Den Securantis‑Firewall auf WordPress konfigurieren: Beobachtung, Blockierung, Regeln, Allowlists und Fail‑Open

Zweck und Kontext

Dieser Leitfaden erklärt, wie der Web‑Anwendungs‑Firewall (WAF) von Securantis für eine WordPress/WooCommerce‑Site vorsichtig eingesetzt wird. Ziel ist es, zunächst im Beobachtungsmodus zu starten, um die Auswirkungen zu prüfen, und dann schrittweise in eine sichere Blockierung überzugehen, wobei benutzerdefinierte Regeln, Allowlists und das "fail‑open"‑Verhalten von Schutzmechanismen abhängig von externen Diensten (z. B. CAPTCHA‑Anbietern) verwaltet werden. Entscheidungen über Quarantäne, Wiederherstellung oder Löschung bösartiger Dateien bleiben menschlich: Securantis löscht nichts automatisch ohne Ihre Bestätigung.

Voraussetzungen

• Plugin Securantis installiert und Lizenz aktiv.
• WordPress‑Administratorzugang (hohe Berechtigungen erforderlich, um den Schutz zu ändern).
• Aktuelle Sicherung der Site (Dateien und Datenbank) vor jeder Änderung an der WAF‑Policy.
• Bei Verwendung von WooCommerce: Zeiten mit geringem Traffic für den Wechsel in den Blockiermodus wählen, falls erforderlich.

Funktionsprinzipien (kurze Zusammenfassung)

• Beobachtung (Modus „learning“): der WAF protokolliert Ereignisse und erzeugt Alerts ohne zu blockieren. Dies ist der anfänglich empfohlene Modus.
• Blockierung: der WAF lehnt bösartige Anfragen ab oder versetzt sie in Quarantäne gemäß Regeln.
• Regeln: Kombination aus Signaturen, Anomalien und Heuristiken, die eine Aktion auslösen.
• Allowlists (Whitelist): IP‑Adressen, Pfade oder Signaturen, die vom Filtern ausgenommen werden.
• Fail‑open: Option, die den Verkehr zulässt, wenn eine externe Abhängigkeit (z. B. ein CAPTCHA‑Dienst) ausfällt, um einen Dienstunterbruch zu vermeiden.

Empfohlene Schritte (Schritt für Schritt)

1. Anfangszustand prüfen

   • Öffnen Sie in der Securantis‑Oberfläche im WordPress‑Dashboard die Sektion „Pare‑feu“ oder die entsprechende Seite.
   • Bestätigen Sie, dass der WAF aktiviert ist, und notieren Sie, ob er im Beobachtungs‑ oder Blockiermodus läuft.

2. 7 bis 14 Tage Beobachtung durchführen

   • Aktivieren (oder belassen) Sie den Beobachtungsmodus.
   • Verfolgen Sie während dieses Zeitraums die Ereignisprotokolle und Alerts, um False Positives zu identifizieren (legitime Blocker wie Indexer‑Bots, Webhooks, Drittanbieter‑Integrationen).
   • Exportieren oder notieren Sie regelmäßig die häufig auftretenden IP‑Adressen und Muster.

3. Vorsichtige Allowlists erstellen

   • Für jeden legitimen Dienst, der blockiert wird (E‑Mail‑Versandplattform, CRM‑Integrationen, API, bekannte Crawler), fügen Sie einen Eintrag in der Allowlist hinzu.
   • Bevorzugen Sie präzise Einträge (CIDR für IPs, Pfadmuster) statt globaler Allowlists.
   • Dokumentieren Sie jeden Eintrag: Grund, Dauer und Verantwortliche/r.

4. Regeln vor dem Blockieren verfeinern

   • Korrigieren Sie zu breite Regeln, die während der Beobachtung erkannt wurden (z. B. Regeln, die legitime POSTs an API‑Endpoints blockieren).
   • Testen Sie Änderungen idealerweise in einer Pre‑Production‑Umgebung oder außerhalb der Spitzenzeiten.

5. Stufenweiser Wechsel zur Blockierung

   • Aktivieren Sie zuerst Blockierungen für nicht‑kritische Kategorien (z. B. Spam‑Kommentare). Überwachen Sie die Logs intensiv.
   • Erweitern Sie schrittweise auf sensiblere Kategorien (Injection‑Versuche, Zugriff auf Admin‑Interfaces).
   • Führen Sie ein Protokoll über Blockierungen und getroffene Gegenmaßnahmen.

6. Fail‑Open sorgfältig konfigurieren

   • Wenn Sie Schutzmechanismen nutzen, die auf externen Diensten beruhen (z. B. CAPTCHA), aktivieren Sie fail‑open, wenn die Dienstkontinuität Priorität hat. Dadurch wird der Verkehr im Fehlerfall des Anbieters zugelassen, jedoch steigt das Risiko ungefilterter Ereignisse.
   • Für sensible Bereiche (Login‑Seite, Zahlungsseiten) vermeiden Sie fail‑open, außer Sie verfügen über alternative Schutzmaßnahmen (2FA, Zugriffskontrolle/Monitoring).

