İç ağdaki bir web uygulamasını (müşteri portalı, ERP web arayüzü, Exchange OWA) internete açmanın en kolay yolu firewall’da 443 portunu sunucuya yönlendirmektir. Çalışır, ama firewall bu durumda yalnızca paketi iletir; isteğin içinde SQL enjeksiyonu ya da XSS olup olmadığına bakmaz. Sophos Firewall’daki Web Server Protection, aynı yayını ters vekil (reverse proxy) olarak yapar ve gelen HTTP/HTTPS isteğini sunucuya ulaşmadan inceler. Bu yazıda kuralın nasıl kurulduğunu, hangi ayarların önemli olduğunu ve nerede yetersiz kaldığını anlatıyoruz.
DNAT ile WAF arasındaki fark nedir?
DNAT kuralı bağlantıyı olduğu gibi içeri taşır. WAF kuralında ise firewall bağlantıyı kendi üzerinde sonlandırır, isteği çözer, politikaya göre denetler ve sunucuya kendisi yeniden iletir. Sunucu istemcinin IP adresini X-Forwarded-For başlığından görür. Pratik sonuçları:
- Sertifikayı sunucu yerine firewall tutar; birden fazla alan adı (SNI ile) tek IP ve tek portta yayınlanabilir.
- SQL enjeksiyonu, XSS, yol aşma (path traversal) gibi uygulama katmanı saldırıları kural düzeyinde engellenir.
- Yol bazlı yönlendirme yapılabilir:
/api/bir sunucuya,/başka bir sunucuya gider. - HTTP dışındaki servisler (RDP, SSH, veritabanı portu) için WAF uygun değildir; onlar için normal firewall kuralı ve DNAT kalır.
WAF kuralı nasıl oluşturulur?
Sophos’un dokümantasyonuna göre WAF kuralı, firewall kuralının özel bir eylemidir. Rules and policies > Firewall altında IPv4 için yeni kural ekler, eylem olarak Protect with web server protection seçersiniz. Kuralın ana bölümleri şunlar:
- Hosted server: Hosted address (arayüzdeki ya da alias ile bağlanan genel IP), Listening port (varsayılan 80 ve 443), HTTPS ve sertifika, Redirect HTTP ve Domains.
- Protected servers: Arkadaki web sunucusu, izin verilen ve engellenen istemci ağları, kimlik doğrulama, engellenen ülkeler.
- Path-specific routing (isteğe bağlı): Yol bazlı sunucu seçimi, sticky session cookie, hot-standby ve WebSocket geçişi.
- Advanced protection policies: Koruma politikası, intrusion prevention ve trafik şekillendirme.
Exchange Autodiscover, Outlook Anywhere, Microsoft RD Web ve RD Gateway için hazır şablonlar da var. Sertifikadaki alan adları Domains alanına otomatik gelir ve mevcut girişlerin üzerine yazılır. Sertifika adında yalnızca US ASCII harf ve rakam kullanılabilir, Türkçe karakterli bir ad vermeyin.
Koruma politikasında hangi ayarlar önemli?
Koruma politikasını Web server > Protection policies altında oluşturursunuz. İlk karar Mode alanıdır: Monitor isteği yalnızca kaydeder, Reject engeller. Sophos’un notuna göre WAF politikalarında Monitor modu log görüntüleyicide kayıt göstermez; olayları görmek istiyorsanız Reject gerekir. Yani “önce izleyeyim” diye Monitor ile başlarsanız ekranda hiçbir şey görmeyebilirsiniz.
Common threat filter için dört seviye var:
- Level 1: En esnek seviye ve varsayılan. Çok sayıda site ve uygulamada, standart güvenlik ihtiyacında yanlış pozitifi asgaride tutar.
- Level 4: En kısıtlayıcı seviye, özel karakterlere ek sınır getirir. Çok yüksek güvenlik gereken yerlerde kullanılır ve yanlış pozitif sayısı yüksektir.
Pratikte Level 1 ile başlayıp logları izlemek, ardından gerekirse seviyeyi artırmak daha güvenli. Yanlış pozitif veren tek bir kural için tüm filtreyi düşürmek yerine, Skip filter rules ile ilgili kural kimliğini hariç tutabilirsiniz.
