איפה WAF נמצא בזרימת הבקשה
בתצורה נפוצה בקשת המבקר מגיעה לשירות סינון לפני שרת האתר. השירות בוחן מאפייני בקשה ומחליט אם לאפשר, לחסום או לדרוש בדיקה נוספת. יש גם פריסות אחרות, ולכן צריך לברר היכן הבקרה פועלת אצלכם.
ההגנה חלה על תעבורה שעוברת במסלול המסונן. אם שרת המקור נגיש במסלול עוקף, יש לבחון את החשיפה ואת הגבלת הגישה אליו בלי לפגוע בשירותים נדרשים.
במה הוא שונה מחומת אש ומעדכון קוד
אלה שכבות משלימות. הבחירה אינה בין התקנת WAF לבין תיקון חולשה ידועה.
| שכבה | מיקוד | מגבלה |
|---|---|---|
| חומת אש ברמת הרשת | חיבורים, כתובות, פורטים ופרוטוקולים לפי היכולת | לא בהכרח מבינה את הפעולה העסקית בתוך בקשת HTTP |
| WAF | בקשות ליישום ודפוסים חשודים | עלול להחמיץ תקיפה או לחסום פעולה תקינה |
| תיקון קוד או עדכון רכיב | הסרת הגורם לפגיעות במערכת | דורש בדיקת תאימות ואינו מחליף בקרות אחרות |
דוגמה לחסימת שווא
טופס תמיכה מאפשר ללקוח להדביק קטע קוד לצורך תיאור תקלה. כלל סינון עלול לזהות את הטקסט כחשוד ולחסום את השליחה. זו דוגמה להמחשה, לא תיאור אירוע לקוח.
במקום לכבות את כל ההגנה, בודקים את הבקשה ואת מזהה הכלל בלוגים, מאמתים את הצורך ומגבילים חריג לנתיב ולתנאים המדויקים. לאחר מכן בודקים גם את הטופס וגם את הבקרה שהייתה אמורה להגן עליו.
מה בודקים לפני הפעלה ואחריה
מגדירים את המסלולים העסקיים: התחברות, טפסים, סליקה, API וחיבורי ספקים. בוחנים את זמינות הכללים, הלוגים והאפשרויות לפי המוצר והתוכנית שנרכשו. לא כל תכונה קיימת בכל מסלול Cloudflare.
- ממפים את התעבורה שצריכה לעבור דרך הבקרה.
- שומרים את התצורה הקודמת ומגדירים דרך חזרה.
- מפעילים כללים בהתאם ליכולות ולסיכון ומנטרים את התוצאה.
- בודקים פעולות עסקיות ודוגמאות בדיקה מורשות.
- מתעדים חריגים ומסירים כאלה שכבר אינם נדרשים.
מה לא להסיק מתוצאה ירוקה
מספר חסימות אינו מדד שלם לאבטחת האתר, ושיוך DNS ל-Cloudflare אינו מוכיח שה-WAF פעיל או מוגדר היטב. יש לבדוק את מסלול התעבורה ואת ההגדרות בחשבון.
WAF אינו תחליף לגיבוי, לניהול הרשאות, לבדיקת לוגיקה עסקית או לטיפול באירוע. גם הגנות DDoS וסינון יישומי אינן זהות, אף שספק עשוי להציע אותן יחד.