Apivom'a gelen genel trafik uygulamamıza doğrudan ulaşmaz. Önce Microsoft'un küresel kenar ağı olan Azure Front Door Premium'dan geçer; buna bağlı bir Web Uygulama Güvenlik Duvarı (WAF) vardır.
Bir WAF, gelen her HTTP isteğini ağ kenarında, uygulamaya ulaşmadan önce inceler. Bu önemlidir çünkü enjeksiyon girişimleri, hatalı biçimlendirilmiş istekler ve bilinen saldırı imzaları gibi geniş bir saldırı sınıfını, kendi altyapımızın içinde değil, kaynağına yakın bir yerde durdurur.
WAF politikamız Microsoft'un yönetilen kural setleriyle desteklenen Prevention (önleme) modunda çalışır; buna ek olarak:
- HTTP DDoS kural seti, hareketli bir pencere üzerinden trafik taban çizgisi öğrenir ve tek bir istemciden, bir botnet'ten veya coğrafi bir bölgeden gelen anormal artışları — sabit eşik değerlerini önceden yapılandırmamıza gerek kalmadan — otomatik olarak kısar.
- Bot Manager, Microsoft'un tehdit istihbaratının otomatik kötüye kullanım olarak sınıflandırdığı trafiği tanıyan ve buna göre işlem yapan yönetilen bir kural setidir.
- Hız sınırlama, tek bir istemcinin servisimizi ne sıklıkla çağırabileceğine üst sınır koyar.
- Özel kurallar, yeni bir saldırı kalıbına dakikalar içinde, platform genelinde, kod dağıtımı yapmadan yanıt vermemizi sağlar.
Azure Front Door, Azure'ın küresel ağ kenar konumlarına dağıtılmıştır. Bu bize coğrafi olarak dağıtılmış bir ilk savunma hattı sağlar: bir saldırı, tek bir veri merkezine ulaşmadan önce, kaynağına yakın bir yerde emilir ve süzülür.
Bunun anlamına gelmediği şey
Bir WAF, yaygın ve bilinen saldırı kalıplarına maruziyeti azaltır. Güvenli uygulama kodunun, kimlik doğrulamanın veya yetkilendirmenin yerini tutmaz — bu kontrollerin bizim tarafımızda doğru olması hâlâ gerekir. WAF'ı, zorunlu iki adımlı doğrulama ve otomatik bağımlılık taramasının yanında bir katman olarak görüyoruz, onların yerine geçen bir şey olarak değil.