[Nur PaaS]{class="badge informative" title="Gilt nur für Adobe Commerce in Cloud-Projekten (von Adobe verwaltete PaaS-Infrastruktur) und lokale Projekte."}

Web Application Firewall (WAF)

Der auf Fastly basierende WAF-Service (Web Application Firewall) für Adobe Commerce auf Cloud-Infrastrukturen erkennt, protokolliert und blockiert den Traffic bösartiger Anfragen, bevor er Ihre Websites oder Ihr Netzwerk beschädigen kann. Der WAF-Service ist nur für Produktionsumgebungen verfügbar.

Der WAF-Service bietet die folgenden Vorteile:

Aktivieren der WAF

Adobe aktiviert den WAF-Service für neue Konten innerhalb von 2 bis 3 Wochen nach der endgültigen Bereitstellung. Die WAF wird über den Fastly CDN-Service implementiert. Sie müssen weder Hardware noch Software installieren oder warten.

Funktionsweise

Der WAF-Service integriert sich mit Fastly und verwendet die Cache-Logik innerhalb des Fastly CDN-Service, um Traffic auf den globalen Fastly-Knoten zu filtern. Wir aktivieren den WAF-Service in Ihrer Produktionsumgebung mit einer standardmäßigen WAF-Richtlinie, die auf ModSecurity-Regeln von Trustwave SpiderLabs und den OWASP Top 10-Sicherheitsbedrohungen basiert.

Der WAF-Service überprüft HTTP- und HTTPS-Traffic (GET- und POST-Anfragen) anhand des WAF-Regelsatzes und blockiert bösartigen Traffic, der bestimmten Regeln nicht entspricht. Der Service untersucht nur den ursprünglichen Traffic, der versucht, den Cache zu aktualisieren. Daher stoppen wir den Großteil des Angriffsverkehrs im Fastly-Cache und schützen Ihren Ursprungs-Traffic vor bösartigen Angriffen. Durch die Verarbeitung des Ursprungs-Traffics behält der WAF-Service die Cache-Leistung bei und führt für jede nicht zwischengespeicherte Anfrage eine Latenz von schätzungsweise 1,5 Millisekunden bis 20 Millisekunden ein.

Fehlerbehebung bei blockierten Anfragen

Wenn der WAF-Service aktiviert ist, prüft er den gesamten Web- und Admin-Traffic anhand der WAF-Regeln und blockiert jede Web-Anfrage, die eine Regel Trigger. Wenn eine Anfrage blockiert wird, wird dem Anfragenden eine standardmäßige 403 Forbidden angezeigt, die eine Referenz-ID für das Blockierungsereignis enthält.

Sie können diese Fehlerantwortseite über den Administrator anpassen. Siehe Anpassen der WAF-.

Wenn Ihre Adobe Commerce-Adminseite oder Storefront als Antwort auf eine rechtmäßige URL-Anfrage eine 403 Forbidden Fehlerseite zurückgibt, senden Sie ein Adobe Commerce-Support-Ticket. Kopieren Sie die Referenz-ID aus der Fehlerantwortseite und fügen Sie sie in die Ticketbeschreibung ein.

Informationen zur Identifizierung der WAF-Antwort für eine bestimmte Anfrage mithilfe von New Relic finden Sie unter:

Wartung und Updates für WAF

Fastly aktualisiert und implementiert Patches für neue CVEs/Vorlagenregeln basierend auf Regelaktualisierungen von kommerziellen Drittanbietern, Fastly Research und Open Sources. Aktualisiert die veröffentlichten Regeln schnell nach Bedarf oder wenn Änderungen an den Regeln aus ihren jeweiligen Quellen verfügbar sind. Außerdem kann Fastly Regeln, die mit den veröffentlichten Regelklassen übereinstimmen, zur WAF-Instanz eines beliebigen Services hinzufügen, nachdem der WAF-Service aktiviert wurde. Diese Updates gewährleisten eine sofortige Abdeckung neuer oder sich entwickelnder Exploits.

Adobe und Fastly verwalten den Aktualisierungsprozess, um sicherzustellen, dass neue oder modifizierte WAF-Regeln effektiv in Ihrer Produktionsumgebung funktionieren, bevor die Aktualisierungen im Blockierungsmodus bereitgestellt werden.

Probleme

Wenn Sie feststellen, dass der WAF legitime Anfragen blockiert, sind diese häufig falsch-positiv und müssen übersprungen werden, oder es muss eine Problemumgehung über den WAF-Service implementiert werden. Senden Sie ein Support-Ticket und geben Sie die betroffene URL, die genauen Schritte zur Reproduktion des Fehlers und die Fehlerreferenz im Textformular (im Gegensatz zu einem Screenshot) an, um Transkriptionsfehler zu vermeiden.

Einschränkungen

Der standardmäßige WAF-Service, der von Fastly unterstützt wird, unterstützt die folgenden Funktionen nicht:

Mit dem WAF-Service können Sie Traffic basierend auf IP-Adressen blockieren oder zulassen. Sie können Ihrem Fastly-Service Zugriffssteuerungslisten (ACL) und benutzerdefinierte VCL-Snippets hinzufügen, um die IP-Adressen und die VCL-Logik zum Blockieren oder Zulassen von Traffic anzugeben. Siehe Benutzerdefinierte Fastly-VCL-Snippets.

Das Filtern nach TCP-, UDP- oder ICMP-Anfragen wird vom WAF-Service nicht unterstützt. Diese Funktionalität wird jedoch durch den integrierten DDoS-Schutz bereitgestellt, der im Fastly CDN-Service enthalten ist. Siehe DoS-Schutz.