WAF
Terapkan web application firewall untuk melindungi layanan.
WAF didefinisikan oleh hasil-hasil NIST CSF 2.0 PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage); DE.CM-01 (Networks and network services are monitored to find potentially adverse events). Crosswalk Dipetakan melalui crosswalk yang dipublikasikan dalam ISO 27001 dan 800-53. Editorial Dipetakan secara editorial dalam CIS v8.1, SOC 2 dan PCI DSS. Hanya terkait secara longgar dalam CMMC, HIPAA dan NIS2. Tidak ada pemetaan dalam data kami Tidak ada pemetaan dalam data kami untuk GDPR, Essential Eight, DORA, CPS 234 dan Cyber Essentials.
| Kerangka kerja | Persyaratan | Judul | Tautan | Sumber / alasan |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.IR-01DE.CM-01 | Networks and environments are protected from unauthorized logical access and usage; Networks and network services are monitored to find potentially adverse events | Definisi topik | PR.IR-01 DE.CM-01 |
| ISO 27001 | A.8.20 | Networks security | Crosswalk | A.8.20: via PR.IR-01; NIST 800-53 map: SC-7 |
| CIS v8.1 | CIS 13.10 | Perform Application Layer Filtering | Editorial | CIS 13.10: Application layer filtering; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | Editorial | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.4.2 | Automated solution blocks attacks on public web apps | Editorial | 6.4.2: Automated technical solution that detects and prevents web-based attacks (i.e. a WAF); omitted from NIST's PCI references. |
| CMMC | AC.L2-3.1.2AC.L2-3.1.3SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3SC.L2-3.13.4 | Tidak dipetakan ke topik ini | Persyaratan ini hanya berbagi hasil CSF topik ini (PR.IR-01, DE.CM-01) melalui crosswalk yang diterbitkan: layak diperiksa, bukan pemetaan. | |
| 800-53 | SC-7 | Boundary Protection | Crosswalk | SC-7: via PR.IR-01; DE.CM-01 |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)§164.312(a)§164.312(a)(2)(i) | Tidak dipetakan ke topik ini | Persyaratan ini hanya berbagi hasil CSF topik ini (PR.IR-01, DE.CM-01) melalui crosswalk yang diterbitkan: layak diperiksa, bukan pemetaan. | |
| GDPR | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan GDPR yang dipetakan ke topik ini dalam data kami. |
| NIS2 | 6.76.84.36.9 | Tidak dipetakan ke topik ini | Persyaratan ini hanya berbagi hasil CSF topik ini (PR.IR-01, DE.CM-01) melalui crosswalk yang diterbitkan: layak diperiksa, bukan pemetaan. | |
| Essential Eight | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan Essential Eight yang dipetakan ke topik ini dalam data kami. |
| DORA | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan DORA yang dipetakan ke topik ini dalam data kami. |
| CPS 234 | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan CPS 234 yang dipetakan ke topik ini dalam data kami. |
| Cyber Essentials | — | Tidak ada persyaratan | Tidak ada pemetaan dalam data kami | Tidak ada persyaratan Cyber Essentials yang dipetakan ke topik ini dalam data kami. |
Definisi topik Hasil CSF 2.0 yang mendefinisikan topik ini · Crosswalk setidaknya satu pilihan didukung crosswalk yang dipublikasikan · Editorial Penilaian ControlMapping, beserta alasannya · belum dipetakan, hanya berbagi hasil CSF untuk topik ini · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Metodologi.
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Pemetaan salah atau belum ada? Laporkan
Tentang WAF
Web application firewall (WAF) memeriksa lalu lintas HTTP/HTTPS yang masuk dan keluar dari aplikasi web, dengan memblokir pola serangan umum seperti SQL injection, cross-site scripting, dan remote file inclusion sebelum mencapai lapisan aplikasi. WAF dapat diterapkan sebagai layanan berbasis cloud, appliance perangkat keras, atau modul perangkat lunak, dengan kumpulan aturan yang sebaiknya disesuaikan dengan aplikasi spesifik untuk meminimalkan false positive sekaligus tetap menjaga perlindungan. PCI DSS v4.0.1 (persyaratan 6.4.2) secara khusus mewajibkan WAF atau solusi setara untuk aplikasi web yang menghadap publik, dan organisasi sebaiknya secara berkala meninjau log WAF serta memperbarui kumpulan aturan untuk menanggapi teknik serangan yang baru ditemukan.