Front Door'da Web Uygulaması Güvenlik Duvarı

Web Uygulaması Güvenlik Duvarı (WAF), HTTP/HTTPS isteklerini Katman 7'de inceler ve bilinen saldırı kalıplarını uygulamanıza ulaşmadan önce engeller. Önlediği yaygın saldırılar arasında SQL ekleme, siteler arası komut dosyası çalıştırma (XSS), uzak dosya ekleme ve protokol anormallikleri bulunur. WAF olmadan saldırganlar, ağınız doğru şekilde kilitlenmiş olsa bile uygulama kodunuzdaki güvenlik açıklarından yararlanabilir. Azure WAF, hem Azure Front Door hem de Azure Application Gateway ile tümleşir.

Azure'da WAF ilkesi, yönetilen kural kümelerini ve özel kuralları içeren bağımsız bir kaynaktır. İlk politikayı oluşturur, kuralları yapılandırır ve ardından bunu bir veya daha fazla Front Door uç noktasıyla ya da Application Gateway örneğiyle ilişkilendirirsiniz. Bu ayrıştırılmış tasarım, tek bir WAF ilkesinin birden çok Front Door uç noktasını koruyabilmesi anlamına gelir; ilkedeki tek bir değişiklik ilişkili tüm uç noktalara otomatik olarak yayılır. WAF ilkeleri belirli bir Azure bölgesinde bulunur, ancak Front Door'a bağlandıklarında koruma tüm PoP'larda küresel olarak uygulanır.

WAF ilkeleri iki modda çalışır. Algılama modu tüm istekleri inceler ve kurallarla eşleşmeleri günlüğe kaydeder, ancak hiçbir trafiği engellemez; bu, ilkenizin hangi trafiği engelleyeceğini uygulamaya koymadan önce anlamak için ilk dağıtım aşamasında kullanışlıdır. Önleme modu ise kurallardaki koşullarla eşleşen istekleri hem günlüğe kaydeder hem de etkin biçimde engeller. En iyi uygulama, Algılama moduyla başlamak, WAF günlüklerini yanlış pozitifler açısından incelemek, kuralları ayarlamak ve ilkenin doğru olduğundan emin olduktan sonra Önleme moduna geçmektir.

Microsoft Varsayılan Kural Kümesi (DRS), Microsoft'un güvenlik ekibi tarafından yönetilen bir kural grubudur. OWASP İlk 10 güvenlik açığının yanı sıra bot imzalarını ve kimlik bilgisi doldurma kalıplarını algılayan kurallar içerir. Microsoft, ortaya çıkan tehditlere yanıt olarak DRS'yi sürekli günceller — kuralları kendiniz yazmanız gerekmez. DRS sürümleri belirli aralıklarla yayımlanır (ör. DRS 2.1) ve bakım penceresi sırasında WAF ilkenizi daha yeni bir sürüme yükseltebilirsiniz.

OWASP Çekirdek Kural Kümesi (CRS), Application Gateway WAF üzerinde ve Verizon katmanı CDN WAF'ın bir parçası olarak kullanılabilir. OWASP İlk 10 kapsamındaki enjeksiyon saldırıları, hatalı kimlik doğrulama, hassas veri ifşası, XML harici varlık saldırıları ve daha fazlasını kapsayan 200'den fazla kural içerir. Her kuralın bir kimliği ve grubu vardır (ör. REQUEST-942-APPLICATION-ATTACK-SQLI). Kural grubunun tamamını devre dışı bırakmadan yanlış pozitifleri bastırmak için tek tek kuralları devre dışı bırakabilirsiniz.

Özel kurallar, yönetilen kural kümelerinin kapsamadığı belirli izin verme veya engelleme koşullarını yazmanızı sağlar. Bir özel kural, bir eşleştirme koşulunu veya daha fazlasını (ör. kaynak IP'si, istek URI'si, üst bilgi değeri, sorgu dizesi) bir eylemle (Allow, Block, Log veya Redirect) birleştirir. Özel kurallar, yönetilen kural kümelerinden önce değerlendirilir ve öncelik sıralamasını destekler. Yaygın kullanım örnekleri arasında belirli ülkeleri engellemek, aşırı istek gönderen tarayıcıları hız sınırlamasına tabi tutmak veya WAF kurallarını atlayabilen güvenilir bir izleme IP'sini izin verilenler listesine eklemek bulunur.

