Projeye Başla
insights / it-standartlari

AĞ.09 — Web Uygulama Güvenlik Duvarı Standartları

Ağ Güvenliği IT Standartları · Türkçe

Açıklama

Şirketin Web Uygulama Güvenlik Duvarı (WAF) altyapısı için geçerli olan minimum standartlar bu doküman içerisinde tanımlanmıştır.

Şirketin PCI uyumlu olma zorunluluğunun bulunması durumunda, internete açık web uygulamalarının önünde saldırıları sürekli tespit edip önleyen otomatik bir teknik çözümün, yani WAF (Web Application Firewall) sisteminin devreye alınması PCI DSS (güncel sürüm) kapsamında zorunlu tutulmaktadır. Kod analizi ve kaynak kod incelemesi güvenli yazılım geliştirme kapsamında ayrıca sürdürülmelidir; WAF bu kontrollerin yerine geçmez, onları tamamlar.

Standartlar

Kurulum ve Devreye Alma

  1. Web ortamına açık tüm uygulamaların önüne konumlandırılacak olan WAF donanımı, uygulama erişilebilirlik seviyesini artırmaya yönelik olarak yedekli olarak alınır ve kurulur.
  2. Cihazın “reverse-proxy” modda devreye alımı sağlanır. Bu sayede mevcut topolojide herhangi bir değişiklik yapılması gerekmez ve sadece HTTP trafiğinin yönlendirilmesi sağlanabilir. Bununla birlikte, tüm paketler WAF üzerinden onaylı geçtiğinden, HTTP istek ve cevapları üzerinde daha sıkı güvenlik kontrolleri yapılmasına imkân sağlar.
  3. HTTPS trafiği yoğunluğu söz konusuysa, donanımsal TLS hızlandırma (offload) desteği olan bir ürün tercih edilir; TLS sonlandırmada TLS 1.2 ve üzeri (TLS 1.3 tercih) desteklenir. Aksi durumda şifreleme işlemleri sistem kaynaklarını tüketir.
  4. Koruma sağlanacak URL'ler belirlenir ve bunlara ilişkin profil tanımları hazır edilir.
  5. Ürün asgari olarak aşağıdaki atak türlerini başarı ile yakalayıp engeller:
    • Buffer Overflow Exploit,
    • Forceful Browsing,
    • Parameter Tampering,
    • Cookie/Session Poisoning,
    • Form/Hidden Field Manipulation,
    • Cross-Site Scripting (XSS),
    • SQL Injection,
    • Command Injection,
    • Sensitive Information Leaks,
    • Server Misconfiguration,
    • Well-known Platform Vulnerabilities.
  6. DNS değişikliği yaparak URL'leri WAF arkasına almadan önce, bilgisayarlarda bulunan “hosts” dosyası değişikliğiyle yapının çalıştığı test edilir.
  7. Son versiyon yerine, üreticiden güvenli ve kararlı çalıştığı ile ilgili onay alınan yazılım versiyonu tercih edilir.
  8. Yönetim konsoluna erişim belirli IP'ler ile sınırlandırılır.
  9. Sisteme erişim sağlayacak kişi sayısı birden fazla ise AAA (Authentication, Authorization, Accounting) entegrasyonu yapılır.
  10. Cihaz üzerinde HTTPS veya SSH yöntemi ile erişim belirli IP'lerden olacak şekilde sınırlandırılır. Telnet, HTTP, FTP gibi güvensiz erişim yöntemleri ve gereksiz servisler kapatılır.
  11. Saat ve takvim otomatik olarak zaman sunucusu üzerinden senkronize edilir.
  12. Sistem, öncelikli olarak belirlenen süre boyunca öğrenme modunda devreye alınır. Süre bitiminde koruma özelliği aktif edilir.

İşletim ve Bakım

  1. Cihaza ait güncel topoloji hazır bulundurulur. Yapılan her türlü değişiklikte güncelleme yapılır.
  2. Cihaz konfigürasyonunun haftalık bazda yedeği alınır.
  3. Yeni oluşabilecek tehditlere karşı, sistemin yazılım güncellemeleri takip edilir, incelendikten sonra uygulanır.
  4. Sistemin trafik veya en azından olay loglarının ilgili yöntemlerce (Syslog, SIEM vb.) sürekli olarak başka bir ortama (merkezi log vb.) alınması sağlanır.
  5. En az yılda 1 kez sistemin yedeklilik testleri yapılır.
  6. Sistem konfigürasyonunda yapılan her tür ek tanımlama ve değişiklik, açıklaması ile birlikte gerçekleştirilir.
  7. En fazla 6 aylık periyotlarla cihaz üzerindeki kural ve imzalar analiz edilerek gereksiz olanlar plan dâhilinde kontrollü olarak silinir.
  8. Güvenlik cihazlarının performans değerleri (CPU, RAM vb.), trafik yoğunluğu, bağlantı sayısı ve atak durumlarının sürekli olarak izlenmesine yönelik planlama yapılır. E-posta, SNMP trap ve benzeri yöntemler ile çevrimiçi alarm mekanizması aktif edilir.
  9. Sistemlerin sızma testleri kapsamında denetlenmesi sağlanır.
  10. 6 aylık periyotlarda performans testleri yapılır (k6, JMeter, wrk gibi araçlarla).
  11. Sistem raporları düzenli aralıklarla analiz edilir, eksiklikler giderilir.

İyi Uygulama Örnekleri

  1. İnternete açık web siteleri yanında intranet web siteleri için de WAF koruması sağlanabilir. WAF cihazları, sadece internete açık olan uygulamaları değil, iç ağa bakan web uygulamalarını da takip edecek şekilde konfigüre edilebilir.

Referanslar

← Tüm IT Standartları