Usługa · Cyberbezpieczeństwo

WAF - zapora aplikacji webowych

Sklep internetowy jest wystawiony na cały internet przez całą dobę, a automatyczne skanery znajdują go szybko po starcie. Zapora aplikacji webowych odsiewa typowe ataki, zanim dotrą do kodu, niezależnie od tego, czy sklep działa na WooCommerce, PrestaShop, czy na platformie pisanej na zamówienie. Trudność polega na tym, żeby przy okazji nie zablokować klientów, powiadomień z bramki płatniczej i integracji z BaseLinkerem.

Wyślij zapytanie Zakres usługi

Uczenie

przed blokowaniem

OWASP

Top 10 jako punkt wyjścia

Łatki

wirtualne dla znanych luk

Raport

z blokad

Co obejmuje usługa

WAF nie zastąpi starannego programowania, ale daje czas: wykrytą lukę zamykamy dziś regułą, a w kodzie poprawiamy przy najbliższym wydaniu.

Omów zakres z inżynierem

Filtrowanie ataków

Blokada znanych technik: SQL injection, cross-site scripting, przechodzenie po katalogach i próby dostępu do ukrytych paneli administracyjnych.

Ochrona logowania

Limit prób logowania do wp-admin, panelu PrestaShop i kont klientów oraz ochrona formularza resetu hasła przed nadużyciami.

Boty

Wyszukiwarki i porównywarki, z którymi współpracujesz, przechodzą. Scrapery cen, boty sprawdzające skradzione karty i automaty rezerwujące towar zostają za zaporą.

Łatki wirtualne

Podatność we wtyczce zamykamy regułą, zanim autor wyda poprawkę, co przy popularnych wtyczkach WooCommerce zdarza się częściej, niż by się chciało.

Wyjątki dla integracji

Powiadomienia z Przelewy24, PayU czy Tpay, webhooki kurierów i połączenia z systemami sprzedażowymi dostają precyzyjne wyjątki, żeby zamówienia nie utknęły w statusie „oczekuje na płatność”.

Raporty

Co zostało zablokowane, skąd i według której reguły, w okresowym zestawieniu zrozumiałym także dla właściciela sklepu.

Jak wygląda współpraca

Najwięcej problemów przy WAF powstaje na samym początku, dlatego nigdy nie zaczynamy od trybu blokowania.

Analiza

Platforma, formularze, konta klientów, metody płatności i integracje. Spisujemy wszystko, co legalnie łączy się ze sklepem.

Tryb uczenia

WAF działa bez blokowania i zbiera obraz prawdziwego ruchu, najlepiej obejmujący także weekend i jedną kampanię promocyjną.

Strojenie

Usuwamy fałszywe alarmy. Na żywym sklepie zawsze jakieś są, najczęściej w wyszukiwarce produktów i w panelu administracyjnym.

Blokowanie

Włączamy tryb ochrony, ustawiamy alerty i regularny przegląd zdarzeń, szczególnie przed Black Friday i okresem świątecznym.

Najgorszy moment na pierwsze uruchomienie WAF to tydzień przed dużą promocją. Ruch jest wtedy nietypowy, a każdy fałszywy alarm oznacza porzucony koszyk. Zapora wdrożona z wyprzedzeniem zdąży się nauczyć sklepu i w szczycie sprzedaży zatrzymuje boty, zamiast klientów.

Pytania i odpowiedzi

Zwykle nie. Wiele usług WAF w chmurze działa razem z CDN, który serwuje obrazki i skrypty z serwerów bliżej klienta, więc strona może ładować się nawet szybciej. Opóźnienie samej inspekcji ruchu jest dla kupującego zwykle niezauważalne.

Na platformach abonamentowych, takich jak Shoper czy IdoSell, infrastrukturą zarządza dostawca, a zakres jego ochrony opisują warunki usługi. Własny WAF zwykle nie jest wtedy potrzebny. Zajmujemy się wtedy tym, co zostaje po Twojej stronie: kontami administratorów, MFA i dostępami aplikacji zewnętrznych.

Po trybie uczenia i strojeniu reguł, których długość zależy od ruchu w sklepie. Pojedyncze reguły dla oczywistych ataków, na przykład na znaną lukę we wtyczce, możemy włączyć od razu.

Klient widzi stronę z identyfikatorem zdarzenia, a my sprawdzamy w logach, która reguła zadziałała, i ją korygujemy. Po okresie strojenia takie przypadki są rzadkie, a raport pokazuje, czy nie narastają.

Więcej w tym obszarze

Zobacz cały obszar

Usługa RODO i ochrona danych osobowych Dostępy, logi i szyfrowanie danych osobowych Usługa Polityki bezpieczeństwa i dokumentacja Polityki i procedury, które da się stosować Usługa Wdrażanie rozwiązań bezpieczeństwa Dobór, pilotaż i zdalne wdrożenie narzędzi Usługa Ochrona infrastruktury Styk z internetem, segmentacja i dostęp zdalny

Postaw zaporę przed swoim sklepem

Napisz, na jakiej platformie działa sklep lub portal i jakie ma integracje. Zaproponujemy rodzaj WAF i plan wdrożenia.

E-mail
office@apply.pl

Godziny pracy
pon.-pt. 8:00-18:00, odpowiedź w ciągu dnia roboczego

Spotkania
Online w Teams lub Google Meet

Zgadzam się na przetwarzanie moich danych przez Apply w celu odpowiedzi na zapytanie, zgodnie z polityką prywatności