SSRF (Server-Side Request Forgery) nedir?

Kısa cevap

SSRF (Server-Side Request Forgery), sunucunun kullanıcının verdiği bir adrese istek yaptığı özellikleri (URL önizleme, dosya indirme, webhook) kötüye kullanarak sunucuyu iç ağdaki kaynaklara, bulut metadata servislerine (ör. 169.254.169.254) ya da dışarıdan erişilemeyen başka hedeflere istek yapmaya yönlendirme saldırısıdır; istek güvenilen sunucudan çıktığı için ağ katmanındaki erişim kısıtlarını aşabilir (CWE-918, OWASP). TR7 WAF'ta yerleşik Signature & Rule Library'nin Server-Side Request Forgery kategorisi (140 kural) bu girişimleri gelen istekte arar; eşleşen istekler WAF Event Logs'ta Category alanında bu kategoriyle görünür.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
Configuration Menu → WAF → Signature & Rule Library; vService'in OWASP Rules ekranı	Signature Category kolonu (varsayılan gizli); Filter → Signature Categories → Server-Side Request Forgery; Protected Target Types → Metadata Service	Kategorideki kuralları ve bulut metadata servisini hedefleyenleri listeleme
WAF Event Logs ve Global WAF Event Log	Category kolonu (varsayılan gizli), filtre şeridinde Category sekmesi, kayıt önizlemesinin Summary ve Attacks sekmelerinde Category satırı	İsteğin bu kategorideki bir imzaya takıldığını görme
WAF Dashboard	Detected Attacks by Category paneli	Kategorideki tespitlerin zaman içindeki yoğunluğu
WAF raporu	Classification görünümü	Raporda kategori kırılımı

• Kuralların neyi aradığı, puanları, hangi alanlarda çalıştığı ve false positive durumunda ne yapılacağı: SSRF ve bulut metadata (169.254.169.254) erişim denemelerine karşı koruma var mı?
• Kategorideki imzaların büyük çoğunluğu OWASP Top 10 Web'de A10:2021 (Server-Side Request Forgery) ve OWASP API Top 10'da API7:2023 maddeleriyle eşlenir.

Sık Karıştırılan Noktalar

• "SSRF yalnızca dış sistemlere zarar verir." Asıl risk, sunucunun iç ağa ve bulut metadata servislerine erişebilmesidir; bu servisler geçici erişim anahtarları döndürebilir.
• "İç ağ firewall ile korunur." İstek güvenilen sunucudan çıktığı için firewall'un iç ağa izin verdiği trafiğin içindedir.
• "WAF, sunucunun dışarıya açtığı bağlantıyı da denetler." WAF yalnızca gelen isteği denetler; Kurum Servisinin kendi açtığı bağlantılar ağ katmanında kısıtlanır.

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · Signature Categories
• Signature & Rule Library · Protected Target Types
• Event Logs · Filtrelenebilir bilgiler

İlgili sorular

• SSRF ve bulut metadata (169.254.169.254) erişim denemelerine karşı koruma var mı?
• İmzalar hangi saldırı kategorilerini kapsıyor?
• OWASP Top 10 (Web) ile OWASP API Top 10 arasındaki fark nedir?