Güvenlik Duvarı ve WAF: Web Uygulamanızı Katmanlı Korumak

Güvenlik konuşulduğunda ilk akla gelen kelimelerden biri "güvenlik duvarı"dır. Ancak birçok kişi, klasik bir ağ güvenlik duvarı ile bir web uygulama güvenlik duvarını (WAF) aynı şey sanır. Oysa bunlar farklı katmanlarda çalışan, farklı tehditlere karşı koruma sağlayan iki ayrı araçtır. İkisini birlikte doğru kullanmak, uygulamanızı katmanlı — yani gerçekten dayanıklı — bir savunmayla donatmanın anahtarıdır.

Bu yazıda klasik güvenlik duvarının ne yaptığını, WAF'ın neyi farklı yaptığını, aralarındaki temel farkları ve bu iki katmanın "derinlemesine savunma" (defense in depth) prensibiyle nasıl bir araya geldiğini somut biçimde ele alacağız. Amaç, hangi tehdide karşı hangi aracın devreye girdiğini net biçimde anlamanızı sağlamak.

Klasik Güvenlik Duvarı Ne Yapar?

Geleneksel bir ağ güvenlik duvarı (firewall), ağ trafiğini IP adresleri, portlar ve protokoller gibi düşük seviyeli kriterlere göre denetler. Bir kapı bekçisi gibidir: "Bu port açık mı, bu IP'ye izin var mı, bu protokol kabul ediliyor mu?" sorularını sorar. Örneğin belirli bir portu tamamen kapatabilir, yalnızca belirli IP aralıklarına erişim verebilir veya bilinen zararlı adresleri engelleyebilir.

Bu koruma çok değerlidir ama bir sınırı vardır: güvenlik duvarı, trafiğin içeriğini anlamaz. İzin verdiği bir port üzerinden gelen bir isteğin içinde bir SQL Injection denemesi olup olmadığını bilemez. Onun için 80 ve 443 numaralı portlardan gelen tüm web trafiği "meşru" görünür — içinde ne olursa olsun.

Klasik güvenlik duvarı, hangi kapının açık olduğunu kontrol eder ama o kapıdan içeri girenin cebinde ne taşıdığını görmez. Web saldırıları tam da bu kör noktadan sızar.

WAF Ne Yapar? İşte Fark

Web Uygulama Güvenlik Duvarı (WAF), tam olarak klasik güvenlik duvarının göremediği yeri korur. WAF, uygulama katmanında çalışır ve HTTP/HTTPS trafiğinin içeriğini inceler. Yani sadece "bu istek nereden geliyor" değil, "bu istek ne yapmaya çalışıyor" sorusunu sorar.

Bir WAF şunları yapabilir:

• Bir istekte SQL Injection kalıbı olup olmadığını tespit edip engellemek.
• XSS denemesi içeren girdileri yakalamak.
• Bilinen kötü niyetli botları ve tarama araçlarını filtrelemek.
• Belirli uçlara yönelik olağandışı istek yoğunluğunu (uygulama katmanı DDoS) sınırlamak.
• Hassas sayfalara yönelik kaba kuvvet saldırılarını frenlemek.

Kısacası WAF, uygulamanızı doğrudan hedefleyen web saldırılarına karşı özelleşmiş bir kalkandır. Klasik güvenlik duvarının ağ düzeyinde bıraktığı boşluğu, uygulama düzeyinde doldurur.

Firewall ve WAF: Yerine Değil, Yanına

Buradaki en önemli kavram şudur: WAF, klasik güvenlik duvarının yerine geçmez; onun yanında çalışır. İkisi farklı katmanları korur ve birlikte kullanıldıklarında güçlü bir bütün oluştururlar.

• Ağ güvenlik duvarı: Ağ ve taşıma katmanını korur; portları, IP'leri, protokolleri denetler.
• WAF: Uygulama katmanını korur; HTTP isteklerinin içeriğini ve niyetini analiz eder.

Bir binaya benzetirsek: klasik güvenlik duvarı binanın dış kapısındaki güvenlik görevlisidir — kimin gireceğini kontrol eder. WAF ise her odanın önünde duran ve içeri girenlerin ne yapmaya çalıştığını izleyen bir denetçidir. İkisi birlikte, hem "kim geliyor" hem "ne yapıyor" sorularını kapsar.

Derinlemesine Savunma (Defense in Depth)

Güvenlikte altın kural, tek bir savunmaya güvenmemektir. "Derinlemesine savunma" prensibi, birden fazla bağımsız güvenlik katmanı kurmayı öngörür; böylece bir katman aşılsa bile diğerleri devreye girer. Firewall ve WAF bu felsefenin iki önemli parçasıdır, ama tek parçası değildir.

Sağlam bir katmanlı savunma şöyle görünür:

1. Ağ güvenlik duvarı: İlk kapı; gereksiz erişimi ağ düzeyinde keser.
2. WAF: İkinci kapı; zararlı web isteklerini filtreler.
3. Güvenli kod: Asıl kalkan; parametreli sorgular, çıktı kodlaması, CSRF token gibi uygulama içi savunmalar.
4. Kimlik doğrulama ve yetkilendirme: Kimin neye erişebileceğini sıkı biçimde denetler.
5. İzleme ve loglama: Aşılan katmanları fark etmek için gözler ve kulaklar.

WAF güçlü bir kalkandır ama asla kötü kodun mazereti olamaz. En iyi güvenlik, WAF olmadan da ayakta kalabilen bir uygulamanın üzerine eklenen WAF'tır.

