Portal Home

WAF, Firewall si IDS/IPS: diferentele explicate simplu

In hosting folosim des termeni ca WAF, Firewall sau IDS/IPS, dar pentru multi este greu de inteles ce face fiecare. Toate sunt solutii de securitate, dar fiecare acopera o zona complet diferita. Mai jos am pus explicatii clare, cu exemple din viata reala si situatii in care te poti lovi de aceste tehnologii fara sa iti dai seama.

Firewall – filtrare la nivel de retea

Firewall-ul este primul lucru care sta intre server si restul internetului. Este cel care decide daca o conexiune poate intra sau nu. Nu analizeaza continutul traficului, ci doar nivelul de retea: IP-uri, porturi, protocoale.

Ce poate face un firewall:

• Permite sau blocheaza accesul pe anumite porturi (ex: portul 22 pentru SSH)
• Blocheaza un IP sau o gama intreaga de IP-uri
• Limiteaza numarul de conexiuni
• Opreste scanarile automate de porturi

Ce NU poate face un firewall: nu stie daca cineva incearca sa iti faca SQL Injection, XSS sau upload de fisiere periculoase. Pentru el, o cerere HTTP arata la fel, indiferent ce contine.

Exemplu simplu:
Daca cineva acceseaza siteul-tau.ro/login si incearca 1000 de parole, firewall-ul poate bloca IP-ul dupa un numar mare de incercari.
Dar daca aceeasi persoana incearca o injectie SQL in formularul de login, firewall-ul nu intelege ce se intampla. Aici intra WAF-ul.

WAF – protectie pentru aplicatii web

WAF vine de la Web Application Firewall si este gandit special pentru site-uri. Spre deosebire de firewall-ul clasic, WAF-ul analizeaza continutul cererilor, nu doar porturile. El verifica fiecare request HTTP/HTTPS si cauta modele de atac cunoscute.

Ce poate face un WAF:

• Blocheaza SQL Injection
• Blocheaza Cross-Site Scripting (XSS)
• Opreste upload-urile malitioase
• Detecteaza exploit-uri in WordPress, Joomla, Laravel, etc.
• Filtreaza botii si traficul automatizat

Exemplu real:
Daca cineva incearca sa trimita spre site o cerere de genul:
/index.php?id=1' OR '1'='1
firewall-ul de retea nu vede absolut nimic suspect. Pentru el e doar text.
WAF-ul in schimb vede clar ca e o tentativa de injectie SQL si o blocheaza.

Test simplu pe care oricine il poate face:

Acceseaza:
https://siteultau.ro/?test=

Un site protejat de un WAF va bloca sau curata cererea. Un site fara WAF o va accepta, iar uneori codul se poate executa.

IDS/IPS – detectie si prevenire a intruziunilor

IDS si IPS sunt tehnologii care monitorizeaza traficul si comportamentul, nu doar porturile sau continutul cererilor. Ele sunt orientate spre detectarea comportamentelor anormale.

IDS (Intrusion Detection System)

Detecteaza activitati suspecte si trimite alerte. Nu blocheaza automat.

Exemplu:
Un IDS poate observa ca un IP face 2000 de cereri in 10 secunde catre /wp-login.php si marcheaza comportamentul ca fiind suspect.

IPS (Intrusion Prevention System)

Este nivelul urmator: daca vede un comportament rau intentionat, il blocheaza automat.

Exemplu:
Daca un IPS detecteaza un upload de fisier PHP intr-un director care nu ar trebui sa permita fisiere executabile, blocheaza cererea instant.

Cand apar in practica:

• scanari masive de vulnerabilitati
• tentative de exploatare a unor zero-days
• comportamente neobisnuite ale sesiunilor
• trafic neobisnuit pe anumite endpoint-uri

Diferente clare intre solutii

Protectia folosita pe serviciile noastre de gazduire

Serverele noastre de gazduire web folosesc o combinatie de Firewall, WAF si IDS/IPS prin intermediul Imunify360. Acesta analizeaza traficul in timp real, blocheaza atacuri web, previne exploatari, izoleaza fisiere infectate si filtreaza botii agresivi.

Practic, daca ai un site gazduit la noi, toate aceste niveluri de protectie ruleaza permanent in fundal pentru a reduce riscul de compromitere.