Use Web Application Firewall to defend against web attacks - Elastic Compute Service

Web saldırılarına karşı katmanlı savunma sağlamak için WAF'yi ağ sınırına, RASP'i ise uygulama çalışma zamanına dağıtın.

Alibaba Cloud iki katmanlı savunma sunar:

Web Application Firewall (WAF) — Ağ sınırında kötü amaçlı trafiği filtreler.
Runtime Application Self-Protection (RASP) — Uygulama çalışma zamanı içinden saldırıları algılar.

Derinlemesine savunma için her ikisini birlikte dağıtın.

Yaygın web uygulaması tehditleri

Kullanıcı girdisi kabul eden web uygulamaları potansiyel hedeftir. Saldırganlar, hatalı parametre doğrulama ve dinamik kod çalıştırma gibi zafiyetlerden yararlanır.

Tehdit	Açıklama
SQL enjeksiyonu	Giriş alanlarına yerleştirilen kötü amaçlı SQL kodları, verileri çalmak, değiştirmek veya silmek için yetkisiz veritabanı işlemleri yürütür.
Cross-site scripting (XSS)	Web sayfalarına enjekte edilen kötü amaçlı betikler diğer kullanıcıların tarayıcılarında çalışarak oturum ele geçirmeye ve veri sızıntısına neden olur.
Webshell yüklemeleri	Saldırganlar dosya yükleme açıklarından yararlanarak sunucuya webshell yerleştirir ve uzaktan kontrol sağlar.
Komut enjeksiyonu	Uygulama girdileri üzerinden enjekte edilen işletim sistemi komutları sunucuda keyfi komutların çalıştırılmasına olanak tanır.
Yol traversi	Değiştirilmiş dosya yolu referansları, amaçlanan kapsam dışındaki dosyalara ve dizinlere erişim sağlar.
Dosya dahil etme	Yerel veya uzak dosya dahil etme, uygulamanın istenmeyen dosyaları yüklemesine ve çalıştırmasına zorlar.
Cross-site request forgery (CSRF)	Kimliği doğrulanmış kullanıcıları, bilgileri dışında işlem gerçekleştiren istenmeyen istekler göndermeye yönlendirir.

Savunma mimarisi: WAF + RASP

WAF ve RASP farklı katmanlarda koruma sağlar. Birlikte kullanıldıklarında, tek başlarına ele alamadıkları tehditleri de kapsarlar.

Katman	Teknoloji	Nasıl çalışır	Koruduğu tehditler
Ağ sınırı (ilk savunma hattı)	WAF	HTTP/HTTPS isteklerini ve yanıtlarını uygulamaya ulaşmadan önce inceler. Güncellenmiş kurallar ve yapay zeka destekli analiz kullanarak bilinen saldırı kalıplarını engeller.	SQL enjeksiyonu, XSS, bilinen exploit imzaları, kötü amaçlı istek kalıpları
Uygulama çalışma zamanı (ikinci savunma hattı)	RASP	Uygulama çalışma zamanına (örneğin JVM) gömülür. Gerçek uygulama davranışını izlemek için temel işlevlere bağlanır (hook).	Sıfırıncı gün zafiyetleri, şifreli trafik saldırıları, bellek içi webshell'ler, ağ düzeyindeki algılamayı aşan saldırılar

İlk savunma hattı: WAF

WAF, gelen tüm HTTP/HTTPS trafiğini inceler. Sürekli güncellenen kuralları ve yapay zeka destekli analizi sayesinde, istekler arka uç sunucularına ulaşmadan bilinen saldırı kalıplarını engeller.

WAF sürümü satın alın

Web sitenizin ölçeğine ve trafik hacmine göre bir WAF sürümü seçin.

Sürüm	Kullanım durumu
Pro	Özel güvenlik gereksinimi olmayan küçük ve orta ölçekli web siteleri
Business	Yüksek güvenlik gereksinimine sahip, internete açık kurumsal web siteleri
Enterprise	Yüksek trafikli veya özel güvenlik gereksinimine sahip büyük kurumsal web siteleri

Ayrıntılı karşılaştırma için bkz. WAF planları ve sürümleri.

Web sitesini WAF'ye bağlayın

WAF 3.0 üç bağlantı türünü destekler.