WAF Türleri

WAF çözümleri, nerede konumlandıklarına göre farklılaşır. Her birinin kendine göre avantajları vardır.

Bulut Tabanlı WAF

En popüler ve en pratik seçenektir. Trafiğiniz, sunucunuza ulaşmadan önce sağlayıcının bulut altyapısından geçer ve orada filtrelenir. Kurulumu kolaydır, bakım yükü sağlayıcıdadır ve çoğu zaman DDoS korumasıyla birlikte gelir. Küçük ve orta ölçekli işletmeler için genellikle en mantıklı seçimdir.

Uygulama Tabanlı (Host) WAF

Doğrudan uygulama sunucusunda çalışan yazılım tabanlı bir WAF'tır. Uygulamaya çok yakın çalıştığı için ince ayarlı kurallar tanımlamaya izin verir. Ancak kurulumu ve bakımı daha fazla uzmanlık gerektirir ve sunucu kaynağı tüketir.

Ağ Tabanlı (Donanım) WAF

Genellikle büyük kurumların veri merkezlerinde bulunan, özel donanım üzerinde çalışan çözümlerdir. Yüksek performans sunar ama maliyeti ve yönetim yükü yüksektir. Çoğu KOBİ için bu düzeyde bir çözüm gerekli değildir.

WAF Kurallarını Doğru Ayarlamak

Bir WAF'ı sadece açmak yeterli değildir; doğru ayarlanması gerekir. İki temel çalışma modu vardır:

• İzleme (detection) modu: WAF, zararlı olabilecek istekleri engellemez, yalnızca loglar. Başlangıçta bu modda çalıştırmak, meşru trafiğin yanlışlıkla engellenmesini (false positive) tespit etmenizi sağlar.
• Engelleme (prevention) modu: WAF, tespit ettiği zararlı istekleri aktif olarak engeller. Kuralları test ettikten sonra bu moda geçilir.

Yaygın bir hata, WAF'ı doğrudan agresif engelleme moduna alıp meşru kullanıcıları da bloklamaktır. Bu yüzden önce izleme modunda gözlemlemek, ardından kuralları ince ayarlayarak engelleme moduna geçmek en sağlıklı yaklaşımdır.

WAF'ın Sınırları

WAF güçlüdür ama sihirli bir kalkan değildir. Sınırlarını bilmek önemlidir:

• Sıfırıncı gün (zero-day) veya çok özel saldırıları kaçırabilir.
• Yanlış yapılandırılmış kurallar meşru kullanıcıları engelleyebilir.
• Uygulamanızın kendi mantığındaki iş kuralı açıklarını (örneğin bozuk erişim kontrolü) çoğu zaman göremez.
• Kör bir güven duygusu yaratıp geliştiricileri güvenli kod yazmaktan uzaklaştırabilir.

Bu yüzden WAF, güvenli kodlamanın yerini almaz; onun üzerine eklenen ek bir katmandır. En iyi senaryo, hem sağlam kod hem de doğru yapılandırılmış bir WAF'tır.

Katmanlı Koruma Kontrol Listesi

1. Ağ güvenlik duvarı gereksiz portları ve erişimi kapatıyor mu?
2. Web trafiği bir WAF tarafından içerik düzeyinde filtreleniyor mu?
3. WAF önce izleme modunda test edilip sonra engelleme moduna alındı mı?
4. Uygulama kodu, WAF olmasa bile temel açıklara karşı dayanıklı mı?
5. Kimlik doğrulama ve yetkilendirme sunucu tarafında sağlam mı?
6. Tüm katmanlarda güvenlik olayları loglanıp izleniyor mu?
7. Kurallar düzenli olarak gözden geçirilip güncelleniyor mu?

Sık Sorulan Sorular

WAF varsa güvenli kod yazmaya gerek kalmaz mı? Kesinlikle kalır. WAF bir ek katmandır, temel değil. Yanlış yapılandırılmış veya atlatılan bir WAF'ın arkasında zayıf bir kod varsa, uygulamanız yine de savunmasızdır. Güvenli kod her zaman birinci savunmadır.

Küçük bir işletme için WAF gerekli mi? Özellikle müşteri verisi işleyen veya çevrimiçi satış yapan siteler için son derece faydalıdır. Bulut tabanlı WAF çözümleri makul maliyetlidir ve otomatik saldırıların büyük kısmını daha uygulamaya ulaşmadan durdurur.

WAF sitemi yavaşlatır mı? İyi yapılandırılmış bir bulut tabanlı WAF, ihmal edilebilir bir gecikme ekler; bazen CDN özellikleriyle birlikte siteyi hızlandırabilir bile. Yanlış yapılandırma veya aşırı ağır kurallar performansı etkileyebilir, bu yüzden dengeyi izlemek gerekir.

Sonuç

Güvenlik, tek bir duvarla değil, birbirini tamamlayan katmanlarla sağlanır. Klasik güvenlik duvarı ağınızı korurken, WAF doğrudan uygulamanızı hedefleyen saldırıları filtreler. İkisi birlikte, güvenli kod ve sağlam kimlik doğrulamayla desteklendiğinde, uygulamanız gerçekten dayanıklı bir savunmaya kavuşur. Unutmayın: en iyi savunma, tek bir katmanın çökmesinin sistemin tamamını çökertmediği savunmadır.

Uygulamanız için doğru güvenlik duvarı ve WAF yapılandırmasını kurmak, katmanlı bir savunma mimarisi tasarlamak için projenizi konuşalım. Doğru kurulmuş katmanlar, saldırganın işini imkânsız denecek kadar zorlaştırır.