Hız sınırlama kuralları, tek bir istemci IP adresinden belirli bir zaman aralığında (1 veya 5 dakika) gönderilebilecek HTTP isteklerinin sayısını sınırlar. İstek sayısı eşiği aştığında WAF, bu istemciye HTTP 429 (Çok Fazla İstek) döndürür. Hız sınırlama; kaba kuvvetle oturum açma saldırılarına, kimlik bilgisi doldurma saldırılarına ve API kötüye kullanımına karşı etkilidir. İstek eşiğini ve zaman aralığını WAF ilkesindeki özel kural tanımının bir parçası olarak yapılandırırsınız.

Bot Yöneticisi kural kümesi (Front Door Premium'da kullanılabilir), gelen trafiği iyi botlar (doğrulanmış arama motoru tarayıcıları), kötü botlar (bilinen tarayıcılar, güvenlik açığı araştırma araçları) ve bilinmeyen botlar (sınıflandırılmamış otomatik trafik) olarak sınıflandırır. Her kategori için eylemi yapılandırabilirsiniz — iyi botlara izin verin, kötü botları engelleyin ve bilinmeyen botları günlüğe kaydedin. Bot koruması olmadan otomatik tarayıcılar, maliyetlerinizi artıran ve analizlerdeki gerçek kullanıcı trafiğini gizleyen çok büyük trafik yükleri oluşturabilir.

Yönetilen kural kümeleri bazen yanlış pozitifler üretir — güvenlik kuralı kalıbıyla eşleştiği için meşru istekleri engeller. Örneğin zengin metin düzenleme özelliğine sahip bir CMS, POST gövdelerinde bir XSS kuralıyla eşleşen HTML gönderebilir. WAF özel durumları, kuralı tamamen devre dışı bırakmadan belirli istek özniteliklerini (istek üst bilgileri, çerezler, sorgu dizesi parametreleri veya istek gövdesi alanları) genel olarak ya da belirli bir kural grubu veya kural kimliği için kural değerlendirmesinin dışında tutmanızı sağlar.

WAF, Azure Monitor'da iki tür günlük girdisi oluşturur: WAF günlükleri (engellenmiş veya günlüğe kaydedilmiş olmasına bakılmaksızın bir kuralla eşleşen her istek) ve erişim günlükleri (herhangi bir kuralla eşleşmeden geçenler de dâhil tüm istekler). Bu günlükleri bir Log Analytics çalışma alanına gönderin ve engellenen istek eğilimlerini sorgulamak, en çok saldırıya uğrayan uç noktaları belirlemek veya belirli bir istemci IP'sini araştırmak için KQL kullanın. Portalda bulunan WAF İçgörüleri çalışma kitabı, bu günlükleri görselleştiren önceden hazırlanmış panolar sunar.

WAF korumasını etkinleştirmek için WAF ilkesini Front Door güvenlik profilinizle ilişkilendirmeniz gerekir. Portalda Front Door profilinize gidin, Security policies seçeneğini belirleyin ve WAF ilkesini ekleyerek hangi etki alanlarına uygulanacağını belirtin. Alternatif olarak ilkeyi bağlamak için CLI kullanabilirsiniz. İlişkilendirme tamamlandıktan sonra WAF, bu Front Door etki alanlarına gelen tüm HTTP/HTTPS isteklerini kaynağa yönlendirmeden önce inceler. Etki alanı başına bir WAF ilkesi ilişkilendirebilirsiniz.

Bu derste ele alınan Microsoft Azure Temelleri (AZ-900) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: WAF ilkeleri, HTTP trafiğini kaynağınıza ulaşmadan önce inceleyen yönetilen kural kümelerini (Microsoft DRS, OWASP) ve özel kuralları içerir; Algılama modu, Önleme moduna geçmeden önce kuralları ayarlamanızı sağlar ve hız sınırlama kuralları kaba kuvvet saldırılarına ve kötüye kullanıma karşı koruma sağlar. Sırada, yeniden yönlendirmeler ve güvenlik üst bilgileriyle performansı iyileştirmek için Front Door'ın kural altyapısını kullanmayı inceleyeceğiz.