پیکربندی و عیب‌یابی FortiWeb WAF

اگر FortiWeb درست کار نکند، از کجا باید شروع کرد؟

پاسخ کوتاه: اول باید بفهمیم FortiWeb دقیقاً در کدام نقطه مسیر قرار گرفته، کدام Server Policy ترافیک را می‌گیرد، لاگ‌ها چه می‌گویند و کدام Rule باعث Block یا هشدار شده است. بدون این چهار مورد، تغییر دادن Signature یا Exception بیشتر شبیه حدس زدن است تا عیب‌یابی.

چک‌لیست سریع قبل از تغییر Policy

• Hostname، Virtual Server، IP مقصد، SSL و مسیر برگشت ترافیک را روشن کنید.
• لاگ‌ها را بر اساس URL، Client IP، Rule ID و Severity جدا کنید.
• برای Login، Upload، API و پنل مدیریتی یک رفتار واحد فرض نکنید؛ هرکدام تست جدا می‌خواهد.
• قبل از فعال‌سازی Block، چند سناریوی سالم و چند سناریوی مخرب ساده را تست کنید.
• Exception را تا جای ممکن محدود به همان URL، Parameter یا Rule نگه دارید.

علت‌های رایج False Positive در FortiWeb

بیشتر خطاهای اشتباه از سخت‌گیری کلی نمی‌آیند؛ از نشناختن رفتار واقعی اپلیکیشن می‌آیند. فرم‌هایی که ورودی طولانی دارند، APIهایی که JSON پیچیده می‌فرستند، فایل‌های Upload، مسیرهای Login و پنل‌های ادمین معمولاً باید دقیق‌تر بررسی شوند. راه درست این نیست که دفاع خاموش شود؛ باید علت هشدار مشخص و استثنا محدود نوشته شود.

روش بررسی پیشنهادی

• یک بازه لاگ کوتاه ولی واقعی انتخاب کنید؛ مثلاً زمان بروز خطا یا تست کاربر.
• ابتدا Ruleهای پرتکرار و اثرگذار را جدا کنید، نه همه هشدارها را با هم.
• برای هر تغییر، وضعیت قبل و بعد را با همان درخواست تست کنید.
• اگر سرویس حساس است، تغییر را مرحله‌ای از Monitor به Alert و بعد Block ببرید.

اشتباهاتی که در پیکربندی WAF زیاد دیده می‌شود

• بردن کل Policy به حالت Block بدون baseline گرفتن از لاگ‌ها.
• خاموش کردن یک دسته کامل Signature به‌خاطر یک خطای محدود.
• نداشتن مسیر Rollback برای تغییرات WAF در ساعت کاری.
• بررسی نکردن اثر CDN، Reverse Proxy یا SSL Offload روی لاگ‌ها.

لینک‌های مرتبط برای ادامه

برای مبانی محصول، صفحه FortiWeb و WAF فورتی‌نت را بخوانید. برای مسیر اجرایی از Monitor تا Block، مقاله راه‌اندازی FortiWeb بدون دردسر False Positive مکمل همین خدمت است. اگر مسئله شما تنظیم ریز Exceptionهاست، راهنمای کاهش False Positive در FortiWeb WAF هم مسیر دقیق‌تری می‌دهد. درباره زمینه کاری نویسنده هم صفحه علیرضا عربیان در دسترس است.

واژه‌نامه کوتاه

Server Policy: نقطه‌ای که FortiWeb مسیر سرویس، Hostname، SSL و پروفایل‌های امنیتی را کنار هم اعمال می‌کند. False Positive: وقتی WAF یک درخواست سالم را اشتباهاً مخرب تشخیص می‌دهد. Monitor Mode: حالت مشاهده و لاگ‌گیری بدون قطع کردن درخواست کاربر.

جمع‌بندی عملی: پیکربندی FortiWeb باید از مشاهده و لاگ شروع شود. اگر علت Block مشخص باشد، هم امنیت حفظ می‌شود هم سرویس بی‌دلیل مختل نمی‌شود.