Web Sitesi Güvenliği ve WAF Hizmeti

Web sitesi güvenliği, bir sitenin ya da web uygulamasının kodunu, sunucusunu, verisini ve ziyaretçilerini yetkisiz erişime, veri sızıntısına, içerik değiştirmeye ve hizmet kesintisine karşı koruyan önlemlerin bütünüdür. Bu bütünün en görünür parçası olan WAF (Web Application Firewall – web uygulama güvenlik duvarı), siteye gelen HTTP/HTTPS isteklerini uygulamaya ulaşmadan önce inceleyen ve SQL enjeksiyonu, XSS, kötü niyetli bot ve otomatik saldırı gibi zararlı trafiği ayıklayan bir güvenlik katmanıdır. Racurity olarak WAF’ı tek başına bir ürün değil; güvenli kod, doğru sunucu yapılandırması, izleme ve müdahale ile birlikte çalışan bir sistemin parçası olarak kurguluyoruz.

Kimler için gerekli?

İnternete açık bir web varlığı olan her kurum hedef olabilir; saldırıların büyük bölümü tek tek seçilmiş hedeflere değil, otomatik araçlarla taranan binlerce siteye yönelir. Özellikle şu yapılar için katmanlı web güvenliği bir ihtiyaçtır:

Ödeme alan, üye kaydı tutan ve kişisel veri işleyen e-ticaret siteleri ve B2B bayi portalları,
Teklif, başvuru ve iletişim formlarıyla veri toplayan kurumsal siteler,
Müşteri paneli, rezervasyon ya da randevu sistemi bulunan web uygulamaları,
Kampanya dönemlerinde yoğun trafik alan ve kesintiyi kaldıramayan markalar,
Sağlık, finans, eğitim gibi hassas veri işleyen ve denetime tabi sektörler.

Korunmasız bir sitenin riskleri

Web sitesi saldırısının bedeli çoğu zaman “site birkaç saat açılmadı”dan çok daha ağırdır. Yönetim paneline erişen bir saldırgan fiyatları değiştirebilir, sahte kampanya duyurusu yayınlayabilir ya da siteyi başka saldırılar için bir sıçrama noktası olarak kullanabilir. Sunucunun gizlice kripto para madenciliği ya da spam gönderimi için kullanılması da sık rastlanan bir senaryodur; bu durumda IP adresi kara listeye girer ve kurumsal e-postalarınız da teslim edilemez hale gelebilir. Form ve üyelik verileri sızdırılabilir; bu durum KVKK kapsamında bildirim ve itibar sorunu doğurur. Sayfalara gizlice eklenen zararlı kod, ziyaretçileri dolandırıcı sitelere yönlendirebilir ya da ödeme sayfasındaki kart bilgilerini kopyalayabilir. Arama motorları zararlı içerik tespit ettiğinde siteyi uyarıyla gösterebilir ve organik görünürlük kaybedilir. Hesap ele geçirme (credential stuffing) saldırıları müşteri hesaplarını hedef alır; kötü niyetli botlar stokları kilitleyebilir, fiyatları kazıyabilir ya da form spam’iyle CRM’i doldurabilir. DDoS saldırıları ise kampanya gününde satışı tamamen durdurabilir.

Hizmet kapsamı

Web uygulama güvenlik duvarı (WAF)

WAF’ı ihtiyaca göre bulut tabanlı (DNS yönlendirmesiyle trafiğin önüne konan) ya da sunucu tarafında çalışan bir yapıda kuruyoruz. Hazır kural setleriyle yetinmiyor, sitenizin gerçek trafiğine göre kuralları ayarlıyoruz. İlk aşamada izleme modunda çalışıp yanlış pozitifleri ayıklıyor, ardından engelleme moduna geçiyoruz. Böylece meşru müşteri istekleri engellenmeden saldırı trafiği durdurulur.

OWASP Top 10 odaklı kontroller

OWASP Top 10, web uygulamalarındaki en kritik risk kategorilerini listeleyen, sektörde referans kabul edilen bir çerçevedir. Erişim kontrolü hataları, enjeksiyon, kriptografik zafiyetler, güvensiz tasarım, hatalı yapılandırma, güncel olmayan bileşenler ve kimlik doğrulama hataları gibi başlıkları hem WAF kurallarında hem de kod ve yapılandırma incelemesinde ele alıyoruz.

