blog posts

WAF veya Web Uygulaması Güvenlik Duvarı, web uygulamalarını İnternet saldırılarından korumak için tasarlanmış bir tür güvenlik sistemidir. WAF, web trafiğini analiz ederek ve SQL Enjeksiyon ve Siteler Arası Komut Dosyası Çalıştırma saldırıları gibi çeşitli saldırı modellerini belirleyerek bu saldırıların web uygulamalarına girmesini engeller.

Bu güvenlik sistemlerinden biri de WAF veya Web Uygulama Güvenlik Duvarıdır. WAF, web sitelerine ve web uygulamalarına kurulan ve XSS ve SQL Injection saldırıları gibi siber saldırılara karşı otomatik olarak koruma sağlayan bir güvenlik sistemidir.

Bunun için varsayılan olarak WAF, kendi kuralları ve algoritmalarını kullanarak gelen ve giden tüm trafiği kontrol eder ve herhangi bir siber saldırı tespit edilmesi durumunda otomatik olarak engeller.

WAF kullanmanın avantajlarından biri de şirket ve kuruluşların uygulama kodlarını değiştirmeden çeşitli siber saldırılara karşı koruma sağlamasına ve bilgisayar korsanlarının hassas bilgilerine erişmesinin engellenmesine olanak sağlamasıdır.

WAF kavramını daha iyi anlayabilmeniz için size bir hikaye anlatacağız. (Hikâyemiz biraz kaba, kalp rahatsızlığı olanlar okumasın)!

Askerlerin siperlerde konuşlandığı, düşmanın ateş etme gibi tehlikeli saldırılarının olduğu ve bu askerlerin koruma ve koruma görevi üstlendiği bir savaş cephesi hayal edin. Bu askerlerin kullanması gereken strateji, bu saldırılara karşılık verecek içlerinden birini muhafız olarak seçmektir. Bu korumanın yapması gereken, bazı işlemleri gerçekleştirmek veya tehditlere yanıt vermek gibi eylemler gerçekleştirerek (WAF’ın hacker saldırılarına karşı yaptığı şeyin aynısı) saldırganları tespit etmek ve duvarı saldırılardan korumaktır.

Şu ana kadar WAF kavramına aşinasınız; Ancak hikaye biraz karmaşık ve bu yüzden WAF sistemi nedir sorusuna bu kapsamlı yazımızda en basit şekilde cevap vereceğiz. Bu ilginç makaleyi kaçırmayın ve bizimle kalın.

Ancak öncelikle şunu belirtmeliyiz ki, asıl endişeniz güvenlik ise, sanal sunucularda, içerideki web uygulamalarını korumak için sanal web sunucusunun üzerine ek bir güvenlik katmanı olarak WAF’ın kurulabileceğini bilmeniz daha iyi olur. o. olmak Yani sanal sunucu satın alarak güvenliğinizi katlayabilirsiniz .

 

Neden WAF’a ihtiyacımız var?

Pek çok kuruluş, çevik geliştirme yöntemleri, buluta geçiş, web yazılımı veya SaaS uygulamalarının artan kullanımı ve uzaktan çalışan iş gücü nedeniyle uygulama düzeyinde güvenlik riskiyle karşı karşıyadır. WAF kullanmak, kuruluşların web uygulamalarını ve API’leri hedef alan saldırılara karşı koymasına olanak tanır.

WAF’ler kuruluşları tüm dijital tehditlere karşı korumasa da, OWASP’ın en önemli uygulama güvenlik açıkları da dahil olmak üzere uygulama düzeyinde hedeflenen tehditlere karşı uygulanabilir. Bu güvenlik açıkları şunları içerir:

1. Siteler arası komut dosyası çalıştırma (XSS) saldırısı: Bu saldırı türünde saldırgan, geçerli bir web sitesine kötü amaçlı kod yerleştirir. Bu kod daha sonra kullanıcının web tarayıcısında virüslü bir komut dosyası olarak yürütülür ve saldırganın hassas bilgileri çalmasına veya kullanıcının kimliğine bürünmesine olanak tanır.
2. Uygulama Katmanı DDoS Saldırıları: Bu saldırı türünde saldırgan, bir sitenin normal kullanıcı isteklerine yanıt vermeyecek şekilde yüksek hacimde kötü amaçlı trafik oluşturarak sitenin hizmetini bozmaya çalışır. Bu tür saldırıların örnekleri arasında HTTP/S temizlemeleri, SSL saldırıları ve kaba kuvvet saldırıları yer alır.
3. SQL enjeksiyon saldırısı: Bu saldırı türünde saldırgan, bilinen bir güvenlik açığından yararlanarak bir programa kötü amaçlı SQL komutları enjekte eder. Bu eylem, saldırganın bilgileri çıkarmasına, değiştirmesine veya silmesine olanak tanır.
4. Sıfır gün saldırıları, bir bilgisayar korsanının, bir yazılım geliştiricisi bir yama yayınlamadan önce bilinmeyen bir güvenlik açığından veya yazılım hatasından yararlanması durumunda gerçekleşir. Bu, bilgisayar korsanının bilinmeyen bir güvenlik açığına karşı çalıştığı ve bunu sisteme girerek hassas bilgilere erişim sağlamak için kullandığı anlamına gelir.

WAF nasıl çalışır?

Bu metin, bir web uygulamasının önüne WAF (bir çeşit güvenlik sistemi) kurulduğunda, web uygulaması ile internet arasına koruyucu bir kalkan yerleştirilerek web uygulaması ile son kullanıcı(lar) arasındaki tüm trafiğin engellendiğini belirtmektedir. denetler WAF, web uygulamasına giden kötü amaçlı HTTP/S trafiğini filtreleyerek, izleyerek ve engelleyerek web uygulamalarını korur. Ayrıca trafik güvenliği düzeyinin belirlenmesine yardımcı olan bir dizi politikaya uyarak yetkisiz verilerin web uygulamasından çıkmasını da önler. Tıpkı bir proxy sunucusunun, müşterinin kimliğini koruyan bir aracı görevi görmesi gibi, geleneksel bir kurulumda WAF da bunun tersi şekilde davranır, bir proxy gibi, ters bir proxy olarak hareket eder, bir aracı olarak hareket eder ve uygulama sunucusunu korur. potansiyel olarak kötü niyetli bir istemciden gelen web.

 

WAF modeli türleri

Güvenlik söz konusu olduğunda WAF’lar genellikle üç yaklaşımı izler:

• Beyaz listeye alma: Hangi trafiğe izin verileceğini ve geri kalanının engelleneceğini tanımlamak için makine öğrenimi algoritmalarını ve davranış modellemesini kullanır.
• Kara listeye alma: Bilinen güvenlik açıklarına yönelik güncellenmiş imzalara dayalı olarak WAF’ın engellemesi ve geri kalanını kabul etmesi gereken trafiğin bir listesini tanımlar.
• Hibrit Yaklaşım: Bu yöntemde WAF, pozitif ve negatif güvenlik modellerinin bir kombinasyonunu kullanır, yani geçişine izin verilebilecek öğelerin bir listesini ve ayrıca engellenmesi gereken öğelerin bir listesini tanımlar. trafiğe izin verildi.

 

WAF ve Güvenlik Duvarı arasındaki fark

Güvenlik duvarı ile WAF arasındaki temel fark , güvenlik duvarının genellikle yalnızca ağı ve aktarım katmanlarını (3. ve 4. katmanlar) korumasıdır. Ancak web uygulaması güvenlik duvarı Katman 7 koruması sağlar.

Engellenenler listesi ile izin verilenler listesi WAF’leri arasındaki fark nedir?

Engelleme listesine (negatif güvenlik modeli) dayalı bir WAF, bilinen saldırılara karşı koruma sağlar. WAF engelleme listesi, kıyafet kurallarına uymayan misafirlerin girişini reddetme emri veren bir güvenlik görevlisi olarak düşünülebilir. Bunun aksine, izin verilenler listesi tabanlı WAF (pozitif güvenlik modeli) yalnızca önceden onaylanmış trafiğin içeri girmesine izin verir. Özel bir partideki güvenlik görevlisi gibi, sadece listede olan kişileri içeri alıyor. Hem engellenenler listesinin hem de izin verilenler listesinin avantajları ve dezavantajları vardır; bu nedenle birçok WAF, her ikisini de içeren hibrit bir güvenlik modeli uygular.

Ağ tabanlı, barındırılan ve bulut tabanlı WAF’ler

WAF’ler üç farklı türe ayrılır: ağ tabanlı, ana bilgisayar tabanlı ve bulut tabanlı.