Vorsichtige Einstellungen und Empfehlungen

• Blockieren Sie nicht großflächig von Anfang an: eine schrittweise Erhöhung reduziert Unterbrechungen.
• Bevorzugen Sie spezifische Regeln gegenüber globalen Regeln.
• Begrenzen Sie den Umfang von Allowlists (befristet, mit benanntem Verantwortlichen).
• Für WooCommerce‑Shops: testen Sie Änderungen außerhalb von Promotion‑/Verkaufszeiträumen.
• Bewahren Sie vollständige Protokolle mindestens 30 Tage auf, um Vorfälle analysieren zu können.

Häufige Fehler und deren Behandlung

• False Positives bei Formularen oder Webhooks: Muster identifizieren (URL, User‑Agent, IP) und gezielte Allowlist erstellen.
• Blockierung von Dritt‑APIs: IP‑Adressen/ CIDR‑Blöcke hinzufügen oder Anfragen zwischen Servern signieren.
• CAPTCHA blockiert oder nicht verfügbar: wenn fail‑open deaktiviert ist, können Benutzer blockiert werden; aktivieren Sie fail‑open vorübergehend während der Fehlerbehebung, wenn Kontinuität Priorität hat.
• Intermittierende Blockierungen nach Plugin‑Update: erneut im Beobachtungsmodus testen und bei Bedarf die Baseline anpassen.

Schrittweises Troubleshooting

1. Symptom identifizieren: Seiten unerreichbar, Formulare senden nicht, Fehler 403.
2. WAF‑Logs für Zeitpunkt und betroffene IP einsehen.
3. Aktion in einem Browser im Entwicklermodus reproduzieren, um die genaue Anfrage zu erfassen (Methode, Headers, Payload).
4. Wenn eine Regel zu restriktiv erscheint, setzen Sie die Regel in den Beobachtungsmodus oder fügen Sie eine gezielte Ausnahme hinzu.
5. Für CAPTCHA: prüfen Sie die Kommunikation mit dem Anbieter (API‑Aufruf‑Logs). Wenn die externe API Fehler liefert, entscheiden Sie zwischen Integrationserneuerung, Wechsel zu einem anderen Anbieter oder temporärer Aktivierung des fail‑open.
6. Bei häufigen Problemen mit legitimen IPs: Allowlist‑Eintrag (CIDR) hinzufügen und anschließend überwachen.

Sicherheitsmaßnahmen und Compliance

• Fordern Sie niemals Passwörter per E‑Mail oder Chat an.
• Jede invasive Maßnahme (Wiederherstellung von Dateien aus Quarantäne, automatische Löschung) bedarf einer ausdrücklichen Genehmigung und einer vorherigen Sicherung.
• Zugänge für kostenpflichtige Eingriffe werden nach Zahlung über den gesicherten Kundenbereich bereitgestellt.

Wann Sie den Support von Securantis kontaktieren sollten

Kontaktieren Sie den Support wenn:

• Sie während des Wechsels in den Blockiermodus unerwartete massenhafte Blockierungen beobachten.
• Sie ein potenzielles Bypass‑Verhalten identifizieren, das die Sicherheit beeinträchtigt (z. B. Regeln, die umgangen werden).
• Sie Hilfe bei der Erstellung komplexer Signaturen oder der Analyse eines kritischen Vorfalls benötigen.
• Sie nach Aktivierung der Blockierung den Admin‑ oder Zahlungszugang nicht wiederherstellen können.

Bereiten Sie bei Supportanfragen vor:

• Präzise Problembeschreibung, Zeitpunkt und betroffene URL.
• Beispiel einer blockierten Anfrage (Headers und Payload, wenn möglich).
• Screenshots der WAF‑Logs und bereits durchgeführter Maßnahmen.

Erwartetes Ergebnis nach der Konfiguration

• Eine dokumentierte Beobachtungsphase, die zu einer schrittweisen Blocking‑Policy mit wenigen False Positives führt.
• Playbooks für Allowlisting und Eskalation, die eine schnelle Reaktion ermöglichen.
• Aktive Überwachung und Verfahren zum Aktivieren/Deaktivieren des fail‑open je nach Kontext (z. B. Vorfall bei einem CAPTCHA‑Anbieter).

Abschließende Hinweise

Sicherheit ist ein Gleichgewicht zwischen striktem Schutz und Verfügbarkeit. Der Beobachtungsmodus gefolgt von schrittweiser Blockierung ermöglicht die Kalibrierung des WAF, ohne legitime Nutzer zu unterbrechen. Bewahren Sie Backups und eine Änderungs‑Audit‑Spur für jede Regel‑ oder Allowlist‑Änderung auf. Bei Unsicherheit holen Sie vor dem Anwenden globaler Einstellungen in einer Produktivumgebung Unterstützung von Securantis ein.