FortiWeb, Fortinet'in web uygulama güvenlik duvarıdır (WAF, web application firewall). Web sitelerine ve API'lere gelen HTTP/HTTPS isteklerini uygulamaya ulaşmadan önce inceler; SQL enjeksiyonu, XSS gibi saldırıları, kötü niyetli botları ve uygulama katmanı saldırılarını engellemeye çalışır. Donanım cihaz, sanal makine, konteyner ve genel bulut seçenekleriyle sunulur.
Bu yazıda FortiWeb nedir, hangi korumaları sunar, çalışma modları (Reverse Proxy, True Transparent Proxy, Transparent Inspection, Offline Protection, WCCP) nasıl farklılaşır ve hangi form faktörleri vardır, anlatıyoruz. Ağ katmanı firewall ile WAF arasındaki farkı güvenlik duvarı (firewall) nedir yazısında bulabilirsiniz.
WAF nedir, FortiWeb ne yapar?
Bir ağ firewall'u port ve IP seviyesinde çalışır; 443 portu açıksa o porta gelen her HTTPS isteğini geçirir. WAF ise isteğin içine bakar: URL, parametreler, başlıklar ve gövde. Fortinet ürün sayfasına göre FortiWeb'in kapsadığı başlıca korumalar:
- OWASP Top 10 tehditleri, DDoS, bot saldırıları ve skimming (kart bilgisi çalma) gibi saldırılar.
- Makine öğrenmesi ile anomali tespiti: her uygulamanın modelini çıkarıp bu modelden sapan istekleri işaretler.
- Bot yönetimi: arama motoru botları gibi meşru botlara izin verip kötü niyetli botları engellemeyi hedefler.
- API keşfi ve koruması: API'leri makine öğrenmesiyle bulur; OpenAPI, XML ve JSON şemalarına dayalı pozitif güvenlik modeli uygular.
- İstemci tarafı koruma: üçüncü taraf betik enjeksiyonu ve form ele geçirme gibi tarayıcı tarafı etkinliği izler; sayfa bunu PCI DSS ödeme sayfası gereksinimleriyle ilişkilendirir.
Çalışma modları
FortiWeb yönetim kılavuzu beş çalışma modu tanımlar. Mod, cihazın ağa nasıl bağlandığını ve hangi özelliklerin kullanılabildiğini belirler.
| Mod | Nasıl çalışır? | Not |
|---|---|---|
| Reverse Proxy | İstemci ile web sunucuları arasında durur, tüm HTTP/HTTPS isteklerini uygulamaya ulaşmadan önce denetler. | Varsayılan mod; en çok özelliği destekler. |
| True Transparent Proxy | 2. katman köprü olarak araya girer, IP planını değiştirmeden trafiği proxy'ler. | Ağ adreslemesini değiştirmek istemeyenler için. |
| Transparent Inspection | Trafiği eşzamansız (asenkron) inceler. | SSL offload ve yük dengeleme yapmaz; Alert dışındaki eylemlerin başarısı garanti edilmez. |
| Offline Protection | Trafiğin bir kopyasını izler; engellemek için bağlantı sıfırlama (reset) dener. | NAT ve yük dengeleme yapamaz. |
| WCCP | Bir WCCP sunucusu (ör. firewall) HTTP/HTTPS trafiğini FortiWeb'e yönlendirir. | Önce System > Feature Visibility altında etkinleştirilmelidir. |
Mod, web arayüzünde System > Config > Operation yolundan ya da CLI'da şu komutla seçilir (belgedeki sözdizimi):
config system settings
set opmode {offline-protection | reverse-proxy | transparent | transparent-inspection | wccp}
endForm faktörleri ve modeller
Fortinet ürün sayfasında FortiWeb için donanım cihazlar, sanal makineler, genel bulut pazar yerleri (AWS, Azure, Oracle, Google), konteyner sürümleri ve SaaS seçeneği listelenir. Sayfadaki değerler üreticinin belirttiği en yüksek throughput'tur ve gerçek performans uygulamaya göre değişir.
