TR7 WAF hangi saldırılara karşı koruma sağlar?

Kısa cevap

TR7 WAF, web uygulamalarına ve API'lere uygulama katmanında gelen saldırılara karşı üç denetimi tek saldırı puanında birleştirir (hibrit güvenlik modeli): 32 saldırı kategorisine dağılmış imza kuralları (Signature & Rule Library ekranı, özel kural yokken yapısal denetim kayıtlarıyla birlikte 3.347 satır ve 10.370 imza gösterir), uygulamanın beklenen istek şeklini koruyan Page Types yapısal denetimleri ve kara listedeki kaynak IP'leri yakalayan Blacklist Protection. Kapsam SQL Injection, Cross-Site Scripting ve OS Command Execution gibi enjeksiyonlardan Server-Side Request Forgery, XML External Entity, Insecure Deserialization, HTTP Request Smuggling ve LLM Prompt Injection'a uzanır (Signature Categories); Log4Shell, Spring4Shell, Shellshock ve ProxyShell/ProxyLogon gibi bilinen istismarlar için adlarıyla tanımlı imzalar vardır. Kütüphanedeki imza kuralları ve yapısal denetim kayıtları OWASP Top 10 (Web, 2021) ve OWASP API Security Top 10 (2023) listelerinin bütün maddelerine eşlenir (ekranda 10/10); isabetler CWE, CAPEC ve MITRE ATT&CK/ATLAS eşlemeleriyle raporlanır (sınıflandırma). İstek hacmi, bot trafiği ve paket selleri WAF'ın değil Bot/DDoS Protection'ın ve L4 DDoS Protection eklentisinin kapsamındadır.

Nasıl Çalışır?

TR7 WAF bir HTTP isteğini Path, Query, Header, JSON, XML, Form ve Raw olmak üzere yedi bölümde ayrı ayrı inceler (Check Fields nedir; WAF isteği hangi yedi bölüme ayırarak inceler?). Bu bölümler imza taramasından ve yapısal denetimlerden, isteğin kaynak IP'si de IP itibarı denetiminden geçer; bulunan her ihlal isteğin saldırı puanına eklenir ve toplam OWASP Protection Level eşiğine ulaştığında istek Blocking modunda engellenir (ihlal puanları).

Denetim	Neyi yakalar	Puan	TR7'de nerede
İmza taraması (negatif model)	Bilinen saldırı desenleri; her imza hedef aldığı saldırı tekniğine göre bir kategoriye ve risk düzeyine göre bir puana bağlıdır	2 · 4 · 6 · 8 (yerleşik üç imza kuralında 9)	Signature & Rule Library (cihaz geneli) · OWASP Rules (vService)
Yapısal denetimler (pozitif model)	Uygulamanın beklediği istek şeklinden sapmalar: sınır dışı uzunluk, sayı, boyut ve derinlik; izinsiz parametre, HTTP metodu, içerik türü ve dosya türü; değer deseni (regex) ihlali; ayrıştırılamayan ya da kesik JSON, XML, form ve ham gövde	24	Page Types → Check Fields
IP itibarı	IP Intelligence & Reputation ekranındaki kategorili kara listede ve vService'e özel Frontend Blacklist'te bulunan kaynak adresler	100	Blacklist Protection (varsayılan açık)

• Varsayılan Very Tight düzeyinde (eşik 4) Medium ve üzeri puanlı tek bir imza isabeti, yapısal ihlal (24) ve kara liste isabeti (100) ise her düzeyde tek başına engellemeye yeter (TR7 WAF bir isteği engelleyip engellememeye nasıl karar verir?).
• Yapısal ihlaller yalnızca Monitor ve Blocking modlarında puana girer; Learning modunda path, başlık ve alan yapı denetimleri çalışmaz, gövde boyutu, kesik gövde ve multipart denetimleri puana girmeden çalışır (çalışma modları).
• Multipart form ile yüklenen dosyaların türü, istemcinin beyan ettiği içerik türünden değil dosya içeriğinden belirlenir (içerikten tür çıkarılamayan düz metin dosyalarında dosya adının uzantısına da bakılır) ve izinli türler listesiyle karşılaştırılır (Form · Allowed Upload Mime Types); dosyanın içeriği de OWASP Check in Upload açıkken (varsayılan) imza taramasından geçer.

Saldırı Kategorileri

İmza kuralları 32 saldırı kategorisine dağılır; aşağıdaki tabloda kategoriler arayüzdeki adlarıyla gruplanmıştır (Signature Categories). Signature & Rule Library ekranındaki Signature Categories kartı, bunlara yapısal denetim ve IP itibarı kayıtlarının 4 katalog kategorisini (Structure Limits, Structure Policies, Content Integrity, IP Reputation) de ekleyerek özel kural yokken 36 gösterir; özel kural eklendiğinde Custom Rules kategorisi de sayılır.

