Klasik güvenlik duvarı kimin girdiğine bakar; WAF ne getirdiğine bakar. Web saldırılarının neredeyse tamamı meşru bir kapıdan, meşru görünen bir istekle geldiği için ikincisi olmadan koruma eksik kalır.
Kısa cevap: WAF nedir?
WAF (Web Uygulama Güvenlik Duvarı), sitenize gelen HTTP isteklerinin içeriğini inceleyerek zararlı desenleri tanıyan ve engelleyen bir katmandır. Klasik güvenlik duvarı ağ seviyesinde çalışır ve hangi adresten hangi porta bağlantı kurulabileceğine karar verir; WAF ise uygulama seviyesinde çalışır ve isteğin içindeki veriye bakar. İkisi birbirinin alternatifi değildir: biri kapıyı, diğeri kapıdan geçen paketi kontrol eder. Web sitesi olan her işletme için ikinci katman, ilkinin kapatamadığı riski hedefler.
İki katmanın işbölümü
| Kriter | Ağ güvenlik duvarı | WAF |
|---|---|---|
| Çalıştığı seviye | Ağ ve port | Uygulama (HTTP) |
| Baktığı şey | Kaynak adres, hedef port | İstek içeriği, parametreler, başlıklar |
| Tipik kararı | Bu bağlantıya izin var mı? | Bu istek zararlı bir desen içeriyor mu? |
| Durdurduğu | Açık olmayan servislere erişim | Enjeksiyon, betik, kötüye kullanım |
| Durduramadığı | 80/443 üzerinden gelen saldırı | Ağ seviyesindeki tarama ve erişim |
Tablodaki en kritik satır sondan ikincisidir. Web sitesi çalışabilmek için 80 ve 443 portlarını herkese açmak zorundadır; yani ağ güvenlik duvarı, web saldırılarının geldiği kapıyı zaten açık bırakmak durumundadır. Bu kapıdan geçen isteğin içeriğini inceleyen tek katman WAF'tır.
WAF'ın durdurduğu 5 saldırı tipi
- SQL enjeksiyonu. Form veya adres satırındaki bir parametreye veritabanı komutu eklenmesi. Amaç veri okumak, değiştirmek veya silmek olabilir. WAF, bu desenleri istek uygulamaya ulaşmadan tanır.
- Siteler arası betik çalıştırma (XSS). Sayfaya zararlı bir betik yerleştirilerek ziyaretçinin tarayıcısında çalıştırılması. Oturum bilgisi çalınması en yaygın sonucudur.
- Kimlik bilgisi deneme saldırıları. Sızdırılmış kullanıcı adı-şifre listeleriyle giriş denemesi. WAF, hız sınırlama ve desen tanıma ile bu denemeleri engeller.
- Dosya yükleme ve dahil etme saldırıları. Zararlı bir dosyanın yüklenmesi veya sunucudaki bir dosyanın istem dışı çalıştırılması.
- Kötü niyetli bot ve kazıma trafiği. İçerik kopyalama, fiyat kazıma veya kaynak tüketme amaçlı otomatik trafik. Bu, aynı zamanda sunucu yükünü de doğrudan azaltan bir kazanımdır.
Bu beşinin ortak özelliği, hepsinin normal bir web isteği görünümünde gelmesidir. Ağ katmanı için bunlar sıradan ziyaretçi trafiğinden ayırt edilemez.
Yanlış pozitif riski ve ayarlama
WAF'ın en çok tartışılan tarafı, meşru isteklerin yanlışlıkla engellenmesidir. Bu risk gerçektir ancak yönetilebilir:
- Önce izleme modunda çalıştırın. İlk bir-iki hafta engelleme yapmadan yalnızca kayıt tutulmalı; bu süre, hangi kuralların meşru trafiği yakaladığını gösterir.
- Yönetim paneli ve içerik editörünü ayrı değerlendirin. İçerik yöneticileri HTML veya kod parçası yazabilir; bu istekler kolayca "saldırı" gibi görünür. Bu yollar için kural setini gevşetmek yerine, erişimi IP ile sınırlamak daha güvenli bir çözümdür.
- Dosya yükleme akışlarını test edin. Büyük dosya veya alışılmadık format yüklemeleri sık takılan noktalardır.
- Engellenen istekleri düzenli gözden geçirin. Kayıtlara bakılmayan bir WAF, sessizce müşteri kaybettiriyor olabilir.
- Kural setini güncel tutun. Yeni saldırı desenleri düzenli olarak yayınlanır; güncellenmeyen kural seti zamanla değer kaybeder.
WAF neyi çözmez?
Beklentiyi doğru kurmak önemlidir. WAF şunları çözmez:
- Zayıf şifreleri ve eksik iki faktörlü doğrulamayı. Doğru kullanıcı adı ve şifreyle yapılan giriş, WAF için meşru bir istektir.
- Güncellenmemiş bileşenleri. Bilinen bir açığı geçici olarak perdeleyebilir ancak yamanın yerini tutmaz.
