Klasik Güvenlik Duvarı (Firewall) vs. WAF: Web Sitenizin Hangi Katmanda Korunmaya İhtiyacı Var?

“Sunucumda zaten bir güvenlik duvarı var, neden ayrıca WAF’a ihtiyacım olsun?” Bu soru, web güvenliği konuşulurken en sık duyduğumuz sorulardan biridir. Haklı bir sorudur da. İkisinin de adında “güvenlik duvarı” geçer, ikisi de trafiği süzer ve ikisi de zararlı olanı içeri almamakla görevlidir.

Farkı anlamak için bir binanın güvenliğini düşünün. Girişteki görevli, gelen kişinin kimliğine bakar ve hangi kapıdan girebileceğine karar verir. Bu, klasik güvenlik duvarının işidir: Kim geliyor, hangi kapıya gidiyor? Ancak aynı görevli, kişinin elindeki paketin içine bakmaz. İçinde ne olduğunu kontrol eden ikinci bir görevli yoksa, kimliği temiz görünen biri her şeyi içeri taşıyabilir. WAF, işte bu ikinci görevlidir.

Bu yazıda iki teknolojinin hangi katmanda çalıştığını, hangi saldırıları görüp hangilerini göremediğini ve web sitenizin türüne göre hangi korumaya ihtiyaç duyduğunu ayrıntılı olarak ele alıyoruz. Kısa cevabı baştan verelim: Bu bir “ya o ya bu” seçimi değil. Doğru soru, hangi katmanın neyle korunacağıdır. Layer 7 koruma ise web siteleri için çoğu zaman eksik kalan katmandır.

OSI modeli: Saldırılar hangi katmanda gerçekleşir?

İnternet üzerindeki iletişim, OSI modeli adı verilen yedi katmanlı bir yapıyla açıklanır. Web güvenliği açısından üç katmanı bilmek yeterlidir:

• Layer 3 (ağ katmanı): Verinin IP adresleri üzerinden bir noktadan diğerine taşındığı katmandır. Burada sorulan soru “Bu paket hangi adresten geliyor, hangi adrese gidiyor?” sorusudur.
• Layer 4 (taşıma katmanı): TCP ve UDP protokollerinin çalıştığı, bağlantıların kurulduğu ve portların devreye girdiği katmandır. Web trafiği için 80 ve 443, SSH için 22 numaralı port burada anlam kazanır.
• Layer 7 (uygulama katmanı): Web sitenizin gerçekten çalıştığı katmandır. HTTP ve HTTPS istekleri, sayfa adresleri, formlar, çerezler ve API çağrıları bu katmanda yer alır.

Her katmanın kendine özgü saldırıları vardır ve bir katmanda çalışan koruma, başka bir katmandaki saldırıyı çoğu zaman göremez.

Katman	Taşıdığı bilgi	Örnek saldırı	Kim durdurur?
Layer 3	IP adresleri, paketler	UDP flood, yansıtmalı (amplification) saldırılar	Ağ seviyesinde DDoS koruması, sağlayıcı altyapısı
Layer 4	TCP/UDP bağlantıları, portlar	SYN flood, port taraması	Güvenlik duvarı, ağ seviyesinde DDoS koruması
Layer 7	HTTP istekleri, formlar, çerezler	HTTP flood, SQL enjeksiyonu, XSS, kötü niyetli botlar	WAF ve Layer 7 koruma

Klasik güvenlik duvarı ne yapar?

Klasik güvenlik duvarı (firewall), ağ trafiğini önceden tanımlanmış kurallara göre süzen bir sistemdir. Bir donanım cihazı olabileceği gibi, sunucunun içinde çalışan bir yazılım da olabilir. Linux sunucularda iptables, nftables ve bunların daha kolay kullanılan arayüzü UFW; Windows sunucularda ise Windows Defender Güvenlik Duvarı en bilinen örneklerdir.

