WAF и IPS — что это, как работает и в чем разница

Киберугрозы — проблема, с которой может столкнуться любая компания. Такие атаки, как SQL-инъекций могут привести к утечке данных и полностью парализовать сервис. Защита от подобных угроз — необходимость и для этого могут применяться два инструмента: WAF и IPS. Чтобы обезопасить сеть максимально эффективно, следует понимать, что представляют собой эти решения и чем отличаются они друг от друга.

Что такое WAF

Аббревиатура WAF расшифровывается как Web Application Firewall. Это межсетевой экран, специально созданный для защиты веб-приложений от внешних угроз. Он размещается перед защищаемыми ресурсами и представляет собой набор программных фильтров и мониторов, которые обнаруживают вредоносную активность и позволяют вовремя принять меры.

С помощью WAF можно обеспечить эффективную защиту от следующих видов сетевых угроз:

• SQL инъекции (SQL injection, SQLi) — внедрение вредоносного SQL-кода в поля ввода, API или URL, чтобы получить доступ к базе данных.
• Межсайтовый скриптинг (Cross-site scripting, XSS) — внедрение вредоносного JavaScript кода, который выполняется в браузере пользователей, заходящих на сайт.
• DDoS атаки на уровне приложения — огромное количество запросов, которое перегружает сервер и блокирует доступ к сайту.
• Подбор паролей — автоматические многократные попытки войти в аккаунт, перебирая все возможные или наиболее вероятные комбинации логина и пароля.
• Автоматизированные угрозы — боты, действие которых направлено на сканирование конкретных уязвимостей веб-приложений, перебор учетных данных, сбор контента, перегрузку сервиса.
• Атаки на API — попытки обойти авторизацию или получить несанкционированный доступ к данным через программные интерфейсы приложения.

Выделяют четыре основных типа WAF:

01Аппаратный

Физические устройства, которые устанавливаются в IT-инфраструктуре компании. Они требуют капитальных затрат на закупку, а также регулярного технического обслуживания.

02Программный

ПО, которое разворачивается на собственных серверах организации. Требует выделенных ресурсов на администрирование, но взамен дает полный контроль над настройками безопасности.

03Облачный

Решения по модели SaaS. Не требуют закупки оборудования, провайдер берет на себя обслуживание и обновления, а масштабирование под растущий трафик не вызывает сложностей.

04Open source

Системы с открытым исходным кодом. Их главный плюс — возможность глубоко настраивать и адаптировать защиту под специфические задачи конкретного бизнеса.

Как работает WAF

WAF анализирует трафик в реальном времени, расшифровывает пакеты данных и проверяет их содержимое. Обычно он работает как обратный прокси: весь входящий трафик сначала проходит через него и только после проверки передается на сервер приложения. Это позволяет выявлять атаки до того, как они достигнут уязвимых компонентов.

Основные функции WAF:

• фильтрация вредоносного трафика еще до того, как он попадает на сервер;
• выявление аномалий и обнаружение ранее неизвестных атак;
• защита от автоматизированных угроз, ботов;
• сбор информации о подозрительной активности и заблокированных атаках.

Для анализа запросов и выявления угроз используются следующие подходы:

• Модель разрешенного поведения — система пропускает только запросы, соответствующие заданным правилам, а все отклонения блокирует.
• Сигнатурный анализ — проверка запросов на соответствие известным шаблонам атак.

Комбинирование этих подходов позволяет эффективнее выявлять как известные, так и новые типы атак.

Что такое IPS

Intrusion Prevention System (IPS) переводится как «система предотвращения вторжений». Это решение, которое в режиме реального времени обнаруживает подозрительную активность и автоматически блокирует ее. IPS обычно включает два ключевых механизма: выявление угроз и их немедленное предотвращение.

Системы IPS различаются по способу обнаружения угроз:

01Сигнатурные

Сравнивают трафик с базой известных шаблонов атак и выявляют совпадения.

02На основе правил

Анализируют поведение трафика по заранее заданным условиям и блокируют отклонения от нормальной активности

03На основе аномалий

Определяют угрозы по отклонениям от типичного поведения системы.

Независимо от подхода, основная задача IPS — своевременно обнаружить подозрительную активность и сразу же ее остановить.

Как работает IPS

IPS анализирует трафик в реальном времени и автоматически реагирует на выявленные угрозы. При обнаружении подозрительной активности система:

• сопоставляет трафик с базой известных сигнатур атак и аномалий;
• разрывает подозрительное соединение;
• блокирует IP-адрес источника атаки;
• фильтрует вредоносные пакеты данных.

Таким образом, IPS не только фиксирует угрозу, но и немедленно ее нейтрализует без ручного вмешательства.

Чем отличаются WAF и IPS

WAF и IPS во многом похожи: оба используют сигнатурный анализ для выявления известных угроз. Однако у каждого из этих решений своя область применения и свои сильные стороны:

• WAF вскрывает пакеты данных и анализирует их содержимое, что позволяет выявлять атаки прикладного уровня — XSS, SQLi, обход авторизации через API. IPS расшифровкой трафика не занимается, поэтому такие атаки остаются для него невидимыми.
• В защите от DDoS-атак и эксплуатации сетевых уязвимостей IPS эффективнее: он анализирует трафик на сетевом уровне и блокирует угрозы до того, как они достигают приложения.
• WAF и IPS анализируют трафик на разных уровнях: WAF разбирает логику запросов, IPS проверяет трафик на предмет аномалий.
• WAF заточен под HTTP/HTTPS-трафик и специализируется на защите веб-приложений и API, тогда как IPS охватывает несколько уровней модели OSI и способен защищать хосты, сети и устройств.

WAF и IPS не взаимозаменяемы: каждый решает свои задачи и закрывает разные векторы атак. Выбор между ними зависит от инфраструктуры компании, потребностей бизнеса и актуальных угроз. Многие организации используют оба инструмента одновременно — это позволяет выстроить более надежную защиту.