Dieser Artikel behandelt die Funktionen WAF (Web Application Firewall) und Combo Rules von WEDOS Protection. Regeln für eine einzelne Dimension finden Sie unter Filter und GeoIP.
In diesem Artikel erfahren Sie:
- Wie die WAF und die Combo Rules von WEDOS Protection funktionieren
- Wie Sie Folgendes einrichten::
- Anwendungsfälle und Beispiele für Combo Rules
- Häufig gestellte Fragen
WAF und Combo Rules
Die Web Application Firewall (WAF) von WEDOS Protection prüft eingehende HTTP/HTTPS-Anfragen auf der Proxy-Ebene und blockiert diejenigen, die bekannten Angriffsmustern entsprechen (SQL Injection, XSS, RCE, Path Traversal und weitere Bedrohungen der OWASP-Klasse), bevor sie Ihren Origin-Server erreichen. Die WAF arbeitet zusammen mit Filter und GeoIP, und dem AI Mode -Schutz, der im gesamten Netzwerk von WEDOS Protection läuft.
Combo Rules setzen auf der WAF auf und ermöglichen es Ihnen, erweiterte, kombinierte L3–L7-Regeln pro Domain zu definieren. Jede Regel prüft mehrere Bedingungen gleichzeitig (IP/ASN, Geo, Path, User-Agent, JA4, JA4H, HTTP-Methode, HTTP-Version), und die erste passende Regel gewinnt. Combo Rules sind nützlich, wenn ein einzelner Filter nicht spezifisch genug ist – zum Beispiel, wenn Sie eine bekannte Crawler-ASN nur auf einem bestimmten Pfad zulassen oder einen bestimmten TLS-Fingerabdruck aus einem einzelnen Land blockieren möchten.
Die WAF und die Combo Rules ergänzen, ersetzen aber nicht, Filter und GeoIP. Die Regeln Filters und GeoIP sind für den Schutz in einer einzelnen Dimension gedacht, während Combo Rules für komplexere Szenarien bestimmt sind. Außerdem läuft der AI Mode weiterhin parallel und kann nicht deaktiviert werden.
Einrichtung von WAF und Combo Rules
Bei den Tarifen Start und Advanced läuft die WAF nur im AI Mode und Combo Rules sind nicht verfügbar. Um Zugriff auf die Auswahl des WAF Mode und auf Combo Rules zu erhalten, wechseln Sie auf den Expert -Tarif.
Um zu den Einstellungen zu gelangen, gehen Sie wie folgt vor:
- Melden Sie sich an in der WEDOS Global Administration ⧉.
- Wählen Sie eine Domain (oder eine Vorlage) aus, die Sie einrichten möchten.
- Klicken Sie im linken Menü auf WAF.
WAF-Modus
Der Selektor WAF-Modus steuert das Regelwerk, das die Web Application Firewall für die ausgewählte Domain verwendet. Es stehen drei Modi zur Verfügung:
- Advanced WAF (full ruleset) — Standard: Führt das vollständige WAF-Regelwerk aus, einschließlich der Kernschutzmechanismen und erweiterter Signaturen für Angriffe auf Anwendungsebene. Für die meisten Websites und Anwendungen empfohlen.
- Basic WAF (nur Kernregeln): Führt nur das Kernregelwerk aus. Nützlich, wenn das vollständige Regelwerk bei einer legitimen, aber ungewöhnlichen Anwendung Fehlalarme auslöst und Sie einen kleineren, konservativeren Satz von Signaturen benötigen.
- Disabled: Schaltet die Auswertung der WAF-Regeln vollständig ab. AI Mode, Filters, GeoIP und Combo Rules bleiben aktiv.
Wenn Sie den WAF Mode auf Disabled setzen, werden nur die WAF-Regeln abgeschaltet. AI Mode, Filters, GeoIP und Combo Rules werden dadurch nicht deaktiviert. Deaktivieren Sie die WAF nur, wenn Sie einen konkreten Grund dafür haben – zum Beispiel während der Behebung von Fehlalarmen.
Combo Rules
Combo Rules sind erweiterte, kombinierte L3–L7-Regeln. Jede Regel prüft mehrere Bedingungen, und die erste passende Regel gewinnt. Ordnen Sie die Regeln von der spezifischsten zur allgemeinsten – zum Beispiel zuerst Allow-Regeln für bekannte gute Crawler und ganz unten eine allgemeine Block-Regel.