Paket filtreleme ve durum takibi

İlk nesil güvenlik duvarları her paketi tek başına değerlendirir: Kaynak IP, hedef IP, protokol ve port numarası kurala uyuyorsa paket geçer, uymuyorsa reddedilir. Günümüzde yaygın olan durum takipli (stateful) güvenlik duvarları ise bağlantıların bütününü izler. Sizin başlattığınız bir bağlantıya gelen cevabı tanır, dışarıdan aniden gelen beklenmedik paketleri reddeder.

Bu yaklaşım son derece etkilidir. Kullanılmayan portları kapatmak, veritabanına yalnızca belirli IP adreslerinden erişime izin vermek, yönetim servislerini dış dünyadan gizlemek ve port taramalarını sonuçsuz bırakmak güvenlik duvarının asli görevleridir. Bir sunucuda güvenlik duvarının hiç olmaması, kapıları ardına kadar açık bırakmak demektir.

Güvenlik duvarının göremediği şey

Klasik güvenlik duvarının kör noktası, izin verdiği trafiğin içeriğidir. Bir web sitesinin çalışabilmesi için 443 numaralı portun herkese açık olması gerekir. Güvenlik duvarı bu porta gelen her bağlantıyı meşru kabul eder. Bağlantının içinde bir ürün sayfası mı istendiğini, yoksa veritabanını ele geçirmeye çalışan bir saldırı mı gönderildiğini bilemez. Üstelik bu trafik HTTPS ile şifrelendiği için güvenlik duvarı açısından okunamayan bir veri yığınıdır.

Bir benzetmeyle: Güvenlik duvarı kapıdaki zarfı tartabilir, üzerindeki adrese bakabilir, ama zarfı açıp mektubu okumaz. Web saldırılarının neredeyse tamamı ise mektubun içinde yazılıdır.

WAF ne yapar?

WAF (Web Application Firewall), uygulama katmanında çalışan ve HTTP trafiğinin anlamını çözebilen bir güvenlik duvarıdır. Bağlantıyı değil, isteği değerlendirir. Hangi sayfanın istendiğini, hangi parametrelerin gönderildiğini, formun içine ne yazıldığını, çerezlerde ne taşındığını ve isteğin bir tarayıcıdan mı yoksa bir saldırı aracından mı geldiğini analiz eder.

Bunu yapabilmek için WAF’ın şifreli HTTPS trafiğini açması gerekir. Uzaktan çalışan WAF hizmetlerinde HTTPS bağlantısı WAF altyapısında karşılanır, istek incelenir ve temiz olan istekler sitenin sunucusuna yeniden şifrelenerek iletilir. Ziyaretçi için bu süreç tamamen şeffaftır.

WAF’ın temel yetenekleri şunlardır:

• İçerik denetimi: SQL enjeksiyonu, XSS, komut enjeksiyonu ve dizin gezinme gibi saldırıların kalıplarını istek içinde arar.
• Hız ve davranış analizi: Aynı kaynaktan gelen isteklerin sıklığını ve sırasını izler, insan davranışına uymayan desenleri tespit eder.
• Bot yönetimi: Arama motoru botları gibi faydalı otomasyonları ayırt ederken saldırı araçlarını doğrulamaya tabi tutar.
• Erişim kuralları: Yönetim paneli gibi hassas adreslere belirli ülke veya IP adreslerinden erişimi sınırlar.

WAF’ın nasıl çalıştığını ve hangi tehditlere karşı koruduğunu daha ayrıntılı olarak WAF nedir ve neden zorunludur yazımızda anlattık.