İlk WAF türü, donanım kullanan ve genellikle sisteme yerel olarak yüklenen ağ tabanlıdır. Bu tür WAF sistemdeki gecikmeyi azaltır ancak maliyeti çok yüksektir ve bakımı için fiziksel ekipman gerektirir.

İkinci tür ana bilgisayar WAF’si sunucu tabanlı ve ağ tabanlı olabilir. Sunucu merkezli versiyon tamamen uygulama yazılımına yerleştirilmiştir. Bu çözüm, ağ tabanlı çözümden daha ucuzdur ve daha fazla özelleştirmeye izin verir, ancak yerel sunucu kaynaklarının kullanımı, uygulama karmaşıklığını ve bakım maliyetlerini beraberinde getirir. Bu parçalar genellikle mühendislik süresi ve yüksek maliyetler gerektirir.

Üçüncüsü ise bulut tabanlı waps. Bulut tabanlı web güvenlik duvarları, uygulanması için karmaşık teknik bilgi gerektirmeyen, iyi ve ucuz bir seçenektir. Bu güvenlik duvarlarının kurulumu genellikle hızlı ve kolaydır ve DNS’yi değiştirerek web sitesi trafiğini bunlar üzerinden yönlendirmek kolaydır. Kullanıcılar güvenlik için aylık veya yıllık olarak ödeme yaptıkları için bu güvenlik duvarlarının maliyeti düşüktür. Ayrıca bu güvenlik duvarları sürekli olarak güncellenmekte ve kullanıcının ek maliyet veya özel çalışmasına gerek kalmadan yeni tehditlere karşı koruma sağlamaktadır. Ancak bu güvenlik duvarlarında ortaya çıkabilecek sorun, kullanıcıların web sitesi güvenliğinin sorumluluğunu üçüncü bir tarafa devretmeleri ve dolayısıyla bu güvenlik duvarlarının bazı özelliklerinin onlar için belirsiz kalmasıdır.

Uygulamaların web güvenlik duvarı güvenliği neden önemlidir?

Mobil uygulama geliştiricileri, sosyal medya ve dijital bankacılar gibi ürün veya hizmetlerini çevrimiçi olarak sunan birçok kuruluş için uygulama web güvenlik duvarları önemli bir konudur. Web güvenlik duvarı programları, müşteri bilgileri ve ödeme kartları gibi hassas verileri korumanıza ve bu bilgilere izinsiz girişleri önlemenize yardımcı olabilir.

Kuruluşlar hassas verilerinin büyük bir kısmını web uygulamaları aracılığıyla erişilebilen bir yedekleme veritabanında saklar. Şirketler iş etkileşimlerini kolaylaştırmak için mobil uygulamaları ve IoT cihazlarını kullanıyor ve uygulama katmanında çok sayıda çevrimiçi işlem gerçekleştiriliyor. Saldırganlar bu verilere erişim sağlamak için sıklıkla uygulamalara saldırır.

Kart sahibi bilgileriyle çalışan bir kuruluşsanız müşterilerinizin bilgilerini internet saldırılarından korumak için yüksek güvenliğe ihtiyacınız vardır. Müşteri verilerini korumanın bir yolu WAF kullanmaktır. WAF, bir güvenlik duvarı gibi davranır ve web uygulamalarınızı SQL Enjeksiyon ve Siteler Arası Komut Dosyası Çalıştırma saldırıları da dahil olmak üzere çeşitli saldırılara karşı korumaya yardımcı olur. WAF kullanmak, PCI DSS gibi güvenlik gereksinimlerini karşılamanıza yardımcı olur.

Ancak müşteri bilgilerini korumak için IDS, IPS ve geleneksel güvenlik duvarları gibi diğer güvenlik önlemlerinin kullanılması tavsiye edilir. Bu güvenlik önlemleri, müşterilerinizin verilerini korumanıza ve siber saldırıların sisteminize girmesini engellemenize yardımcı olan çok katmanlı bir savunma güvenlik modeli elde etmek için WAF ile birleştirilebilir.

 

Web uygulaması güvenlik duvarı türleri

Bir web uygulaması güvenlik duvarını uygulamanın üç ana yolu vardır:

Ağ tabanlı güvenlik duvarı

Bu tür güvenlik duvarı daha çok donanım tabanlıdır ve gecikmeyi azaltmak için yerel olarak kurulur. Ancak bu tip güvenlik duvarı en pahalı güvenlik duvarı türüdür ve fiziksel ekipmanların depolanmasını ve bakımını gerektirir.

