REST API'lerimi TR7 WAF ile koruyabilir miyim?

Kısa cevap

Evet. REST API'ler web sayfalarıyla aynı HTTP vService üzerinde, aynı WAF ile korunur; ayrı bir API ürünü ya da ayarı gerekmez (kullanım senaryoları). İstek Content-Type header'ına göre ayrıştırılır: JSON ve XML gövdelerin her anahtarı ve metin değeri, query parametreleri, header'lar ve path ayrı ayrı imzalarla taranır; OWASP API Top 10'un bütün maddeleri karşılanır, onuncu madde imzalarla değil yapısal kurallarla. Pozitif model olarak her endpoint bir sayfa tipi olur: izin verilen metotlar, parametre, header ve JSON anahtar listeleri, derinlik ve uzunluk sınırları tanımlanır. Bu kural seti API'nin OpenAPI tanımından Import (OpenAPI) ile tek adımda üretilebilir ya da trafikten Analysis & Learning ile öğrenilebilir. Engellenen API istemcisine HTML yerine JSON engelleme yanıtı döndürülebilir. WAF yalnızca isteği denetler; JWT, OAuth ya da API anahtarının geçerliliğini doğrulamaz ve yanıtı taramaz. İstek hızı sınırı WAF'ta değil, L7 DDoS & Threat Protection'da ve Load Balancer Conditions ve action'larıyla kurulur.

Nasıl Çalışır?

WAF bir API isteğini gövdesinin türüne göre ayrıştırır ve her parçayı ayrı denetler:

İstek bölümü	Nasıl denetlenir
Path	Path, sayfa tipleriyle eşleştirilir; metot, path uzunluğu ve derinliği denetlenir.
Query parametreleri	Her parametre adı ve değeri ayrı ayrı imza taramasından ve Query denetimlerinden geçer.
Header'lar	Header denetimleri ve imza taraması.
JSON gövde	Content-Type …/json ya da …+json türündeyse (ör. application/json; charset=utf-8, application/problem+json) gövde JSON olarak ayrıştırılır; her anahtar yolu ve metin değeri JSON denetimlerinden ve imza taramasından geçer.
XML gövde	Content-Type …/xml ya da …+xml türündeyse gövde XML olarak ayrıştırılır; eleman ve attribute yolları ve değerleri Xml denetimlerinden ve imza taramasından geçer.
Diğer gövdeler	Form dışındaki türler (ör. application/graphql, text/plain) ham gövde olarak Raw denetimlerinden geçer.

Her ihlal isteğin saldırı puanına eklenir: imza isabetleri 2 ile 8 (yerleşik üç kuralda 9), yapısal ihlaller (beklenmeyen parametre, izinsiz metot, aşırı derinlik) 24 puandır ve puan engelleme eşiğine ulaştığında istek Blocking modunda engellenir (ihlal puanları).