DDoS ve hız sınırlama

Ağ katmanındaki hacim saldırıları için çözüm ortaklarımızın dağıtık altyapısından yararlanıyor, uygulama katmanındaki (Layer 7) saldırılar için istek hızı sınırları, coğrafi kurallar ve doğrulama adımları tanımlıyoruz. Giriş, şifre sıfırlama ve arama gibi kaynak tüketen uç noktalara özel limitler koyuyoruz.

Bot yönetimi

Arama motoru botları gibi faydalı botları ayırt edip içerik kazıyan, hesap deneyen, sepet ya da stok kilitleyen kötü niyetli botları davranış analizi ve meydan okuma (challenge) mekanizmalarıyla filtreliyoruz. Formlara görünmez doğrulama ekleyerek spam’i azaltıyoruz.

Güvenlik başlıkları ve HTTPS yapılandırması

Content-Security-Policy, Strict-Transport-Security (HSTS), X-Content-Type-Options, X-Frame-Options ya da frame-ancestors, Referrer-Policy ve Permissions-Policy başlıklarını sitenize uygun şekilde yapılandırıyoruz. Güncel protokol sürümleri, güçlü şifre takımları ve doğru kurulmuş SSL sertifikası ile bağlantı güvenliğini tamamlıyoruz. Çerezlere Secure, HttpOnly ve SameSite niteliklerini ekliyoruz.

Zararlı yazılım taraması ve bütünlük izleme

Sunucudaki dosyaları ve sayfa çıktısını düzenli tarıyor, beklenmeyen dosya değişikliklerini, gizli yönlendirmeleri ve sayfaya eklenen yabancı script’leri tespit ediyoruz. Kara listelere düşme durumunu izliyor, bir bulgu olduğunda temizlik ve kök neden analizi yapıyoruz.

İzleme, kayıt ve olay müdahalesi

WAF ve sunucu kayıtlarını merkezde topluyor, gerekirse SIEM ve SOC izlemesine aktarıyoruz. Bir saldırı ya da ihlal şüphesinde izolasyon, temizlik, yedekten dönüş ve raporlama adımlarını tanımlı bir planla yürütüyoruz.

Hazır eklenti kullanmamanın güvenliğe katkısı

Racoun’un geliştirdiği web siteleri ve e-ticaret mağazaları hazır tema ya da üçüncü taraf eklenti yığını üzerine kurulmaz; kendi özel altyapımızda kodlanır. Bu, güvenlik açısından önemli bir avantajdır. Hazır sistemlerdeki sitelerin önemli bir kısmı, güncellenmeyen ya da geliştiricisi tarafından terk edilmiş eklentiler yüzünden ele geçirilir; bir eklentideki açık yayınlandığında onu kullanan binlerce site aynı anda taranır. Kendi altyapımızda saldırı yüzeyi daha küçüktür, kullanılan her bileşeni biz biliriz ve yamayı merkezi olarak uygularız. Yine de “özel kod hiç açık barındırmaz” demiyoruz; bu nedenle kod incelemesi, WAF ve düzenli test bu altyapının da parçasıdır. Başka bir sistemde çalışan mevcut sitenizi de değerlendirip koruma altına alabiliriz.

Süreç: web güvenliği projesini nasıl yürütüyoruz?

Keşif: Alan adları, alt alan adları, sunucular, formlar, API’ler ve üçüncü taraf script’lerden oluşan web envanterini çıkarıyoruz.
Değerlendirme: Güvenlik başlıklarını, HTTPS yapılandırmasını, yazılım sürümlerini ve bilinen zafiyetleri tarıyoruz; gerektiğinde kapsamı netleştirilmiş bir sızma testi planlıyoruz.
Kurulum: WAF’ı izleme modunda devreye alıyor, DNS ve sunucu tarafı ayarlarını kesinti yaratmadan yapıyoruz.
İnce ayar: Gerçek trafikle kuralları ayarlayıp engelleme moduna geçiyoruz; bot ve hız sınırlarını tanımlıyoruz.
Sürekli işletim: Kayıtları izliyor, kuralları güncelliyor, dönemsel raporla bulguları ve önerileri paylaşıyoruz.

Neden Pedante ve Racurity?