Bağlantı türü	Nasıl çalışır	En uygun olduğu durum	Kurulum kılavuzu
CNAME kaydı modu	Etki alanı DNS kaydını WAF CNAME adresine yönlendirin. Tüm genel trafik sunucuya ulaşmadan önce WAF üzerinden geçer.	İnternet üzerinden erişilebilen, Alibaba Cloud'da, diğer bulutlarda veya şirket içinde barındırılan herhangi bir kaynak sunucu.	CNAME kaydı kullanarak web sitesi ekleme
Cloud native modu	Alibaba Cloud hizmetlerini doğrudan WAF ile entegre eder. DNS değişikliği gerekmez.	Alibaba Cloud hizmetleri: ECS, ALB, CLB, NLB, API Gateway (APIG), Microservices Engine (MSE), Function Compute (FC) ve Serverless App Engine (SAE).	ECS örneği ekleme
Hybrid cloud	Nginx veya APISIX gibi kendi kendinize oluşturduğunuz bir ağ geçidine WAF SDK eklentisini dağıtın. Trafik, yönlendirme olmadan tespit için bypass modunda bir WAF kümesine kopyalanır.	Şirket içi web sunucularına sahip hibrit bulut dağıtımları.	--

Not: CNAME kaydı modu, barındırma konumundan bağımsız olarak herhangi bir kaynak sunucu için çalışır. Cloud native modu, Alibaba Cloud hizmetleri için en basit kurulumu sağlar. Trafiğin harici bir WAF kümesi üzerinden yeniden yönlendirilemediği durumlarda hybrid cloud modunu kullanın.

İkinci savunma hattı: RASP

WAF trafiği ağ sınırında filtreler ancak bazı saldırılar ağ düzeyindeki algılamadan kaçar. Şifreli trafik, sıfırıncı gün exploit'leri ve imza tabanlı kuralları aşmak üzere tasarlanmış yükler tespit edilmeden geçebilir.

RASP, doğrudan uygulama çalışma zamanına (örneğin bir JVM probu olarak) gömülür ve yürütme davranışını izlemek için temel işlevlere bağlanır. Bir istek veritabanı sorgusu tetiklediğinde RASP, yalnızca ağ isteğini değil gerçek SQL ifadesini analiz eder. Bu çalışma zamanı bağlamı, RASP'in WAF'in tek başına yakalayamadığı tehditlere karşı etkili olmasını sağlar.

RASP'in yakaladığı, WAF'in kaçırabileceği tehditler

Tehdit	WAF neden kaçırabilir	RASP nasıl algılar
Sıfırıncı gün zafiyetleri	Kural kitaplığında eşleşen imza yoktur.	Kullanılan exploitten bağımsız olarak anormal işlev çağrıları için çalışma zamanı davranışını izler.
Şifreli trafik saldırıları	Uçtan uca şifrelenmiş yükleri inceleyemez.	Şifre çözmeden sonra çalışır ve işlenen gerçek verileri görür.
Bellek içi webshell'ler	Diske dosya yazılmaz, bu nedenle dosya tabanlı algılama başarısız olur.	Bellekteki kötü amaçlı kodu tespit etmek için bellek işlemlerini ve işlev çağrılarını hook eder.
Deserialization saldırıları	Seriale edilmiş nesnelerdeki kötü amaçlı yükler WAF imzalarıyla eşleşmeyebilir.	Deserialization işlevlerini izler ve beklenmeyen kodun yürütülmesini engeller.

RASP dağıtın

Security Center uygulama koruması aracılığıyla RASP'i etkinleştirin. RASP, uygulama çalışma zamanında bir prob veya modül olarak dağıtılır. Bkz. Uygulama korumasına bağlanma.

WAF ve RASP karşılaştırması

	WAF	RASP
Koruma katmanı	Ağ sınırı	Uygulama çalışma zamanı
Algılama yöntemi	HTTP/HTTPS trafiğinin kural tabanlı ve yapay zeka destekli incelenmesi	İşlev hooking yoluyla çalışma zamanı davranışı izleme
Dağıtım	Uygulamanın dışında (DNS değişikliği, cloud native entegrasyonu veya SDK eklentisi)	Uygulama çalışma zamanına gömülü (JVM probu)
Güçlü yön	Bilinen saldırı kalıplarını uygulamaya ulaşmadan engeller	Sıfırıncı gün exploit'lerini, şifreli trafik saldırılarını ve bellek içi tehditleri yakalar
Sınırlama	İmza eşleştirmesini aşan veya şifreli trafikte gizlenen saldırıları algılayamaz	Yalnızca gömülü olduğu uygulamayı korur
Kurulum	WAF planları ve sürümleri	Uygulama korumasına bağlanma

Bilinen saldırıları ağ sınırında filtrelemek için WAF dağıtın ve ağ düzeyindeki algılamadan kaçan tehditleri yakalamak için RASP ekleyin. Birlikte kullanıldıklarında, ağ kenarından uygulama çalışma zamanına kadar katmanlı koruma sağlarlar.