HİZMET 4: Web Güvenliği, WAF & Bot Yönetimi Mühendisliği

Bir siteye gelen trafiğin ne kadarının gerçek insan olduğunu bilmeden güvenlik kararı vermek, karanlıkta ateş etmeye benzer. Bugün gelen isteklerin bir kısmı tarayıcı taklidi yapan otomasyon, bir kısmı kimliğini dürüstçe beyan eden arama ve yapay zekâ botu, bir kısmı da doğrudan açık arayan tarayıcıdır. Üçü de aynı log satırında birbirine benzer. Ben bu üçünü birbirinden ayıran, kararını ölçüye dayandıran ve her bloğun gerekçesini kayda geçiren bir savunma katmanı kuruyorum.

Buradaki iş "WAF açalım, bot koruması aktif olsun" değildir. Kenarda ne yakalandığını, kenarı geçenin origin tarafında neye çarptığını, hangi eşikte kimin ne kadar süre bloklandığını ve bütün bunların gerçekten işe yarayıp yaramadığını ölçülebilir hâle getirmektir. Aşağıdaki sayıların hiçbiri örnek senaryo değil; kendi sitemde üretimde çalışan koddan ölçüldü.

Neden Bu Hizmet?

Çoğu kurulumda güvenlik açık/kapalı bir anahtar gibi ele alınır. Sonuç ikiye ayrılır: ya kural fazla gevşektir ve saldırgan içeri sızar, ya fazla sıkıdır ve gerçek ziyaretçi kapıda kalır. İkisi de aynı sebepten olur — kararın arkasında ölçü yoktur.

Mimari Yaklaşımım

1) İmza Eşleştirme ve Kaçınma Tespiti

Saldırı tespitinin ilk katmanı desen eşleştirmedir, ama listeye birebir yazılmış deseni yakalamak yetmez. Saldırgan yolu URL-encode ederek listeden kaçmayı dener. Bu yüzden yol normalizasyonu iki tur decode uygular; ikinci turun çıktısı birincisinden farklıysa bu tek başına saldırı sinyali sayılır, çünkü meşru bir tarayıcı çift-encode edilmiş yol göndermez.

Eşleşen her imza "eşleşti / eşleşmedi" ikilisi değildir; severity 1-5 ve confidence 0-100 taşır. Blok kararını bu ikisinden çıkan skor verir. Böylece zayıf bir sinyal tek başına kimseyi kapıda bırakmaz.

2) Beyan Değil, Doğrulama

Bir isteğin user-agent alanı beyandır, kanıt değildir; herkes kendini arama motoru ilan edebilir. Bu yüzden sağlayıcıların kendi yayımladıkları IP listeleri çekilip beyanla karşılaştırılır. İsteğin IP adresi listede yoksa doğrulanmış bot etiketi düşer.

Burada önemli bir ayrım var: eşlemesi bulunmayan bir token için sonuç boş bırakılır. Doğrulayamadım ile sahte aynı kutuya konmaz. Bu ayrım yapılmazsa doğrulama altyapısı olmayan meşru botlar sessizce yanlış etiketlenir.

3) Kademeli Blok ve Kenar Kotası

Blok süresi tek bir sabit değildir. İlk blok 24 saat, aynı adres tekrar gelirse 7 gün, üçüncüsünde 30 gündür. Tek seferlik bir tarayıcı ile ısrarla dönen bir saldırgan aynı cezayı almaz.

Kenar listesine ise yalnızca 7 gün ve üzeri bloklar itilir. Sebebi pratiktir: kenar listeleri kotalıdır, tek seferlik tarayıcılarla doldurulursa asıl tekrar-suçlulara yer kalmaz.

4) Uca Göre Hız Sınırı

Tek bir global istek limiti hem kaba hem yanlıştır; bir okuma sayfası ile iletişim formu aynı kullanım profiline sahip değildir. Limit 9 ayrı kovaya bölünür ve her eşik o ucun meşru profiline göre seçilir. Reddedilen istek 429 ve Retry-After başlığıyla döner; istemciye ne zaman tekrar deneyebileceği söylenir.

Sağladığım Çözümler

Kendi Sitemde Çalışan Sayılar

Aşağıdakiler örnek senaryo değil, bu sitede üretimde çalışan koddan ölçülmüş değerlerdir. Bir hizmeti anlatmanın en dürüst yolu, onu kendi üzerinde çalıştırıp sayıyı göstermektir.

Kullandığım Teknolojiler

Cloudflare WAF ve Rulesets API, ASP.NET Core middleware hattı, kayan pencere hız sınırlama, Prometheus metrikleri, Grafana panoları, HMAC-SHA256 tabanlı ziyaretçi özetleme, MSSQL üzerinde saldırı ve blok telemetrisi, Kubernetes ingress seviyesinde ek kısıtlar.

Bilerek Yapmadıklarım

Bir güvenlik kurgusunda nelerin yapılmadığı, nelerin yapıldığı kadar önemlidir. Aşağıdakiler eksik değil, bilinçli karardır:

Proje Çıktıları

Kime Uygun?

Trafiğinin ne kadarının gerçek olduğunu bilmeyen; bot koruması açık olduğu hâlde gerçek ziyaretçi şikâyeti alan; giriş ucunda sürekli deneme trafiği gören; yapay zekâ tarayıcılarının içeriğini nasıl kullandığını yönetmek isteyen; ya da bir güvenlik olayından sonra "bu neden yakalanmadı" sorusuna cevap arayan ekipler için uygundur.

Neden Ben?

Bu hizmeti önce kendi sitemde kurdum ve üretimde çalıştırıyorum. Yukarıdaki sayıların hepsi o koddan ölçüldü; imza sayısı da, eşik değerleri de, kova sayısı da. Anlattığım her mekanizmanın çalışan bir karşılığı var — bir slaytın değil, bir dosyanın içinden geliyor.

İkinci bir nokta: bu katmanı kurarken kendi hatalarımı da gördüm. Yanlış yazılmış bir kenar kuralı, Türkiye dışından gelen ziyaretçilerde sitenin bir bölümünü kırmıştı; bunu panoda fark edip düzelttim. Güvenlik kurmak kadar, kurduğun şeyin ne kırdığını ölçebilmek de işin parçasıdır.

Sonuç

İyi bir güvenlik katmanı sessiz çalışır, ama körü körüne çalışmaz. Her blok bir gerekçeye, her eşik bir sayıya, her sayı da değiştirilebilir bir karara bağlı olmalıdır. Amaç saldırganı durdururken gerçek ziyaretçiyi kapıda bırakmamak ve bunun gerçekten böyle olduğunu ölçebilmektir.