Firewall ve WAF arasındaki farklar

İki teknolojiyi yan yana koyduğumuzda farklar netleşir:

Özellik	Klasik firewall	WAF
Çalıştığı katman	Layer 3 ve Layer 4	Layer 7
Karar verdiği bilgi	IP adresi, port, protokol, bağlantı durumu	Adres, parametre, başlık, çerez, istek gövdesi, davranış
HTTPS içeriğini görür mü?	Hayır	Evet, bağlantıyı karşılayarak inceler
SQL enjeksiyonu ve XSS	Göremez	Kalıplarını tanır ve engeller
HTTP flood	Ayırt edemez, istekler meşru görünür	İstek desenini analiz ederek süzer
Port taraması ve SYN flood	Etkili şekilde durdurur	Görev alanı dışındadır
Kötü niyetli botlar	IP bazlı engelleyebilir, davranışı göremez	Davranış ve doğrulama ile ayırt eder
Yapılandırma	Port ve IP kuralları, görece basit	Uygulamaya göre ince ayar gerektirebilir

Tablodan çıkan sonuç açıktır: İki teknoloji birbirinin yerine geçmez, farklı soruları cevaplar. Güvenlik duvarı “bu bağlantıya izin verilmeli mi?” diye sorar. WAF ise “izin verilen bu bağlantının içindeki istek güvenli mi?” diye sorar.

Klasik firewall Layer 7 saldırılarını engeller mi?

Kısa cevap: Hayır, en azından tek başına engelleyemez. Layer 7 saldırılarının tamamı, güvenlik duvarının açık tutmak zorunda olduğu web portları üzerinden gelir. HTTP flood saldırısında binlerce bot, tamamen geçerli TCP bağlantıları kurup normal görünen sayfa istekleri gönderir. Güvenlik duvarının elindeki bilgiyle bu istekleri gerçek ziyaretçilerden ayırması mümkün değildir.

Bazı yöneticiler bu durumda saldırı yapan IP adreslerini elle engellemeye çalışır. Ancak modern saldırılar on binlerce farklı IP adresinden, çoğu zaman ev internet bağlantılarından oluşan vekil sunucu ağları üzerinden gelir. Bir adresi engellediğinizde yerine yenisi gelir. Üstelik bu adreslerin bazıları gerçek müşterilerinizle aynı internet servis sağlayıcısını kullanır. Toplu IP engelleme, saldırganlardan önce müşterilerinizi dışarıda bırakabilir.

Yeni nesil firewall (NGFW) WAF’ın yerini tutar mı?

Yeni nesil güvenlik duvarları (NGFW), klasik port ve IP kurallarının ötesine geçerek uygulama tanıma, saldırı önleme (IPS) imzaları ve kullanıcı tabanlı kurallar sunar. Kurumsal ağlarda çalışanların internet kullanımını denetlemek ve iç ağı korumak için güçlü araçlardır.

Ancak web uygulamalarının korunması söz konusu olduğunda NGFW’lerin sınırları vardır. Uygulama tanıma özellikleri çoğu zaman “bu trafik HTTP mi, SSH mi?” sorusuna cevap verecek düzeydedir. Bir web sitesinin hangi parametreyi nasıl kullandığını, giriş sayfasına yapılan bir denemenin kaba kuvvet saldırısının parçası olup olmadığını ya da bir botun insan gibi davranıp davranmadığını anlamak için tasarlanmamışlardır. HTTPS trafiğini incelemek de ayrı bir şifre çözme yapılandırması ve ciddi işlem gücü gerektirir.

Ayrıca NGFW, kurumun kendi ağının girişinde durur. Web siteniz bir veri merkezinde ya da bir hosting firmasında barınıyorsa, kurumunuzun NGFW’si o trafiği hiç görmez. Kısacası NGFW ile WAF farklı amaçlar için tasarlanmıştır. Biri kurumun ağını korur, diğeri internete açık web uygulamasını.

Layer 3/4 DDoS ile Layer 7 DDoS: Farklı saldırı, farklı kalkan

DDoS saldırıları da katmanlara göre ikiye ayrılır ve her biri farklı bir savunma gerektirir.

