Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
WAF nedir, ne işe yarar?
Kısa cevap
WAF (Web Application Firewall), bir web uygulamasına gelen HTTP isteklerini uygulama katmanında, Kurum Servisine ulaşmadan önce açıp inceleyen güvenlik katmanıdır. TR7 WAF isteğin path'ini, query parametrelerini, header'larını ve gövdesini (JSON, XML, form, raw) ayrı ayrı denetler; bilinen saldırı desenlerini imzalarla arar, uygulamanın beklediği istek şekline uymayan sapmaları yapısal denetimlerle yakalar (hibrit güvenlik modeli). Bulunan her ihlal isteğin saldırı puanına eklenir; puan OWASP Protection Level eşiğine ulaşınca ya da onu aşınca istek Blocking modunda engellenir. Koruma vService başına açılır, yalnızca HTTP vService'lerde çalışır, WAF - WAAP lisansı gerektirir ve Learning modunda başladığı için açıldığı anda hiçbir isteği engellemez.
Nasıl Çalışır?
WAF, uygulamanın önünde durur ve her isteği hedefine ulaşmadan önce okur. Ağ katmanındaki bir firewall paketin adresine ve portuna bakarken WAF isteğin içeriğine bakar: aynı 443 portundan gelen sıradan bir form gönderimi ile SQL injection taşıyan bir istek ancak içerik okunarak ayırt edilir (ağ güvenlik duvarı ve IPS/IDS ile farkı).
TR7'de denetim, HTTP vService TLS'i sonlandırdıktan sonra ve istek Kurum Servisine gönderilmeden önce yapılır. Akış (nasıl çalışır):
- Muaf tutulan istekler (varsayılan olarak statik içerik) denetime girmez.
- Blacklist Protection açıkken (varsayılan) kaynak IP'nin kara listede olması, puana yazılan bir ihlal olur.
- İstek, isteğin Host header'ına göre seçilen Virtual Host Group'un kurallarıyla eşleştirilir.
- Path, query, header ve gövde hem imza taramasından hem yapısal denetimlerden geçer; bütün ihlaller tek saldırı puanında toplanır (ihlal puanları).
- Tarama bitince puan eşikle karşılaştırılır ve karar grubun moduna göre uygulanır: Blocking'de engellenir, Monitor'da kaydedilip geçirilir, Learning'de öğrenme kaydına yazılır.
Aşamaların ayrıntısı: Bir istek TR7 WAF içinde hangi aşamalardan geçer?
TR7'de WAF
| İşlev | TR7'deki karşılığı |
|---|---|
| İmza taraması | Bilinen saldırı desenleri isteğin her bölümünde aranır; imzalar Signature & Rule Library ekranında yönetilir (TR7 WAF hangi saldırılara karşı koruma sağlar?) |
| Yapısal denetim | Path, parametre, header ve gövde, Page Types listesindeki kurallara göre denetlenir (Negatif güvenlik modeli (imza tarama) ile pozitif güvenlik modeli arasındaki fark nedir?) |
| Puan ve karar | İhlaller tek saldırı puanında toplanır, OWASP Protection Level eşiğiyle karşılaştırılır (TR7 WAF bir isteği engelleyip engellememeye nasıl karar verir?) |
| Öğrenme | Learning modunda trafik kaydedilir; Analysis & Learning bu kayıtlardan kural önerileri üretir |
| Kayıt ve izleme | Engellenen ve izlenen istekler Event Logs'ta, özetler Dashboard'da görülür |
- Koruma cihaz genelinde tek anahtarla değil, her HTTP vService için ayrı açılır; açılınca varsayılan Virtual Host Group Learning modunda başlar (WAF etkinleştirmek ne demek). Açma adımları: Bir vService'te WAF korumasını nasıl etkinleştiririm?
- WAF, WAF - WAAP (TR7 WAAP) ürünü olarak ayrı lisanslanır; ürün lisanslı değilse koruma açılamaz.
- WAF istekleri denetler, yanıtları denetlemez. Yanıttaki hassas veriyi gizlemek için Load Balancer'ın Modify Response Content aksiyonu kullanılır (Hassas verilerin (kredi kartı, TC kimlik) yanıtta dışarı sızmasını engelleyebilir miyim?).
Sık Karıştırılan Noktalar
- "WAF açılınca saldırılar hemen engellenir." Koruma Learning modunda başlar; saldırı puanına göre engelleme yalnızca Blocking modunda yapılır (WAF'ı açtığım anda trafik engellenmeye başlar mı?).
- "WAF bütün vService tiplerinde çalışır." Yalnızca HTTP vService'lerde çalışır (TR7 WAF hangi vService türlerinde çalışır; L7 TCP veya Network vService'te kullanabilir miyim?).
- "WAF hacimsel saldırıları ve botları da durdurur." İstek hacmi ve bot trafiği Bot/DDoS Protection'ın, paket ve bağlantı selleri L4 DDoS Protection eklentisinin kapsamındadır.
Dokümantasyonda nasıl yapılır
