WAF (Web Uygulama Güvenlik Duvarı), bir web sitesine gelen tüm istekleri sunucuya ulaşmadan önce inceleyen ve zararlı olanları (SQL enjeksiyonu, kötü amaçlı betik, kaba kuvvet giriş denemeleri, bot saldırıları) engelleyen koruma katmanıdır.
WAF, web sitesinin önünde duran bir filtredir. Ziyaretçinin tarayıcısından gelen her istek önce WAF'tan geçer; WAF, isteğin içeriğini bilinen saldırı kalıplarıyla karşılaştırır. Form alanına veritabanı komutu sokmaya çalışan, yönetici paneline saniyede yüzlerce şifre deneyen, sitenin kaynaklarını tüketmeye çalışan istekler burada durdurulur; normal ziyaretçi hiçbir şey fark etmez. WAF, barındırma hizmetinin parçası, bir CDN katmanı ya da sunucuya kurulan bağımsız bir yazılım olarak sağlanabilir. Klasik ağ güvenlik duvarından farkı, bağlantıyı değil uygulama düzeyindeki içeriği incelemesidir.
İşletme sahibi için neden önemli
İnternete açık her site, boyutundan bağımsız olarak otomatik tarama ve saldırı botlarının hedefidir. Küçük bir işletme sitesi 'kim bize saldırır' diye düşünürken saldırılar çoğunlukla kişiye özel değildir; botlar her adresi dener. WAF, yazılımda henüz kapatılmamış bir açığın istismar edilmesini zorlaştırır ve zaman kazandırır. Ödeme alan, üyelik tutan ya da yönetim paneli olan sitelerde ek koruma katmanı olarak değerlidir; ancak yazılımın kendisinin güvenli yazılmasının yerini tutmaz.
Örnek
Bir oto yedek parça sitesinin yönetici paneline yurt dışı kaynaklı adreslerden dakikada yüzlerce giriş denemesi geliyor. WAF, aynı adresten gelen ardışık başarısız denemeleri tespit edip o adresi geçici olarak engelliyor ve şüpheli trafik raporunu site yöneticisine iletiyor. Site normal ziyaretçiler için kesintisiz çalışmaya devam ediyor.
Sık yapılan hata
WAF'ı kurup güvenliği çözülmüş saymaktır. WAF bilinen kalıpları yakalar; güncellenmeyen bir yazılımdaki yeni açığı ya da zayıf bir şifreyi telafi etmez. İkinci hata, WAF kurallarını çok sıkı ayarlayıp normal kullanıcıların işlemlerini engellemektir; özellikle form ve dosya yükleme alanlarında yanlış engelleme sık görülür ve test edilmesi gerekir. Üçüncü hata, WAF kayıtlarına hiç bakmamaktır; kayıtlar hangi saldırıların denendiğini ve nereye odaklanılması gerektiğini gösterir.
Teklif alırken sorulacak soru
Site bir WAF katmanıyla korunacak mı, bu barındırma paketine mi dahil yoksa ayrı bir hizmet mi? Yanlış engellemeler nasıl tespit edilecek ve WAF kayıtları düzenli olarak kim tarafından incelenecek?
Sık sorulanlar
Küçük bir tanıtım sitesi için WAF gerekli mi?
Zorunlu değildir ancak yönetim paneli ve form bulunan her site otomatik saldırıların hedefidir. Barındırma ya da CDN hizmetiyle gelen temel bir WAF katmanı düşük maliyetle önemli koruma sağlar.
WAF siteyi yavaşlatır mı?
İyi yapılandırılmış bir WAF, özellikle CDN üzerinde çalışıyorsa, fark edilir gecikme yaratmaz; hatta zararlı trafiği sunucuya ulaşmadan kestiği için sunucu yükünü azaltabilir.
