GraphQL isteklerini koruyabilir miyim?

Kısa cevap

Evet; GraphQL'e özgü bir ayrıştırıcı, sorgu derinliği ya da sorgu maliyeti analizi olmadan, JSON ve imza denetimleriyle. GraphQL isteği çoğunlukla application/json gövdeyle ({"query": "…", "variables": {…}}) geldiği için WAF gövdeyi JSON olarak ayrıştırır: query metni ve değişken değerleri JSON kapsamlı imzalarla taranır; GET ile gelen sorgu query parametresi olarak taranır. Kütüphanede introspection (__schema) sorguları, toplu ve alias'lı sorgular, derin iç içe sorgularla hizmet engelleme, yetkisiz mutation'lar ve değişkenlerin içinden SQL ya da NoSQL injection için 34 kural bulunur; bu kurallar tek bir kategoride değil farklı kategorilerdedir ve Signature & Rule Library'de adla aranır. Derin iç içe sorgu kurallarının üçü (Graphql Nested Query Dos, GraphQL Deep Nesting DoS, GraphQL fragment-cycle / entity-expansion DoS) yalnızca URL'deki query parametresinde çalışır; JSON gövdede iç içe sorgu için 4 puanlı bir kural vardır. JSON Depth yalnızca JSON zarfının derinliğini ölçer, GraphQL sorgusunun iç içeliğini ölçmez. Pozitif tarafta GraphQL endpoint'ine yalnızca POST izni verilir, Allowed JSON Keys ile query, operationName ve variables yolları sınırlanır ve query alanına JSON Value Length sınırı konur. application/graphql türüyle gelen düz metin sorgular ham gövde (RAW) olarak taranır.

Sorun: GraphQL Tek Endpoint'te Bütün API'yi Taşır

GraphQL bütün işlemleri tek bir endpoint'ten (genellikle /graphql) alır; hangi verinin isteneceği path ya da query parametreleriyle değil, gövdedeki sorgu metniyle belirlenir. Bu yüzden endpoint ve metot düzeyindeki pozitif denetimler tek başına yetmez; saldırılar sorgu metninin ve değişkenlerin içindedir (OWASP GraphQL Cheat Sheet).

WAF bir GraphQL isteğini şöyle işler:

İstek biçimi	Nasıl denetlenir
POST, Content-Type: application/json	Gövde JSON olarak ayrıştırılır; query metni ve variables altındaki her metin değeri JSON kapsamlı imzalarla ayrı ayrı taranır.
GET, ?query=…	Sorgu metni query parametresi değeri olarak taranır.
POST, Content-Type: application/graphql	Gövde ham içerik olarak taranır; içerik türü gövdeden belirlenir ve Allowed Raw Body Mime Types listesine göre denetlenir (Allowed Raw Body Mime Types ne işe yarar?).
WebSocket üzerinden subscription	Yalnızca bağlantıyı açan ilk HTTP isteği denetlenir.

GraphQL'e özgü kurallardan bazıları ve kütüphanedeki desenlerle denenmiş örnekler:

Kural	Kapsam	Puan	Örnek
GraphQL Schema Introspection	Query, JSON, form	8	{__schema{types{name}}}
GraphQL Introspection Type Query	Query, JSON, form	8	__type sorguları
GraphQL Dangerous Mutation Privilege Escalation	Query, JSON, form	8	mutation { deleteAllUsers }
GraphQL Batched Query · GraphQL Aliased Batch Queries	Query, JSON, form	6	Toplu ve alias'lı sorgular
SQL injection inside a GraphQL argument value	JSON	8	Argüman değerinde SQL injection
GraphQL Variable NoSQL Injection	Query, JSON, form, ham gövde	8	Değişkende NoSQL operatörü
GraphQL Deep Nesting DoS · GraphQL fragment-cycle / entity-expansion DoS	Yalnızca query parametresi	8	GET ile gelen derin sorgu
Graphql Nested Query Dos	Yalnızca query parametresi	6	GET ile gelen derin sorgu
GraphQL nested-query DoS	JSON, ham gövde	4	POST ile gelen derin sorgu

Kuralların puan dağılımı: 11 kural 8, 19 kural 6, 3 kural 4 ve 1 kural 2 puandır. Bir istekte birden çok kural eşleşirse puanlar toplanır.

Çözüm

İmza taraması GraphQL endpoint'i WAF'ın kapsamına girdiği anda çalışır. Aşağıdaki yapılandırma pozitif denetimleri ekler. Ön koşul: vService'te WAF açıktır (Bir vService'te WAF korumasını nasıl etkinleştiririm?).

GraphQL Endpoint'inin Sayfa Tipi

• Nasıl çalışır/graphql için bir sayfa tipi metotları sınırlar; JSON ortak kuralı gövdede yalnızca beklenen anahtarlara izin verir, değişken kuralı sorgu metninin uzunluğunu sınırlar.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → N page types → Add · kural → JSON sekmesi
• Gereksinim WAF alanında değiştirme yetkisi; Checks'te Structure Checks ve Argument Checks açık; host grubu Monitor ya da Blocking modunda
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Checks ayarlarını kontrol et

WAF Management sekmesinde Checks kartının kalem ikonu tıklanır; Structure Checks ve Argument Checks işaretli olmalıdır. Değişiklik yapıldıysa Edit tıklanır.

