Was ist das OWASP Core Rule Set (CRS)?

Das OWASP Core Rule Set (CRS), heute meist OWASP CRS genannt, ist eine freie und quelloffene Sammlung generischer Sicherheitsregeln für ModSecurity, Coraza und kompatible Web Application Firewalls. Die Regeln analysieren HTTP-Anfragen und – abhängig von der Konfiguration – auch Antworten, um typische Angriffsmuster zu erkennen.

Das CRS ist keine eigenständige Web Application Firewall. Die WAF-Engine verarbeitet den Datenverkehr und führt die Regeln aus; das CRS liefert die Erkennungslogik. Es ergänzt sichere Programmierung, Updates und weitere Schutzmaßnahmen im Rahmen eines mehrschichtigen Sicherheitskonzepts.

Welche Angriffe erkennt das OWASP CRS?

Das Regelwerk erkennt unter anderem:

• Muster für SQL-Injection,
• Cross-Site Scripting,
• Local und Remote File Inclusion,
• Remote Code Execution
• auffällige Abweichungen vom HTTP-Protokoll.

Damit deckt es zahlreiche verbreitete Angriffskategorien einschließlich Risiken aus den OWASP Top Ten ab.

Die Regeln sind bewusst allgemein gehalten. Anwendungsspezifische Fehler in Geschäftslogik, Berechtigungen oder Prozessen können sie deshalb nicht zuverlässig beurteilen.

Wie funktioniert das Anomaly Scoring?

1. Regeltrigger sammeln:
   Jede ausgelöste CRS‑Regel vergibt Punkte.
2. Gesamtbewertung prüfen:
   Überschreitet die Summe den definierten Schwellenwert, wird die Anfrage/Antwort blockiert.
3. Mehrere Signale kombinieren:
   Verdächtige Treffer wirken zusammen und führen zur Entscheidung.
4. Einführungsphase im Erkennungsmodus:
   Treffer werden zunächst nur protokolliert, ohne legitime Requests zu blockieren.
5. Schrittweise Aktivierung:
   Nach Auswertung der Logs kann der Blockierungsmodus aktiviert werden.

Was bedeuten die Paranoia Levels?

Die Paranoia Levels 1 bis 4 bestimmen, wie viele und wie empfindliche Regeln aktiv sind. Ein höheres Level kann zusätzliche Angriffe erkennen, erhöht jedoch normalerweise auch das Risiko von Fehlalarmen.

Das Paranoia Level ist nicht mit dem Anomaly-Schwellenwert gleichzusetzen. Beide Einstellungen müssen passend zum Schutzbedarf und zum tatsächlichen Datenverkehr gewählt werden.

Wie wird das CRS eingeführt und abgestimmt?

• Tests & Protokollanalyse:
  belastbare Einführung beginnt mit praktischen Tests und Auswertung realer Logs.
• Fehlalarme beheben:
  durch gezielte Rule Exclusions, ohne die ursprünglichen CRS-Regeln direkt zu verändern.
• Blockierungsmodus aktivieren:
  schrittweise, nach erfolgreicher Fehlerreduktion.
• Dokumentation & Pflege:
  Regelversionen, Ausnahmen, Schwellenwerte und Paranoia Levels müssen dokumentiert, regelmäßig aktualisiert und nach Änderungen erneut überprüft werden.

Welche Grenzen hat das OWASP CRS?

Das OWASP CRS behebt keine Schwachstellen im Quellcode und ersetzt weder Zugriffskontrollen noch Sicherheitstests oder Patch-Management. Verschlüsselter Datenverkehr muss dort entschlüsselt werden, wo ihn die WAF prüfen kann. Ungeeignete Einstellungen können legitime Anfragen blockieren oder Angriffe übersehen.