SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

İleri

Trusted Proxy yanlış yapılandırılırsa ne tür bir güvenlik riski oluşur (IP Spoofing)? ​

Kısa cevap

Başlıca risk IP Spoofing'dir. Trusted Proxy profilinde Trusted Networks çok geniş girilirse (ör. 0.0.0.0/0) ya da Real IP from alanında X-Forwarded-For (first) seçilirse istemci başlığa istediği IP'yi yazar ve TR7 bu adresi istemci adresi kabul eder: Conditions, WAF, Bot & DDoS Protection (IP Reputation Protection, Country Control, Source IP Request Protection gibi kaynak IP'ye dayalı korumalar) ve loglar sahte adresi izler; saldırgan engellerden kaçabilir ya da başka bir IP'yi engelletebilir. Güvenilmeyen kaynaktan gelen başlık ise silinmez, Kurum Servisine olduğu gibi gider (Operasyonel en iyi uygulamalar).

Nasıl Çalışır? ​

TR7, bağlantının geldiği adres Trusted Networks içindeyse başlıktaki adresi istemci adresi yapar; değilse başlığı yok sayar. Bu yüzden güvenilen ağın içinden başlık yazabilen herkes istemci adresini belirleyebilir.

YapılandırmaSonuç
Trusted Networks çok geniş (ör. 0.0.0.0/0, /1)Herhangi bir istemci başlığa sahte IP yazabilir; form uyarı verir ama kaydı engellemez
X-Forwarded-For (first)Zincirin ilk değerini istemci yazar; güvenilen ağdan gelse bile taklit edilebilir
TR7 doğrudan internete de açıkCDN'i atlayan istemcinin başlığı güvenilen ağ dışından geldiği için kullanılmaz; ancak bu trafik CDN'in korumalarından geçmemiş olur
Güvenilmeyen başlığın Kurum Servisine gitmesiUygulama X-Forwarded-For'un ilk değerini okuyorsa kandırılabilir
Birden fazla kaynakta yanlış sıraİlk eşleşen kaynak kazanır; geniş bir kaynak dar olanı gölgeleyebilir

Önlemler ​

  • Trusted Networks'e yalnızca CDN'in yayımladığı aralıklar girilir ve düzenli güncellenir.
  • X-Forwarded-For (last / most trusted) ya da CDN'in özel başlığı (Custom Header) kullanılır.
  • TR7'ye yalnızca CDN'den erişilmesi firewall ile sağlanır.
  • Kurum Servisine giden sahte başlıklar için Delete HTTP Header aksiyonu değerlendirilir; uygulama tarafında da istemci IP'si yalnızca güvenilen başlıktan okunur.

Doğrulama ​

Güvenilen ağ dışındaki bir makineden TR7'ye doğrudan sahte başlıkla istek gönderilir (ör. curl -H "X-Forwarded-For: 198.51.100.66" https://www.example.com/); vService'in HTTP Logs ekranında 198.51.100.66 değil, makinenin gerçek adresi görünmelidir.

Sık Karıştırılan Noktalar ​

  • "Geniş aralıklar TR7 tarafından yok sayılır." Form yalnızca uyarı verir; aralık uygulanır.
  • "Aralığı dar tutmak güvenlik riskidir." Dar ya da eski liste yalnızca işlevsellik sorunudur: gerçek IP çözülmez, CDN adresi görünmeye devam eder.
  • "Güvenilmeyen kaynaktan gelen başlık silinir." Yalnızca dikkate alınmaz; silinmez.

Dokümantasyonda nasıl yapılır

İlgili sorular