AWS WAF İstekleri Nasıl İnceler

AWS WAF (Web Application Firewall), güvenlik grupları ve NACL'lerin 3. ve 4. katmanlarda çalışmasının aksine, HTTP ve HTTPS isteklerini uygulama katmanında (7. Katman) inceler. URL'leri, üst bilgileri, sorgu dizelerini ve gövdeleri okuyarak normal ağ trafiğine benzeyen ancak kötü amaçlı yükler taşıyan saldırıları engelleyebilir.

WAF; SQL enjeksiyonu, siteler arası komut dosyası çalıştırma (XSS), kötü amaçlı botlar ve uygulama katmanı taşmaları gibi yaygın web tehditlerini hedef alır. Bu saldırılar 80 ve 443 gibi meşru bağlantı noktalarını kullandığından, alt katman güvenlik duvarları bunları birbirinden ayıramaz. WAF, iyiyi kötüden ayırmak için istek içeriğini inceler.

WAF, bir isteğin birçok bölümünü inceleyebilir: URI yolu, sorgu dizesi, HTTP üst bilgileri, çerezler, HTTP yöntemi ve gövde. Her kuralın hangi bileşeni inceleyeceğini siz seçersiniz. Örneğin bir kural, SQL anahtar sözcükleri için sorgu dizesini tarayabilir veya bilinen bir saldırı imzası açısından bir üst bilgiyi denetleyebilir.

Kurallar; dize eşleşmesi, düzenli ifade eşleşmesi, boyut kısıtlaması, IP kümesi ve coğrafi eşleşme gibi eşleşme ifadelerini kullanır. Eşleştirmeden önce URL kodlamasını açma veya küçük harfe dönüştürme gibi metin dönüşümleri de uygulayabilirsiniz. Bu, yükleri kodlama hileleriyle gizleyen saldırganları etkisiz kılar.

Bir kural eşleştiğinde WAF bir eylem gerçekleştirir: allow, block, count, CAPTCHA veya challenge. Count modu, eşleşmeleri engellemeden günlüğe kaydeder; böylece bir kuralı uygulamaya almadan önce güvenli biçimde test edebilirsiniz. CAPTCHA ve challenge eylemleri, istemcinin gerçek bir tarayıcı olduğunu doğrulayarak botları caydırır.

WAF, istekleri uygulamanıza ulaşmadan önce satır içinde ve eşzamanlı olarak değerlendirir ve gecikmeyi en aza indirir. Engellenen istekler arka uç sisteminize hiç ulaşmaz; bu hem uygulamayı korur hem de yükü azaltır. Bu nedenle WAF, yığınınızın uç noktasında bir kapı görevlisi olarak konumlanır.

WAF, istek gövdesini varsayılan bir boyut sınırına kadar inceler (birçok tümleştirme için 8 KB, daha yeni olanlar için daha büyük). Sınırı aşan içerik, yapılandırmanıza bağlı olarak geçirilebilir veya engellenebilir. Saldırganlar yükleri inceleme sınırının ötesinde gizlemeye çalışabilir; bu nedenle bu ayarı düzenlemek önemlidir.

WAF, incelenen isteklerin ayrıntılı günlüklerini CloudWatch Logs'a, bir S3 klasörüne veya Kinesis Data Firehose'a gönderebilir. Günlükler hangi kuralın eşleştiğini ve hangi eylemin gerçekleştirildiğini gösterir; bu bilgiler kuralları düzenlemek, saldırıları araştırmak ve denetim sırasında uyumluluğu kanıtlamak için gereklidir.

Her WAF ilkesinde, hiçbir kuralla eşleşmeyen isteklere uygulanan bir varsayılan eylem bulunur: allow veya block. Çoğu genel web uygulaması varsayılan olarak allow kullanır ve belirli kötü kalıpları engeller. Sıkı biçimde kısıtlanmış API'lerde varsayılan değer block olabilir ve yalnızca bilinen, güvenilir isteklere izin verilebilir.

WAF uygulama katmanı içeriğini filtrelerken AWS Shield, 3. ve 4. katmanlardaki hacimsel DDoS taşmalarına karşı koruma sağlar. Bunlar birbirini tamamlar: Shield taşmayı karşılar, WAF ise içeri ulaşan istekleri inceler. Sınavda sıkça hangi aracın hangi tür saldırıyı ele aldığı sorulur.

WAF tek başına satır içinde bulunmaz; CloudFront, bir Application Load Balancer, API Gateway veya AppSync gibi desteklenen bir kaynağa bağlanır. Kaynak, istekleri incelenmek üzere WAF'a iletir. Doğru bağlantı noktasını seçme konusu bu kursun ilerleyen bölümlerinde ele alınacaktır.

WAF incelemesini anlayıp anlamadığınızı test edin.

AWS WAF, HTTP/HTTPS isteklerini 7. Katmanda inceler; URI'leri, üst bilgileri, sorgu dizelerini ve gövdeleri okuyarak SQL enjeksiyonunu, XSS'yi ve kötü amaçlı botları durdurur. Kurallar, metin dönüşümleriyle birlikte eşleşme ifadeleri kullanır ve allow, block, count, CAPTCHA veya challenge eylemlerini gerçekleştirir. İnceleme satır içinde yapılır; günlükler CloudWatch, S3 veya Firehose'a gönderilebilir. WAF, Shield'i tamamlar ve CloudFront'a, ALB'ye, API Gateway'e veya AppSync'e bağlanır.