WAF, insanı değil işlemi mi tanımalı?

Tarayıcıdan değil de bir yazılım ajanından gelen istekleri düşünün: Kullanıcı adına fiyat araştırıyor, birkaç API çağrısı yapıyor, sonra sepete ürün ekliyor. Trafik otomatik diye hepsini “bot” saymak kolay; ama meşru otomasyonu da engellemek istemeyiz. Bana kalırsa önümüzdeki dönemin WAF tartışması, isteğin insan mı makine mi olduğundan çok, hangi işlemi hangi yetkiyle yaptığına kayacak.

IP tek başına zayıf bir sinyal. Kurumsal ağlar, mobil bağlantılar ve paylaşılan çıkışlar yüzünden aynı IP’den çok farklı kullanıcılar gelebiliyor. İstek hızı ve sıralaması yardımcı olabilir; fakat tek başına engelleme ölçütü olursa toplu rapor alan meşru bir uygulamayı da vurabilir.

İşlem bağlamı daha anlamlı olabilir. Ürünleri görüntülemek ile ödeme yöntemini değiştirmek aynı riskte değil. WAF; kimlik doğrulama, API kapsamı, çağrı sırası ve hız sınırlarını birlikte değerlendirebilir. Hassas adımlarda ise uygulamanın kullanıcı onayı veya ek doğrulama istemesi gerekebilir; WAF’ın tek başına “niyeti” anlamasını beklemek gerçekçi değil.

Sizce ajanlara özel, dar yetkili API anahtarları mı daha sağlam bir başlangıç, yoksa WAF tarafında davranış profilleri mi?