Web Application Firewall (WAF): Pengertian dan Cara Kerjanya

Web application firewall (WAF) adalah sistem keamanan yang memeriksa lalu lintas HTTP menuju aplikasi web dan memblokir permintaan yang cocok dengan pola serangan, seperti SQL injection dan XSS. Berbeda dengan firewall jaringan yang bekerja pada alamat IP dan port, WAF membaca isi permintaan di lapisan aplikasi. Artikel ini membahas cara kerja WAF, jenis penerapannya, serta batas kemampuannya agar Anda tidak keliru menjadikannya satu-satunya pertahanan.

Apa Itu Web Application Firewall?

Menurut OWASP, WAF adalah application firewall untuk aplikasi HTTP. Bila proxy biasa melindungi klien, WAF melindungi server, dan dapat dipandang sebagai reverse proxy yang ditempatkan di depan satu atau beberapa aplikasi. WAF menerapkan seperangkat aturan pada lalu lintas HTTP, dan aturan itu umumnya menyasar serangan yang sering terjadi seperti cross-site scripting dan SQL injection.

Perbedaannya dengan firewall jaringan cukup mendasar. Firewall jaringan memutuskan apakah koneksi dari sebuah alamat ke sebuah port boleh lewat. Permintaan HTTP yang tampak sah di lapisan itu tetap bisa membawa muatan berbahaya di dalam URL, header, atau body, dan di sinilah WAF masuk.

Bagaimana Cara Kerja WAF?

Alurnya kurang lebih seperti berikut:

1. Permintaan dari pengunjung diterima WAF sebelum sampai ke aplikasi.
2. WAF membandingkan properti permintaan, seperti alamat IP, path URL, header, dan isi body, dengan seperangkat aturan.
3. Permintaan yang cocok dengan aturan serangan diblokir, ditantang, atau dicatat saja sesuai kebijakan.
4. Permintaan yang bersih diteruskan ke aplikasi, dan hasil pemeriksaan tercatat sebagai log keamanan.

Aturan dapat berbasis tanda tangan (pola serangan yang dikenal), berbasis daftar izin dan daftar blokir, atau berbasis penilaian perilaku. Contoh dokumentasi vendor: WAF Cloudflare menyaring permintaan web dan API memakai ruleset yang dapat mencocokkan alamat IP, path URL, header, dan isi body, dengan managed rules yang diperbarui berkala serta custom rules dan rate limiting rules. Fitur yang tersedia berbeda antarpaket.

Jenis-Jenis Penerapan WAF

OWASP menyebut WAF dapat berbentuk appliance, plugin server, atau filter. Dalam praktik, pilihannya biasanya dikelompokkan sebagai berikut:

• WAF berbasis jaringan atau appliance: perangkat keras atau virtual di depan server. Kinerja tinggi, tetapi biaya dan perawatannya lebih besar.
• WAF berbasis host atau plugin: terintegrasi di web server atau aplikasi, misalnya lewat mesin ModSecurity atau Coraza. Fleksibel dan dapat disesuaikan, tetapi memakai sumber daya server yang sama dengan aplikasi.
• WAF berbasis cloud: layanan yang dipasang di depan situs lewat pengaturan DNS atau proxy. Pemasangan cepat dan aturan dikelola penyedia. Contohnya dibahas di artikel tentang Cloudflare.

Proyek OWASP Core Rule Set (CRS) menyediakan aturan deteksi serangan generik untuk ModSecurity atau WAF yang kompatibel, dengan tujuan perlindungan yang minim peringatan palsu. Menurut situsnya, cakupannya meliputi SQL injection, XSS, file inclusion, injeksi kode dan shell, session fixation, deteksi pemindai dan bot, serta kebocoran metadata dan error. Aturan ini berjalan di mesin seperti ModSecurity dan Coraza.

Apa yang Dapat Dilakukan WAF?

• Memblokir pola serangan aplikasi yang sudah dikenal sebelum sampai ke kode Anda.
• Memberi perlindungan sementara (virtual patching) ketika perbaikan kode belum siap.
• Membatasi laju permintaan untuk meredam brute force dan lonjakan lalu lintas otomatis. Serangan yang menyasar ketersediaan, seperti DDoS, juga dapat diredam sebagian.
• Menghasilkan log dan analitik yang membantu tim keamanan melihat apa yang ditolak dan dari mana asalnya.

Batas Kemampuan WAF

WAF bukan peluru perak. OWASP mencatat bahwa menyesuaikan WAF dengan sebuah aplikasi bisa memakan usaha besar dan harus dipelihara seiring perubahan aplikasi. Cheat sheet pencegahan XSS dari OWASP bahkan menyatakan WAF dan filter permintaan bukan pertahanan XSS yang andal. Beberapa keterbatasan yang perlu diperhitungkan:

• Peringatan palsu (false positive): aturan yang terlalu ketat dapat memblokir pengguna sah, misalnya formulir yang memuat teks mirip pola serangan. Mulai dari mode pemantauan, tinjau log, baru perketat.
• Penghindaran (bypass): penyerang gigih dapat mencari bentuk muatan yang lolos dari aturan. Karena itu akar masalah di kode tetap harus diperbaiki.
• Logika bisnis dan kontrol akses: WAF sulit menilai apakah pengguna berhak atas sebuah data. Kerentanan seperti ini harus ditangani di aplikasi.
• Aturan harus dipelihara: aplikasi yang berubah menuntut aturan yang ikut disesuaikan.

Pendekatan yang sehat adalah memakai WAF sebagai satu lapisan dalam pertahanan berlapis, bersama pengkodean aman, pembaruan rutin, dan header seperti Content Security Policy. Menguji efektivitas WAF terhadap aplikasi hanya boleh dilakukan pada sistem milik sendiri atau dengan izin tertulis, karena akses tanpa hak melanggar Pasal 332 KUHP.

Pertanyaan yang Sering Diajukan

Apakah WAF sama dengan firewall biasa?

Tidak. Firewall jaringan mengatur koneksi berdasarkan IP dan port, sedangkan WAF memeriksa isi permintaan HTTP di lapisan aplikasi. Keduanya saling melengkapi.

Apakah website kecil perlu WAF?

Perlu dipertimbangkan, terutama bila situs memakai CMS atau plugin yang sering menjadi sasaran pemindaian otomatis. WAF berbasis cloud relatif mudah dipasang, dan sebagian penyedia memiliki paket dasar. Cek fitur yang tersedia pada paket yang Anda pilih.

Bila sudah memakai WAF, apakah masih perlu memperbaiki kode?

Ya. WAF mengurangi risiko, bukan menghilangkan celah. Kode yang rentan tetap rentan, dan WAF yang salah konfigurasi atau terlewati akan membuatnya langsung terpapar.

Apa itu OWASP Core Rule Set?

Kumpulan aturan deteksi serangan generik untuk ModSecurity dan WAF yang kompatibel, yang melindungi dari kategori risiko seperti yang ada di OWASP Top 10.

Kesimpulan

WAF memeriksa lalu lintas HTTP, memblokir pola serangan umum, dan memberi waktu bagi tim untuk menambal celah. Nilainya paling besar bila dipasang sebagai satu lapisan di antara lapisan lain dan dipantau secara berkala. Jika organisasi Anda ingin menilai seberapa efektif perlindungan aplikasinya, Linuxhackingid menyediakan layanan keamanan untuk organisasi dengan pengujian yang dilakukan atas izin tertulis.