Tembok api aplikasi web

Deskripsi

Aplikasi web tembok api adalah sejenis aplikasi khas yang digunakan khusus untuk aplikasi-aplikasi web. Ia dipasangkan di hadapan aplikasi-aplikasi web dan menganalisis trafik berasaskan web dua-arah (HTTP) – mengesan dan menghalang sebarang kod hasad. OWASP memberi definisi teknikal yang luas untuk WAF sebagai “penyelesaian sekuriti pada tahap aplikasi web tanpa bergantung pada aplikasi itu sendiri, dari sudut teknikal.” Menurut maklumat tambahan dari PCI DSS untuk keperluan 6.6, WAF ditakrifkan sebagai “titik penguatkuasaan dasar sekuriti yang diposisikan antara  suatu aplikasi web serta titik hujung pelayan-nya. Ia boleh dilaksanakan di dalam perisian atau perkakasan, berfungsi dalam peranti perkakas atau dalam pelayan biasa yang menjalankan sistem operasi umum. Ia juga boleh berfungsi sebagai peranti yang tersendiri atau pun disambung ke komponen-komponen rangkaian yang lain. Dengan kata lain, bentuk WAF tidak kira sebagai perkakas atau dalam bentuk maya, berfungsi untuk mengukuhkan aplikasi web dan melindungi-nya daripada dieksploitasi oleh ancaman luar. Kerentanan dalam aplikasi web mungkin disebabakan aplikasi itu sendiri diwariskan atau rekaan kod produk tidak lengkap. WAF menangani kekurangan itu dengan mengkonfigurasikan set peraturan yang khas, yang juga dikenali sebagai dasar. 
Kerentanan dulu boleh diuji melalui ujian penembusan (penetration testing) atau melalui pengimbasan kerentanan (vulnerability scanner). Pengimbasan kerentanan aplikasi web atau pengimbas sekuriti aplikasi web, ditakrifkan dalam SAMATE NIST 500-269 sebagai “program automatik yang meneliti aplikasi web untuk mencari kerentanan sekuriti. Di samping mengenalpasti kerentanan khusus aplikasi web, WAF juga mencamkan kesalahan pengkodan perisian. Apbila kerentanan diselesaikan, ia dirujuk sebagai pemulihan. Pembetulan kod boleh dilaksanakan dalam aplikasi, tetapi jika ditemui, kadar responsi sepatutnya cepat. Dalam situaasi sebegini, pembetulan sementara tetapi segera diperlukan. Penyelesaian sekuriti yang lengkap bukan terletak dalam WAF sahaja, bahalah, ia sepatutnya digunakan bersamaan dengan penyelesaian sekuriti perimeter rangkain yang lain seperti tembok api rangkaian dan sistem pencegahan intrusi. 
WAF biasanya mengikuti model sekuriti positif, sekuriti negatif, atau gabugan kedua-dua seperti yang dinyatakan oleh Institut SANS. WAF menggunakan gabungan logik, parsing serta tandatangan untuk mengesan dan mencegah serangan-serangan seperti skrip cross-site atau suntikan SQL. OWASP senaraikan 10 kesilapan dalam sekuriti aplikasi dan setiap WAF komersial perlu meliputi 10 kesilapan ini sekurang-kurangnya. Terdapat juga pilihan bukan komersial. Seperti yang dinyatakan terdahulu, enjin WAF sumber terbuka ModSecurity merupakan salah satu daripada pilihan ini. Enjin WAF sahaja tidak cukup untuk menyediaka perlindungan yang lengkap. Oleh sebab itu, OWASP bersamaan dengan Spiderlabs Trustwave membantu menyusun dan menyelenggara Core-Rule Set melalui GitHub untuk digunakan dengan enjin  WAF ModSecurity.  

Pemasangan

Walaupun pelbagai nama wujud untuk mod operasi yang berlainan, WAF pada asasnya hanya digunakan dalam tiga situasi inline iaitu ‘Jambatan telus’ (transparent bridge), ‘proksi terbalik telus’ (transparent reverse proxy) dan ‘proksi terbalik’ (reverse proxy), mengikut Labs NSS. ‘Telus’ di sini merujuk kepada hakikat bahawa trafik HTTP dihantar terus ke aplikasi web dan WAF merupakan telus antara klien dengan pelayan. Bertentangan dengan ‘proksi terbalik’ di mana WAF berfungsi sebagai proksi yang menerima traffik klien kemudiannya menapis dan menghantar traffik itu ke aplikasi-aplikasi web. WAF boleh melindungi IP tetapi adakalanya melambatkan prestasi.   

Vendor Komersial

Kebanyakan WAF komersial mempunayai ciri-ciri yang serupa. Perbezaan yang utama terletak di interface, cara pemasangan atau keperluan dalam persekitaran yang tertentu.