Grup	Kategoriler	Kapsadığı saldırılar
Enjeksiyon	SQL Injection, Data Query Injection, OS Command Execution, Template/Expression Eval, CRLF / Header Injection, SSI Injection, CSV Formula Injection, LLM Prompt Injection	Veritabanı sorgularına, LDAP, NoSQL ve XPath/XQuery sorgularına, işletim sistemi komutlarına, şablon motorlarına ve ifade dillerine, HTTP başlıklarına, elektronik tablolara aktarılan alanlara, sunucu tarafı include (SSI) direktiflerine ve LLM talimatlarına kod ya da komut enjeksiyonu
İstemci tarafı	Cross-Site Scripting, Open Redirect	Sayfaya zararlı betik enjeksiyonu; URL parametresiyle kullanıcıyı saldırganın sitesine yönlendirme
Dosya ve path	Directory/Path Traversal, Arbitrary File Read, File Write/Upload, File Inclusion	../ dizileri ve kodlanmış varyantları, yapılandırma ve kimlik bilgisi dosyalarının okunması, webshell yükleme ve uzantı atlatma, yerel ve uzak dosya dahil etme (LFI/RFI)
Sunucu tarafı istek ve ayrıştırma	Server-Side Request Forgery, XML External Entity, Insecure Deserialization, Prototype Pollution, Unsafe Reflection	İç ağa ve bulut metadata uç noktalarına istek yaptırma, XML ayrıştırıcıyla dosya okuma, Java, PHP, Python ve .NET nesne serileştirmesi üzerinden kod çalıştırma, JavaScript prototip zincirinin değiştirilmesi, dışarıdan gelen girdiyle sınıf ya da metot seçtirerek kod çalıştırma
Protokol ve atlatma	HTTP Request Smuggling, Parameter Pollution, Encoding Evasion, Cache Poisoning	Proxy ile sunucu arasındaki ayrıştırma farkının istismarı, yinelenen parametrelerle filtre atlatma, çift kodlama ve Unicode kötüye kullanımı, paylaşımlı önbelleğe zararlı içerik yerleştirme
Erişim ve iş mantığı	Access Control Bypass, Authentication Bypass, Session Manipulation, Business Logic Abuse	Yetki yükseltme, zorla sayfa erişimi ve IDOR, kimlik doğrulamayı atlatma, CSRF ve oturum sabitleme, iş akışı ihlalleri
Diğer	Malicious Code Detection, Information Disclosure, Application DoS, Format String Attack, Input Validation/Neutralization	İstek içindeki webshell, arka kapı ve kripto madenci kalıpları, hata ayıklama uç noktalarına ve dizin listelerine erişim, dekompresyon bombası, ReDoS ve XML varlık genişletme, format string ve genel girdi doğrulama saldırıları

Kategori başına kural ve imza sayıları: İmzalar hangi saldırı kategorilerini kapsıyor? · kütüphanenin toplamları: TR7 WAF'ta kaç imza / kural var?

Öne Çıkan Kapsam

Konu	TR7 WAF'taki karşılığı
Bilinen istismarlar	Log4Shell, Spring4Shell, Shellshock ve ProxyShell/ProxyLogon için adlarıyla tanımlı imza kuralları; bu kuralların tamamı Very High puanlıdır: çoğu 8, Spring4Shell Exploitation ile ProxyShell ProxyLogon Exploit kuralları 9 puanlıdır (Uygulamamın kodu güvenli yazıldı; yine de WAF gerekli mi?)
API'ler	JSON ve XML gövdeleri alan alan ayrıştırılır; pozitif model OpenAPI belgesinden Import (OpenAPI) ile kurulabilir (REST API'lerimi TR7 WAF ile koruyabilir miyim?)
Bulut metadata	Server-Side Request Forgery kategorisinde bulut metadata uç noktalarını hedefleyen imzalar; bunlardan Cloud Metadata SSRF kuralı 9 puanlıdır (SSRF ve bulut metadata (169.254.169.254) erişim denemelerine karşı koruma var mı?)
Yapay zekâ servisleri	LLM Prompt Injection kategorisi: talimat geçersiz kılma, jailbreak kalıpları ve sistem promptu çıkarma girişimleri; imzalar MITRE ATLAS teknikleriyle etiketlidir (LLM / yapay zeka servislerime yönelik prompt injection saldırılarını yakalayabilir mi?)
GraphQL, SOAP ve XML	GraphQL sorgularına ve XML ayrıştırıcılarına yönelik imzalar (GraphQL isteklerini koruyabilir miyim? · SOAP / XML servislerimi koruyabilir miyim; XXE saldırılarına karşı koruma var mı?)
Korunan platformlar	İmzalar hedef aldıkları teknolojiye göre 33 platform etiketiyle sınıflandırılır: SQL ve NoSQL veritabanları, Java, PHP, Python, .NET ve Node.js çalışma zamanları, XML ayrıştırıcılar, LDAP dizinleri, şablon motorları, bulut metadata servisleri, LLM servisleri ve RAG hatları bunlardan bazılarıdır (Protected Target Types)
Kuruma özel kurallar	Signature & Rule Library'de cihaz genelinde, vService'in OWASP rules ekranında yalnızca o vService için geçerli özel kural eklenir; özel kurallar Custom Rules kategorisinde listelenir ve puanları aynı saldırı puanına eklenir (kural katmanları)

