في كل مرة يزور فيها أحدهم موقعك الإلكتروني، يُتخذ قرار في أجزاء من الثانية. هل هذا زائر حقيقي أم بوت يحاول استغلال ثغرة في إحدى الإضافات؟ هل نموذج الإرسال هذا شرعي أم محاولة SQL injection؟ يتخذ جدار حماية تطبيقات الويب هذه القرارات باستمرار، ومعظم أصحاب المواقع لا يرون ذلك يحدث أبدًا. لكن فهم كيفية اتخاذ هذه القرارات يساعدك على ضبط دفاعاتك بشكل أفضل ومعالجة الحالات النادرة من الإنذارات الكاذبة.
دعنا نكشف الستار عن كيفية عمل قواعد WAF فعليًا.
ما الذي يفحصه جدار حماية تطبيقات الويب فعليًا
يقع جدار حماية تطبيقات الويب بين حركة المرور الواردة وموقعك، ويفحص طلبات HTTP وHTTPS قبل وصولها إلى كود تطبيقك. إنه ينظر إلى أكثر من مجرد الرابط. فهو يفحص:
- ترويسات الطلب، بما في ذلك سلاسل user-agent ومعلومات الإحالة
- معاملات الاستعلام وبيانات POST
- ملفات تعريف الارتباط ورموز الجلسة
- الملفات المرفوعة ومحتوياتها
- تكرار الطلبات وأنماطها من عنوان IP واحد
يتم فحص كل واحد من هذه العناصر مقابل مجموعة من القواعد قبل السماح للطلب بالمرور. إذا بدا شيء ما غير طبيعي، يمكن لجدار الحماية حظره، أو وضع علامة عليه، أو تحديه بشيء مثل CAPTCHA.
الأنواع الثلاثة الرئيسية لقواعد WAF
1. القواعد المبنية على التوقيعات
هذه هي الأساس الذي تعتمد عليه معظم جدران الحماية. تبحث قاعدة التوقيع عن أنماط هجوم معروفة، مثل السلسلة ' OR '1'='1، وهي محاولة كلاسيكية من نوع SQL injection. قواعد التوقيع سريعة وموثوقة في اكتشاف الهجمات الموثقة جيدًا، لكنها تعمل فقط ضد التهديدات التي سبق لأحد رصدها وتصنيفها.
هنا تبرز أهمية المعايير الصناعية. مجموعة OWASP Core Rule Set (CRS) هي أكثر مجموعات قواعد التوقيع مفتوحة المصدر استخدامًا، وتغطي فئات OWASP Top 10 مثل هجمات الحقن (injection)، والبرمجة عبر المواقع (cross-site scripting)، وتضمين الملفات عن بعد. تعتمد معظم جدران الحماية التجارية وتلك المستخدمة على مستوى الاستضافة عليها كأساس.
2. القواعد السلوكية والمبنية على معدل الطلبات
ليس كل هجوم له توقيع يمكن التعرف عليه. غالبًا ما تبدو محاولات تخمين كلمات المرور (brute force)، وحشو بيانات الاعتماد (credential stuffing)، وسحب المحتوى وكأنها طلبات عادية إذا نظرت إليها فرادى، لكن النمط العام يفضحها. قد تنص قاعدة سلوكية على: حظر أي عنوان IP يصل إلى /wp-login.php أكثر من 10 مرات خلال 60 ثانية. هذا يكتشف الهجمات التي لا تعتمد على حمولات ضارة على الإطلاق، بل على الحجم والتكرار فقط.
3. قواعد نموذج الأمان الإيجابي
بدلاً من محاولة سرد كل شيء سيئ (وهو أمر مستحيل)، يحدد نموذج الأمان الإيجابي بالضبط كيف يجب أن يبدو الطلب الصالح لنقطة نهاية معينة، ثم يحظر أي شيء يخرج عن ذلك. إذا كان نموذج الاتصال لديك يقبل فقط حقول الاسم والبريد الإلكتروني والرسالة، فإن القاعدة الإيجابية ترفض أي طلب يضيف حقولًا إضافية أو أنواع بيانات غير متوقعة. هذا النهج أكثر صرامة في الإعداد لكنه يكتشف هجمات جديدة كليًا كانت ستفوت القواعد المبنية على التوقيعات تمامًا.
كيف يعمل تسجيل النقاط وحدود الشذوذ في القواعد
نادرًا ما تحظر جدران حماية تطبيقات الويب الحديثة بناءً على تطابق قاعدة واحدة فقط. بدلاً من ذلك، تستخدم نظام تسجيل نقاط للشذوذ. كل قاعدة تتطابق مع طلب ما تضيف نقاطًا إلى مجموع متراكم. انتهاكات القواعد الحرجة، مثل نمط SQL injection واضح، قد تضيف 5 نقاط. الشذوذ البسيط، مثل ترويسة مفقودة، قد يضيف نقطة واحدة.
بمجرد أن يتجاوز المجموع حدًا معينًا، يُضبط عادةً كجزء من إعداد OWASP CRS، يُحظر الطلب. يقلل هذا النهج في التسجيل من الإنذارات الكاذبة بشكل كبير مقارنة بنظام "تطابق واحد، حظر فوري" البسيط، لأن حركة المرور الشرعية أحيانًا تُفعّل قاعدة بسيطة دون أن تكون ضارة فعليًا.