Ana bilgisayar tabanlı WAF

Bir programın veya uygulamanın yazılımına tamamen entegredir. Bu seçenek ağ tabanlı WAF’lardan daha ucuz ve daha özelleştirilebilirdir ancak çok fazla yerel sunucu kaynağı tüketir, uygulanması karmaşıktır ve bakımı pahalıdır. Genellikle, ana bilgisayar tabanlı bir WAF’yi çalıştırmak için kullanılan makinenin geliştirilebilmesi ve özelleştirilebilmesi gerekir; bu da zaman alıcı ve maliyetli olabilir.

Bulut tabanlı WAF

Başlangıç ​​sermayesine ihtiyaç duymadan, aylık veya yıllık menkul kıymet aboneliği ödenerek kullanılabilecek bir güvenlik çözümüdür. Bu sayede güncellemeler için ekstra ücret ödemenize ve onu yönetmeye çalışmanıza gerek kalmaz. Ancak bu güvenlik çözümü üçüncü bir tarafça yönetildiği için “Bulut tabanlı WAF”ın kuruluşunuzun iş kurallarına uyacak yeterli özelleştirme seçeneğine sahip olduğundan emin olmalısınız.

WAF’ın hangi özellikleri ve yetenekleri vardır?

WAF’ın aşağıda isimlerini vereceğimiz ve her birini açıklayacağımız çeşitli yetenek ve özellikleri bulunmaktadır.

Şablon veritabanlarına saldırmak

Saldırı kalıpları, çeşitli istekleri, sıra dışı sunucu yanıtlarını ve kötü amaçlı IP adreslerini içerebilen, kötü amaçlı trafiği göstermesi muhtemel kalıplardır. Geçmişte WAF’lar genellikle saldırı modeli veritabanlarına güveniyordu ve bunlar ne yazık ki yeni veya bilinmeyen saldırılara karşı etkisizdi.

Yapay zekaya dayalı trafik modellerini analiz edin

Yapay zeka algoritmalarının yardımıyla davranışsal temelleri kullanabilir ve farklı trafik türleri için trafik modellerini analiz edebilirsiniz. Peki bu çalışmanın avantajı nedir? İşaretleyici saldırılarıyla ilişkili anormallikleri tespit edebilir ve bilinen kötü amaçlı kalıplarla eşleşmeyen saldırıları tanımlayabilirsiniz.

Uygulama profili

Uygulama profili oluşturma, bir uygulamanın tipik istekleri, URL’leri, değerleri ve izin verilen veri türlerini içeren yapısını analiz etmek anlamına gelir. Bu özellik, WAF’ın şüpheli istekleri tespit etmesine ve engellemesine olanak tanır.

 

Özelleştirme

Operatörler uygulama trafiğinde kullanılan güvenlik kurallarını tanımlayabilir. Bu özellik, kuruluşların WAF davranışını ihtiyaçlarına göre özelleştirmesine ve yasal trafiğin engellenmesini önlemesine olanak tanır. Bu, kuruluşların daha uygun güvenlik kuralları tanımlayarak yasal trafik kısıtlamalarından kaçınabileceği anlamına gelir.

korelasyon motoru

“Analizörler” adı verilen bir sistem, gelen trafiği inceler ve önceki saldırılardan bilinen işaretleri ve modelleri kullanarak planlar. Ayrıca uygulama analitiği, yapay zeka analitiği ve özel kurallar kullanılarak trafiğin engellenip engellenmeyeceğine de karar verirler.

DDoS koruma platformları

Sitelere saldırmanın kolay bir iş olmaması için bulut tabanlı bir platformu entegre edebilirsiniz. Başka bir deyişle, dağıtılmış hizmet reddi (DDoS) saldırılarına karşı koruma sağlayın. WAF, DDoS saldırılarını tespit etmeyi başarırsa site trafiğini bu bulut tabanlı platforma aktarır ve meydana gelen yüksek hacimli saldırıları yönetebilirsiniz.

