Barracuda WAF, Barracuda Networks'ün web uygulamalarını ve API'leri koruyan web uygulama güvenlik duvarı ürünüdür. Barracuda bu ürünü Barracuda Application Protection çatısı altında iki seçenekle sunuyor: kurumun kendi ortamında veya genel bulutta çalıştırdığı Barracuda Web Application Firewall ve bulut üzerinden hizmet olarak sunulan WAF-as-a-Service.
Bu yazıda iki seçeneğin farkını, Barracuda belgelerinde anlatılan dağıtım modlarını (Two-Arm Proxy, One-Arm Proxy, Bridge-Path), listelenen korumaları ve lisans modelini ele alıyoruz. WAF'ın klasik firewall'dan farkı için güvenlik duvarı (firewall) nedir yazısıyla başlayabilirsiniz.
Barracuda Web Application Firewall ve WAF-as-a-Service
| Seçenek | Nerede çalışır | Barracuda sayfasındaki öne çıkanlar |
|---|---|---|
| Web Application Firewall | Kurum içi (on-premises), AWS ve Azure | Tam REST API, Terraform, Ansible, Puppet ve Chef entegrasyonu, içerik yönlendirme |
| WAF-as-a-Service | Barracuda tarafından bulut hizmeti olarak | 3 adımlı kurulum sihirbazı, hazır şablonlar, Azure altyapısı üzerinde ölçeklenme |
Barracuda'nın ürün sayfası genel bulut tarafında AWS için CloudFormation, Azure için ARM şablonlarından söz ediyor. WAF-as-a-Service sayfası ayrıca mikroservisler arasındaki doğu-batı (east-west) trafiği de koruyabilen bir "containerized deployment mode" seçeneğinden bahsediyor.
Hangi korumalar listeleniyor?
Barracuda Web Application Firewall sayfasında şu başlıklar yer alıyor:
- Web saldırıları: OWASP Top 10, sıfırıncı gün (zero-day) tehditleri ve veri sızıntısı.
- DDoS: uygulama katmanı DoS, hız sınırlama (rate limiting), yavaş istemci (slow client) saldırılarını önleme, istemci IP itibar analizi; hacimsel DDoS için ayrı bir eklenti olan Active DDoS Prevention.
- Botlar: makine öğrenmesiyle kötü ve insan taklidi yapan botları tespit eden Advanced Bot Protection.
- API: REST ve WSDL arayüzleri için XML koruması, JSON yük taraması, API tanım dosyalarıyla API Discovery.
- Erişim kontrolü: brute force koruması; AD, LDAP, RADIUS, SAML ve iki faktörlü doğrulama sağlayıcılarıyla entegrasyon.
- Giden veri: yanıt incelemesiyle kredi kartı numarası gibi hassas verilerin sızmasını önleme.
WAF-as-a-Service sayfasında ise Layer 3-7 DDoS koruması ("Unmetered DDoS protection included" ifadesiyle), JSON ve GraphQL API koruması, makine öğrenmesi destekli API keşfi, brute force ve credential stuffing tespitini içeren hesap ele geçirme koruması, SIEM/SOAR/XDR araçlarına log aktarımı ve isteğe bağlı uyumluluk raporları listeleniyor.
Dağıtım modları: Two-Arm, One-Arm ve Bridge-Path
Barracuda Campus belgelerindeki "Choosing Your Deployment Mode" sayfası, kurum içi ve sanal Barracuda WAF için dağıtım modlarını anlatıyor. İki mod ters vekil sunucu (reverse proxy), biri köprü (bridge) mantığındadır.
