Hızlı cevap: WAF (Web Uygulama Güvenlik Duvarı, Web Application Firewall), bir web uygulamasının önünde durup gelen HTTP isteklerini inceleyen ve bilinen saldırı desenlerini (SQL enjeksiyonu, XSS ve benzeri) filtreleyen bir güvenlik katmanıdır. Klasik ağ güvenlik duvarından farkı, paket düzeyinde değil uygulama katmanında çalışmasıdır. Önemli olan şudur: WAF değerli bir savunma katmanıdır ama uygulamadaki açığı düzeltmez, yalnızca sömürülmesini zorlaştırır. Doğru yaklaşım, güvenli kod ile WAF'ı birlikte kullanmaktır.

WAF ne işe yarar?

Bir web uygulamasına gelen her istek HTTP üzerinden akar. WAF bu isteklerin tam önünde durur ve her birini bilinen saldırı imzaları ve kurallara göre inceler. SQL enjeksiyonu, siteler arası betik (XSS), yol dolaşımı gibi yaygın saldırı desenlerini tanır ve engeller ya da uyarı verir.

WAF iki ana modda çalışır: tespit (yalnızca kaydet) ve engelleme (isteği durdur). Yaygın kural setleri (örneğin OWASP Core Ruleset) binlerce bilinen saldırı desenini kapsar. Ama WAF bir sihirli kalkan değildir; bilmediği ya da uygulamaya özgü iş mantığı açıklarını yakalayamaz.

WAF türleri

Tür Açıklama
Ağ tabanlı Donanım olarak ağda konumlanır, düşük gecikme
Host tabanlı Sunucuda yazılım olarak çalışır, esnek ama kaynak tüketir
Bulut tabanlı Hizmet olarak, trafik WAF sağlayıcısından geçer

WAF bypass neden mümkün?

WAF, bilinen desenleri filtreler; saldırganlar da bu filtreleri atlatmak için teknikler geliştirir: kodlama ve karakter varyasyonları, HTTP parametre kirliliği, gizleme (obfuscation) ya da WAF'ın arkasındaki gerçek sunucu IP'sini bulup WAF'ı tamamen atlamak. Bu yüzden WAF tek savunma olmamalıdır.

Doğru bakış açısı şudur: WAF, açığı kapatmaz, saldırganın işini zorlaştırır ve zaman kazandırır. Asıl çözüm güvenli koddur; WAF onu tamamlayan bir katmandır. Bir yetkili sızma testi, WAF'ın hangi saldırıları gerçekten engellediğini ve nerede atlatılabildiğini ortaya çıkarır.

KAOS ve DSET yaklaşımı

DSET, web sızma testlerinde WAF'ın etkinliğini değerlendirir: hangi saldırılar engelleniyor, WAF atlatılabiliyor mu, gerçek sunucu IP'si WAF dışından erişilebiliyor mu. Geliştirdiğimiz KAOS güvenlik motoru, WAF arkasındaki uygulamanın gerçek açıklarını kanıta bağlar, çünkü bizim için WAF'ın engellemesi açığın kapandığı anlamına gelmez. Amacımız WAF'a yanlış bir güven duyulmaması ve asıl açığın kapatılmasıdır.

Bağlantılı okumalar: web uygulaması sızma testi OWASP Top 10, web sunucu sertleştirme Nginx Apache, API hız sınırlama ve bot yönetimi, SQL injection ve enjeksiyon açıkları, Burp Suite ile web sızma testi, API gateway güvenliği.

Sık sorulan sorular

WAF uygulamamdaki açıkları kapatır mı? Hayır. WAF, bilinen saldırı desenlerini filtreleyerek açığın sömürülmesini zorlaştırır ama açığın kendisini kodda kapatmaz. Bir saldırgan WAF'ı atlatırsa ya da WAF'ın tanımadığı bir yöntem kullanırsa, açık hâlâ oradadır. Bu yüzden WAF asıl çözüm değil, güvenli kodu tamamlayan bir katmandır.

WAF nasıl atlatılır? Saldırganlar kodlama ve karakter varyasyonları, gizleme (obfuscation), HTTP parametre kirliliği gibi tekniklerle WAF kurallarını atlatmaya çalışır. En etkili atlatma ise WAF'ın arkasındaki gerçek sunucu IP'sini bulup WAF'ı tamamen devre dışı bırakmaktır. Bu yüzden gerçek sunucu adresi gizlenmeli ve yalnızca WAF üzerinden erişime izin verilmelidir.

Bulut tabanlı WAF mı, host tabanlı mı? Bulut tabanlı WAF, trafiği sağlayıcının altyapısından geçirir ve kurulum ile bakım kolaylığı sağlar; DDoS koruması gibi ek avantajlar sunar. Host tabanlı WAF ise sunucuda çalışır, daha esnektir ama kaynak tüketir ve yönetim gerektirir. Seçim, kurumun mimarisine ve ihtiyacına bağlıdır; ikisi de doğru yapılandırıldığında değerlidir.

Kaynaklar

Web uygulamanızın WAF arkasındaki gerçek güvenliğini test etmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.