Imperva WAF, web uygulamalarını ve API'leri uygulama katmanındaki saldırılara karşı koruyan bir web uygulama güvenlik duvarı (WAF) ürün ailesidir. Imperva'nın resmi sayfasına göre aile üç dağıtım seçeneğinden oluşur: SaaS olarak sunulan Cloud WAF, kurumun kendi ortamında kurup yönettiği WAF Gateway ve Kubernetes üzerinde müşteri ortamında çalışan Elastic WAF.
Imperva, 4 Aralık 2023 tarihli basın bültenine göre Thales tarafından satın alındı. Bugün imperva.com sayfalarında Thales Cybersecurity logosu yer alıyor ve ürün belgeleri Thales'in belge portalında yayımlanıyor. Bu yazıda Imperva WAF ailesini, belgelenen korumaları ve hangi seçeneğin hangi senaryoya uyduğunu anlatıyoruz. WAF'ın genel firewall içindeki yeri için güvenlik duvarı (firewall) nedir yazısına bakabilirsiniz.
Imperva ve Thales: sahiplik durumu
Imperva'nın kendi sitesinde yayımlanan bültene göre Thales, Imperva'nın satın alınmasını 4 Aralık 2023'te, önceden beklenenden erken tamamladı ve entegrasyonun Ocak ayında başlayacağını duyurdu. Ürün adları hâlâ "Imperva" markasıyla anılıyor; resmi sayfalarda Thales markası da birlikte görünüyor.
Imperva WAF ailesi
| Seçenek | Nerede çalışır | Imperva sayfasındaki odak |
|---|---|---|
| Cloud WAF | Imperva tarafından SaaS olarak | Bulut tabanlı web uygulaması ve API koruması, Imperva Management Console ile yönetim |
| WAF Gateway | Kurumun kendi ortamında | Yerel kurulum ve yönetim; buluta taşınamayan eski uygulamalar ve veri egemenliği gereksinimleri |
| Elastic WAF | Müşteri ortamında Kubernetes üzerinde, SaaS ile yönetim | DevOps ve CI/CD süreçleri |
Cloud WAF nasıl çalışır?
Imperva Cloud WAF sayfası, hizmeti Imperva Management Console üzerinden yönetilen SaaS tabanlı bir hizmet olarak tanımlıyor. Sayfadaki öne çıkan noktalar:
- Blocking modda başlama: Imperva, Cloud WAF'ın en baştan blocking modda devreye alınabileceğini belirtiyor ("Deploy in block mode, in minutes").
- Yönetilen kurallar: Kuralları Imperva Threat Research ekibi yazıp test ediyor; sayfaya göre günlük güncellemeler ve kritik tehditler için gerçek zamanlı güncellemeler yayımlanıyor.
- Bot koruması, API güvenliği ve makine öğrenmesi: OWASP Top 10 tehditlerine karşı birlikte kullanılıyor.
- Attack Analytics: binlerce güvenlik uyarısını makine öğrenmesiyle ilişkilendirip saldırının kaynağını, yöntemini ve önem derecesini gösteren olaylara dönüştürüyor.
- Upload Scan and Control: yüklenen dosyaları uygulama sunucusuna ulaşmadan önce doğrulama ve tarama.
- Kurumsal SSL yönetimi: otomatik sertifika yenileme ve alan adı doğrulama.
- Otomasyon: Imperva'nın Terraform provider'ı ile dağıtım ve yapılandırmanın otomatikleştirilmesi.
WAF Gateway: kendi ortamınızda Imperva
WAF Gateway, Imperva'nın yerel olarak kurulup yönetilen seçeneğidir. Imperva genel WAF sayfası bu seçeneği özellikle buluta taşınamayan eski (legacy) uygulamalar ve verinin belirli bir ülkede ya da kurum içinde kalması gereken (data sovereignty) durumlar için konumluyor. Kurulum biçimleri, ağ modları ve donanım seçenekleri sürüme göre değiştiğinden, kullanacağınız sürümün Thales belge portalındaki yönetim kılavuzunu esas alın.