| Mod | Belgede belirtilen artılar | Belgede belirtilen eksiler / notlar |
|---|---|---|
| Two-Arm Proxy | İlk kurulum için önerilen mod; yük dengeleme ve Instant SSL dahil tüm özellikler; arka uç sunucular tamamen yalıtılır; hızlı HA geçişi | Sunucu IP adresleri ve DNS eşlemelerinde değişiklik, canlı servislerde geçiş (cut-over) gerekir |
| One-Arm Proxy | Web sunucularının ağ yapılandırmasında çok az değişiklik; sunuculara alternatif erişim yolları korunabilir | Yukarı akıştaki cihazlardan gelen trafiğin açıkça WAF üzerinden geçirilmesi gerekir |
| Bridge-Path | Belgede üçüncü mod olarak yer alır | Sanal sürümde (Vx) desteklenmez |
Barracuda Campus'taki "Virtual Deployment" sayfası bu konuda açıktır: Barracuda Web Application Firewall Vx ile yalnızca proxy modu dağıtımları desteklenir, bridge modu desteklenmez. Sanal cihaz ayrıca 64 bit destekli bir host gerektirir.
Yönetim ve otomasyon
Barracuda ürün sayfasına göre Web Application Firewall tam bir REST API sunuyor ve Terraform, Ansible, Puppet ile Chef entegrasyonları bulunuyor. İçerik yönlendirme (content routing) özelliği blue-green dağıtım, canary yayın ve A/B testleri için kullanılabiliyor. WAF-as-a-Service tarafında yapılandırma API'ler ve bir JSON dosyası üzerinden yapılabiliyor.
Lisanslama ve fiyat
Bu üretici herkese açık bir liste fiyatı yayımlamıyor. Fiyat, yetkili iş ortakları ve distribütörler tarafından teklif usulüyle verilir; seçilen model veya kapasiteye, eklenen modüllere ve abonelik süresine göre değişir. WAF-as-a-Service sayfasında "Try Free" ve "Get a Demo" bağlantıları bulunuyor; deneme koşullarını resmi sayfadan kontrol edin.
Kimler için uygun?
- Uygulamalarını veri merkezinde barındıran ve WAF'ı yük dengeleme ile birlikte kullanmak isteyen kurumlar (Two-Arm Proxy)
- Mevcut ağ yapısına az dokunarak WAF eklemek isteyen ekipler (One-Arm Proxy)
- Donanım veya sanal makine yönetmek istemeyen, bulut hizmeti tercih eden ekipler (WAF-as-a-Service)
- AWS veya Azure üzerinde şablonlarla WAF kurmak isteyenler
Alternatifler
Benzer kurumsal ürünler için F5 BIG-IP Advanced WAF, Imperva WAF ve FortiWeb yazılarına bakabilirsiniz. SaaS tarafında Cloudflare WAF, tek sunucu ve açık kaynak tarafında ModSecurity ve Coraza ile Nginx WAF seçenekleri de değerlendirilebilir. Ağ katmanı DDoS için DDoS koruma rehberi yazısı yol gösterir.
Sık Sorulan Sorular
Barracuda WAF ile WAF-as-a-Service arasındaki fark nedir?
Web Application Firewall'u siz kurar ve işletirsiniz (kurum içi ya da AWS/Azure). WAF-as-a-Service ise Barracuda tarafından bulut hizmeti olarak işletilir ve birkaç adımlık sihirbazla devreye alınır.
Hangi dağıtım modunu seçmeliyim?
Barracuda belgesi ilk kurulum için Two-Arm Proxy'yi öneriyor. Ağ değişikliğini en aza indirmek istiyorsanız One-Arm Proxy belgelenmiş bir alternatiftir. Sanal sürüm kullanıyorsanız bridge modu desteklenmez.
Barracuda WAF DDoS korur mu?
Uygulama katmanı DoS koruması ürün sayfasında listeleniyor; hacimsel DDoS koruması için Active DDoS Prevention eklentisinden söz ediliyor. WAF-as-a-Service sayfası ise Layer 3-7 DDoS korumasının dahil olduğunu belirtiyor.
Fiyatı ne kadar?
Barracuda herkese açık liste fiyatı yayımlamıyor; fiyat yetkili iş ortaklarından teklifle alınır ve seçenek, kapasite ve abonelik süresine göre değişir.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Güvenlik duvarı nedir · Cloudflare WAF kuralları · FortiWeb nedir · F5 BIG-IP Advanced WAF nedir · Imperva WAF nedir · ModSecurity ve Coraza ile Nginx WAF · DDoS koruma rehberi