WSDL Tarama Bu saldırı, bir web servisi tarafından sunulan WSDL arayüzünü bulmayı sağlar. Saldırgan, web serivisi oluşturmak için kullanılan teknolojiyi tespit etmek ve ilgili güvenlik açıklarını bulmak için WSDL arayüzü taraması yapabilir. Genellikle bu tür saldırılar daha ciddi saldırılar gerçekleştirmek için rneğin; parametre kurcalama , zararlı içerik enjeksiyonu , komut enjeksiyonu vb. yapılmaktadır. WSDL dosyaları, tüketicilere sunulan hizmetlerin portları ve parametreleri hakkında ayrıntılı bilgi sağlar. rneğin, saldırgan, zel karakterler veya ktü niyetli içerik gndererek serivisin hizmet dışı kalmasına yada nemli bilgilerin veritabanından çekilmesine neden olabilir. Buna ek olarak, saldırgan WSDL dosyalarında sağlanan bilgileri kullanarak diğer zel yntemlerle aynı servis altında tanımlı gizli metotları tahmin edebilir. DoS Saldırıları Bilindiği üzere Servis dışı bırakma saldırıları olarak adlandırılan bu saldırı türü web servisleri içinde tehlike arz etmektedir. XML Jumbo Tag İsimleri XML içerisindeki meta verilerin max boyutlarının aşılarak ayrıştırıcı tarafından işlenememesi sonucunu ortaya çıkaran saldırı türüdür. Coercive Parsing XML verisi içerisinde "CDATA" alanları ayrıştırıcı tarafından ele alınmazlar. Saldırganlar bu alanları kullanarak sistem komutları gnderebilir. Bu tip saldırılara coercive parsing denmektedir. XML Dküman Büyüklüğü XML dosyaları içerisine büyük boyutlu veri girilmesi sonucu web servis sunucusu bu xml dosyasını işleyemez ve yeni gelen servis isteklerine cevap veremez hale gelir. Enjeksiyon SaldırılarıSQL Enjeksiyonu Daha nceden de bildiğimiz bu saldırı yntemi web servisler içinde geçerlidir. XML içerisine beklenmeyen sql cümlecikleri eklenerek ekstra bilgiye erişim sağlayan saldırı yntemidir. XML Enjeksiyonu Bu saldırı türüde sql cümleciği yerine istenilen bir xml cümleciğini servise aktarmayı hedefler. Bu saldırı sayesinde rneğin sizin bir adet kayıt girme hakkınız var servisde fakat siz bu yntemle xml ayrıştırıcıyı da atlatarak birden fazla veri girişi sağlayabilirsiniz. Zararlı Yazılım, virüs Diğer sistemlerde olduğu gibi web servisi sunduğunuz platformun açıklıklarından faydalanan ve sisteme zarar veren yazılım ve virüsler bu ortam içinde geliştirilmeye başlanmıştır. Burada saydığımız saldırılardan korunmak için XML firewall üzerinde Politika tanımlamalıyız. Kısaca çok kullanılan politikaları inceleyelim. Politikalar Schema validasyonu Bir XML dosyanin icerigini kontrol etmek icin schema dosyalarindan faydalanırız. XML schema dosyasi, XML dosyasınıniçeriğinin sahip olması gereken kuralları tanımlayan, uzantısı XSD olan dosyalardır. XSD içersinde bahsedilen kurallar şunlardır; XML dosyası içinde var olması beklenen element ve attribute'ler, bunlara ait olan data tipleri. XML dosyasının yapısı, elementler ve bu elementlere ait olan child elementler, Child elementlerin sayısı ve sırası, Element'lerin bir text değere sahip olup olmayacağı. Hata mesajı ekleme Bilgi sızmaması için zel koşullar oluştuğunda web servisin cevabı yerine anlamlı hata mesajı dnmesi bir güvenlik yntemidir. IP filtreleme Web servisine erişimin IP bazlı kısıtlanmasını sağlayan politikadır. WS-Security Kullanıcı bilgileri ekleme Farklı güvenli protokolleri kullanarak web servisine ulaşmadan daha ncesinde bir kullanıcı kontrol mekanizması oluşturan politikadır. Routing Arka planda çalışan servisin gerçek adresinin tespit edilememesi için ip ve port bazlı ynlendirmeye olanak sağlayan politikadır. Zaman Filtreleme Servisin istediğiniz saatler dışında kullanılmamasını sağlayan politika. not: derleme Emekli