Romatoloji ve klinik immünoloji servislerinde hekimlerin en çok uğraştığı gizemli tablolardan biri "Otoimmün Hastalıklar"dır (örneğin Sistemik Lupus Eritematozus veya Haşimato Tiroiditi). Normal şartlarda bağışıklık sistemimiz (lökositler, antikorlar) vücudu dışarıdan gelen ölümcül virüslere, parazitlere ve bakterilere karşı koruyan kusursuz bir kalkan ordusudur.

Fakat bazen bu ordu o kadar paranoyak ve aşırı hassas hale gelir ki, düşman ile dost arasındaki farkı ayırt etme yeteneğini kaybeder. Kendi sağlıklı tiroit bezini veya eklem kıkırdağını yabancı bir bakteri zannederek ona saldırır; kendi dokularını iltihapla eritip organı tahrip eder. Vücut kendi kendini yemeye başlamıştır.

Web uygulama güvenliğinde de sistem yöneticilerinin "kusursuz güvenlik" hırsıyla yaptığı en yıkıcı mimari hata tam olarak bu otoimmün deliliktir: Web Uygulama Güvenlik Duvarı'nın (WAF / ModSecurity) aşırı hassasiyeti (False Positive) yüzünden meşru şirket sahibini siber korsan ilan edip kapı dışarı etmesi.

Pazartesi 11:30: "Siteme Giremiyorum, 403 Hatası Veriyor!"

Bir mobilya veya tekstil firmasının e-ticaret yöneticisi yönetim paneline giriş yapar. Yeni gelen İtalyan kumaş koleksiyonunu sisteme eklemektedir. Ürünün açıklama kısmına zengin metin editöründen (TinyMCE / CKEditor) şu masum cümleyi yazar:

"Sezonun en özel seçimi (SELECT): %100 saf pamuktan üretilmiş, salonunuza değer katacak zarif koltuk takımı. Detaylar için tıklayınız."

Yönetici alttaki mavi "Ürünü Kaydet" butonuna tıklar.

Ve o saniyede tarayıcı donar. Sayfa yenilenir ve ekrana buz gibi bir hata çarpar:

403 Forbidden
Access denied. You don't have permission to access this resource on this server.

Yönetici şaşırır. Geri tuşuna basar, tekrar dener; yine 403. Sayfayı yeniler; bu kez sitenin ana sayfasına bile giremez! Telefonunun Wi-Fi bağlantısından siteye girmeyi dener; site açılmaz. Çünkü sunucu güvenlik duvarı sadece o isteği engellemekle kalmamış, şirketin genel merkezinin tüm sabit IP adresini de "tehlikeli saldırgan" olarak işaretleyip bloklamıştır!

Şirket yöneticisi telefonla hosting firmasını arar:

"Sizin sunucunuz bozuk! Az önce ürün giriyordum, beni siteden attı! Şimdi ne site açılıyor ne panel! Şirketteki 30 kişinin interneti mi kesildi ne oldu? Siber saldırı mı var sunucuda?"

Hata Kayıtlarındaki Paranoya: ModSecurity ve SQL Injection İllüzyonu

Sistem mühendisi sunucunun ModSecurity denetim loglarını (/var/log/nginx/modsec_audit.log veya Apache error_log) açar. Ve ekranda o klasik otoimmün saldırı raporunu görür:

[client 195.175.xx.xx] ModSecurity: Access denied with code 403 (phase 2). 
Pattern match "(?i:(?:select.+from|union.+select))" at ARGS:product_description. 
[file "/etc/nginx/modsec/coreruleset/rules/REQUEST-942-APPLICATION-ATTACK-SQLI.conf"] 
[id "942100"] [msg "SQL Injection Attack Detected"] [severity "CRITICAL"]

İşte sistemin kendi dokusunu yemesi tam olarak bu satırda yatar!

Sunucuya kurulan WAF (ModSecurity OWASP Core Rule Set - CRS), yöneticinin paranoyakça ayarları yüzünden aşırı katı bir kural seviyesine (Paranoia Level 3 veya 4) çekilmiştir.

Müşteri ürün açıklamasına İtalyan kumaşının "özel seçimi" yazmış ve araya parantez içinde İngilizce "SELECT" kelimesini koymuştur. Altına da bir HTML linki (<a href>) eklemiştir.