Combo Rules laufen parallel zu AUTO AI, das den Datenverkehr stets im Hintergrund auswertet. AUTO AI kann nicht deaktiviert werden.
Aktionen
Wenn eine Combo Rule zutrifft, wird eine der folgenden Aktionen angewendet:
- Allow access / Whitelist: Umgeht alle Schutzebenen und liefert die Anfrage direkt an den Origin-Server. Verwenden Sie dies nur für vertrauenswürdigen, eindeutig identifizierten Datenverkehr (z. B. ein verifiziertes internes Monitoring-System).
- CAPTCHA-Verifizierung (Proof of Work): Stellt vor der Weiterleitung der Anfrage eine Proof-of-Work- bzw. Bot-Challenge.
- Mit Fehlerseite blockieren (HTTP 456): Blockiert die Anfrage und gibt eine anpassbare Fehlerseite mit dem HTTP-Status 456 zurück.
- Still blockieren (Datenverkehr verwerfen): Verwirft die Anfrage stillschweigend. Der Client erhält keine Antwort. Nützlich gegen Angriffsverkehr, bei dem Sie nicht bestätigen möchten, dass die Anfrage einen Server erreicht hat.
Prüffelder
Jede Combo Rule kann auf bis zu neun Feldern prüfen. Jedes Feld kann leer gelassen werden und wirkt dann als Platzhalter, und jedes Feld kann negiert werden (mit einem vorangestellten ! -Zeichen, sofern unterstützt, etwa !as55789). Damit eine Regel greift, müssen alle aktiven Felder zutreffen.
- IP/ASN: Quell-IP-Adresse, CIDR-Bereich oder Autonomous System Number. Mehrere Werte können als kommagetrennte Liste eingegeben werden (z. B.
1.2.3.0/24, as12345, !as55789). - Geo: Länder- oder Kontinentcode gemäß GeoIP.
- Pfad: URL-Pfad auf der Domain (z. B.
/admin/login). Unterstützt exakte Übereinstimmung und Präfix-Übereinstimmung, je nach gewähltem Modus. - User-Agent: Wert des
User-Agent-HTTP-Headers (z. B.googlebot). Unterstützt exakte Übereinstimmung und Teilstring-Übereinstimmung, je nach gewähltem Modus. - JA4: JA4-TLS-Fingerabdruck des Clients. Nützlich, um einen bestimmten TLS-Stack eines Clients unabhängig vom selbst angegebenen User-Agent zu erkennen.
- JA4H: JA4H-HTTP-Fingerabdruck des Clients. Nützlich, um Bots zu erkennen, die auf der TLS-Ebene einen Browser nachahmen, sich auf der HTTP-Ebene aber verraten.
- Methode: Eine oder mehrere HTTP-Methoden, durch Komma getrennt (z. B.
GET, POST). - HTTP-Version: HTTP-Protokollversion der Anfrage (z. B. HTTP/1.1, HTTP/2, HTTP/3).
Eine Combo Rule hinzufügen
Um eine neue Combo Rule hinzuzufügen, gehen Sie wie folgt vor:
- Stellen Sie sicher, dass der Schalter Custom Combo Rules aktiviert ist.
- Klicken Sie auf die Add Combo Rule -Schaltfläche.
- Wählen Sie die Action aus, die angewendet werden soll, wenn die Regel zutrifft.
- Füllen Sie nur die Prüffelder aus, die Sie benötigen. Lassen Sie die übrigen leer, damit sie als Platzhalter wirken.
- Stellen Sie sicher, dass der Schalter Active eingeschaltet ist, und klicken Sie dann auf Absenden.
Jede Regel in der Liste kann bearbeitet oder gelöscht werden – über die Spalte mit den Aktionen. Verwenden Sie die Anzeige Active , um einzelne Regeln zu aktivieren oder zu deaktivieren, ohne sie zu löschen.
Combo Rules werden der Reihe nachausgewertet, und die erste passende Regel gewinnt. Platzieren Sie spezifischere Regeln (z. B. eine bestimmte ASN auf einem bestimmten Pfad zulassen) über allgemeineren (z. B. ein ganzes Land blockieren).
Anwendungsfälle und Beispiele für Combo Rules
Combo Rules sind vor allem dann nützlich, wenn kein einzelner Filter spezifisch genug ist. Einige häufige Szenarien:
Einen bekannten Crawler anhand der ASN auf die Whitelist setzen
Ziel: Googlebot-Datenverkehr ohne Challenges durchlassen, auch wenn andere Regeln ihn sonst blockieren würden.
