Azure Web Uygulaması Güvenlik Duvarı ne zaman kullanılır?
Azure Web Uygulaması Güvenlik Duvarı'nin ne olduğunu ve nasıl çalıştığını bilirsiniz. Şimdi Azure Web Uygulaması Güvenlik Duvarı'ın şirketiniz için uygun bir seçim olup olmadığını değerlendirmenize yardımcı olacak bazı ölçütlere ihtiyacınız vardır. Karar vermenize yardımcı olmak için aşağıdaki senaryoları ele alalım:
- Hassas veya özel veriler içeren web uygulamalarınız var
- Kullanıcıların oturum açmasını gerektiren web uygulamalarınız var
- Web uygulaması geliştiricileriniz güvenlik uzmanlığından yoksun
- Web uygulaması geliştiricilerinizin başka öncelikleri var
- Web uygulaması geliştirme bütçe kısıtlamalarınız var
- Web uygulaması geliştirme süresi kısıtlamalarınız var
- Web uygulamanızın hızla derlenip dağıtılması gerekir
- Web uygulamanızın başlatılması yüksek profilli olacak
Azure Web Uygulaması Güvenlik Duvarı değerlendirmenizin bir parçası olarak Contoso'nun bu senaryolardan birkaçını karşıladığını biliyorsunuz. Daha fazla ayrıntı için ilgili bölümleri okuyun.
Hassas veya özel veriler içeren web uygulamalarınız var
Bazı web saldırganları yalnızca sisteme girme zorluğuyla motive olur. Ancak çoğu kötü amaçlı bilgisayar korsanı ekleme, protokol saldırıları ve benzer açıklardan yararlanmayı göz önünde bulundurarak kullanır. Bu ödeme aşağıdaki öğelerden biri olabilir:
- Müşteri kredi kartı numaraları
- Ehliyet numaraları veya pasaport numaraları gibi hassas kişisel bilgiler
- Özel veya gizli şirket verileri
Saldırgan bu verileri doğrudan kullanabilir. Örneğin, kullanıcı çalınmış bir kredi kartı numarasıyla ürün satın alabilir. Ancak büyük olasılıkla saldırgan verileri bir suç marketinde satabilir veya verileri fidye için tutabilir.
Şirketiniz hassas veya özel verileri depolayan bir veya daha fazla web uygulaması çalıştırıyorsa Azure Web Uygulaması Güvenlik Duvarı bu verileri yetkisiz erişim ve sızdırma girişimlerinden koruyabilir.
Kullanıcıların oturum açmasını gerektiren web uygulamalarınız var
Web uygulaması saldırganları genellikle hesap kullanıcı adlarını ve parolaları almaya çalışır. Kullanıcı hesabı kimlik bilgilerine sahip olmak, saldırgan için aşağıdaki yollarla yararlıdır:
- Saldırgan, uygulamaya yetkili kullanıcı olarak erişebilir.
- Saldırgan, yükseltilmiş ayrıcalıklara sahip betikler veya komutlar çalıştırabilir.
- Saldırgan ağın diğer bölümlerine erişebilir.
- Saldırgan, diğer sitelerde ve hizmetlerde oturum açmak için bir hesabın kimlik bilgilerini kullanabilir.
İşletmeniz kullanıcıların oturum açmasını gerektiren web uygulamalarını kullanıyor mu? Azure Web Uygulaması Güvenlik Duvarı, hesap kimlik bilgilerini görüntülemeye veya çalmaya çalışan SQL ekleme ve yerel dosya ekleme gibi açıklardan yararlanmaları algılayabilir.
Önemli
Azure Web Uygulaması Güvenlik Duvarı'nin çok yönlü ağ güvenlik stratejisinin yalnızca bir yönü olduğunu unutmayın. Oturum açma verileri için bu strateji, katı parola gereksinimlerine sahip olmayı ve parolaları şifrelenmiş biçimde depolamayı da içerebilir.
Web uygulaması geliştiricileriniz güvenlik uzmanlığından yoksun
Tüm olası web uygulaması açıklarına karşı kodlama önemli bir uzmanlık gerektirir. Bu uzmanlık, aşağıdaki kavramlar hakkında ayrıntılı bilgi sahibi olmayı içerir:
- HTTP/HTTPS isteklerinin ve yanıtlarının genel yapısı
- GET, POST ve PUT gibi belirli HTTP/HTTPS istek türleri
- URL ve UTF kodlaması
- Kullanıcı aracıları, sorgu dizeleri ve diğer değişkenler
- Birden çok sunucu işletim sistemi için komutlar, yollar, kabuklar ve benzer veriler
- HTML, CSS ve JavaScript gibi ön uç web teknolojileri
- SQL, PHP ve kullanıcı oturumları gibi sunucu tarafı web teknolojileri
Şirketinizin web geliştirme ekibi bu kavramlardan biri veya daha fazlası hakkında bilgi sahibi değilse ne olur? Bu durumda, web uygulamalarınız birden çok açıktan yararlanmaya karşı savunmasızdır. Buna karşılık Azure Web Uygulaması Güvenlik Duvarı, Microsoft güvenlik uzmanlarından oluşan bir ekip tarafından korunur ve güncelleştirilir.