- Yetki tasarımı hatalarını. Her kullanıcının her şeye eriştiği bir yapı, uygulama içi bir sorundur.
- Sunucu erişim güvenliğini. SSH ve panel tarafı ayrı bir başlıktır — sertleştirme yazımıza bakın.
Bu nedenle WAF, güvenlik bütçesinde temel önlemlerden sonra gelir; öncesinde alındığında açık kalan kapıyı korumayan bir katman olur.
Netişlem uzman görüşü: WAF'ın en somut faydası çoğu zaman gürültüyü kesmesi
İşletmeler WAF'ı büyük saldırılara karşı düşünüyor. Sahada gördüğümüz en görünür fayda ise farklı: otomatik tarama, deneme ve kazıma trafiğinin kesilmesi. Bu trafik çoğu sitede toplam isteklerin belirgin bir kısmını oluşturuyor ve sunucu kaynağını sessizce tüketiyor. WAF devreye alındığında hem güvenlik hem performans tarafında ölçülebilir bir rahatlama oluyor.
İkinci gözlemimiz, kurulumun izleme modu atlanarak yapılması. Doğrudan engelleme moduna alınan bir WAF, ilk günlerde meşru işlemleri de durdurabiliyor ve genellikle bunu ilk fark eden müşteri oluyor. İki haftalık izleme dönemi bu riski neredeyse tamamen ortadan kaldırıyor.
Üçüncüsü, WAF'ın "kurdum, bitti" sanılması. Kural setleri güncellenmeli, engellenen istekler ara ara okunmalı, uygulama değiştiğinde kurallar gözden geçirilmeli. Bakımsız bir WAF, zamanla hem koruma değerini hem güvenilirliğini kaybediyor.
Kurulum kontrol listesi
- Temel önlemler tamamlandı (2FA, güncellemeler, yedek) — WAF bunlardan sonra gelir.
- İlk 1–2 hafta izleme modunda çalıştırıldı.
- Yönetim paneli erişimi ayrıca korundu (IP kısıtlaması tercih edilir).
- Dosya yükleme ve form akışları test edildi.
- Ödeme ve giriş sayfaları özellikle doğrulandı.
- Engellenen istek kayıtları düzenli inceleniyor.
- Kural seti güncellemesi takvimde.
- Kaynak sunucuya doğrudan erişim kısıtlandı (aksi hâlde WAF atlanabilir).
- Gerçek ziyaretçi IP'sinin loglara doğru düştüğü doğrulandı.
Sık sorulan sorular
WAF ile DDoS koruması aynı şey mi?
Hayır, ancak birlikte çalışırlar. DDoS koruması hacimsel trafiği emer; WAF ise isteğin içeriğine bakar. Uygulama katmanı saldırılarında ikisi de gerekir — DDoS yazımızda bu ayrımı ele aldık.
Sitem küçük, WAF gerekli mi?
Otomatik saldırılar hedef seçmediği için site büyüklüğü belirleyici değildir. Ancak sıralama önemlidir: güncellemeler, güçlü kimlik doğrulama ve yedek tamamlanmadan alınan WAF beklenen faydayı vermez. Temel tamamsa, özellikle form ve giriş içeren siteler için anlamlı bir katmandır.
WAF sitemi yavaşlatır mı?
İsteklere küçük bir gecikme ekler, ancak birçok kurulum aynı zamanda önbellekleme ve içerik dağıtımı sağladığı için net etki genellikle olumlu olur. Kurulum öncesi ve sonrası ölçüm yapmak, bu etkiyi net görmenizi sağlar.
Bulut tabanlı mı, sunucu üzerinde mi olmalı?
Bulut tabanlı çözümler trafiği sunucunuza ulaşmadan filtreler ve hacimsel saldırılarda ek avantaj sağlar. Sunucu üzerinde çalışan çözümler ise daha fazla denetim sunar ancak yük sunucunuzda kalır. Çoğu KOBİ için bulut tabanlı yaklaşım daha pratiktir.
WAF varsa güncelleme yapmasam olur mu?
Olmaz. WAF, bilinen bir açığı geçici olarak perdeleyebilir; ancak bu bir yama değil, zaman kazandıran bir tedbirdir. Güncelleme yine yapılmalıdır — güncelleme yazımızda bu riski ele aldık.
Sonuç
WAF, ağ güvenlik duvarının yerine geçen bir ürün değil; onun göremediği katmanı kapatan tamamlayıcıdır. Doğru sırayla — temel önlemlerden sonra, izleme modunda başlatılarak ve düzenli bakımla — kurulduğunda hem saldırı yüzeyini hem sunucu yükünü ölçülebilir biçimde azaltır.
Mevcut koruma katmanlarınızı değerlendirmemizi isterseniz bize ulaşın. WAF ve DDoS koruma, DDoS koruma ve güvenli hosting çözümlerimizi inceleyebilirsiniz.