Hacimsel saldırılar (Layer 3/4)

Bu saldırıların amacı, sunucunuza giden yolu trafikle tıkamaktır. UDP flood, DNS veya NTP gibi servislerin kötüye kullanıldığı yansıtmalı saldırılar ve SYN flood bu gruptandır. Saniyede gigabitlerle, hatta terabitlerle ölçülürler. Bu saldırılar sunucuya ulaşmadan, sağlayıcının ağ altyapısında süzülmelidir. Sunucunun kendi güvenlik duvarı bu kadar yoğun trafiğe dayanamaz, çünkü trafik sunucuya ulaştığında bağlantı hattı zaten dolmuştur. Bu katmanın ayrıntılarını Layer 4 koruma nedir yazımızda bulabilirsiniz.

Uygulama katmanı saldırıları (Layer 7)

Layer 7 saldırılarında amaç yolu tıkamak değil, sunucunun kendisini yormaktır. Saldırgan, sitenizin en ağır sayfalarına gerçek ziyaretçi gibi görünen istekler gönderir. Her istek veritabanı sorgusu, işlemci zamanı ve bellek tüketir. Bu saldırıların bant genişliği çoğu zaman şaşırtıcı derecede düşüktür. Saniyede on binlerce istek, birkaç yüz megabitlik bir trafikle gönderilebilir. Ölçü birimi gigabit değil, saniyedeki istek sayısıdır (RPS).

Ölçüt	Layer 3/4 saldırısı	Layer 7 saldırısı
Hedef	Bağlantı hattı ve ağ cihazları	Web sunucusu, uygulama ve veritabanı
Ölçü birimi	Gbps ve saniyedeki paket sayısı	Saniyedeki istek sayısı (RPS)
Trafik görünümü	Anormal ve yoğun paket akışı	Normal ziyaretçiye benzeyen istekler
Tespit yöntemi	Trafik hacmi ve paket analizi	İstek içeriği, davranış ve doğrulama
Savunma	Ağ seviyesinde DDoS koruması	Layer 7 koruma ve WAF

Bu farkın pratik sonucu şudur: Bağlantınız 10 Gbps bile olsa, Layer 7 saldırısı sitenizi hattın yüzde birini kullanarak durdurabilir. Bu konuyu 10 Gbps bağlantıya rağmen sitelerin neden çöktüğünü anlattığımız yazıda sayılarla açıkladık.

Bir saldırı iki katmanda nasıl görünür? Örnek senaryo

Aynı gece aynı siteye iki farklı saldırı geldiğini düşünelim. Saat 03:00’te sunucuya saniyede yüz binlerce TCP bağlantı isteği (SYN paketi) gelmeye başlar. Saldırganın amacı, sunucunun yarım kalan bağlantıları tutmaya çalışırken tükenmesidir. Bu saldırı ağ katmanında açıkça görünür: Paket sayısı birden fırlar, bağlantıların hiçbiri tamamlanmaz. Ağ seviyesindeki DDoS koruması ve güvenlik duvarı bu deseni tanır, sahte bağlantı isteklerini sunucuya ulaşmadan düşürür. Sitenin ziyaretçileri hiçbir şey fark etmez.

Saat 21:00’de ise ikinci saldırı başlar. Bu kez binlerce farklı adresten tamamen geçerli bağlantılar kurulur ve sitenin arama sayfasına her seferinde farklı bir kelimeyle istek gönderilir. Güvenlik duvarının kayıtlarında olağandışı bir şey görünmez: Bağlantılar normal, portlar doğru, trafik hacmi düşük. Ancak sunucuda işlemci yüzde yüze dayanır, veritabanı sorguları kuyruğa girer ve site yanıt veremez hale gelir.

Bu ikinci saldırıyı ancak uygulama katmanında karar veren bir koruma görebilir. WAF; aynı adresten gelen arama isteklerinin sıklığını, isteklerin tarayıcı davranışına uyup uymadığını ve doğrulamayı geçip geçemediklerini değerlendirerek saldırı trafiğini ayıklar. Aynı gece yaşanan iki saldırı, iki farklı katmanda iki farklı savunmanın neden gerekli olduğunu açıkça gösterir.