Web uygulaması geliştiricilerinizin başka öncelikleri var
Şirketinizin yalnızca SQL ekleme ve uzaktan komut yürütme gibi açıklardan yararlanmaları engellemek amacıyla web uygulamalarını dağıtma olasılığı düşüktür. Şirketinizin web uygulamaları için başka bir amacı olma olasılığı çok daha yüksektir. Bu amaç ürün satmak, hizmet sağlamak veya işletmenizi tanıtmak olabilir.
Büyük olasılıkla web geliştirme ekibinizin sağlam uygulama güvenlik kodu yazmak yerine bu amaçları yerine getirmeye odaklanmasını tercih edersiniz. Azure Web Uygulaması Güvenlik Duvarı ile ekibiniz işinize odaklanırken güvenliği Microsoft'un yönetmesine izin verirsiniz.
Web uygulaması geliştirme bütçe kısıtlamalarınız var
Tüm OWASP açıklarına karşı şirket içinde kodlama pahalı bir tekliftir:
- Gerekli güvenlik uzmanlığına sahip web geliştiricileri nispeten nadirdir. Bu geliştiriciler, bu uzmanlıktan yoksun iş arkadaşlarınıza göre daha yüksek maaşlar alabilir.
- Tüm web uygulaması açıklarına karşı kodlama tek seferlik bir teklif değildir. Yeni veya değiştirilmiş açıklardan yararlanmalar bilindikçe ekibinizin güvenlik kodunu sürekli olarak koruması ve güncelleştirmesi gerekir. Güvenlik uzmanlarınız web geliştirme ekibinizin kalıcı üyeleri ve bütçenizdeki kalıcı satır öğeleri olmalıdır.
Azure Web Uygulaması Güvenlik Duvarı ücretsiz değildir. Ancak bunun, tam zamanlı web güvenliği uzmanlarından oluşan bir ekibi işe almaktan daha uygun maliyetli bir çözüm olduğunu fark edebilirsiniz.
Web uygulaması geliştirme süresi kısıtlamalarınız var
Birçok web geliştirme ekibi, tüm OWASP açıklarına karşı şirket içinde kod oluşturur. Ancak, bu ekiplerin çoğu kısa süre içinde bu kodu oluşturmanın ve korumanın zahmetli ve zaman alıcı olduğunu fark eder. Yeni bir web uygulaması başlatmak için sıkı bir son tarihe ulaşmaya çalışıyorsanız, uygulamayı tüm OWASP açıklarına karşı korumak için gereken binlerce kişi saati büyük bir engeldir.
Azure Web Uygulaması Güvenlik Duvarı ile Azure Uygulaması lication Gateway örneğini veya Azure Front Door profilini dakikalar içinde yapılandırabilirsiniz.
Web uygulamanızın hızla derlenip dağıtılması gerekir
Birçok web uygulaması tam geliştirme işlemi gerektirmez. Örneğin, aşağıdaki iki uygulama türünü göz önünde bulundurun:
- Kavram kanıtı: Uygulama yalnızca bazı tekniklerin, tekliflerin veya tasarımın uygulanabilir olduğunu kanıtlamaya yöneliktir.
- En düşük uygun ürün (MVP): Uygulama, gelecekteki sürümler için geri bildirim sağlayan erken benimseyenler tarafından kullanılabilir olacak kadar özellik içerir.
Hem kavram kanıtı hem de MVP web uygulamalarının hızla oluşturulması ve dağıtılması amaçlanıyor. Bu gibi durumlarda, yaygın açıklardan yararlananlara karşı el ile kod oluşturmak mantıklı değildir. Yine de bu uygulamaları kötü amaçlı aktörlerden korumak istiyorsunuz, bu nedenle bunları bir web uygulaması güvenlik duvarının arkasına yerleştirmek mantıklıdır.
Web uygulamanızın başlatılması yüksek profilli olacak
Pazarlama ekibiniz yakında kullanıma sunulacak bir web uygulamasını güçlü bir şekilde tanıtıyor mu? Yayınlanmadan önce uygulamaya ilgilerini artırmaları için birden fazla sosyal medya platformuna mesaj mı gönderiliyor? Bu harika, ancak uygulamanızın sürümüyle başka kimlerin ilgilenebileceğini biliyor musunuz? Uygulamaya yönelik bazı yaygın saldırılar başlatarak uygulama sürümünü kesintiye uğratmaya karar verebilecek kötü amaçlı kullanıcılar.
Kesintiyi önlemek için Azure Web Uygulaması Güvenlik Duvarı ile web uygulamasının korunması mantıklı olabilir.