Web sitesi güvenliği; tasarım, yazılım, sunucu ve pazarlama ekiplerinin kesiştiği bir alandır. Pedante Bilişim çatısında siteyi kodlayan, sunucuyu barındıran, kampanya sayfasını yayına alan ve güvenliği izleyen ekipler aynı yerde çalışır. Bir reklam kampanyası için yeni bir sayfa açıldığında güvenlik ayarları da aynı anda yapılır; ölçüm kodları ve üçüncü taraf script’ler CSP kurallarıyla çakışmaz. Racurity, uzman çözüm ortaklarımızın altyapısını Racurity güvencesiyle, tek muhatapla sunar; WAF sağlayıcısı, hosting firması ve yazılımcı arasında sorumluluk boşluğu kalmaz.

Sık yapılan hatalar

WAF’ı kurup kural setini hiç ayarlamamak; ya her şeyi geçirmek ya da müşteri isteklerini engellemek.
Trafiği WAF’tan geçirirken sunucunun gerçek IP adresini açıkta bırakmak; saldırgan WAF’ı atlayıp doğrudan sunucuya gider.
Yönetim paneli adresini herkese açık tutmak, çok faktörlü kimlik doğrulama (MFA) kullanmamak.
Güncel olmayan kütüphane ve bileşenleri “çalışıyor” diye yerinde bırakmak.
Güvenlik başlıklarını eklemeyip yalnızca SSL’e güvenmek.
Yedeği aynı sunucuda tutmak; ihlalde yedeğin de etkilenmesi.
Saldırı fark edildiğinde kök nedeni bulmadan yalnızca dosyaları silmek.

İlgili hizmetler

Web güvenliğini kurum genelindeki güvenlik programının parçası olarak ele almak için siber güvenlik hizmetleri, yedekleme ve felaket kurtarma ve KVKK uyum danışmanlığı sayfalarımıza göz atabilirsiniz. Yeni bir site planlıyorsanız kurumsal web sitesi hizmetimiz güvenliği baştan tasarıma dahil eder. Tüm başlıkları siber güvenlik sayfasında bulabilir, ücretsiz ilk görüşme için toplantı planlayabilirsiniz.

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

WAF kurulumu sitemi yavaşlatır mı?

Doğru kurulduğunda belirgin bir yavaşlama beklenmez. Bulut tabanlı WAF çözümleri çoğu zaman önbellek ve içerik dağıtımıyla birlikte çalıştığı için sayfa açılışı hızlanabilir de. Kurulumdan önce ve sonra hız ölçümü yaparak etkisini birlikte izliyoruz.

WAF varsa sızma testine gerek kalır mı?

Kalır. WAF bilinen saldırı kalıplarını filtreler, ancak uygulamanın iş mantığındaki hataları, yetki kontrolü eksiklerini ya da yanlış yapılandırmaları düzeltmez. Sızma testi bu açıkları bulur, WAF ise kapatılana kadar ek bir koruma katmanı sağlar.

Başka bir firmanın yaptığı siteyi koruma altına alabilir misiniz?

Evet. Mevcut sitenizin altyapısını, sunucusunu ve kullanılan bileşenleri değerlendiriyor, uygun WAF yapısını kuruyor ve güvenlik başlıklarını yapılandırıyoruz. Kod düzeyinde ciddi riskler görürsek bunları raporla birlikte paylaşıyoruz.

Sitemiz hacklendi, ne yapmalıyız?

Önce paniğe kapılıp dosyaları silmeyin; kanıtlar kaybolur. Yönetici şifrelerini değiştirin, mümkünse siteyi bakım moduna alın ve bizimle iletişime geçin. Temizlik, kök neden analizi, temiz yedekten dönüş ve tekrarını önleyecek önlemleri birlikte planlıyoruz. Kişisel veri etkilendiyse hukuki destek almanızı öneririz.

DDoS saldırısına karşı tam koruma mümkün mü?

Hiçbir çözüm her senaryoda kesintisizlik vaat edemez. Ancak dağıtık altyapı, hız sınırlama ve uygulama katmanı kuralları ile saldırıların büyük kısmı siteye ulaşmadan karşılanır ve olası etkiler önemli ölçüde azaltılır.

Güvenlik başlıkları neden önemli?

Güvenlik başlıkları, tarayıcıya sitenizin nasıl davranması gerektiğini söyler. Örneğin CSP yalnızca izin verilen kaynaklardan script yüklenmesine izin vererek XSS etkisini sınırlar, HSTS ise bağlantının her zaman şifreli kurulmasını sağlar. Az maliyetle önemli bir koruma katmanı ekler.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.