WAF
Развёртывание веб-брандмауэров приложений для защиты сервисов.
Тема WAF определена результатами NIST CSF 2.0: PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage); DE.CM-01 (Networks and network services are monitored to find potentially adverse events). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001 и 800-53. Редакционные материалы Сопоставлено редакторски в CIS v8.1, SOC 2 и PCI DSS. Только косвенная связь в CMMC, HIPAA и NIS2. Нет сопоставления в наших данных В наших данных нет сопоставления для GDPR, Essential Eight, DORA, CPS 234 и Cyber Essentials.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.IR-01DE.CM-01 | Networks and environments are protected from unauthorized logical access and usage; Networks and network services are monitored to find potentially adverse events | Определение темы | PR.IR-01 DE.CM-01 |
| ISO 27001 | A.8.20 | Networks security | Соответствия | A.8.20: via PR.IR-01; NIST 800-53 map: SC-7 |
| CIS v8.1 | CIS 13.10 | Perform Application Layer Filtering | Редакционные материалы | CIS 13.10: Application layer filtering; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | Редакционные материалы | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.4.2 | Automated solution blocks attacks on public web apps | Редакционные материалы | 6.4.2: Automated technical solution that detects and prevents web-based attacks (i.e. a WAF); omitted from NIST's PCI references. |
| CMMC | AC.L2-3.1.2AC.L2-3.1.3SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3SC.L2-3.13.4 | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (PR.IR-01, DE.CM-01) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| 800-53 | SC-7 | Boundary Protection | Соответствия | SC-7: via PR.IR-01; DE.CM-01 |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)§164.312(a)§164.312(a)(2)(i) | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (PR.IR-01, DE.CM-01) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| GDPR | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование GDPR не сопоставлено с этой темой. |
| NIS2 | 6.76.84.36.9 | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (PR.IR-01, DE.CM-01) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| Essential Eight | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Essential Eight не сопоставлено с этой темой. |
| DORA | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование DORA не сопоставлено с этой темой. |
| CPS 234 | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование CPS 234 не сопоставлено с этой темой. |
| Cyber Essentials | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Cyber Essentials не сопоставлено с этой темой. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «WAF»
Веб-брандмауэры приложений (WAF) проверяют трафик HTTP/HTTPS, поступающий к веб-приложениям и исходящий от них, и блокируют распространённые шаблоны атак, такие как SQL-инъекции, межсайтовый скриптинг и удалённое включение файлов, до того как они достигнут уровня приложения. WAF могут развёртываться как облачные сервисы, аппаратные устройства или программные модули. Наборы правил следует настраивать под конкретное приложение, чтобы минимизировать количество ложных срабатываний и при этом сохранять защиту. PCI DSS v4.0.1 (требование 6.4.2) прямо требует использования WAF или эквивалентных решений для веб-приложений, доступных из публичной сети, а организациям следует регулярно просматривать журналы WAF и обновлять наборы правил с учётом недавно обнаруженных техник атак.