thumb

Das "OWASP Modsecurity Core Rule Set Projekt" (CRS) ist in Stuttgart mit einem Open Source Business Award, kurz Osbar, der Deutschen Open Source Business Alliance ausgezeichnet worden. Die Preisverleihung fand anlässlich der "Konferenz für digitale Innovation Open! 2017" statt. Am prämierten Projekt sind Exponenten der Schweizer Open-Source-Szene federführend beteiligt. Mit dem Preis werden Projekte, Startups und herausragende Ideen aus dem Open-Source-Umfeld gewürdigt.

Modsecurity ist eine auch in kommerziellen Produkten weit verbreitete Web Application Firewall (WAF) mit offenem Quellcode. Das nun prämierte CRS-Projekt entwickelt ein Set von rund 150 generischen Regeln für den Einsatz mit Modsecurity und darauf aufbauenden Lösungen. Gegründet wurde das CRS-Projekt vor über zehn Jahren, heute wird es von der Stiftung Open Web Application Security Project (OWASP) als Flaggschiffprojekt geführt; das OWASP Top-10 Projekt empfiehlt CRS als nützliche Schutzmethode. Die Regeln stehen unter Lizenz der Apache Foundation zur Verfügung und werden auch in kommerziellen WAF-Lösungen verwendet.

WAFs schützen Webanwendungen vor Angriffen über das Internet, indem sie den ein- und ausgehenden Datenverkehr überwachen. Das CRS macht dies nicht anhand starrer Wenn-dann-Regeln; vielmehr prüfen es den Datenfluss auf ungewöhnliche oder schädliche Merkmale und bewertet diese einzeln. Erst wenn der Gesamtwert eine bestimmte Schwelle überschreitet, wird der Verkehr blockiert. Auf diese Weise schützt das CRS als erste Verteidigungslinie vor Attacken wie SQL-Injections, Cross Site Scripting und Verletzungen des HTTP-Protokolls. In der Grundeinstellung wehrt der Regelsatz bereits über 80 Prozent aller Angriffe ab, mit einer Verschärfung der Einstellungen lässt sich der Schutz auf über 95 Prozent steigern.

ModSecurity konnte sich global als einziges Open-Source-Angebot unter einer Vielzahl kommerzieller WAF-Lösungen etablieren. Das CRS-Projekt ist besonders in der Schweiz gut verankert. Den Preis im Namen des rund zehnköpfigen Projekts hat denn auch Christian Folini entgegengenommen. Folini ist Sicherheitsexperte beim Berner Linux-Spezialisten Netnea und Co-Leader des Projekts. Er ist darüber hinaus Autor der zweiten Auflage des Modsecurity-Handbuchs und Veranstalter regelmässiger Kurse zum Thema.

Weitere Infos zum OWASP ModSecurity Core Rule Set: https://coreruleset.org
Infos zu OWASP: https://www.owasp.org