2

Adım 2 Page Types ekranını aç

WAF Management sekmesinde host grubunun mod kartı altındaki N page types satırına tıklanır.

3

Adım 3 Sayfa tipi formunu aç

Araç çubuğundaki Add tıklanır (Add).

4

Adım 4 Endpoint'i ve metodu gir

Path = /graphql yazılır; Allowed Methods = Multiple Methods seçilip POST işaretlenir. Uygulama GET ile de sorgu gönderiyorsa GET de seçilir (Bir sayfaya yalnızca belirli HTTP metotlarına izin verebilir miyim (Allowed Methods)?).

5

Adım 5 Sayfa tipini kaydet

Formdaki Add tıklanır.

6

Adım 6 JSON ortak kuralını aç

Listede /graphql kuralına tıklanır; sağdaki detay panelinde JSON sekmesi seçilip Add Common Rule for JSON tıklanır.

7

Adım 7 İzin verilen anahtarları gir

Allowed JSON Keys kısıtı açılıp query, operationName, variables ve uygulamanın kullandığı değişken yolları (ör. variables.id, variables.input, variables.input.email) eklenir; kapsayıcı yollar da listede olmalıdır (JSON'da yalnızca belirli anahtarların gelmesine izin verebilir miyim; iç içe anahtar yolları nasıl yazılır?). Değişken sayısı fazlaysa liste Max. Allowed Arguments değerini aşmamalıdır. Block Invalid JSON Contents işaretlenir.

8

Adım 8 JSON ortak kuralını kaydet

Formdaki Add tıklanır.

9

Adım 9 Sorgu alanı için değişken kuralını aç

Aynı sekmede Add Argument Rule for JSON tıklanır.

10

Adım 10 Sorgu uzunluğunu sınırla

Argument Name = query yazılır; JSON Value Length = Less Than or Equal To ile uygulamanın en uzun meşru sorgusunun bayt uzunluğundan biraz büyük bir değer girilir. Uzunluk sınırı aşırı büyük, toplu ya da derin sorguları yapısal ihlal olarak işaretler (Bir parametrenin değerini uzunluk veya regex desenle kısıtlayabilir miyim (Value length / Value pattern)?).

11

Adım 11 Değişken kuralını kaydet

Formdaki Add tıklanır; ayrı bir dağıtım adımı yoktur. Kural seti önce Monitor modunda denenir (Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?). Cluster'da değişiklikler varsayılan auto-sync ile eş cihaza gönderilir; Manual Sync Mode açıksa Synchronize ile gönderilir.

Doğrulama

1IntrospectionEvent Logs

Introspection sorgusu gönderilir ve Event Logs kaydının Attacks sekmesine bakılır.

Komut: curl -s -o /dev/null -w "%{http_code}\n" -H "Content-Type: application/json" -d '{"query":"{__schema{types{name}}}"}' https://api.example.com/graphql

BeklenenGraphQL Schema Introspection (8)

Uygulama geliştirme araçları introspection kullanıyorsa bu kural yalnızca o kaynaklar için istisnaya alınır; üretimde introspection'ın kapalı olması önerilir.

2Beklenmeyen anahtarMonitor modu · Event Logs

Gövdeye listede olmayan bir anahtar eklenerek istek gönderilir.

BeklenenAllowed JSON keys (24)

Sık Yapılan Hatalar

• JSON Depth'in GraphQL sorgusunun derinliğini sınırladığını sanmak. JSON Depth yalnızca JSON zarfının ({"query": …, "variables": {…}}) derinliğini ölçer; sorgu metni JSON'da tek bir metin değeridir. Sorgunun boyutu query alanına konan JSON Value Length ile sınırlanır.
• GraphQL kurallarını tek bir kategoride aramak. Kurallar Information Disclosure, Application DoS, Data Query Injection, Access Control Bypass gibi kategorilere dağılmıştır; Signature & Rule Library'de Search alanına GraphQL yazılarak listelenir.
• Değişkenler için JSON Value Pattern'i yasak listesi gibi kullanmak. Değer deseni pozitif bir denetimdir: değer desene uymadığında ihlal üretilir; "şunu içermesin" biçiminde yazılmaz.
• Content-Type'ı denetlememek. JSON denetimleri yalnızca Content-Type …/json ya da +json ile bittiğinde çalışır; application/graphql ile gelen sorgu ham gövde olarak taranır ve JSON sekmesindeki denetimlerden geçmez.
• Değişken yollarını unutmak. variables altındaki her kullanılan yol Allowed JSON Keys listesinde bulunmalıdır; aksi hâlde meşru istekler 24 puanlık ihlal üretir.

Dokümantasyonda nasıl yapılır

• JSON · JSON nedir?
• JSON · Allowed JSON Keys
• Signature & Rule Library · Search
• Raw · Allowed Raw Body Mime Types

İlgili sorular

• İmzalar isteğin hangi bölümlerinde taranır (Path, Query, Header, JSON, XML, Form ve Raw)?
• JSON'da yalnızca belirli anahtarların gelmesine izin verebilir miyim; iç içe anahtar yolları nasıl yazılır?
• Allowed Raw Body Mime Types ne işe yarar?
• Bir sayfaya yalnızca belirli HTTP metotlarına izin verebilir miyim (Allowed Methods)?