Apa Itu WAF dan Application Control: Dua Istilah yang Sering Tertukar, dan Kapan Masing-masing Dibutuhkan

Pertanyaan ini datang hampir setiap kali sebuah organisasi baru selesai memasang firewall: “kami sudah punya firewall, apakah masih perlu WAF?” Kadang muncul dalam bentuk lain yang lebih membingungkan lagi, ketika istilah application control ikut terbawa ke percakapan yang sama.

Ketiganya memang mengandung kata yang mirip dan sama-sama berurusan dengan lalu lintas jaringan. Tapi ketiganya bekerja di lapisan berbeda dan menjawab persoalan yang berbeda pula.

Tiga hal yang sering dikira sama

Perbedaan arah lalu lintasnya juga layak diperhatikan. WAF melindungi aplikasi Anda dari permintaan yang datang dari luar. Application control mengatur apa yang boleh dijangkau pengguna Anda ke luar. Yang satu menjaga pintu masuk, yang lain menjaga pintu keluar.

Apa yang sebenarnya dikerjakan WAF

WAF berdiri di depan aplikasi web dan membaca setiap permintaan yang masuk sebelum diteruskan. Yang dicarinya adalah pola yang menandakan upaya penyerangan:

• Injeksi SQL — potongan perintah basis data yang diselipkan ke kolom isian, dengan harapan aplikasi ikut menjalankannya.
• Cross-site scripting — kode yang disisipkan agar berjalan di peramban pengunjung lain.
• Path traversal — upaya menaiki struktur direktori untuk membaca berkas yang seharusnya tidak terjangkau.
• Upaya eksploitasi celah kerangka kerja — permintaan yang mengincar kerentanan yang sudah diketahui pada pustaka atau CMS yang dipakai.
• Lalu lintas otomatis yang mencurigakan — pemindai kerentanan, upaya menebak kata sandi berulang, dan pengambilan data massal.

Selain memeriksa pola, WAF juga jadi tempat yang praktis untuk membatasi laju permintaan — misalnya berapa kali satu alamat boleh mencoba masuk dalam satu menit. Pembatasan sederhana ini menghentikan sebagian besar upaya menebak kata sandi tanpa perlu mengubah apa pun di sisi aplikasi.

Yang tidak diselesaikan WAF

Bagian ini penting, karena WAF kerap dijual — dan dibeli — seolah menutup seluruh risiko aplikasi. Tiga hal berikut berada di luar jangkauannya:

1. Kelemahan logika bisnis. Bila aplikasi mengizinkan pengguna mengubah nomor pesanan di alamat URL lalu melihat pesanan orang lain, permintaan itu terlihat sepenuhnya normal bagi WAF. Tidak ada pola serangan di dalamnya — yang salah adalah aturan di dalam aplikasinya.
2. Kredensial yang bocor. Orang yang masuk memakai nama pengguna dan kata sandi yang benar bukan anomali bagi WAF, meski kata sandi itu didapat dari kebocoran situs lain.
3. Kesalahan otorisasi. Pengguna biasa yang bisa membuka halaman administrator karena pengecekan haknya tidak dipasang di sisi peladen adalah persoalan kode, bukan persoalan lalu lintas.

Di mana WAF benar-benar berguna

Setelah semua batasan di atas, ada satu kegunaan yang membuat WAF layak dipasang di banyak organisasi: menambal secara virtual.

Ketika ditemukan celah pada aplikasi yang perbaikannya butuh waktu berminggu-minggu — karena kodenya lama, vendornya lambat, atau pengembangnya sudah tidak ada — aturan WAF bisa disusun untuk memblokir pola permintaan yang mengeksploitasi celah itu. Celahnya tetap ada, tapi jalan menuju ke sana tertutup sementara.

Bagi organisasi yang menjalankan aplikasi lama yang tidak bisa disentuh — dan itu kondisi yang sangat umum pada sistem inti perbankan dan sistem informasi rumah sakit — kemampuan ini sering jadi alasan utama pengadaannya. Kaitannya dengan penjadwalan perbaikan dibahas di patching dalam keamanan siber.

