Jasa Pasang WAF untuk Aplikasi Web

Web application firewall Indonesia: di server atau di tepi

Pilihan pertama yang menentukan segalanya: WAF dipasang di server Anda sendiri, atau di layanan tepi seperti Cloudflare. Untuk kebutuhan web application firewall Indonesia dengan pertimbangan latensi, keduanya punya alasan masing-masing.

WAF di server — ModSecurity di depan Nginx atau Apache — memberi kendali penuh dan tidak memerlukan lalu lintas melewati pihak ketiga. Ia juga tetap bekerja untuk lalu lintas yang datang langsung ke IP server, bukan lewat nama domain.

WAF di tepi menyaring sebelum lalu lintas mencapai jaringan Anda, jadi serangan volumetrik tidak sampai membebani server. Kelemahannya: perlindungan itu bisa dilewati bila IP asli server masih bisa ditemukan dan diakses langsung.

Yang kami sarankan untuk sebagian besar kasus adalah keduanya, dengan pembagian tugas — tepi menahan volume dan bot, server menangani aturan yang spesifik ke aplikasi.

ModSecurity OWASP CRS dan penyetelan positif palsu

Kombinasi ModSecurity OWASP CRS adalah standar yang paling banyak dipakai: mesin WAF sumber terbuka dengan kumpulan aturan yang dirawat komunitas dan mencakup kategori serangan utama.

Masalah yang selalu muncul pada pemasangan bawaan adalah positif palsu. Aturan CRS pada tingkat paranoia standar akan memblokir hal-hal yang wajar pada aplikasi tertentu — editor konten yang mengirim HTML, unggahan berkas besar, atau parameter yang berisi karakter yang dianggap mencurigakan.

Karena itu urutan kerja kami tetap: jalankan dalam mode `DetectionOnly` beberapa hari, kumpulkan log, identifikasi aturan mana yang memicu pada lalu lintas sah, buat pengecualian yang sempit — per aturan dan per lokasi, bukan mematikan seluruh kategori — lalu baru nyalakan mode blokir.

Melewati tahap pengamatan itu adalah penyebab paling umum WAF akhirnya dimatikan seluruhnya karena "mengganggu".

Proteksi SQL injection dan celah yang paling sering dipakai

Kemampuan proteksi SQL injection pada WAF bekerja dengan mengenali pola dalam parameter permintaan — potongan sintaks SQL di tempat yang seharusnya berisi angka atau teks biasa.

Ia efektif untuk serangan otomatis, yang merupakan mayoritas. Untuk serangan yang dirancang khusus terhadap aplikasi Anda dan diacak untuk menghindari pola, WAF bisa dilewati — dan itu sebabnya ia disebut lapisan, bukan solusi.

Selain SQL injection, aturan yang paling sering benar-benar menahan sesuatu mencakup XSS, upaya membaca berkas di luar direktori web, eksekusi perintah lewat parameter, dan permintaan ke jalur yang khas alat pemindai — `/wp-admin` pada situs yang bukan WordPress, atau `/.env` pada situs apa pun.

Blokir bot berbahaya tanpa memblokir mesin pencari

Pekerjaan blokir bot berbahaya menuntut pembedaan yang cukup teliti. Lalu lintas bot bisa mencapai sebagian besar total permintaan, dan sebagian besarnya bukan pengunjung — tapi tidak semuanya perlu diblokir.

Bot mesin pencari harus tetap masuk, dan memblokirnya berakibat langsung pada peringkat pencarian. Verifikasinya tidak cukup dari `User-Agent` yang mudah dipalsukan; yang benar adalah pemeriksaan DNS balik ke domain resminya.

Yang layak dibatasi: pemindai kerentanan, pengumpul konten massal, dan upaya login berulang. Untuk yang terakhir, pembatasan laju per IP pada endpoint login lebih efektif daripada aturan pola apa pun.

Cloudflare WAF dan aturan khusus per aplikasi

Untuk pemakaian Cloudflare WAF, aturan terkelola bawaan sudah menangani kategori serangan umum tanpa penyetelan. Yang biasanya perlu ditambahkan adalah aturan khusus yang mengikuti bentuk aplikasi Anda.

• Pembatasan akses ke jalur administrasi hanya dari daftar IP tertentu.
• Pembatasan laju pada endpoint login, pendaftaran, dan pencarian.
• Blokir berdasarkan negara bila layanan Anda hanya melayani wilayah tertentu.
• Tantangan bagi lalu lintas dari jaringan hosting dan data center yang tidak wajar mengakses situs.
• Penyembunyian IP asli server, supaya perlindungan tepi tidak bisa dilewati.

Rate limiting dan perlindungan terhadap lonjakan

Sebagian serangan tidak berbentuk permintaan berbahaya, tapi permintaan wajar dalam jumlah tidak wajar. Untuk itu aturan pola tidak menolong; yang diperlukan pembatasan laju.

Yang kami pasang biasanya berlapis: batas per IP pada endpoint yang mahal seperti pencarian dan login, batas lebih longgar untuk halaman biasa, dan tantangan bagi lalu lintas yang melewati batas alih-alih memblokirnya langsung. Memblokir keras berisiko mengenai kantor yang penggunanya berbagi satu alamat IP.

Untuk serangan volumetrik yang benar-benar besar, perlindungan harus berada di tepi jaringan — kapasitas jalur ke server Anda akan penuh sebelum servernya sendiri kewalahan. Ini salah satu alasan kami menyarankan lapisan tepi meski WAF di server sudah ada.