جدار حماية تطبيق الويب (WAF) هو جدار ناري يراقب حزم البيانات ويصفيها ويحظرها أثناء انتقالها من وإلى موقع ويب أو تطبيق ويب. يمكن أن يكون WAF عبارة عن شبكة أو مضيف أو قائم على السحابة ويتم نشره عادةً من خلال وكيل عكسي ويوضع أمام واحد أو أكثر من مواقع الويب أو التطبيقات.
في هذه المقالة ، بالإضافة إلى الخوض في مفهوم WAF ، سوف تفهم كيفية عمل خدمة AWS داخلها.
كونفيرا!
ما هو WAF
تُعد جدران الحماية الخاصة بتطبيقات الويب عنصر تحكم أمني شائع تستخدمه الشركات لحماية أنظمة الويب من عمليات الاستغلال التي تتم في يوم الصفر وإصابات البرامج الضارة وانتحال الهوية والتهديدات ونقاط الضعف الأخرى المعروفة وغير المعروفة.
من خلال عمليات التفتيش المخصصة ، يكون WAF قادرًا على اكتشاف ومنع العديد من أخطر عيوب أمان تطبيقات الويب التي قد لا تتمكن من القيام بها جدران الحماية التقليدية للشبكات وأنظمة اكتشاف التطفل الأخرى (IDSes) وأنظمة منع التطفل (IPSes).
تعد WAFs مفيدة بشكل خاص للشركات التي تقدم منتجات أو خدمات عبر الإنترنت ، مثل التسوق في التجارة الإلكترونية ، والخدمات المصرفية عبر الإنترنت ، والتفاعلات الأخرى بين العملاء أو الشركاء التجاريين.
كيف يعمل WAF؟
في الممارسة العملية ، تحلل WAF طلبات HTTP (بروتوكول نقل النص التشعبي) وتطبق مجموعة من القواعد التي تحدد أي أجزاء من تلك المحادثة تكون حميدة وأيها ضارة.
الأجزاء الرئيسية لمحادثات HTTP التي تم تحليلها بواسطة WAF هي طلبات GET و POST. تُستخدم طلبات GET لاسترداد البيانات من الخادم ، وتُستخدم طلبات POST لإرسال البيانات إلى خادم لتغيير حالته.
يمكن أن يتخذ WAF طريقتين لتحليل وتصفية المحتوى المتضمن في طلبات HTTP هذه:
- القائمة البيضاء: نهج القائمة البيضاء يعني أن WAF سيرفض جميع الطلبات افتراضيًا ويسمح فقط بالطلبات الموثوقة. يوفر قائمة بعناوين IP المعروفة بأنها آمنة. القائمة البيضاء أقل كثافة للموارد من القائمة السوداء. الجانب السلبي لنهج القائمة البيضاء هو أنه يمكن أن يمنع عن عمد حركة المرور غير الضارة. في حين أنه يعرض شبكة واسعة ويمكن أن يكون فعالاً ، إلا أنه قد يكون غير دقيق أيضًا.
- القائمة السوداء: نهج القائمة السوداء افتراضي للسماح للحزم بالمرور واستخدام التوقيعات المحددة مسبقًا لحظر حركة مرور الويب الضارة وحماية الثغرات الأمنية في مواقع الويب أو تطبيقات الويب. إنها قائمة القواعد التي تشير إلى الحزم الخبيثة. تعد القائمة السوداء هي الأنسب للمواقع العامة وتطبيقات الويب لأنها تتلقى الكثير من حركة المرور من عناوين IP غير معروفة وليست ضارة أو حميدة. الجانب السلبي من نهج القائمة السوداء هو أنه يستهلك المزيد من الموارد ؛ يتطلب مزيدًا من المعلومات لتصفية الحزم بناءً على خصائص محددة ، بدلاً من التقصير في عناوين IP الموثوقة.
يمكن أن يكون WAF أيضًا مزيجًا هجينًا من طريقتين للمرشح مذكورتين أعلاه. يستخدم نموذج الأمان المختلط كلاً من عناصر القائمة السوداء والقائمة البيضاء.
AWS WAF
تمنحك AWS WAF ، من Amazon Web Services ، التحكم في كيفية وصول حركة المرور إلى تطبيقاتك ، مما يسمح لك بإنشاء قواعد أمان تمنع أنماط الهجوم الشائعة ، مثل حقن SQL أو البرمجة النصية عبر المواقع ، والقواعد التي ترشح أنماط حركة مرور معينة محددة بواسطة أنت.
يمكنك البدء سريعًا في استخدام القواعد المُدارة في AWS WAF ، وهي مجموعة مُعدة مسبقًا من القواعد المُدارة بواسطة AWS أو AWS Marketplace Sellers.
تتناول القواعد المدارة لـ WAF قضايا مثل أهم 10 مخاطر أمنية في OWASP. يتم تحديث هذه القواعد بانتظام كلما ظهرت مشكلات جديدة.
يتضمن AWS WAF واجهة برمجة تطبيقات متعددة الأغراض يمكنك استخدامها لأتمتة إنشاء قواعد الأمان ونشرها وصيانتها.
مع AWS WAF ، تدفع فقط مقابل ما تستخدمه. يعتمد التسعير على عدد القواعد التي تنشرها وعدد الطلبات التي يتلقاها تطبيقك. لا توجد التزامات مسبقة.
يمكنك نشر AWS WAF على Amazon CloudFront كجزء من حل CDN ، أو Application Load Balancer الذي يقع أمام خوادم الويب أو الأصل التي تعمل على EC2 ، أو Amazon API Gateway لواجهات برمجة التطبيقات الخاصة بك.
فيما يلي الفوائد الرئيسية التي يمكنك الحصول عليها مع AWS WAF:
- حماية رشيقة ضد هجمات الويب ؛
- توفير الوقت مع القواعد المُدارة ؛
- رؤية أفضل لحركة مرور الويب ؛
- سهولة النشر والصيانة ؛
- حماية تطبيقات الويب الفعالة من حيث التكلفة ؛
- الأمان مدمج في طريقة تطوير التطبيقات.
WAF في سياق LGPD
أخيرًا ، من المهم تسليط الضوء على أن جدار حماية تطبيق الويب هو خدمة أساسية في الوقت الذي يتعين على الشركات البرازيلية التكيف مع قانون حماية البيانات العام (LGPD).
كما نعلم ، LGPD هو التشريع الذي يتعامل مع الطريقة التي يتم بها تخزين البيانات الشخصية للمواطنين البرازيليين ومعالجتها. إنه يجلب سلسلة من القواعد التي يتعين على المؤسسات الالتزام بها لحماية خصوصية عملائها ، وكذلك لضمان أن مالكي بياناتهم الشخصية هم أصحاب حقوقهم الوحيدون.
بهذا المعنى ، حتى لو قامت الشركة بكل شيء بشكل صحيح ، ولكن ليس لديها آليات لحماية تطبيقاتها ، فقد تكون ضحية للاحتيال - وفي هذه الحالات أيضًا ، فهي مسؤولة عن الطريقة التي يتم بها التعامل مع البيانات الشخصية للمواطنين .
هل تريد معرفة المزيد عن WAF AWS؟ تواصل معنا للحصول على عرض توضيحي مع أحد خبرائنا!