| Tür | Model ve belirtilen throughput |
|---|---|
| Donanım | 100F: 100 Mbps, 400F: 500 Mbps, 600F: 1 Gbps, 1000F: 2.5 Gbps, 2000F: 5 Gbps, 3000F: 10 Gbps, 4000F: 70 Gbps |
| Sanal makine | VM01 (1 vCPU): 25 Mbps, VM02 (2 vCPU): 100 Mbps, VM04 (4 vCPU): 500 Mbps, VM08 (8 vCPU): 3 Gbps, 16 vCPU: 6 Gbps |
| Konteyner | VMC01: 25 Mbps, VMC02: 100 Mbps, VMC04: 500 Mbps, VMC08: 3 Gbps |
FortiWeb Cloud ve FortiAppSec Cloud
Fortinet'in SaaS WAF hizmeti eskiden FortiWeb Cloud adıyla sunuluyordu. FortiAppSec Cloud belgesine göre FortiAppSec Cloud; eski FortiWeb Cloud, Advanced Bot Protection ve FortiGSLB servislerini birleştirir. Web uygulama koruma servislerinin yeni alan adı appsec.fortinet.com'dur ve API uç noktası da değişmiştir; uygulamalar ve loglar arka planda otomatik taşınır. Eski FortiWeb Cloud entegrasyonlarınız (API çağrıları, Terraform modülleri) varsa güncellemeniz gerekir.
FortiWeb ne zaman kullanılır?
- Kendi veri merkezinizde veya bulutta barındırdığınız web uygulamalarını ve API'leri uygulama katmanında korumak.
- Ödeme sayfaları gibi uyumluluk gereksinimi olan sayfalarda istemci tarafı betikleri izlemek.
- Mevcut Fortinet altyapısında (FortiGate, FortiManager) aynı üreticiyle devam etmek.
Sınırlar: WAF, uygulamadaki güvenlik açıklarını kapatmaz, yalnızca istismar girişimlerini azaltır; yanlış pozitifleri azaltmak için ayar ve izleme süresi gerekir. Büyük hacimli ağ katmanı DDoS saldırıları için FortiDDoS veya DDoS koruma rehberindeki yöntemler gibi ayrı önlemler gerekir. Fortinet herkese açık bir liste fiyatı yayımlamıyor. Fiyat, yetkili iş ortakları ve distribütörler tarafından teklif usulüyle verilir; cihaz modeline, abonelik paketine ve süresine göre değişir.
Alternatifler
Ticari WAF tarafında F5 BIG-IP Advanced WAF, Imperva WAF ve Barracuda WAF bulunur. Açık kaynak tarafında ModSecurity ve Coraza ile Nginx WAF kurulabilir. Alan adınızı bir CDN arkasına almak istiyorsanız Cloudflare WAF kuralları ve Cloudflare planları yazılarına bakabilirsiniz.
Sık Sorulan Sorular
FortiWeb ile FortiGate arasındaki fark nedir?
FortiGate ağ katmanında çalışan bir NGFW'dir; FortiWeb ise yalnızca web trafiğine odaklanan bir WAF'tır. FortiWeb HTTP/HTTPS isteklerinin içeriğini, uygulama modelini ve API şemalarını denetler. Ayrıntı için FortiGate nedir yazısına bakabilirsiniz.
FortiWeb'in varsayılan çalışma modu nedir?
FortiWeb 8.0.5 kılavuzuna göre varsayılan mod Reverse Proxy'dir ve sağladığı koruma seviyesi nedeniyle en yaygın kullanılan moddur.
FortiWeb Cloud hâlâ var mı?
Fortinet belgelerine göre FortiWeb Cloud servisi FortiAppSec Cloud altında birleştirilmiştir; yeni alan adı appsec.fortinet.com'dur.
FortiWeb fiyatı ne kadar?
Fortinet herkese açık bir liste fiyatı yayımlamıyor. Fiyat, yetkili iş ortakları ve distribütörler tarafından teklif usulüyle verilir; cihaz modeline, abonelik paketine ve süresine göre değişir.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Firewall nedir · Cloudflare WAF · ModSecurity ve Coraza · F5 BIG-IP Advanced WAF · Imperva WAF · Barracuda WAF · UTM ve NGFW nedir