Konuyu Açan
#1
Bir JSON API isteği WAF’a takılınca en hızlı çözüm çoğu zaman ilgili kuralı kapatmak oluyor. Ama bu çözüm, aynı kuralın koruduğu diğer adreslerde de kapıyı aralayabilir. Özellikle hata yalnızca tek bir alan ya da endpoint’te görülüyorsa, istisnanın kapsamı önemli.
OWASP CRS kullanan kurulumlarda önce olay kaydından kural kimliğini, eşleşen parametreyi, istek yolunu ve yöntemi çıkarıp doğrulamayı öneririm. Anomali puanlaması etkinse, isteği engelleyen tek bir kural değil, biriken puan da olabilir; yalnızca son tetiklenen kayda bakmak yanıltabilir. Üretimdeki WAF’a göre kayıt biçimi değişebildiğinden, kararı ham istek ve uygulama davranışıyla birlikte değerlendirmek gerekir.
İstisna gerekiyorsa, mümkün olduğunca belirli bir endpoint ve parametreyle sınırlandırmak; mümkün değilse kuralı tümden kapatmak yerine yalnızca ilgili hedefi hariç tutmak daha güvenli. Değişikliği önce izleme modunda veya test ortamında deneyip benzer saldırı örneklerinin hâlâ yakalandığını kontrol etmek de iyi bir emniyet adımı.
Siz yanlış pozitifleri çözerken istisnaları hangi düzeyde tanımlıyorsunuz: endpoint, parametre, kural grubu, yoksa tüm kural?
OWASP CRS kullanan kurulumlarda önce olay kaydından kural kimliğini, eşleşen parametreyi, istek yolunu ve yöntemi çıkarıp doğrulamayı öneririm. Anomali puanlaması etkinse, isteği engelleyen tek bir kural değil, biriken puan da olabilir; yalnızca son tetiklenen kayda bakmak yanıltabilir. Üretimdeki WAF’a göre kayıt biçimi değişebildiğinden, kararı ham istek ve uygulama davranışıyla birlikte değerlendirmek gerekir.
İstisna gerekiyorsa, mümkün olduğunca belirli bir endpoint ve parametreyle sınırlandırmak; mümkün değilse kuralı tümden kapatmak yerine yalnızca ilgili hedefi hariç tutmak daha güvenli. Değişikliği önce izleme modunda veya test ortamında deneyip benzer saldırı örneklerinin hâlâ yakalandığını kontrol etmek de iyi bir emniyet adımı.
Siz yanlış pozitifleri çözerken istisnaları hangi düzeyde tanımlıyorsunuz: endpoint, parametre, kural grubu, yoksa tüm kural?