OWASP ve Standart Eşlemeleri

Signature & Rule Library ekranının özet kartları, özel kural yokken şu kapsamı gösterir (kütüphane özeti kartları):

Çerçeve	Kapsam
OWASP Top 10 (Web, 2021)	10/10; A01–A10 maddelerinin hepsi imza kurallarıyla eşlenir
OWASP API Security Top 10 (2023)	10/10; API1–API9 imza kurallarıyla, API10 (Unsafe Consumption of APIs) yapısal denetim kayıtlarıyla karşılanır
CWE	129 zafiyet sınıfı (imza kurallarında 120)
CAPEC	41 saldırı deseni (imza kurallarında 40)
MITRE	33 teknik: 29 ATT&CK tekniği ve yapay zekâ sistemlerine yönelik 4 ATLAS tekniği

Bu eşlemeler isabet bazında Event Logs kayıtlarında (Category, OWASP Web, OWASP API, CWE, CAPEC, MITRE ATT&CK), dönem bazında WAF Report'un Classification sekmesinde ve SIEM & Attack Details ayarıyla SIEM'e gönderilen saldırı alanlarında görülür. vService Dashboard'u saldırıları kategori, OWASP Top 10 (Web) ve OWASP API Top 10 kırılımlarıyla gösterir.

TR7'de Kapsamın Sınırları

• Koruma, WAF'ın açık olduğu HTTP vService'lerde çalışır; HTTPS içeriğin denetlenmesi için TLS'in TR7'de sonlandırılması gerekir (WAF, HTTPS trafiğinin içeriğini görebilir mi; bunun için ne gerekir?).
• WAF istekleri denetler, yanıtları denetlemez; yanıtta veri sızıntısı için: Hassas verilerin (kredi kartı, TC kimlik) yanıtta dışarı sızmasını engelleyebilir miyim?
• İstek hacmi ve otomatik bot trafiği vService başına açılan Bot/DDoS Protection'ın, paket ve bağlantı selleri route table başına çalışan L4 DDoS Protection eklentisinin kapsamındadır.
• Hangi saldırıların gerçekten geldiği vService Dashboard'unda ve Event Logs'ta izlenir.

Sık Karıştırılan Noktalar

• "WAF yalnızca imzası olan saldırıları yakalar." Yapısal denetimler imzası olmayan sapmaları da yakalar (TR7 WAF, zero-day bir saldırıyı imzası olmadan yakalayabilir mi?).
• "Kütüphanedeki her imza her düzeyde çalışır." Low (2) puanlı imzalar yalnızca Aggressive düzeyinde taranır (OWASP Protection Level nedir; kaç seviye var?).
• "Dosya yüklemede uzantıyı değiştirmek denetimi atlatır." Yüklenen dosyanın türü öncelikle içeriğinden belirlenir, uzantıya yalnızca içerikten tür çıkarılamayan düz metin dosyalarında bakılır; içerik ayrıca imza taramasından geçer (Form · Allowed Upload Mime Types).
• "WAF bot ve DDoS koruması da sağlar." İstek hacmi ve bot trafiği Bot/DDoS Protection'ın, paket ve bağlantı selleri L4 DDoS Protection eklentisinin kapsamındadır.

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · Signature Categories
• Signature & Rule Library · Kütüphane özeti kartları
• WAF - WAAP · Koruma gücü
• WAF - WAAP · Sınıflandırma ne işe yarar
• Whitelist & Blacklist · Blacklist Protection

İlgili sorular

• WAF nedir, ne işe yarar?
• TR7 WAF, zero-day bir saldırıyı imzası olmadan yakalayabilir mi?
• İmzalar hangi saldırı kategorilerini kapsıyor?
• Load Balancer modülü tek başına ne kadar güvenlik sağlar; WAF'a ne zaman ihtiyacım olur?