TR7'de API Koruması

Gereksinim	TR7'de	Ayrıntı
İmza taraması (SQL injection, XSS, SSRF…)	JSON, XML, form, query, header, path ve ham gövdede	İmzalar isteğin hangi bölümlerinde taranır (Path, Query, Header, JSON, XML, Form ve Raw)?
Endpoint ve metot beyaz listesi	Sayfa tipi + Allowed Methods; Any Paths kuralı ile tanımsız endpoint'leri reddetme	API için pozitif güvenlik modelini (izin verilen endpoint, metot, parametre) nasıl kurarım?
OpenAPI'den kural	Import (OpenAPI); ters yönde Export (OpenAPI)	OpenAPI tanımımdan API koruma kurallarını otomatik oluşturabilir miyim?
JSON anahtar, derinlik, uzunluk	Sayfa tipinin JSON sekmesi	JSON gövdeli API isteklerinde şema benzeri kontrol (anahtar listesi, derinlik, uzunluk) yapabilir miyim?
SOAP / XML, XXE	Xml sekmesi ve XML External Entity imzaları	SOAP / XML servislerimi koruyabilir miyim; XXE saldırılarına karşı koruma var mı?
GraphQL	JSON olarak ayrıştırma ve GraphQL'e özgü imzalar	GraphQL isteklerini koruyabilir miyim?
Zorunlu header (ör. x-api-key)	Required Headers; header'ın varlığı denetlenir, değeri doğrulanmaz	Zorunlu parametre tanımlayabilir miyim (Required Query Parameters / Required Headers / Required Form Fields)?
JSON engelleme yanıtı	Blocking Page hazır şablonu	API istemcileri için HTML yerine JSON engelleme yanıtı dönebilir miyim?
İstek hızı sınırı	WAF'ta yok; L7 DDoS & Threat Protection ve Load Balancer Conditions ve action'ları	Rate limiting yapabilir miyim (IP başına saniyede X istek)? · API key / token gibi bir anahtara göre rate limit uygulayabilir miyim?
JWT, OAuth, API anahtarı doğrulaması	WAF'ta yok	Token ve anahtarın geçerliliği API'nin kendisinde doğrulanır
Yanıt denetimi	WAF'ta yok	WAF yalnızca isteği denetler

Önerilen başlangıç sırası:

1. HTTP vService'te WAF açılır (Bir vService'te WAF korumasını nasıl etkinleştiririm?). HTTPS'te TLS bu vService'te sonlandırılmalıdır (WAF, HTTPS trafiğinin içeriğini görebilir mi; bunun için ne gerekir?).
2. API ayrı bir alan adındaysa kendi host grubu eklenir (Host Group nasıl eklenir; Virtual Host Patterns alanına ne yazılır?).
3. Kural seti OpenAPI tanımından içe aktarılır ya da trafikten öğrenilir; Analysis & Learning penceresinde Only Browsers işareti kaldırılır, çünkü API istemcileri tarayıcı olarak tanınmaz. Analiz sonucunda çıkan path'ler kontrol edilir; listede yalnız WAF kuralı oluşturulacak endpoint'ler kalmalıdır. Bilinmeyen ya da şüpheli path'lerin uygulamadan önce Exclude from Analysis ile analizden çıkarılması önerilir.
4. Blocking Page JSON şablonuyla ayarlanır.
5. Host grubu Monitor modunda gerçek trafikle denenir, false positive'ler öğretilir, ardından Blocking moduna geçilir (Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?).

Sık Karıştırılan Noktalar

• "API koruması için ayrı bir ürün gerekir." API trafiği web trafiğiyle aynı WAF ile, aynı vService üzerinde denetlenir; API'ye özgü ayarlar sayfa tiplerinin alan denetimleridir.
• "WAF API anahtarını ya da JWT'yi doğrular." WAF kimlik doğrulamaz; yalnızca header'ın varlığı (Required Headers) ve değerinin biçimi (Header Value Pattern) denetlenebilir. Bu denetim taklit edilebilir; kimlik doğrulaması değildir.
• "WAF istek sayısını sınırlar." Hız sınırı L7 DDoS & Threat Protection ve Load Balancer tarafındadır (WAF ile L7 DDoS & Threat Protection arasındaki fark nedir; ikisine birden ihtiyacım var mı?).
• "Content-Type yanlış olsa da JSON denetimleri çalışır." Gövde, Content-Type …/json ya da …+json türünde değilse JSON olarak ayrıştırılmaz; ham gövde olarak taranır.

Dokümantasyonda nasıl yapılır

• WAF · Kullanım senaryoları
• WAF · Sınıflandırma ne işe yarar
• Import (OpenAPI) · Import (OpenAPI) nedir?
• Path Check Fields · Sekmeler ve denetledikleri bölüm

İlgili sorular

• API için pozitif güvenlik modelini (izin verilen endpoint, metot, parametre) nasıl kurarım?
• TR7 WAF hangi vService türlerinde çalışır; L7 TCP veya Network vService'te kullanabilir miyim?
• API istemcileri için HTML yerine JSON engelleme yanıtı dönebilir miyim?