WEB UYGULAMA GÜVENLİK DUVARI (WEB Application Firewall – WAF)

WAF Cihazları WEB uygulama sunucularını saldırılara karşı korur ve WEB uygulamalarının güvenliğini sağlar. WEB sunucularına en çok yapılan saldırıların başında SQL injection atakları, cross-site scripting (XSS) atakları ve DDoS atakları gelmektedir. Bu ataklara karşı alınması gereken en büyük iki önlem uygulamaların güvenliklerinin daha üst seviyede sağlanması ve uygulamaları kullanıcıların ihtiyaçlarına göre özel olarak konfigüre edilmiş WAF cihazı kullanmaktır.

WAF cihazları isteğinize göre fiziksel ya da sanal cihaz olabilir. Kolay kurulabilir olmalı ve daha da önemlisi kolay konfigüre edilebilir olmalı ve uygulama geliştirme uzmanlarının işlerine engel olmamalıdır. Aksi halde belli bir süre sonra WAF cihazının devre dışı bırakılması ve bununla birlikte saldırıların gerçekleşmesi problemleri oluşmaktadır.

WAF Cihazları istediğinize bağlı olarak tamamıyla bulutta çalışabilir ve uzaktan yönetilebilir servis olarak sunulabilir. Ek olarak Azure gibi halka açık bulut platformu ile çalışabilir.

KVKK kapsamına uygun olarak WAF Cihazları kredi kartı bilgileri, pasaport numaraları gibi bilgileri otomatik olarak tanır ve maskeler, böylelikle birlikte çalışılan iş ortakları ve hatta WAF Yöneticisi son kullanıcıya ait bilgiyi göremez.

XML, JSON ve daha birçok ortak uygulama veri protokolleri WAF Cihazlarınca analiz edilebilir olmalıdır. WAF cihazı uygulamanın mantıksal akışına bakarak verinin güvenlik açısından temiz olduğunu tespit eder ve olası atakları olağan operasyonlardan ayrıştırır.

UYGULAMA ANALİZİ (Application Inspector – AI)

Türkiye ve Ortadoğu Bölgesi’nde Katma Değerli Distribütörü olduğumuz Positive Technologies – PT firmasının 2017 yılı sonunda yaptırmış olduğu araştırmaya göre geliştirilen tüm uygulamalarda orta seviyede, %70’inde ise kritik seviyede güvenlik açığı tespit edilmiştir. PT’ye göre güvenlik açıklarının çok büyük kısmı kaynak kodda yapılan hatalar neticesinde oluşmuştur ve iyi kalitede yapılan kod analizleri bu açıkları örneğin black-box sızma yönetimine göre 10 kata kadar iyi şekilde tespit etmektedir.

PT Uygulama Analizi çözümü ne boyutta olursa olsun ister statik ister dinamik tüm WEB uygulamaların kaynak kodlarını analiz eder ve canlıya geçmeden önce güvenlik açıklarını tespit ederek raporlamayı sağlar. İstenilmesi durumunda sanal yama uygulanır ve böylelikle uygulama açıklardan arınmış hale gelir.

Bir uygulamadaki güvenlik açığını canlıya geçtikten sonra tespit etmek kod geliştirme sırasında tespit etmekten 10 kata kadar daha pahalıdır. Daha da önemlisi olası açıkların kullanılması neticesinde yapılan saldırılarda yaşanılan bilgi ve itibar kayıplarının derecesi para ile ölçülmemelidir.