10 beste webapplicatie-firewalls (WAF-leveranciers) beoordeeld in 2021

Web Application Firewalls – of WAF’s – zijn een relatief nieuw soort firewall. Ze blokkeren of staan ​​niet alleen verkeer toe op basis van IP-adressen en poorten, ze gaan nog een stap verder om verkeer te analyseren en beslissingen te nemen op basis van een reeks vooraf gedefinieerde bedrijfsregels.

Zoals hun naam al aangeeft, is hun belangrijkste doel het beveiligen van webgebaseerde applicaties. Het kiezen van een Web Application Firewall kan een ontmoedigende taak zijn. Ze bestaan ​​als een cloudgebaseerde service of als een apparaat, elk met zijn voordelen en tekortkomingen. Daarom hebben we deze lijst met de 10 beste Web Application Firewalls samengesteld. Het zal u helpen productkenmerken van verschillende leveranciers te evalueren.

In dit artikel beginnen we met een discussie over Web Applications Firewalls, wat ze zijn en waarvoor ze dienen. Vervolgens vergelijken we cloudgebaseerde en apparaatgebaseerde systemen en zetten we de voor- en nadelen van elk op een rij. Zoals je zult zien, is het meer dan alleen een filosofische keuze. Nadat we klaar zijn met het uitleggen van de basisprincipes van WAF's, duiken we in de kern van ons onderwerp en presenteren we niet één maar twee lijsten. Eerst bekijken we de vijf beste cloudgebaseerde WAF's en vervolgens bekijken we de vijf beste WAF-apparaten .

WAF's in een notendop

Zoals we in onze inleiding al zeiden, is een Web Application Firewall een speciaal soort apparaat. Het kan worden gebruikt om webgebaseerde applicaties veel beter te beveiligen dan wat mogelijk is met standaard firewalls. Een typische WAF beschermt een website tegen verschillende soorten aanvallen, zoals cross-site scripting, cookie-vergiftiging, webscraping, manipulatie van parameters, bufferoverloop en nog veel meer soorten kwetsbaarheden.

In tegenstelling tot traditionele firewalls die hun beslissing om verkeer toe te staan ​​of te blokkeren baseren op eenvoudige parameters zoals IP-adres of poortnummer, baseren WAF's hun beslissing meestal op een diepgaande analyse van de HTML-gegevens. Ze onderzoeken verzoeken om kwaadaardige gedragspatronen te herkennen. Ze zullen ook HTTPS-verkeer decoderen om ervoor te zorgen dat er geen kwaadaardige code wordt ingevoegd in versleutelde pakketten. Web Application Firewalls zullen op zoek zijn naar bekende malware-handtekeningen, maar ze zullen ook misvormde of niet-standaard verzoeken onderscheppen voor de best mogelijke bescherming.

Op zichzelf biedt een Web Application Firewall een goede mate van bescherming, maar wanneer u deze bundelt met andere beveiligingssystemen, zoals standaard firewalls of antivirussoftware, krijgt u de beste dekking tegen het grootste aantal bedreigingen. Meer dan ooit moeten netwerkbeheerders een holistische benadering van malwarepreventie hanteren.

Cloudgebaseerd of apparaat?

Er zijn in wezen twee soorten webtoepassingsfirewalls. WAF's kunnen cloudgebaseerd zijn of als een apparaat worden uitgevoerd. Cloudgebaseerde WAF's worden gehost door de leverancier. Alle verzoeken naar uw website worden doorgestuurd - via de magie van DNS - naar uw WAF-instantie waar het wordt geverifieerd voordat het wordt doorgestuurd naar uw eigenlijke site.

Appliance WAF's zijn hardwareapparaten. Het zijn gespecialiseerde computers, meestal zonder gebruikersinterface zoals een scherm en toetsenbord met een aangepast besturingssysteem en de Web Application Firewall-software. Ze worden meestal geïnstalleerd in uw datacenter en bevinden zich tussen uw traditionele firewall en uw webservers waar ze verzoeken die ernaartoe gaan onderscheppen.