من أين تأتي الإنذارات الكاذبة
إذا سبق لك أن تلقيت شكوى من عميل شرعي بأن نموذج إرساله قد حُظر، فقد واجهت إنذارًا كاذبًا. يحدث هذا عادةً بسبب:
- قاعدة واسعة جدًا تلتقط الإدخال العادي مع الإدخال الضار (رسالة تحتوي على كلمة "select" قد تبدو وكأنها صيغة SQL)
- تطبيق يستخدم صيغ طلب غير معتادة لا تطابق النمط المتوقع
- إضافة أو قالب يرسل البيانات بطريقة لم تُضبط مجموعة القواعد لأجلها
الإدارة الجيدة لجدار الحماية تعني مراجعة سجلات الحظر بانتظام وضبط القواعد لتناسب تطبيقك المحدد، وليس فقط ترك الإعدادات الافتراضية كما هي إلى الأبد. الاستضافة المُدارة التي تضبط بنشاط قواعد WAF الخاصة بها بناءً على أنماط حركة المرور الحقيقية من قاعدة عملائها تميل إلى اكتشاف إنذارات كاذبة أقل من مجموعة قواعد عامة موحدة للجميع.
الترقيع الافتراضي: الحظر قبل أن تتمكن من الإصلاح
من أكثر الاستخدامات العملية لقواعد WAF هو الترقيع الافتراضي (virtual patching). عندما تُكشف ثغرة جديدة في نظام إدارة محتوى شهير أو إضافة، عادةً ما تكون هناك فترة من الأيام أو الأسابيع قبل أن يطبق كل موقع التصحيح الرسمي. خلال هذه الفترة، يمكن لجدار الحماية دفع قاعدة مستهدفة تحظر نمط الاستغلال المحدد، مما يوفر وقتًا دون المساس بالكود الفعلي لموقعك. هذا مفيد بشكل خاص لمواقع WordPress التي تشغّل عشرات الإضافات، حيث أن ترقيع كل شيء فورًا ليس واقعيًا دائمًا.
القواعد المخصصة مقابل مجموعات القواعد المُدارة
لديك عمومًا مساران لإعداد جدار حماية تطبيقات الويب:
- مجموعات القواعد المُدارة، التي يحافظ عليها مزود الاستضافة أو مورّد أمني، ويتم تحديثها تلقائيًا مع ظهور تهديدات جديدة
- القواعد المخصصة، المكتوبة لتطبيقك المحدد لحظر أشياء مثل الوصول إلى مسارات الإدارة من دول معينة، أو تركيبات معاملات غير عادية خاصة بإعدادك
معظم المواقع تستفيد من كليهما. تتعامل مجموعة القواعد المُدارة مع المشهد الواسع والمتغير باستمرار للتهديدات، بينما تتعامل القواعد المخصصة مع خصوصيات تطبيقك الخاص. نحن ندير قواعد جدار الحماية على مستوى الخادم كجزء من حزمتنا الأمنية، ونحدّثها كلما ظهرت أنماط هجوم جديدة عبر شبكتنا، حتى لا يضطر أصحاب المواقع الفرديون لتتبع الثغرات (CVEs) بأنفسهم. يمكنك الاطلاع على كيفية ملاءمة ذلك في إعداد أشمل على صفحتنا نظرة عامة على WAF وصفحة جدار الحماية.
ماذا يعني هذا بالنسبة لك
لست بحاجة لكتابة قواعد WAF الخاصة بك للاستفادة من فهم كيفية عملها. معرفة الفرق بين الكشف المبني على التوقيعات والكشف السلوكي يساعدك على طرح أسئلة أفضل عند تقييم استضافة ما، ويوضح لماذا تحدث إنذارات كاذبة عرضية حتى مع نظام مضبوط جيدًا. إذا كنت تحاول معالجة طلب محظور، تحقق مما إذا كان يُفعّل حد معدل، أو تطابق توقيع، أو انحرافًا عن نموذج إيجابي. هذا وحده سيوجهك نحو الحل.
إذا أردت الصورة الأكبر حول سبب أهمية جدار حماية تطبيقات الويب في المقام الأول، فقد تناولنا الأساسيات في ما هو جدار حماية تطبيقات الويب وهل تحتاجه فعلاً؟. وإذا كنت تبني نهجك الأمني الكامل، فإن مقال لماذا تتفوق الحماية الأمنية متعددة الطبقات دائمًا على أي أداة واحدة يستحق القراءة أيضًا.
الخلاصة
جدار حماية تطبيقات الويب ليس صندوقًا أسود يتخذ قرارات عشوائية. إنه يمرر حركة مرورك عبر فحوصات التوقيع، والتحليل السلوكي، وحدود التسجيل، كل ذلك في الوقت الذي تستغرقه الصفحة لتحميلها. فهم هذا المنطق يساعدك على الثقة بالنظام عندما يعمل بشكل صحيح، ومعالجته بسرعة في الحالات النادرة التي لا يعمل فيها كما ينبغي.