Sorunun hangi katmanda olduğunu kayıtlardan anlamak

Siteniz yavaşladığında ya da erişilemez hale geldiğinde, sorunun hangi katmanda olduğunu bilmek doğru müdahalenin ilk adımıdır. Üç kayıt kaynağı birlikte okunduğunda tablo netleşir:

• Bağlantı ve ağ grafikleri: Bant genişliği ya da saniyedeki paket sayısı olağandışı yükseldiyse ve sunucuya bağlantı bile kurulamıyorsa, büyük olasılıkla hacimsel bir Layer 3/4 saldırısıyla karşı karşıyasınızdır. Bu durumda sağlayıcınızın ağ korumasıyla iletişime geçmek gerekir.
• Web sunucusu erişim kayıtları: Trafik hacmi normal görünürken erişim kayıtlarında aynı adreslere yağan istekler, olağandışı kullanıcı tarayıcı bilgileri ya da tek bir sayfaya yoğunlaşan çağrılar görüyorsanız, saldırı uygulama katmanındadır.
• Sunucu kaynak kullanımı: İşlemci, bellek ve veritabanı bağlantıları sınıra dayanmışken ağ hattı rahatsa, sunucunuz istek işlemekten yoruluyor demektir. Bu, Layer 7 saldırısının en tipik belirtisidir.

WAF devredeyse dördüncü bir kaynağınız daha olur: Engellenen isteklerin hangi kurala takıldığını gösteren koruma kayıtları. Bu kayıtlar, saldırının yalnızca varlığını değil, türünü ve hedefini de ortaya koyar.

Hangi katmanda hangi koruma gerekir? Site türüne göre senaryolar

Her web sitesinin risk profili farklıdır. Aşağıdaki senaryolar, korumanın nereye odaklanması gerektiğini anlamanıza yardımcı olur.

Kurumsal tanıtım sitesi

Birkaç sayfa, bir iletişim formu ve belki bir blog. İlk bakışta hedef olmaya değmeyecek gibi görünür. Ancak iletişim formları spam botlarının, yönetim paneli de kaba kuvvet saldırılarının sürekli hedefidir. Sunucu tarafında temel güvenlik duvarı kuralları ve güncel bir içerik yönetim sistemi şarttır. Form ve giriş sayfaları için hız sınırlama ve bot doğrulama sunan bir WAF, bu sitelerin karşılaştığı gürültünün büyük kısmını temizler.

E-ticaret sitesi

E-ticaret siteleri her katmanda risk taşır. Kampanya dönemlerinde rakiplerden ya da şantajcılardan gelen HTTP flood saldırıları, fiyat ve stok kazıyan botlar, müşteri hesaplarına yönelik kimlik bilgisi doldurma saldırıları ve ödeme sayfasını hedef alan uygulama saldırıları bir arada görülür. Burada ağ seviyesinde DDoS koruması ile Layer 7 WAF korumasının birlikte çalışması gerekir. Kampanya dönemlerindeki altyapı planlamasını e-ticaret siteleri için VDS seçimi rehberimizde ayrıca ele aldık.

API ve mobil uygulama arka ucu

Mobil uygulamaların konuştuğu API’ler, tarayıcı kullanmadığı için klasik bot doğrulama yöntemlerine uygun olmayabilir. Bu yapılarda hız sınırlama, beklenen istek biçimine uymayan çağrıların reddedilmesi ve API anahtarı bazlı kontroller öne çıkar. WAF burada yalnızca izin verilen adreslere ve biçimlere geçit veren daha sıkı bir modelle çalışmalıdır.

