Zaten bir network firewall'um var; neden ayrıca WAF'a ihtiyacım olsun?

Kısa cevap

Network firewall paketin adresine, portuna ve protokolüne bakar; 443 portuna gelen sıradan bir form gönderimi ile SQL injection taşıyan bir istek onun için aynı geçerli HTTPS trafiğidir. WAF ise TLS sonlandırıldıktan sonra isteğin içeriğini (path, query, header, gövde) okur ve isteğin uygulamaya zarar verip vermeyeceğine karar verir (ağ güvenlik duvarı ve IPS/IDS ile farkı). Ayrıca uygulamanın beklenen istek yapısını öğrenerek imzası olmayan sapmaları da yakalar; bunu port ve adres kuralıyla yapmak mümkün değildir. İkisi birbirinin yerine geçmez: firewall ağ erişimini, WAF uygulama içeriğini denetler. Hacimsel saldırılar için TR7'de ayrıca L4 DDoS Protection ve Bot/DDoS Protection bulunur.

Karşılaştırma

	Network firewall	WAF
Katman	Ağ ve taşıma (L3/L4)	Uygulama (L7, HTTP)
Baktığı bilgi	Kaynak ve hedef adres, port, protokol	Path, query, header, gövde
Şifreli trafik	İçeriği görmez	TLS TR7'de sonlandırıldığında içeriği görür (WAF, HTTPS trafiğinin içeriğini görebilir mi; bunun için ne gerekir?)
Yakaladığı	Yetkisiz ağ erişimi, kapalı porta bağlantı, port taraması	SQL injection, XSS, command injection, path traversal, beklenmeyen parametre ya da metot
Uygulama bilgisi	Yok	Öğrenilmiş Page Types (Negatif güvenlik modeli (imza tarama) ile pozitif güvenlik modeli arasındaki fark nedir?)

TR7'de Katmanlar

• TR7'de ağ katmanı kuralları Network → Firewall ekranında, uygulama içeriği denetimi WAF'ta yapılır; ikisi aynı cihazda birlikte çalışır.
• WAF, HTTP isteği oluşmadan çalışmaz: yarım kalan el sıkışmalar ve paket selleri route table başına çalışan L4 DDoS Protection eklentisinin, istek hacmi ve bot trafiği vService başına açılan Bot/DDoS Protection'ın kapsamındadır.
• WAF, uygulamanın kaynak koduna dokunmadan kural ve muafiyet düzeyinde ayarlanır (neden ihtiyaç duyulur).

Sık Karıştırılan Noktalar

• "443 portu yalnızca HTTPS'e açıksa uygulama güvendedir." Saldırı, izin verilen porttan gelen geçerli bir HTTPS isteğinin içinde taşınır.
• "WAF firewall'un yerini alır." WAF yalnızca HTTP vService'lere gelen istekleri denetler; ağ erişim kuralları firewall'da kalır.

Dokümantasyonda nasıl yapılır

• WAF - WAAP · Ağ güvenlik duvarı ve IPS/IDS ile farkı
• WAF - WAAP · Neden ihtiyaç duyulur
• L4 DDoS Protection · Bot/DDoS ve WAF ile farkı
• Firewall · Firewall nedir

İlgili sorular

• IPS/IDS ile WAF arasındaki fark nedir?
• WAF nedir, ne işe yarar?
• Load Balancer modülü tek başına ne kadar güvenlik sağlar; WAF'a ne zaman ihtiyacım olur?