205%20Superkr%C3%A4fte.jpg)
Diese Top 5 Superkräfte machen Product Owner unverzichtbar
![](/SYN/Blog/33404/image-thumb__33404__MediumTileGrid-item-main-s1-3/insights%20-69.jpg)
Erfolg im E-Commerce: UNGER setzt auf digitale Innovation
![](/SYN/Blog/Ein%20Public%20Cloud%20Cheat%20Sheet%20der%20f%C3%BChrenden%20Cloud%20Provider/33530/image-thumb__33530__MediumTileGrid-item-main-s1-3/Ein%20Public%20Cloud%20Cheat%20Sheet_visual.jpg)
Ein Public Cloud Cheat Sheet der führenden Cloud Provider
![](/SYN/Blog/Die%20bevorstehende%20Let%27s%20Encrypt%20Aktualisierung%20und%20ihre%20Auswirkungen/33531/image-thumb__33531__MediumTileGrid-item-main-s1-3/Lets%20encrypt%20Aktualisierung_visual.jpg)
Die bevorstehende Let's Encrypt Aktualisierung
![](/SYN/Blog/33405/image-thumb__33405__MediumTileGrid-item-main-s1-3/insights%20-68.jpg)
D2C: Kundenorientierung und Personalisierung im E-Commerce
![](/SYN/Blog/33405/image-thumb__33405__MediumTileGrid-item-main-s1-3/insights%20-68.jpg)
Mit Digital Nudging die Conversion Rate im Commerce steigen
![](/SYN/Blog/33407/image-thumb__33407__MediumTileGrid-item-main-s1-3/insights%20-66.jpg)
Digitalisierung beginnt mit veränderter Denkweise
![](/SYN/Blog/Kann%20der%20Hosting-Anbieter%20OVHcloud%20gegenueber%20der%20Hyperscaler%20ueberzeugen/33529/image-thumb__33529__MediumTileGrid-item-main-s1-3/Kann%20der%20Hosting-Anbieter-OVHcloud-ueberzeugen_visual.jpg)
Kann der Hosting-Anbieter OVHcloud überzeugen?
![](/SYN/Blog/33501/image-thumb__33501__MediumTileGrid-item-main-s2-3/insights%20-80.jpg)
Mit modernen Order-Management-Systemen zu zufriedenen Kunden
Jetzt Blog abonnieren und keine News mehr verpassen
✔️kostenlos ✔️jede Woche News ✔️Expertenwissen