Memasangnya tanpa mengganggu layanan

Kekhawatiran yang paling sering menunda pemasangan WAF adalah takut memblokir transaksi yang sah — dan kekhawatiran itu beralasan. Aturan bawaan yang terlalu ketat bisa menolak unggahan berkas yang wajar, atau menganggap isian formulir panjang sebagai upaya injeksi.

Urutan pemasangan yang aman kira-kira begini:

1. 01

   Jalankan dalam mode pemantauan

   Selama beberapa minggu, WAF hanya mencatat tanpa memblokir apa pun. Ini memberi gambaran nyata soal lalu lintas aplikasi Anda, bukan gambaran umum dari dokumentasi vendor.

2. 02

   Periksa catatan yang akan terblokir

   Telusuri mana yang benar-benar serangan dan mana yang sebenarnya pemakaian wajar. Bagian kedua inilah yang jadi bahan penyesuaian aturan.

3. 03

   Longgarkan aturan pada jalur yang perlu

   Umumnya di sekitar unggahan berkas, kolom teks panjang, dan titik integrasi dengan sistem lain. Pengecualiannya dibuat sempit — untuk jalur tertentu, bukan untuk seluruh aplikasi.

4. 04

   Nyalakan pemblokiran bertahap

   Mulai dari kategori serangan yang paling jelas dan paling sedikit menimbulkan salah tebak, seperti injeksi SQL. Kategori yang lebih rentan keliru dinyalakan belakangan.

5. 05

   Sediakan jalur pelaporan

   Pengguna yang transaksinya tertolak perlu tahu ke mana mengadu, dan tim perlu bisa memeriksa cepat apakah itu pemblokiran keliru. Tanpa jalur ini, keluhan pertama biasanya berujung pada WAF dimatikan seluruhnya.

Bentuk WAF yang tersedia

Ada tiga cara memasangnya, dan pilihannya lebih ditentukan oleh di mana aplikasi Anda berjalan daripada oleh perbandingan fitur:

Untuk sektor yang diatur ketat, catatan pada baris ketiga bukan formalitas. Lalu lintas yang melewati layanan awan berarti data di dalamnya melintasi infrastruktur pihak lain, dan itu perlu dipastikan sesuai ketentuan sebelum diputuskan.

Kembali ke application control

Fitur ini biasanya sudah ada pada firewall generasi sekarang, dan gunanya berbeda sama sekali dari WAF: mengenali aplikasi apa yang dipakai dari dalam jaringan, lalu mengizinkan atau membatasinya.

Kegunaannya paling terasa pada dua hal. Pertama, membatasi aplikasi berbagi berkas dan penyimpanan awan pribadi di jaringan yang menangani data sensitif — jalur keluar data yang paling sering terlupakan. Kedua, memastikan bandwidth tidak habis oleh lalu lintas yang tidak berkaitan dengan pekerjaan.

Perlu dicatat, pembatasan semacam ini menyentuh kebiasaan kerja orang, sehingga penerapannya sebaiknya dibicarakan lebih dulu dan dituangkan dalam kebijakan tertulis. Diberlakukan diam-diam, yang muncul biasanya bukan kepatuhan melainkan pencarian jalan memutar.

Jadi mana yang dibutuhkan

Pertanyaannya sebenarnya bukan memilih salah satu, melainkan mencocokkan dengan apa yang Anda punya:

• Punya aplikasi web yang diakses dari luar — dari portal nasabah sampai sistem antrean pasien: WAF relevan.
• Ingin mengatur apa yang boleh diakses karyawan dari kantor: application control, dan kemungkinan besar fiturnya sudah ada di firewall Anda sekarang.
• Belum punya keduanya dan anggarannya terbatas: dahulukan yang melindungi sisi yang terpapar publik, karena di situlah upaya penyerangan datang tanpa henti.

Penutup

WAF menutup satu lapisan yang tidak terlihat oleh firewall jaringan, dan lapisan itu memang tempat sebagian besar serangan terhadap aplikasi web terjadi. Tapi ia bekerja paling baik ketika diperlakukan sebagai lapisan tambahan, bukan sebagai jawaban tunggal — dan ketika dipasang dengan sabar lewat mode pemantauan lebih dulu, bukan dinyalakan penuh pada hari pertama lalu dimatikan pada hari kedua karena ada transaksi yang tertolak.