WAF
Déployer des pare-feux d'application web pour protéger les services.
WAF est défini par les résultats NIST CSF 2.0 PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage); DE.CM-01 (Networks and network services are monitored to find potentially adverse events). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001 et 800-53. Éditorial Mis en correspondance de manière éditoriale dans CIS v8.1, SOC 2 et PCI DSS. Seulement faiblement liés dans CMMC, HIPAA et NIS2. Aucune correspondance dans nos données Aucune correspondance dans nos données pour GDPR, Essential Eight, DORA, CPS 234 et Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.IR-01DE.CM-01 | Networks and environments are protected from unauthorized logical access and usage; Networks and network services are monitored to find potentially adverse events | Définition du sujet | PR.IR-01 DE.CM-01 |
| ISO 27001 | A.8.20 | Networks security | Correspondance | A.8.20: via PR.IR-01; NIST 800-53 map: SC-7 |
| CIS v8.1 | CIS 13.10 | Perform Application Layer Filtering | Éditorial | CIS 13.10: Application layer filtering; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | Éditorial | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.4.2 | Automated solution blocks attacks on public web apps | Éditorial | 6.4.2: Automated technical solution that detects and prevents web-based attacks (i.e. a WAF); omitted from NIST's PCI references. |
| CMMC | AC.L2-3.1.2AC.L2-3.1.3SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3SC.L2-3.13.4 | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.IR-01, DE.CM-01) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| 800-53 | SC-7 | Boundary Protection | Correspondance | SC-7: via PR.IR-01; DE.CM-01 |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)§164.312(a)§164.312(a)(2)(i) | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.IR-01, DE.CM-01) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| GDPR | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence GDPR n'est mise en correspondance avec ce thème dans nos données. |
| NIS2 | 6.76.84.36.9 | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.IR-01, DE.CM-01) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence DORA n'est mise en correspondance avec ce thème dans nos données. |
| CPS 234 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CPS 234 n'est mise en correspondance avec ce thème dans nos données. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de WAF
Les pare-feux d'application web (WAF) inspectent le trafic HTTP/HTTPS entrant et sortant des applications web et bloquent les schémas d'attaque courants, tels que l'injection SQL, le cross-site scripting et l'inclusion de fichiers distants, avant qu'ils n'atteignent la couche applicative. Les WAF peuvent être déployés sous forme de services cloud, d'appliances matérielles ou de modules logiciels, avec des jeux de règles qui doivent être ajustés à chaque application spécifique afin de minimiser les faux positifs tout en maintenant la protection. PCI DSS v4.0.1 (exigence 6.4.2) impose explicitement des WAF ou des solutions équivalentes pour les applications web exposées publiquement, et les organisations doivent régulièrement examiner les journaux des WAF et mettre à jour leurs jeux de règles pour couvrir les techniques d'attaque nouvellement découvertes.