Hangi korumalar listeleniyor?
Imperva'nın WAF sayfasında aile genelinde şu koruma başlıkları geçiyor:
| Koruma | Açıklama |
|---|---|
| SQL injection ve XSS | Klasik enjeksiyon ve betik saldırıları |
| OWASP Top 10 | OWASP web ve API saldırı kategorileri |
| Kötü niyetli botlar | Hesap ele geçirme (account takeover) ve içerik kazıma (scraping) dahil |
| API saldırıları | API trafiğine yönelik saldırılar |
| Zararlı dosya yükleme | Upload Scan and Control ile |
| Yönetilen kurallar | Günlük ve kritik tehditlerde gerçek zamanlı güncellenen kurallar |
| Attack Analytics | Güvenlik olaylarının ilişkilendirilmesi |
Lisanslama ve fiyat
Bu üretici herkese açık bir liste fiyatı yayımlamıyor. Fiyat, yetkili iş ortakları ve distribütörler tarafından teklif usulüyle verilir; seçilen model veya kapasiteye, eklenen modüllere ve abonelik süresine göre değişir.
Hangi seçenek hangi senaryoya uygun?
- Cloud WAF: donanım kurmadan, hızlı devreye almak isteyen ve trafiğini bir SaaS hizmetinden geçirmekte sakınca görmeyen ekipler.
- WAF Gateway: uygulamaları veri merkezinde kalan, trafiğin kurum dışına çıkmasını istemeyen ya da mevzuat gereği veriyi yerinde tutması gereken kurumlar.
- Elastic WAF: Kubernetes ve CI/CD süreçleriyle çalışan ekipler.
Benzer şekilde SaaS olarak çalışan bir WAF için Cloudflare WAF, cihaz ve sanal seçenekleri olan ürünler için F5 BIG-IP Advanced WAF, FortiWeb ve Barracuda WAF yazılarına bakabilirsiniz. Ücretsiz ve açık kaynak bir seçenek arıyorsanız ModSecurity ve Coraza ile Nginx WAF yazısı başlangıç için uygundur.
Dikkat edilmesi gerekenler
- SaaS bir WAF'ta trafik sağlayıcının altyapısından geçer; HTTPS trafiğinin incelenmesi için sertifika yönetimini planlamanız gerekir.
- Origin sunucunuz doğrudan internetten erişilebilir kalırsa saldırgan WAF'ı atlayabilir; origin erişimini kısıtlamayı düşünün (VPS güvenlik sertleştirme).
- "Near-zero false positives" gibi pazarlama ifadeleri yerine kendi trafiğinizle deneme yapın ve logları inceleyin.
Sık Sorulan Sorular
Imperva hâlâ bağımsız bir şirket mi?
Hayır. Imperva'nın yayımladığı basın bültenine göre Thales, Imperva'yı satın alma işlemini 4 Aralık 2023'te tamamladı. Ürünler Imperva markasıyla anılmaya devam ediyor.
Imperva Cloud WAF ile WAF Gateway arasındaki fark nedir?
Cloud WAF Imperva tarafından SaaS olarak işletilir; WAF Gateway ise kurumun kendi ortamında kurulur ve yönetilir. Seçim, trafiğin nereden geçmesi gerektiğine ve operasyon yükünü kimin taşıyacağına bağlıdır.
Imperva Cloud WAF DDoS koruması da sağlıyor mu?
Imperva, DDoS korumasını Cloud WAF sayfasında WAF özelliği olarak değil, ayrı bir ürün olarak gösteriyor. İhtiyacınız varsa ayrıca değerlendirin.
Imperva WAF fiyatı ne kadar?
Imperva herkese açık liste fiyatı yayımlamıyor; fiyat yetkili iş ortaklarından teklifle alınır ve seçenek, kapsam ve abonelik süresine göre değişir.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Güvenlik duvarı nedir · Cloudflare WAF kuralları · FortiWeb nedir · F5 BIG-IP Advanced WAF nedir · Barracuda WAF nedir · ModSecurity ve Coraza ile Nginx WAF · DDoS koruma rehberi