Web Uygulama Güvenlik Duvarı Nedir?
İngilizce: Web Application Firewall
Yayın: · Son güncelleme:
Web Uygulama Güvenlik Duvarı Nedir? Kısaca
Web uygulama güvenlik duvarı (WAF), bir web sitesine ya da web uygulamasına gelen HTTP isteklerini inceleyerek SQL enjeksiyonu, XSS ve kötü niyetli bot trafiği gibi saldırıları uygulamaya ulaşmadan engelleyen güvenlik katmanıdır.
Web uygulama güvenlik duvarı nedir?
Web uygulama güvenlik duvarı, web sitelerine gelen istekleri süzerek saldırıları engelleyen bir güvenlik katmanıdır. Kısaca WAF (Web Application Firewall) denir. Klasik güvenlik duvarı IP ve port düzeyinde çalışırken WAF, isteğin içeriğine, yani form alanlarına, adres parametrelerine ve çerezlere bakar.
WAF; bir sunucu yazılımı, ayrı bir cihaz ya da bulut hizmeti olarak kullanılabilir. Bulut tabanlı WAF'lar, sitenin önünde bir ara katman gibi durur ve trafiği temizleyip sunucuya iletir.
Nasıl çalışır?
Gelen her istek kurallarla karşılaştırılır. Kurallar, bilinen saldırı kalıplarını tanır. Örneğin bir arama kutusuna normal bir kelime yerine veritabanı komutu benzeri bir ifade yazılmışsa istek engellenir ya da kayda alınır. Benzer şekilde sayfaya zararlı betik eklemeye çalışan girdiler de süzülür.
Birçok WAF, OWASP'ın yayımladığı yaygın web riskleri listesine göre hazırlanmış hazır kural setleriyle gelir. Hız sınırlama özelliği, aynı adresten saniyede yüzlerce giriş denemesi gelmesini de durdurabilir.
Somut bir senaryo: Küçük bir e-ticaret sitesi, eski bir eklentideki açık nedeniyle risk altındaysa WAF, yama yapılana kadar o açığa yönelik istekleri engelleyerek zaman kazandırabilir.
Nelere dikkat etmeli?
WAF güvenli kodlamanın yerini tutmaz, yalnız ek bir kalkandır. Kurallar fazla katıysa gerçek müşterilerin işlemleri de engellenebilir, bu yüzden yeni kurallar önce izleme modunda denenmelidir. Kayıtların düzenli incelenmesi, hangi saldırıların denendiğini gösterir.
Uygulamanın kendisindeki açıklar için OWASP Top 10 listesini incelemek iyi bir başlangıçtır.
Sıkça Sorulan Sorular
WAF ile klasik güvenlik duvarı arasındaki fark nedir?
Klasik güvenlik duvarı bağlantıları adres ve port düzeyinde denetler. WAF ise web isteklerinin içeriğini inceleyerek uygulamaya özgü saldırıları engeller.
Küçük bir site için WAF gerekir mi?
Özellikle form, üyelik ya da ödeme içeren sitelerde faydalıdır. Birçok barındırma ve içerik dağıtım hizmeti, uygun maliyetli bulut WAF seçenekleri sunar.