Einrichtung: Action Allow / Whitelist, IP/ASN as15169, User-Agent googlebot. Platzieren Sie diese Regel über allen blockierenden Regeln.
Einen Endpunkt auf POST beschränken
Ziel: Ein API-Endpunkt soll nur POST-Anfragen annehmen; alles andere ist unerwünscht.
Einrichtung: Action Mit Fehlerseite blockieren (HTTP 456), Path /api/submit, Method GET, PUT, DELETE, PATCH, HEAD, OPTIONS. Anfragen mit POST treffen nicht zu und laufen normal weiter.
Ein Land auf einem sensiblen Pfad mit einer Challenge belegen
Ziel: Normales Surfen aus einem Land zulassen, aber jeden Zugriffsversuch auf das Administrationspanel mit einer Challenge belegen.
Einrichtung: Action CAPTCHA-Verifizierung (Proof of Work), Geo cz, Path /admin/login.
Einen bekannten Angriffs-Fingerabdruck stillschweigend verwerfen
Ziel: Datenverkehr verwerfen, der einem bei einem früheren Angriff beobachteten JA4-Fingerabdruck entspricht, ohne dem Angreifer eine Rückmeldung zu geben.
Einrichtung: Action Still blockieren (Datenverkehr verwerfen), JA4 t13d1516h2_8daaf6152771_....
FAQ
Was passiert, wenn ich die WAF deaktiviere?
Es wird nur das WAF-Regelwerk abgeschaltet. AI Mode, Filter, GeoIP und Combo Rules laufen weiter. Ihre Domain ist weiterhin geschützt, jedoch ohne signaturbasierte Regeln auf Anwendungsebene – wir empfehlen daher, die WAF nur vorübergehend zu deaktivieren, zum Beispiel während der Behebung eines Fehlalarms.
Wann sollte ich Basic WAF statt Advanced WAF verwenden?
Verwenden Sie Basic WAF nur dann, wenn das Advanced-Regelwerk bei einer legitimen Anwendung Fehlalarme auslöst, die Sie nicht an der Quelle beheben können. Das Basic-Regelwerk ist konservativer und wendet nur die Kernregeln an. Für die meisten Websites und APIs ist die Standardeinstellung Advanced WAF die richtige Wahl.
Wie funktioniert die Reihenfolge der Regeln?
Combo Rules werden von oben nach unten ausgewertet, und die erste passende Regel gewinnt. Platzieren Sie spezifische Regeln (etwa Allow-Regeln für bekannte gute Crawler oder vertrauenswürdige IP-Adressen) oben in der Liste und allgemeinere Regeln (etwa landesweite Sperren oder allgemeine Block-Regeln) darunter.
Muss ich in einer Combo Rule jedes Feld ausfüllen?
Nein. Jedes leer gelassene Feld wirkt als Platzhalter. Eine Regel, bei der nur Geo = cz gesetzt ist, erfasst den gesamten Datenverkehr aus Tschechien, unabhängig von IP, Pfad, User-Agent, Methode oder Version. Damit eine Regel greift, müssen alle ausgefüllten Felder übereinstimmen.
Kann ich einen Wert in einer Combo Rule negieren?
Ja. Felder, die kommagetrennte Listen akzeptieren (etwa IP/ASN), unterstützen die Negation mit einem vorangestellten ! -Zeichen – zum Beispiel: as12345, !as55789 trifft auf AS12345 zu, schließt AS55789 aber ausdrücklich aus.
Worin unterscheiden sich Combo Rules von Filters?
Filter prüfen jeweils nur eine einzelne Dimension (eine IP-Liste, eine ASN-Liste, eine User-Agent-Liste und so weiter). Combo Rules kombinieren mehrere Dimensionen in einer einzigen Regel, sodass Sie Bedingungen ausdrücken können wie „nur diese ASN, nur auf diesem Pfad, nur mit dieser Methode“ , die ein einzelner Filter nicht abbilden kann.
Kann AUTO AI für Combo Rules abgeschaltet werden?
Nein. AUTO AI ist immer aktiviert und läuft parallel zu Ihren Custom Combo Rules. Sie können im Custom-Modus eigene Regeln hinzufügen, die KI lässt sich jedoch nicht deaktivieren.