Seminar open-appsec Richtlinien, Machine Learning und Tuning

Das Seminar konzentriert sich auf die fachlich anspruchsvollste Betriebsphase: aus einer technisch installierten open-appsec-Instanz entsteht eine belastbare Schutzkonfiguration. Assets, Host- und Pfadregeln, Quellidentitäten, Lernfortschritt, Konfidenz, Tuning-Vorschläge, Ausnahmen und Custom Responses werden kontrolliert vom Detect/Learn- in den Prevent/Learn-Betrieb überführt.

Inhaltsverzeichnis

1. Seminarprofil
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Seminarinhalte
6. Praktische Übungen
7. Methodik und Unterlagen

Seminarprofil

Gute WAF-Policies entstehen nicht durch sofortiges Blockieren. Erforderlich sind eine präzise Asset-Abgrenzung, repräsentativer Verkehr, verständliche Ereignisse und ein dokumentiertes Freigabeverfahren. Das Seminar verbindet Security-Analyse mit operativer Änderungskontrolle und gilt für zentrale wie lokale deklarative Verwaltung.

Lernziele

• Assets und Regeln nach Host, Port und Pfad überschneidungsfrei modellieren.
• Lernfortschritt und Konfidenz fachlich bewerten.
• Quellidentität und vertrauenswürdige Quellen korrekt konfigurieren.
• Tuning-Vorschläge prüfen und nachvollziehbar entscheiden.
• Ausnahmen eng, testbar und zeitlich kontrolliert gestalten.
• Custom Responses, Größenlimits und Verhalten bei Fehlern abstimmen.
• gestufte Umschaltung in den Präventionsbetrieb durchführen.

Zielgruppe

Geeignet für Security-Administration, WAF- und SOC-Verantwortliche, Plattform- und DevSecOps-Teams, Anwendungsverantwortliche sowie technische Change- und Betriebsverantwortliche.

Voraussetzungen

Erforderlich sind open-appsec-Grundkenntnisse, Verständnis von HTTP-Requests, Hosts, Pfaden, Headern und Statuscodes. Für deklarative Übungen sind YAML-Kenntnisse hilfreich.

Seminarinhalte

1. Asset- und Regelmodell

Jede geschützte Webanwendung oder API erhält eine eindeutige Regel. Die Zuordnung wird anhand von Protokoll, Hostname, Port und Pfad geprüft. Default-Regeln werden nur als Sicherheitsnetz eingesetzt; anwendungsspezifische Regeln erhalten eigene Lern- und Betriebszustände.

1. exponierte Endpunkte inventarisieren.
2. Überschneidungen und längste Pfadtreffer analysieren.
3. Default-Verhalten und spezifische Regeln trennen.
4. Practice, Log Trigger, Exception und Custom Response zuordnen.
5. Testmatrix für positive und negative Treffer erstellen.

2. Detect/Learn und Prevent/Learn

Der Lernbetrieb erzeugt eine Baseline und protokolliert verdächtige Requests, ohne vorschnell zu blockieren. Der Wechsel in den Präventionsbetrieb erfolgt anhand definierter Kriterien und kann je Asset oder Pfad gestuft werden.

1. repräsentativen Zeitraum und erwartete Verkehrsmuster festlegen.
2. Lernfortschritt und Ereignisqualität regelmäßig prüfen.
3. Fehlklassifikationen nach Ursache gruppieren.
4. kritische Pfade zuerst in einer kontrollierten Teststufe absichern.
5. Prevent/Learn mit geeignetem Konfidenzniveau aktivieren.
6. Nachkontrolle und Rückfallkriterium dokumentieren.

3. Quellidentität und vertrauenswürdige Quellen

Source IP, X-Forwarded-For, Header, Cookie oder JWT-Schlüssel können Benutzer beziehungsweise technische Quellen unterscheiden. Die Auswahl muss zur Proxy-Kette und zum Authentifizierungsmodell passen. Falsch konfigurierte Quellidentität verfälscht Lernen und Rate Limiting.

4. Tuning und supervised learning

Tuning-Vorschläge werden nicht ungeprüft übernommen. Bewertet werden Request-Kontext, Anwendungspfad, Häufigkeit, Quelle, geschäftliche Funktion und mögliche Umgehungswirkung. Jede Entscheidung erhält Begründung und Nachprüfung.

1. Vorschlag und betroffene Request-Merkmale lesen.
2. Anwendungsowner oder API-Verantwortung einbeziehen.
3. legitimes Verhalten mit Testfall reproduzieren.
4. Vorschlag annehmen, ablehnen oder durch engere Policy ersetzen.
5. Auswirkung nach erneutem Verkehr kontrollieren.

5. Ausnahmen und benutzerdefinierte Regeln

Exceptions können Prüfung überspringen, akzeptieren, verwerfen oder nur die Protokollierung unterdrücken. Bedingungen werden auf Quelle, Land, Host, URL, Parameter oder Schutzmerkmal begrenzt. Breite Ausnahmen ohne Ablaufdatum gelten als Fehlkonfiguration.

1. Fehlklassifikation technisch reproduzieren.
2. kleinstmögliche Bedingung bestimmen.
3. gewünschte Aktion und Protokollierung festlegen.
4. Positiv-, Negativ- und Umgehungstest ausführen.
5. Owner, Begründung und Überprüfungstermin dokumentieren.

6. Antworten, Größenlimits und Fehlerverhalten

Blockseiten, reine Statuscodes oder Weiterleitungen werden nach Anwendungstyp ausgewählt. URL-, Body- und Objektgrenzen müssen mit Proxy und Backend abgestimmt sein. Das Verhalten bei nicht verfügbarem Agenten wird aus Verfügbarkeits- und Sicherheitsanforderungen abgeleitet.

7. Policy-Lebenszyklus

Policies werden wie produktiver Code behandelt: versionieren, prüfen, freigeben, gestuft anwenden, überwachen und zurückrollen. Für zentrale Verwaltung wird das Enforce-Verfahren in denselben Change-Prozess eingebettet.

Praktische Übungen

1. mehrere Hosts und Pfade in ein eindeutiges Regelmodell überführen.
2. Quellidentität für eine Proxy-Kette konfigurieren und prüfen.
3. Lernereignisse nach Anwendung, Quelle, Aktion und Konfidenz analysieren.
4. Tuning-Vorschlag anhand eines reproduzierbaren Geschäftsfalls bewerten.
5. eng begrenzte Exception mit Gegenprobe erstellen.
6. Custom Response und Größenlimit testen.
7. einen Pfad gestuft in Prevent/Learn überführen und Rückfallkriterien anwenden.

Methodik und Unterlagen

Die Übungen basieren auf realistischen Request-Sätzen mit legitimen Sonderfällen und Angriffsmustern. Die Unterlagen enthalten Policy-Review-Schema, Exception-Register, Freigabekriterien und Prüflisten für die Umschaltung in den Präventionsbetrieb.