b'\n_START_ARTICLE_\nTembok api aplikasi web\n_START_SECTION_\nDeskripsi\n_START_PARAGRAPH_\nAplikasi web tembok api adalah sejenis aplikasi khas yang digunakan khusus untuk aplikasi-aplikasi web. Ia dipasangkan di hadapan aplikasi-aplikasi web dan menganalisis trafik berasaskan web dua-arah (HTTP) \xe2\x80\x93 mengesan dan menghalang sebarang kod hasad. OWASP memberi definisi teknikal yang luas untuk WAF sebagai \xe2\x80\x9cpenyelesaian sekuriti pada tahap aplikasi web tanpa bergantung pada aplikasi itu sendiri, dari sudut teknikal.\xe2\x80\x9d Menurut maklumat tambahan dari PCI DSS untuk keperluan 6.6, WAF ditakrifkan sebagai \xe2\x80\x9ctitik penguatkuasaan dasar sekuriti yang diposisikan antara\xc2\xa0 suatu aplikasi web serta titik hujung pelayan-nya. Ia boleh dilaksanakan di dalam perisian atau perkakasan, berfungsi dalam peranti perkakas atau dalam pelayan biasa yang menjalankan sistem operasi umum. Ia juga boleh berfungsi sebagai peranti yang tersendiri atau pun disambung ke komponen-komponen rangkaian yang lain. Dengan kata lain, bentuk WAF tidak kira sebagai perkakas atau dalam bentuk maya, berfungsi untuk mengukuhkan aplikasi web dan melindungi-nya daripada dieksploitasi oleh ancaman luar. Kerentanan dalam aplikasi web mungkin disebabakan aplikasi itu sendiri diwariskan atau rekaan kod produk tidak lengkap. WAF menangani kekurangan itu dengan mengkonfigurasikan set peraturan yang khas, yang juga dikenali sebagai dasar.\xc2\xa0_NEWLINE_Kerentanan dulu boleh diuji melalui ujian penembusan (penetration testing) atau melalui pengimbasan kerentanan (vulnerability scanner). Pengimbasan kerentanan aplikasi web atau pengimbas sekuriti aplikasi web, ditakrifkan dalam SAMATE NIST 500-269 sebagai \xe2\x80\x9cprogram automatik yang meneliti aplikasi web untuk mencari kerentanan sekuriti. Di samping mengenalpasti kerentanan khusus aplikasi web, WAF juga mencamkan kesalahan pengkodan perisian. Apbila kerentanan diselesaikan, ia dirujuk sebagai pemulihan. Pembetulan kod boleh dilaksanakan dalam aplikasi, tetapi jika ditemui, kadar responsi sepatutnya cepat. Dalam situaasi sebegini, pembetulan sementara tetapi segera diperlukan. Penyelesaian sekuriti yang lengkap bukan terletak dalam WAF sahaja, bahalah, ia sepatutnya digunakan bersamaan dengan penyelesaian sekuriti perimeter rangkain yang lain seperti tembok api rangkaian dan sistem pencegahan intrusi.\xc2\xa0_NEWLINE_WAF biasanya mengikuti model sekuriti positif, sekuriti negatif, atau gabugan kedua-dua seperti yang dinyatakan oleh Institut SANS. WAF menggunakan gabungan logik, parsing serta tandatangan untuk mengesan dan mencegah serangan-serangan seperti skrip cross-site atau suntikan SQL. OWASP senaraikan 10 kesilapan dalam sekuriti aplikasi dan setiap WAF komersial perlu meliputi 10 kesilapan ini sekurang-kurangnya. Terdapat juga pilihan bukan komersial. Seperti yang dinyatakan terdahulu, enjin WAF sumber terbuka ModSecurity merupakan salah satu daripada pilihan ini. Enjin WAF sahaja tidak cukup untuk menyediaka perlindungan yang lengkap. Oleh sebab itu, OWASP bersamaan dengan Spiderlabs Trustwave membantu menyusun dan menyelenggara Core-Rule Set melalui GitHub untuk digunakan dengan enjin\xc2\xa0 WAF ModSecurity. \xc2\xa0\n_START_SECTION_\nPemasangan\n_START_PARAGRAPH_\nWalaupun pelbagai nama wujud untuk mod operasi yang berlainan, WAF pada asasnya hanya digunakan dalam tiga situasi inline iaitu \xe2\x80\x98Jambatan telus\xe2\x80\x99 (transparent bridge), \xe2\x80\x98proksi terbalik telus\xe2\x80\x99 (transparent reverse proxy) dan \xe2\x80\x98proksi terbalik\xe2\x80\x99 (reverse proxy), mengikut Labs NSS. \xe2\x80\x98Telus\xe2\x80\x99 di sini merujuk kepada hakikat bahawa trafik HTTP dihantar terus ke aplikasi web dan WAF merupakan telus antara klien dengan pelayan. Bertentangan dengan \xe2\x80\x98proksi terbalik\xe2\x80\x99 di mana WAF berfungsi sebagai proksi yang menerima traffik klien kemudiannya menapis dan menghantar traffik itu ke aplikasi-aplikasi web. WAF boleh melindungi IP tetapi adakalanya melambatkan prestasi.\xc2\xa0 \xc2\xa0\n_START_SECTION_\nVendor Komersial\n_START_PARAGRAPH_\nKebanyakan WAF komersial mempunayai ciri-ciri yang serupa. Perbezaan yang utama terletak di interface, cara pemasangan atau keperluan dalam persekitaran yang tertentu. \xc2\xa0'