Voor- en nadelen van cloudgebaseerde WAF's

Positief is dat een cloudgebaseerde oplossing geen onderhoud vereist, aangezien deze wordt afgehandeld door de leverancier. Deze oplossingen hebben doorgaans ingebouwde functies voor redundantie of hoge beschikbaarheid. De leverancier zorgt doorgaans ook voor systeemback-ups. Een ander voordeel is dat de WAF-service vaak kan worden gekoppeld aan andere services van dezelfde leverancier. U kunt bijvoorbeeld de contentdistributie en WAF-functies van één provider combineren voor een naadloos geïntegreerde oplossing.

Maar cloudgebaseerde WAF's hebben ook een paar nadelen. Een van de belangrijkste is dat ze u voor veel services bij één enkele provider kunnen vergrendelen. Aangezien al het verkeer naar uw website moet worden omgeleid naar de cloudprovider, heeft u bijna geen andere keuze dan hun andere beveiligingsdiensten zoals een traditionele firewall te gebruiken.

Voor- en nadelen van WAF-apparaten

Het grote voordeel van WAF toestellen is dat je alles in huis hebt. Het geeft u volledige controle over elk detail van uw infrastructuur. Het betekent ook dat u vrij bent om verschillende componenten van verschillende leveranciers te kiezen.

Het nadeel is dat het gebruik van een apparaat betekent dat je het moet onderhouden. En u zult het moeten upgraden naarmate uw verkeer toeneemt. Het gebruik van een hardware-oplossing betekent ook veel hogere initiële kosten, aangezien alle apparatuur vanaf het begin moet worden aangeschaft. Uiteindelijk is de keuze aan u, maar u moet zich mogelijk laten leiden door uw specifieke behoeften in plaats van eerst één type installatie te kiezen.

Onze top 5 beste cloudgebaseerde WAF's

We hebben een lijst samengesteld met de vijf best op basis van webapplicaties gebaseerde firewalls. Ze zijn allemaal van gerenommeerde leveranciers en bieden veel waar voor uw geld. We kunnen de ene niet echt aanbevelen boven de andere, omdat het allemaal uitstekende producten zijn.

1. Cloudflare WAF

Cloudflare heeft een uitstekende reputatie opgebouwd voor het beschermen van webservers tegen DDoS-aanvallen. Het serviceaanbod omvat ook een Web Application Firewall. De service heeft al een enorm klantenbestand en de servers verwerken momenteel bijna drie miljoen verzoeken per seconde. En als je de website van Cloudflare bezoekt , zul je zien dat op de laatste dag meer dan 400 miljoen WAF-regels zijn geactiveerd.

Een van de belangrijkste voordelen van het gebruik van een cloudservice met zo'n breed klantenbestand is dat u kunt profiteren van de informatie die u van andere klanten hebt verkregen. Als er bijvoorbeeld een aanvalspoging wordt gedetecteerd bij een andere client, wordt een nieuwe handtekening gemaakt en toegepast op alle clients. Een ander voordeel van de oplossing van Cloudflare is dat ze ook content delivery en DDoS-bescherming bieden.

2. Akamai Kona Site Defender

Akamai is de wereldleider op het gebied van content delivery-systemen. Door de jaren heen heeft het bedrijf meer functionaliteiten aan haar aanbod toegevoegd. Kona Site Defender , zoals hun WAF heet, is daar een van. De Web Application Firewall integreert volledige DDoS-bescherming. En natuurlijk is de WAF-service ook eenvoudig te combineren met andere Akamai-services zoals het Content Delivery Network. Zodra uw verkeer is omgeleid naar Akamai, kunt u er net zo goed uw voordeel mee doen en zoveel diensten gebruiken als u nodig heeft.

Vanwege zijn omvang en klantenbestand ontdekt Akamai nieuwe exploits vaak eerder dan andere leveranciers. Als gebruiker van Kona Site Defender profiteert u van dit concurrentievoordeel en krijgt u effectief een sterkere bescherming met mogelijk betere blokkering van zero-day exploits.

3. F5 Silverline

F5 staat vaak beter bekend om zijn BIG-IP-appliances dan om zijn clouddiensten. In een notendop, F5 Silverline is de online versie van het uitstekende BIG-IP ASM-apparaat van het bedrijf dat hieronder wordt besproken. Het is beschikbaar als een beheerde service of als wat F5 noemt als een express selfservice om webapplicaties en gegevens te beschermen tegen steeds veranderende bedreigingen. Abonnementen kunnen een looptijd van één jaar of drie jaar hebben. 24-uurs live ondersteuning is bij de service inbegrepen.

