Konuyu Açan
#1
Bir API’ye WAF ekledikten sonra en can sıkıcı durum, normal bir isteğin saldırı gibi algılanıp engellenmesi. Özellikle kullanıcıların serbest metin gönderdiği alanlarda, içerikteki özel karakterler veya kod parçalarına benzeyen ifadeler kuralları tetikleyebiliyor. İlk refleks olarak ilgili kuralı tamamen kapatmak cazip geliyor ama bu, aynı kuralın koruduğu diğer uç noktaları da zayıflatabiliyor.
Ben şu sırayla ilerlemeyi daha sağlıklı buluyorum:
Bir de gövde boyutu ve JSON ayrıştırma ayarlarının uygulamayla uyumlu olması önemli. WAF’ın isteği beklenen biçimde okuyamaması, kural ayarından bağımsız sorunlara yol açabiliyor. Tabii kullanılan WAF ve kural setine göre istisna yöntemleri değişiyor; bu yüzden kural numarasını tek başına değil, eşleşme bağlamıyla değerlendirmek gerekiyor.
Siz yanlış pozitiflerde hangi yöntemi kullanıyorsunuz: dar kapsamlı istisna mı, kural eşiğini ayarlamak mı, yoksa uygulama tarafında veri biçimini değiştirmek mi?
Ben şu sırayla ilerlemeyi daha sağlıklı buluyorum:
- Önce engelleme yerine tespit modunda kayıtları inceleyip hangi URL, parametre ve kuralın eşleştiğini belirlemek.
- Yanlış pozitif doğrulanınca istisnayı mümkün olduğunca dar tutmak: örneğin yalnızca belirli bir API yolu ve belirli bir JSON alanı için.
- Değişikliği test ortamında, hem sorunlu istekle hem de benzer zararlı örneklerle doğrulamak; ardından üretimde kayıtları bir süre yakından izlemek.
Bir de gövde boyutu ve JSON ayrıştırma ayarlarının uygulamayla uyumlu olması önemli. WAF’ın isteği beklenen biçimde okuyamaması, kural ayarından bağımsız sorunlara yol açabiliyor. Tabii kullanılan WAF ve kural setine göre istisna yöntemleri değişiyor; bu yüzden kural numarasını tek başına değil, eşleşme bağlamıyla değerlendirmek gerekiyor.
Siz yanlış pozitiflerde hangi yöntemi kullanıyorsunuz: dar kapsamlı istisna mı, kural eşiğini ayarlamak mı, yoksa uygulama tarafında veri biçimini değiştirmek mi?