Oyun sunucusu

Oyun sunucuları çoğunlukla UDP gibi Layer 4 protokolleriyle çalışır ve en sık hacimsel DDoS saldırılarına maruz kalır. Bu sunucular için belirleyici olan, ağ seviyesindeki DDoS korumasıdır. Ancak oyunun web sitesi, mağaza sayfası ya da yönetim paneli de Layer 7 saldırılarının hedefi olabilir. Bu web bileşenleri için WAF ayrıca değerlendirilmelidir.

Üyelik ve SaaS platformları

Kullanıcıların giriş yapıp veri sakladığı platformlarda en büyük risk, hesapların ele geçirilmesi ve veri sızıntısıdır. Giriş ve parola sıfırlama sayfalarına özel hız sınırları, uygulama saldırılarına karşı kural tabanlı filtreleme ve yönetim arayüzlerinin erişim kısıtlamasıyla korunması gerekir.

Site türü	Öncelikli risk	Ağ seviyesi DDoS koruması	Sunucu güvenlik duvarı	Layer 7 / WAF
Kurumsal tanıtım sitesi	Form spamı, panel saldırıları	Önerilir	Şart	Önerilir
E-ticaret	HTTP flood, botlar, veri sızıntısı	Şart	Şart	Şart
API ve mobil arka uç	Kötüye kullanım, aşırı istek	Önerilir	Şart	Şart
Oyun sunucusu	Hacimsel DDoS	Şart	Şart	Web bileşenleri için önerilir
Üyelik ve SaaS	Hesap ele geçirme, veri sızıntısı	Önerilir	Şart	Şart

Katmanlı savunma: Firewall, DDoS koruması ve WAF birlikte nasıl çalışır?

Güvenlikte tek bir duvar yerine birbirini tamamlayan katmanlar kurmak, “derinlemesine savunma” olarak bilinir. Bir web sitesi için bu katmanlar şöyle sıralanır:

1. Ağ seviyesinde DDoS koruması: Hacimsel saldırıları sağlayıcının altyapısında, sunucuya giden yol tıkanmadan süzer.
2. Layer 7 koruma ve WAF: İzin verilen web trafiğinin içindeki zararlı istekleri, botları ve HTTP flood saldırılarını ayıklar.
3. Sunucu güvenlik duvarı: Yalnızca gerekli portları açık tutar ve web portlarına gelen trafiği yalnızca WAF altyapısından kabul eder.
4. Uygulama güvenliği: Güncel yazılımlar, güçlü parolalar, iki adımlı doğrulama ve doğru yetkilendirme.

Bu dört katmandan ikincisi, yani uygulama katmanı güvenliği, web sitelerinde en sık eksik kalan halkadır. Ağ koruması ve sunucu güvenlik duvarı çoğu altyapıda hazır gelirken, web trafiğinin içeriğini denetleyen katman çoğu zaman ayrıca kurulmayı bekler.

Güvenlik duvarı ile WAF’ı birbirine bağlayan kritik ayar

Katmanlı yapının en çok gözden kaçan halkası, sunucunun WAF’ı atlayan trafiğe kapalı tutulmasıdır. Siteniz WAF arkasına alındıktan sonra bile saldırgan sunucunuzun gerçek IP adresini eski DNS kayıtlarından, e-posta başlıklarından ya da sitede unutulmuş bir alt alan adından öğrenebilir. Bu adresi bilen biri, WAF’ı tamamen atlayıp doğrudan sunucunuza saldırabilir.

Çözüm, iki katmanı birbirine bağlamaktır: Sunucunun güvenlik duvarında 80 ve 443 numaralı portları yalnızca WAF altyapısının IP adreslerine açın. Böylece WAF’tan geçmeyen hiçbir web isteği sunucunuza ulaşamaz. Bu kuralı uygulamadan önce koruma sağlayıcınızdan güncel IP aralıklarını isteyin ve kuralları güncel tutun. Linux sunucularda güvenlik duvarı kurallarının nasıl yazılacağını VDS sunucu güvenliği için ilk 5 ayar rehberimizde anlattık.