Een groot voordeel van deze cloudgebaseerde service is dat deze een gedistribueerde of in de cloud gehoste infrastructuur kan beschermen. De bescherming omvat laag 7 DDoS-afscherming en blokkeert ook geanonimiseerde adressen zoals die welke deel uitmaken van het Tor-netwerk. Het systeem maakt ook gebruik van een live zwarte lijst van bekende phishing-beoefenaars en webschrapers. En aangezien deze zwarte lijst door alle klanten wordt gedeeld, profiteert u van alle informatie die u bij een andere klant hebt opgedaan.

4. Amazon-webservices WAF

Amazon Web Services - of AWS - is de algemeen bekende cloudgebaseerde hostingservice van de online marktplaats. Het profiteert van de enorme gedistribueerde infrastructuur van Amazon om hostingdiensten aan te bieden. Als u een klant bent van de Amazon Web Services, is de AWS WAF misschien iets voor u. Amazon Web Service biedt ook load-balancing en content delivery service.

Het prijsmodel van de Amazon Web Services WAF verschilt van andere leveranciers. In plaats van elke maand een vooraf bepaald bedrag te betalen, wordt u gefactureerd voor elke beveiligingsregel die u aan uw service toevoegt en voor het aantal webverzoeken dat elke maand wordt ontvangen. Het beste hiervan is dat u niet meteen hoeft te betalen voor toekomstige groei. Ook voor organisaties met seizoenspieken is het zeer interessant.

5. Imperva Incapsula

Imperva is een andere veel voorkomende naam op het gebied van IT-beveiliging. De  cloudgebaseerde webtoepassingsfirewall van Incapsula De beheerde service van Imperva voor bescherming tegen aanvallen op de toepassingslaag, inclusief alle top 10-aanvallen van Open Web Application Security Project en zero-day-bedreigingen. De service is PCI-gecertificeerd en in hoge mate aanpasbaar. Het is ook zeer effectief en blokkeert de meeste bedreigingen met minimale valse positieven.

Incapsula is een van de goedkoopste cloudgebaseerde WAF-oplossingen die u kunt vinden. Plannen beginnen al vanaf $ 300 per maand. Een geweldige functie van Incapsula is dat het systeem naast een meer "traditionele" WAF ook uw servers onderzoekt en patches verzendt om gevonden problemen aan te pakken, waardoor uw webapplicaties beter worden beschermd. U kunt natuurlijk plannen dat patches worden toegepast op elk gewenst moment om uw operationele impact te verminderen.

Onze top 5 beste WAF-apparaten

Net zoals onze top 5 cloudgebaseerde WAF-oplossingen allemaal van bekende leveranciers waren, is dat het geval met onze WAF-appliances. Ze zijn van enkele van de meest gerenommeerde leveranciers van beveiligingsapparatuur. En net als onze vorige lijst, heeft deze niets dan het beste. Merk op dat de meeste leveranciers van WAF-appliances ook een cloudgebaseerde service aanbieden.

1. Imperva SecureSphere

Imperva is een van de twee leveranciers die in onze beide lijsten is opgenomen. De SecureSphere WAF is gericht op kleinere installaties. De verschillende eenheden die ze voorstellen, variëren in doorvoer van 100 Mbps tot 10 Gbps, waarbij de kleinste 440 SSL-transacties per seconde kan verwerken en de grotere ongeveer 9000. Een mid-tier-eenheid, de X2020 heeft een doorvoer van 500 Mbps, zal 2000 SSL verwerken transacties per seconde en kost u zo'n $4200.

Als u een van de topmodellen kiest, zult u blij zijn te horen dat ze kunnen worden geüpgraded naar het volgende grotere model. De X821 kan bijvoorbeeld worden geüpgraded naar een X 10K, waardoor de capaciteit effectief wordt verdubbeld. En upgraden vereist alleen de aanschaf van de juiste softwarepatch en licentie. Er zijn geen dure hardware-upgrades nodig.

2. Barracuda-webtoepassingsfirewall

Barracuda is een andere gerespecteerde naam op het gebied van IT-beveiliging. Het stelt een uitstekende WAF-oplossing voor die perfect geschikt is voor kleine en middelgrote organisaties. De Barracuda-apparaten zijn iets duurder dan die van hun concurrent, maar ze worden geleverd met een jaar gratis updates. En over updates: ze vinden regelmatig plaats, telkens wanneer een nieuwe dreiging wordt geïdentificeerd.

