WAF
Web Application Firewalls zum Schutz von Diensten einsetzen.
WAF wird durch die NIST CSF 2.0 Outcomes PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage); DE.CM-01 (Networks and network services are monitored to find potentially adverse events) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001 und 800-53. Redaktionell Redaktionell zugeordnet in CIS v8.1, SOC 2 und PCI DSS. In CMMC, HIPAA und NIS2 nur lose verwandt. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für GDPR, Essential Eight, DORA, CPS 234 und Cyber Essentials.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.IR-01DE.CM-01 | Networks and environments are protected from unauthorized logical access and usage; Networks and network services are monitored to find potentially adverse events | Themendefinition | PR.IR-01 DE.CM-01 |
| ISO 27001 | A.8.20 | Networks security | Crosswalk | A.8.20: via PR.IR-01; NIST 800-53 map: SC-7 |
| CIS v8.1 | CIS 13.10 | Perform Application Layer Filtering | Redaktionell | CIS 13.10: Application layer filtering; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | Redaktionell | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.4.2 | Automated solution blocks attacks on public web apps | Redaktionell | 6.4.2: Automated technical solution that detects and prevents web-based attacks (i.e. a WAF); omitted from NIST's PCI references. |
| CMMC | AC.L2-3.1.2AC.L2-3.1.3SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3SC.L2-3.13.4 | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.IR-01, DE.CM-01) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| 800-53 | SC-7 | Boundary Protection | Crosswalk | SC-7: via PR.IR-01; DE.CM-01 |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)§164.312(a)§164.312(a)(2)(i) | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.IR-01, DE.CM-01) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| GDPR | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine GDPR-Anforderung diesem Thema zugeordnet. |
| NIS2 | 6.76.84.36.9 | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.IR-01, DE.CM-01) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| Essential Eight | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Essential Eight-Anforderung diesem Thema zugeordnet. |
| DORA | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine DORA-Anforderung diesem Thema zugeordnet. |
| CPS 234 | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine CPS 234-Anforderung diesem Thema zugeordnet. |
| Cyber Essentials | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Cyber Essentials-Anforderung diesem Thema zugeordnet. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über WAF
Web Application Firewalls (WAFs) prüfen den HTTP/HTTPS-Datenverkehr zu und von Webanwendungen und blockieren gängige Angriffsmuster wie SQL-Injection, Cross-Site-Scripting und Remote File Inclusion, bevor sie die Anwendungsschicht erreichen. WAFs können als cloudbasierte Dienste, Hardware-Appliances oder Softwaremodule bereitgestellt werden. Ihre Regelsätze sollten auf die jeweilige Anwendung abgestimmt werden, um Fehlalarme (False Positives) zu minimieren und gleichzeitig den Schutz aufrechtzuerhalten. PCI DSS v4.0.1 (Anforderung 6.4.2) schreibt für öffentlich zugängliche Webanwendungen ausdrücklich WAFs oder gleichwertige Lösungen vor. Organisationen sollten die WAF-Protokolle regelmäßig überprüfen und die Regelsätze aktualisieren, um neu entdeckte Angriffstechniken abzudecken.