waf-policy/1.1.0 · aktualisiert am 09.07.2026

Adaptives WAF

Regeln, Treffer und progressive Überprüfung entsprechend der Priorität auswerten.

ADDA WAF bewertet Anfragen an sensiblen Routen, erkennt Manipulationen oder Sondierungen und reagiert mit einer verhältnismäßigen Maßnahme.

Die operative Reife eines Webfilters hängt nicht nur vom Blockieren ab. Sie erfordert auch, Erkundung, legitime Fehler, wiederholten Missbrauch und koordinierten Druck zu unterscheiden sowie Erklärung und Überprüfbarkeit zu bewahren.

WAF wird durch drei taktische Flächen ergänzt: forms-shield für Erfassungen und Formulare, api-shield für Integrationsrouten und login-shield für sensible Zugriffe.

Checkliste

• Aktive Regeln und veröffentlichte Versionen prüfen.
• Treffer in Testanfragen überprüfen.
• Bei einer Blockiermaßnahme zu dokumentierter Evidence eskalieren.

Schnellstart

1. Eine sensible Route mit einem kontrollierten Fall testen.
2. MatchedRules und Decision lesen, bevor die Blockierung als korrekt angenommen wird.
3. Einen Incident eröffnen, wenn sich das Muster wiederholt oder mehrere Flächen betrifft.

Operativer Ablauf

Erkennen

Eine Route aktiviert Regeln anhand von Muster, Rate oder einer Kombination von Signalen.

Prüfen, welche Regeln die Maßnahme erklären.

Abstufen

ADDA kann je nach Kontext erlauben, überprüfen, begrenzen oder blockieren.

Progressive Maßnahmen bevorzugen, solange das Vertrauen nicht eindeutig ist.

Belegen

Wenn der Traffic anhaltende Maßnahmen erfordert, WAF mit Tasks, Incidents und Evidence verbinden.

Einzelne Ereignisse in eine koordinierte Reaktion überführen.

flowchart LR
  S1["Erkennen"]
  S2["Abstufen"]
  S3["Belegen"]
  S1 --> S2
  S2 --> S3

Validatoren und Prüfungen

Sie führen eine kontextbezogene Auswertung dieser Oberfläche aus und liefern vorgeschlagene Schritte mit operativem Fokus.

WAF-Schicht validieren

Fasst Artikel, Checks und nächste Schritte für geschützte Flächen zusammen.

Formulare validieren

Konzentriert sich auf Signale zu Erfassungen, Abuse und progressiver Reibung.

Beispiele

Payload für die WAF-Auswertung

{
  "method": "POST",
  "url": "https://capacero.ar/api/login",
  "path": "/api/login",
  "body": "username=demo&password=test",
  "userAgent": "curl/8.0",
  "ip": "198.51.100.44"
}

Links und Referenzen

Zugehörige Routen

WAF-Ansicht im Workspace WAF-Admin-Ansicht

APIs

/api/adda/v1/waf/evaluate
/api/adda/v1/rules/evaluate
/api/adda/v1/governance

Docs und unterstützende Routen

docs/ADDA_WAF.md
docs/ADDA_API.md

Häufige Probleme

• Eine höhere Aggressivität ohne Prüfung betroffener Routen kann legitime Nutzung blockieren.
• Die Trennung von WAF und forms/api/login verhindert das Erkennen von Kampagnen, die zwischen Flächen wechseln.

Empfohlene Aktionen

• Forms/api/login-Shields als spezialisierte Auswertungen und nicht als getrennte Silos verwenden.
• Wenn eine Regel blockiert, Evidence oder mindestens eine Folge-Task hinterlassen.

Nützliche Reason Codes

Score-Wörterbuch

wafRiskScore

Erkanntes Risiko für die beobachtete Route oder das beobachtete Formular.

decision

Beschlossene Aktion: erlauben, überprüfen, begrenzen oder blockieren.

matchedRules

Regeln, die erklären, warum der Schutz aktiviert wurde.

Protokollhinweise

• Bei gemischten Signalen ist eine progressive Entscheidung oft nützlicher als eine frühe Blockierung.
• Eine matchedRule ohne operativen Kontext erklärt weniger, als es scheint.

Artikelverlauf

09.07.2026

WAF wurde mit spezialisierten Shields und dem Incidents/Evidence-Ablauf verknüpft.