WAF'ın kaba regex (düzenli ifade) motoru, bu cümlenin içindeki SELECT ve FROM kelimelerini yan yana görünce paniklemiş; "Aman Tanrım! Biri veritabanını çalmak için SQL Injection yapıyor!" diyerek kırmızı alarmı çalmıştır. Meşru bir kumaş açıklaması, sistemin gözünde tehlikeli bir siber saldırıya dönüşmüş ve dükkânın gerçek sahibi kendi dükkânından tekmeyle kovulmuştur.

Yanlış Pozitif (False Positive) Zehirlenmesi

Siber güvenlikte en zor sanat, meşru ziyaretçi ile gerçek saldırganı birbirinden ayırt edebilmektir. Bir güvenlik duvarının kural setini en katı seviyeye getirmek güvenlik değil, tembelliktir.

Eğer bir kalenin surlarını aşırı güvenli yapacağım diye kapıdaki nöbetçilere "İçeriye kumaş, mektup veya demir getiren herkesi anında oklayın" emri verirseniz; kale saldırı almaz ama içerideki halk açlıktan kırılır. Ticaret durur, şehir ölür.

Aşırı hassas bir WAF'ın açtığı diğer yaralar şunlardır:

  1. Müşteri Alışverişinin Kesilmesi: Müşteri sipariş formundaki adres kısmına "1. Sokak No: 4/A (Daire: 2; Kat: 3)" yazdığında, aradaki noktalı virgül (;) veya tek tırnak (') yüzünden siparişi tamamlayamayıp sepeti terk eder.
  2. AJAX ve API Çağrılarının Engellenmesi: Modern web uygulamalarının arka planda JSON formatında gönderdiği karmaşık veri paketleri WAF tarafından "anormal yük" sayılarak sessizce düşürülür.
  3. Destek Masası Kilitlenmesi: Gün içinde düzinelerce şirket sahibi "403 Forbidden" yiyerek destek masasına bilet yağdırır; mühendisler gerçek güvenlik tehditleriyle ilgilenmek yerine yanlış kural istisnaları yazmakla vakit kaybeder.

Akılcı Savunma: WAF Nasıl Ehlileştirilir?

Güvenlik duvarını bir otoimmün katile dönüştürmeden, sistemi siber tehditlere karşı çelik bir zırhla korumanın mühendislik protokolü şudur:

  1. Öğrenme Modu (Detection Only): Yeni bir WAF veya kural seti devreye alındığında, ilk iki hafta kurallar "Engelleme (Block)" modunda değil, sadece "Kayıt (DetectionOnly)" modunda çalıştırılmalıdır. Sistem logları incelenerek hangi meşru kullanıcı hareketlerinin yanlışlıkla tetiklendiği (False Positive) tespit edilmelidir.
  2. Seçici Kural İstisnaları (Rule Exclusion): Kural setini toptan kapatmak yerine, sadece yönetim paneli (/wp-admin/ veya /admin/) için bilinen spesifik kurallar (Örn: id:942100) pasife alınmalıdır: 
    <LocationMatch "/wp-admin/">
    SecRuleRemoveById 942100 941100
</LocationMatch>
  3. Paranoia Level Dengesi: OWASP kurallarında varsayılan seviye olan Paranoia Level 1, kurumsal web sitelerinin %95'i için yeterli korumayı sıfıra yakın yanlış alarmla sunar. Seviyeyi gerekçesiz şekilde 3 veya 4'e çıkarmak sistemi kullanılmaz hale getirir.
  4. Davranışsal Analiz ve Modern WAF'lar: Kaba regex eşleştirmeleri yerine Cloudflare WAF, Imunify360 veya AWS WAF gibi makine öğrenimi tabanlı, kullanıcının niyetini ve oturum geçmişini analiz eden akıllı motorlar tercih edilmelidir.

Kendi dokusunu düşman sanıp yok eden bir bağışıklık sistemi sağlık değil, hastalıktır. Meşru müşterisini korsan sanıp banlayan bir güvenlik duvarı da koruma değil, iş bilmezliktir. Güvenlik, kapıları dünyaya tamamen kilitlemek değil; içeriye dostu güvenle alırken düşmanı kapıda sessizce ayıklama sanatıdır.