WAF (Web Application Firewall, web uygulama güvenlik duvarı), web sitenize gelen HTTP ve HTTPS isteklerini tek tek inceleyen ve zararlı olanları uygulamanıza ulaşmadan durduran güvenlik katmanıdır. Klasik firewall bağlantının nereden geldiğine ve hangi porta gittiğine bakar; WAF isteğin içeriğine bakar.
WAF nasıl çalışır?
WAF, ziyaretçi ile web sunucunuz arasında durur. Her istek önce WAF’a gelir:
- İstek ayrıştırılır: adres, parametreler, başlıklar, form verisi, çerezler.
- Kurallarla karşılaştırılır: bilinen saldırı kalıpları, olağan dışı istek biçimleri, istek sıklığı.
- Karar verilir: istek geçirilir, engellenir ya da kayda alınarak geçirilir.
Engellenen her istek, nedenini gösteren bir olay kaydı bırakır. Bu kayıtlar hem saldırıyı görmenizi hem de yanlışlıkla engellenen meşru istekleri düzeltmenizi sağlar.
WAF hangi saldırıları durdurur?
- SQL injection: Form ya da adres üzerinden veritabanı sorgusuna komut sokma girişimleri.
- XSS (cross-site scripting): Sayfaya ziyaretçinin tarayıcısında çalışacak kod yerleştirme girişimleri.
- Dosya dahil etme ve dizin gezinme: Sunucudaki dosyalara yetkisiz erişim denemeleri.
- Bot ve tarama trafiği: Açık arayan otomatik tarayıcılar, içerik kazıyıcılar.
- Kaba kuvvet denemeleri: Giriş sayfasına art arda parola denemesi.
WAF, uygulamanızdaki bir açığın yerine geçmez; açık kapatılana kadar önünde durur. Yazılımı güncel tutmak yine gerekir.
WAF ile firewall arasındaki fark nedir?
| Firewall | WAF | |
|---|---|---|
| Baktığı katman | Ağ (IP adresi, port, protokol) | Uygulama (HTTP / HTTPS isteğinin içeriği) |
| Sorduğu soru | Bu bağlantı bu porta gelebilir mi? | Bu istek zararlı bir şey içeriyor mu? |
| Durdurduğu | Yetkisiz bağlantılar, açık portlara erişim | SQL injection, XSS, bot trafiği |
| 443 portundan gelen saldırı | Geçirir (port açık) | İnceler ve durdurur |
İkisi birbirinin alternatifi değildir; birlikte çalışır.
WAF ne zaman gerekir?
- Sitenizde giriş, ödeme ya da form sayfaları varsa
- WordPress gibi sık hedef alınan bir sistem kullanıyorsanız
- Bot ve tarama trafiği sunucunuzu yoruyorsa
- Uygulamanızı hemen güncelleyemiyor, açığı önünde kapatmanız gerekiyorsa
NomaCloud’da WAF
WAF, NomaCloud’da VDS sunucunuzla birlikte alınan ek hizmettir: aylık $19; Load Balancer ile birlikte $29.
→ NomaCloud WAF · Load Balancer Nedir ve Biz Nasıl Kullanıyoruz? · IDS / IPS Nedir?
Sık sorulan sorular
WAF ne demek?
WAF, “Web Application Firewall” ifadesinin kısaltmasıdır; Türkçesi web uygulama güvenlik duvarıdır.
WAF siteyi yavaşlatır mı?
Her istek incelendiği için küçük bir gecikme ekler. Doğru ayarlanmış bir WAF’ta bu gecikme çoğu sitede ziyaretçi tarafından fark edilmez; bot trafiğini kestiği için sunucunun yükü azalabilir.
SSL sertifikam var, WAF’a gerek var mı?
SSL, ziyaretçi ile site arasındaki bağlantıyı şifreler; isteğin içeriğinin zararlı olup olmadığına bakmaz. Şifreli bağlantıdan gelen bir SQL injection denemesini SSL durdurmaz, WAF durdurur.
WAF yanlışlıkla gerçek ziyaretçiyi engeller mi?
Olabilir; buna yanlış pozitif denir. Olay kayıtlarında hangi kuralın tetiklendiği görülür ve o adres için izin kuralı tanımlanarak düzeltilir.