Het Barracuda WAF- apparaat heeft ook een paar extra functies. Het biedt bijvoorbeeld caching voor snellere levering van inhoud. Load balancing tussen meerdere servers is een andere beschikbare functie. U kunt zelfs volledige DDoS-bescherming toevoegen. Net als de meeste andere WAF-apparaten is de Barracuda WAAF verkrijgbaar in verschillende maten. Een gemiddeld apparaat zoals het Model 360 kost je ongeveer $ 6350 en geeft je 25 Mbps aan doorvoer en 2000 SSL-transacties per seconde.

3. Citrix Netscaler-toepassingsfirewall

De Citrix Netscaler is een immens populair apparaat voor load balancing. Als u ze al gebruikt, zult u blij zijn te weten dat u sommige ervan ook kunt gebruiken als een webtoepassingsfirewall. De functionaliteit is alleen beschikbaar in de top NetSclaer MPX-appliances of de NetScaler Cloud Service. En bovendien moet u de eersteklas Platinum-licentie aanschaffen om deze gratis te krijgen, hoewel deze ook als optie verkrijgbaar is bij de Enterprise-licentie.

Het grootste voordeel van de NetScaler WAF is dat u state-of-the-art load balancing en beveiliging in één doos krijgt. Dit is een premium systeem en het heeft een premium prijs. U kunt verwachten ongeveer $ 4000 te betalen voor het kleinste model, de MPX 5550 met een doorvoer van 500 Mbps en tot 1500 SSL-transacties per seconde.

4. Fortinet FortiWeb

De FortiWeb-appliance van Fortinet is beter geschikt voor kleinere tot middelgrote organisaties. Het apparaat integreert WAF, load balancing en een SSL-offloading-functionaliteit. Een van de beste en nieuwste functies van de FortiWeb-appliance is de tweestaps AI-gebaseerde machine learning die de nauwkeurigheid van aanvalsdetectie verbetert. het creëert bijna een "Set and Forget" Web Application Firewall

De FortiWeb-appliance beschermt uw infrastructuur tegen de nieuwste applicatiekwetsbaarheden, bots en verdachte URL's. En de dubbele detectie-engines voor machine learning beschermen uw toepassingen tegen allerlei soorten bedreigingen, zoals SQL-injectie, cross-site scripting, bufferoverloop, cookievergiftiging, kwaadaardige bronnen en DDoS-aanvallen. Er zijn acht verschillende FortiWeb-modellen om uit te kiezen, elk met toenemende capaciteit. Ze variëren van het instapmodel 100D met 25 Mbps tot het topmodel 4000E met 20 Gbps doorvoer.

5. F5 BIG-IP Application Security Manager (ASM)

Last but not least is er het F5 BIG-IP ASM- apparaat. U kent F5 misschien als een van de belangrijkste concurrenten van Citrix. Ze staan ​​bekend om hun eersteklas load balancers. Dit is een apparaat dat zich richt op grotere bedrijven.

De F5 BIG-IP ASM-bedreigingsbescherming maakt gebruik van diepgaande bedreigingsanalyse en dynamisch leren, u hoeft nauwelijks iets te configureren en toch kunt u er zeker van zijn dat uw infrastructuur voldoende wordt beschermd. Een ander interessant kenmerk van de F5 BIG-IP ASM is SSL-offloading. Het apparaat zal de SSL-codering en decodering direct afhandelen, zodat uw webservers zich kunnen concentreren op waar ze het beste in zijn, webpagina's bedienen.

Tot slot

Met zoveel producten en diensten om uit te kiezen, kan het kiezen van de juiste WAF-oplossing een handvol blijken te zijn. Het zijn dure systemen en ze vergen vaak aanzienlijke inspanningen – en training – om correct in te stellen en te configureren. Dit is waarschijnlijk niet iets dat u twee keer wilt doen om veel verschillende producten te proberen. Zorg ervoor dat u precies uw behoeften en uw groeiprojectie identificeert en de kans is groot dat u in een betere positie bent om de WAF te kiezen die het beste bij u past.