Web uygulaması güvenlik duvarı
WAF, web taleplerini kurallarla kontrol edip istenmeyen trafiği filtreleyebilir. Uygun ayarlar gerektirir ve koddaki hataları düzeltmenin yerini tutmaz.
WAF ne demektir?
Web uygulaması güvenlik duvarı (WAF), web uygulamalarına gelen talepleri kontrol eder. Talebin özelliklerine ve kurallara göre istenmeyen trafiği filtreleyebilir. Cloudflare, örneğin yolların, başlıkların ve talep içeriklerinin kontrolünü açıklar. Kapsam ve olası eylemler kullanılan çözüme bağlıdır.
Örnek: dosya yükleme formunu ayrıca korumak
Kurgusal portalda dosya yükleme hizmetinin önüne WAF konur. Ekip kuralları izin verilen yüklemeler ve istenmeyen taleplerle kontrol eder. Normal müşteri işlemlerinin yanlışlıkla engellenip engellenmediğini de fark edebilmelidir.
İstisna, ilgili akışı hedefli biçimde ele almalıdır. Kontrolün geniş kapsamlı kapatılması, hâlâ istenmeyen başka talepleri geçirebilir. Bu nedenle kural değişiklikleri açık gerekçeler ve ardından işlev kontrolleri gerektirir.
WAF, uygulamanın girdi denetimi, güvenli işleme veya yetki denetiminin yerini tutmaz. Bir filtre kuralı belirli bir saldırıyı zorlaştırsa bile kodda tespit edilen açığı gidermek ayrı bir görevdir.
Kaynaklar
İlgili terimler
- Hiper Metin Aktarım ProtokolüHTTP, istemciyle sunucu arasındaki talep ve yanıt alışverişini düzenler. Yöntem, durum ve içerik, uygulama için kararlaştırılan yapıya uymalıdır.
- Ters proxyTers proxy, uygulamanın önünde talepleri alıp iletir. Yönlendirme, bağlantı sınırları ve aktarılan bilgiler için açık kurallar gerekir.
- Güvenlik duvarıGüvenlik duvarı ağ trafiğini kurallara göre yönetir. İzin verilen bağlantı, güvenli yazılımın veya uygulama içindeki yetki denetiminin yerini tutmaz.
- Return-PathReturn-Path, SMTP dönüş yolunu bir başlıkta kaydeder. Hata bildirimlerinin teknik yolunu açıklar; kişinin kimliğini doğrulamaz.
- Envelope-FromEnvelope-From, taşıma ve hata bildirimleri için SMTP gönderenini belirtir. Görünür gönderen adresinden ayrı değerlendirilmelidir.
- Toplu DMARC raporuToplu DMARC raporu, raporlayan posta sisteminin alan adı kontrollerini bir dönem için özetler. Gönderim kaynaklarını ve yapılandırma hatalarını incelemeye yarar.
Bu konudaki yazılar
ASES ile Bulut ve işletim
Barındırma, yayına alma, bakım ve destek