Sunucu tarafında örnek güvenlik duvarı kuralları

Ubuntu kullanan bir sunucuda UFW ile bu yapı şöyle kurulabilir. Aşağıdaki örnekte WAF_IP_ARALIGI_1 ve WAF_IP_ARALIGI_2 yerine koruma sağlayıcınızın size ilettiği IP aralıklarını yazmanız gerekir:

sudo ufw default deny incoming
sudo ufw allow OpenSSH
sudo ufw allow from WAF_IP_ARALIGI_1 to any port 80,443 proto tcp
sudo ufw allow from WAF_IP_ARALIGI_2 to any port 80,443 proto tcp
sudo ufw enable

Bu kurallardan sonra sunucunuz web isteklerini yalnızca koruma altyapısından kabul eder. Kuralları etkinleştirmeden önce SSH erişimine izin verildiğinden emin olun. Aksi halde kendi bağlantınızı da kesersiniz. Kuralları devreye aldıktan sonra sitenizin alan adı üzerinden normal şekilde açıldığını ve sunucunun IP adresiyle doğrudan yapılan isteklerin cevapsız kaldığını test edin.

Bir WAF hizmetini değerlendirirken sorulması gereken sorular

Piyasada çok sayıda WAF ve Layer 7 koruma hizmeti var. Teknik özellik listeleri birbirine benzese de pratikte farkı yaratan ayrıntılardır. Bir hizmeti değerlendirirken şu sorulara net cevap alın:

• Siteyi taşımam gerekiyor mu? Uzaktan çalışan hizmetlerde trafik yönlendirilir, site yerinde kalır.
• HTTPS trafiği nasıl karşılanıyor, SSL sertifikası kimin sorumluluğunda?
• Saldırı yokken gerçek ziyaretçiler ek bir doğrulamayla karşılaşıyor mu? Sürekli doğrulama, dönüşüm oranlarını düşürebilir.
• Hız sınırlarını ve koruma modunu kendim değiştirebiliyor muyum, yoksa her değişiklik için destek mi beklemem gerekiyor?
• Trafik veya kapasite kotası var mı? Saldırı anında kotası dolan bir koruma, en çok ihtiyaç duyduğunuz anda devre dışı kalabilir.
• Ağ seviyesindeki hacimsel saldırılar da kapsamda mı?
• Hizmetin resmi bir aktiflik taahhüdü var mı ve bu taahhüt neyi kapsıyor?
• Saldırı anında kime, hangi kanaldan ve ne kadar sürede ulaşabilirim?

Bu soruların cevapları, bir hizmetin kâğıt üzerinde değil, gerçek bir saldırı gecesinde nasıl davranacağını gösterir.

Yanlış bilinenler: Firewall ve WAF hakkında beş yaygın efsane

“HTTPS kullanıyorum, sitem güvende.” HTTPS, ziyaretçi ile sunucu arasındaki trafiği dinlenmeye karşı şifreler. Saldırganın gönderdiği zararlı istek de aynı şifreli kanaldan gelir. HTTPS bir saldırıyı durdurmaz, yalnızca gizler.

“Hosting firmamın güvenlik duvarı her şeyi engelliyor.” Sağlayıcıların ağ seviyesindeki korumaları hacimsel saldırılara karşı çok değerlidir. Ancak sitenizin uygulama katmanında ne olduğunu bilmezler. Bir SQL enjeksiyonu, hosting firmasının ağ korumasından sorunsuz geçer.

“Saldırı IP’lerini engellerim, sorun çözülür.” Dağıtık saldırılarda binlerce farklı adres kullanılır ve adresler sürekli değişir. Elle engelleme, saldırının hızına yetişemez ve gerçek ziyaretçileri de engelleme riski taşır.