İçerik Dağıtım Ağları (CDN)

WAF’ler ağın ucuna yerleştirilir, böylece bir bulut ana bilgisayarı aracılığıyla WAF, bir CDN sağlamanıza, web sitesini önbelleğe almanıza ve yükleme süresini iyileştirmenize yardımcı olur. WAF, CDN’yi küresel olarak yayılmış birçok noktaya dağıtır, böylece kullanıcılara en yakın PoP’tan hizmet sunulur. Bu, web sitenizin kullanıcılar için daha hızlı yükleneceği anlamına gelir.

WAF teknolojisi

WAF, sunucu tarafı yazılım veya donanım platformuna eklenti olarak yerleştirilebilir veya trafiği filtrelemek için bir hizmet olarak sağlanabilir. WAF’ler, web uygulamalarını kötü amaçlı veya güvenliği ihlal edilmiş uç noktalardan koruyabilir ve ters proxy görevi görebilir (kullanıcıları tehlikeli web sitelerinden koruyan bir proxy sunucusunun aksine).

WAF’ler, her HTTP isteğini yakalayıp inceleyerek güvenliği sağlar. Yetkisiz trafik, cihaz parmak izi tanıma, cihaz analizi ve CAPTCHA sorgulaması gibi çeşitli yöntemler kullanılarak test edilir ve geçerli değilse engellenir.

WAF, güvenlik kurallarının yardımıyla kötü niyetli saldırıları tespit edip engelleyebilir. Bu güvenlik kuralları genellikle OWASP adı verilen bir proje tarafından sürdürülen web uygulamalarındaki belirgin güvenlik açıklarını içerir.

Ancak hepsi bu kadar değil; kuruluş, uygulamasının iş mantığına uyacak şekilde kendi özel kurallarını ve güvenlik politikalarını tanımlayabilir. Ancak WAF’ı kurmak ve özelleştirmek özel uzmanlık gerektirir.

WAF güvenlik modelleri

WAF iki tür güvenlik modelini kullanabilir: pozitif ve negatif güvenlik modeli. Pozitif güvenlik modelinde yalnızca trafiğin geçmesine izin veren bir beyaz liste kullanılır. Negatif güvenlik modelinde yalnızca belirli öğeleri engelleyen bir kara liste kullanılır. Ancak bu model tüm tehditlerin ortadan kaldırılacağını garanti edemez. Güvenlik düzeyi uygulanan kısıtlamaların sayısına bağlıdır.

Bir WAF iki tür güvenlik modelini kullanabilir: pozitif veya negatif güvenlik modelleri ya da bunların bir kombinasyonu.

Pozitif güvenlik modelinde trafiği filtrelemek için beyaz liste kullanılır ve listede olmayan her şey engellenir. Bu model aynı zamanda yeni veya bilinmeyen saldırıları da engelleyebilir.

Negatif güvenlik modelinde trafiği filtrelemek için kara liste kullanılır ve yalnızca listedeki belirli öğeler engellenir. Bu modelin uygulanması kolaydır ancak tüm tehditlerin ortadan kaldırılacağını garanti edemez. Ayrıca bu modeli kullanmak için tehlikeli sinyallerin uzun olabilecek bir listesini tutmak gerekir. Güvenlik düzeyi uygulanan kısıtlamaların sayısına bağlıdır.

 

son söz

Kısaca WAF veya Web Uygulama Güvenlik Duvarı, web uygulamalarını saldırılardan ve güvenlik tehditlerinden korumak için kullanılan bir güvenlik sistemidir. WAF’ı kullanarak web uygulamalarınızı SQL saldırıları, kötü amaçlı kodlar, iletişim açıkları ve daha fazlasını içeren saldırılara karşı koruyabilirsiniz.

• SQL nedir? Sade dilde SQL + başlangıç kılavuzu

WAF kurulumu için pozitif, negatif ya da karma yöntemleri kullanabileceğiniz gibi her birinin kendine has özellikleri olan, her web uygulaması türüne uygun yöntemi kullanabilirsiniz.

Ayrıca WAF’ler diğer sunucu türlerinin yanı sıra sanal sunuculara da eklenebilmektedir. WAF’ı kullanmak için manuel olarak veya ağ yönetimi araçlarını kullanarak yapılandırmanız gerekir.

Son olarak WAF kullanmak, web uygulamalarınızı güvenlik tehditlerinden korumanıza yardımcı olabilir ve içinizin daha rahat olmasını sağlayabilir.