Filtrenin içinde uygulama saldırıları, SQL enjeksiyonu, XSS, protokol zorlaması, tarayıcı (scanner) tespiti ve veri sızıntısı kategorileri bulunur. Sophos, veri sızıntısı korumasının uygulama ve SQL enjeksiyonu korumasıyla birlikte açılmasını öneriyor. Ayrıca şunlar politikaya eklenebilir: cookie signing, static URL hardening, form hardening, antivirüs taraması (yükleme, indirme ya da ikisi) ve kötü itibarlı istemcileri engelleme. HSTS yalnızca kuralda Redirect HTTP seçiliyse etkili olur.
Kuralı yayına almadan önce kontrol listesi
- Allowed client networks boş bırakılırsa istekler “400 Bad Request” alır; varsayılan Any IPv4 değeridir.
- Aynı genel IP, port ve protokol kombinasyonunu VPN portalı ya da SSL VPN ile paylaşamazsınız; en az biri farklı olmalı.
- Bazı portlar firewall’ın sistem servislerine ayrılmıştır ve WAF için kullanılamaz.
- Alan adının en soldaki etiketinde alt çizgi kullanmayın.
- Static URL hardening açılırsa URL yolları büyük/küçük harfe duyarlı olur.
- Intrusion prevention’ı WAF ile kullanacaksanız firewall ile sunucu arasında HTTP gerekir.
- Kuralı kaydetmek tüm web server protection kurallarını yeniden başlatır ve açık bağlantıları düşürür. Mesai içinde değiştirmeyin.
WAF neyi çözmez?
Sophos dokümantasyonundaki sınırlar açık: WAF yalnızca IPv4 trafiği için çalışır, en fazla 60 WAF kuralı oluşturulabilir, WebDAV desteklenmez (bu yüzden Nextcloud gibi uygulamalar WAF ile yayınlanamaz) ve Exchange 2013’ten sonraki sürümler desteklenmez. WAF bir yamanın yerine de geçmez; güncellenmemiş bir uygulamanın bilinmeyen açığına karşı tek katman olarak bırakmayın. Kimlik doğrulama ve sunucu sıkılaştırması ayrıca gerekir; yöneticiler için MFA kurulumu yazımıza bakabilirsiniz.
Lisans: WAF hangi pakette?
Web Server Protection, Sophos Firewall’da ayrı bir abonelik modülü olarak sunuluyor ve Epic paketinde yer alıyor. Yani sadece taban korumayla alınmış bir firewall’da WAF kuralı yayına almadan önce lisansın kapsamını kontrol etmek gerekir. Paketlerin farkı için Standard, Xstream ve Epic karşılaştırmamıza göz atın. Mevcut lisansınızda WAF olup olmadığını öğrenmek ya da ekleme fiyatı almak için teklif alın; süresi dolmak üzere olan abonelikler için lisans yenileme sayfası var. Model seçimi tarafında Sophos Firewall ürün sayfası işinize yarar, çünkü WAF ters vekil olarak çalıştığı için yüksek trafikli yayınlarda cihazın işlem gücü önem kazanır.
Sık sorulan sorular
Sophos Firewall’da WAF kuralı ile DNAT kuralı arasında ne fark var?
DNAT bağlantıyı olduğu gibi iletir. WAF kuralı isteği firewall üzerinde sonlandırıp koruma politikasıyla denetler, sonra sunucuya iletir. Uygulama katmanı saldırı tespiti ve alan adı bazlı yayın yalnızca WAF ile mümkündür.
Monitor modunda neden log görmüyorum?
Sophos’un dokümantasyonuna göre WAF politikalarında Monitor modu log görüntüleyicide kayıt göstermez. Olay kaydı görmek için Reject modunu kullanın ve Common threat filter’ı Level 1 ile başlatın.
Aynı IP ve 443 portunda birden fazla web sitesi yayınlayabilir miyim?
Evet. HTTPS ile SNI kullanılırsa tek IP ve portta farklı alan adları için birden fazla sanal sunucu tanımlanabilir. Joker alan adı (*.) yalnızca en başta kullanılabilir.
Nextcloud ya da WebDAV kullanan uygulamayı WAF ile yayınlayabilir miyim?
Hayır, WebDAV WAF tarafından desteklenmiyor. Bu trafik için normal firewall kuralı kullanılması gerekir.
WAF kuralının hangi pakette olduğunu ve sizin yayınladığınız uygulamalara uygun olup olmadığını netleştirmek için bizimle iletişime geçin.