“WAF olduğuna göre sunucu güvenlik duvarına gerek yok.” WAF yalnızca web trafiğini görür. SSH, veritabanı ve diğer servislerin korunması hâlâ sunucu güvenlik duvarının işidir.

“Küçük siteler hedef alınmaz.” Otomatik tarama araçları sitenin büyüklüğüne bakmaz. Bir açık bulduğunda sömürür, bir giriş sayfası bulduğunda parola dener.

Önem Bilişim’de katmanlar nasıl karşılanıyor?

Önem Bilişim’in tüm hizmetleri, ağ seviyesindeki (Layer 3/4) hacimsel DDoS saldırılarına karşı korumalı bir altyapıda çalışır. Web siteleri için Layer 7 koruması ise bu altyapının üzerine, uygulama katmanında ikinci bir kalkan ekler.

Layer 7 / WAF Koruma hizmetinde sitenize gelen HTTP ve HTTPS istekleri koruma altyapısında incelenir. HTTP flood saldırıları, kötü niyetli botlar ve korumayı atlatma girişimleri ayıklanır, sitenize yalnızca temiz trafik ulaşır. Sensör Mod saldırı algılandığında devreye girer ve normal zamanlarda ziyaretçilerinizi bekletmez. 7/24 Mod ise trafiği kesintisiz olarak denetler. Rate limit ayarlarını ve koruma modunu kontrol panelinden kendiniz yönetirsiniz. Ücretsiz SSL, limitsiz trafik ve koruma altındaki siteler için %99 site aktiflik garantisi tüm paketlerde yer alır.

Siteniz mevcut sunucusunda kalır. Trafik koruma altyapısına yönlendirildikten sonra koruma genellikle 12 ile 24 saat içinde aktif olur.

Sık Sorulan Sorular

Firewall ile WAF arasındaki temel fark nedir?

Firewall, trafiği IP adresi, port ve protokol gibi ağ bilgilerine göre süzer ve Layer 3 ile Layer 4’te çalışır. WAF ise Layer 7’de çalışır ve HTTP isteklerinin içeriğini, yani adresleri, parametreleri, formları ve davranışı inceler. Firewall bağlantıya, WAF isteğe karar verir.

Klasik firewall Layer 7 saldırılarını engeller mi?

Tek başına engelleyemez. Layer 7 saldırıları, web sitesinin çalışması için açık olması gereken 80 ve 443 numaralı portlar üzerinden, meşru bağlantılar içinde gelir. Bu saldırıları ayırt etmek için isteğin içeriğini ve davranışını analiz eden bir WAF gerekir.

WAF varsa sunucu güvenlik duvarına gerek kalır mı?

Kalır. WAF yalnızca web trafiğini denetler. SSH, veritabanı ve diğer servislerin portlarının korunması sunucu güvenlik duvarının görevidir. Ayrıca sunucu güvenlik duvarı, web portlarını yalnızca WAF’tan gelen trafiğe açarak WAF’ın atlatılmasını da engeller.

Layer 3/4 DDoS koruması ile Layer 7 koruma aynı şey mi?

Hayır. Layer 3/4 koruması bağlantı hattını tıkamaya çalışan hacimsel saldırıları ağ seviyesinde süzer. Layer 7 koruma ise normal ziyaretçi gibi görünen ama sunucuyu yormak için tasarlanmış HTTP isteklerini analiz eder. Web siteleri için ikisi birlikte gereklidir.

Web sitem için hangi korumaya ihtiyacım var?

Neredeyse her web sitesi için sunucu güvenlik duvarı ve ağ seviyesinde DDoS koruması temel gerekliliktir. Sitenizde form, üyelik, ödeme ya da yoğun trafik varsa, bunlara ek olarak Layer 7 koruma ve WAF gerekir. Önem Bilişim altyapısında Layer 3/4 koruması hazır gelir; Layer 7 / WAF Koruma ise sitenize ayrıca eklenebilir.