Konuyu Açan
#1
Yeni bir WAF devreye alırken en çok tartışma çıkaran şey, meşru bir API isteğinin saldırı gibi algılanması oluyor. İlk tepki çoğu zaman eşleşen kuralı kapatmak; ama bu, özellikle kural birden fazla uç noktada çalışıyorsa gereğinden geniş bir güvenlik açığı yaratabiliyor.
Ben önce isteğin tamamını değil, eşleşmenin bağlamını inceliyorum: hangi kural tetiklenmiş, hangi parametre eşleşmiş, uç nokta ne bekliyor, istek gövdesinin içerik türü doğru mu? Örneğin serbest metin alanındaki SQL benzeri bir ifade, saldırı olmayabilir; fakat aynı kuralı bütün uygulamada devre dışı bırakmak yerine istisnayı yalnızca ilgili uç nokta ve parametreyle sınırlamak daha ölçülü.
Bir diğer önemli nokta, engelleme moduna geçiş. Trafiği önce izleme modunda değerlendirip gerçek istek örnekleriyle test etmek faydalı; ancak izleme modunu kalıcı çözüm gibi görmek de yanıltıcı. İstisnalar ve kural güncellemeleri sonrasında engelleme davranışını tekrar doğrulamak, özellikle JSON gövdeli API’lerde sürprizleri azaltıyor.
Sizde false positive için en güvenilir yöntem hangisi: dar kapsamlı istisnalar mı, uygulama tarafında girdi düzenlemesi mi, yoksa kural setini ayarlamak mı?
Ben önce isteğin tamamını değil, eşleşmenin bağlamını inceliyorum: hangi kural tetiklenmiş, hangi parametre eşleşmiş, uç nokta ne bekliyor, istek gövdesinin içerik türü doğru mu? Örneğin serbest metin alanındaki SQL benzeri bir ifade, saldırı olmayabilir; fakat aynı kuralı bütün uygulamada devre dışı bırakmak yerine istisnayı yalnızca ilgili uç nokta ve parametreyle sınırlamak daha ölçülü.
Bir diğer önemli nokta, engelleme moduna geçiş. Trafiği önce izleme modunda değerlendirip gerçek istek örnekleriyle test etmek faydalı; ancak izleme modunu kalıcı çözüm gibi görmek de yanıltıcı. İstisnalar ve kural güncellemeleri sonrasında engelleme davranışını tekrar doğrulamak, özellikle JSON gövdeli API’lerde sürprizleri azaltıyor.
Sizde false positive için en güvenilir yöntem hangisi: dar kapsamlı istisnalar mı, uygulama tarafında girdi düzenlemesi mi, yoksa kural setini ayarlamak mı?