WAF Adalah: Fungsi, Cara Kerja, Jenis, dan Manfaat

Warga Bimbingan, website dan API terus menerima berbagai permintaan dari pengguna. Masalahnya, tidak semua permintaan tersebut aman karena penyerang bisa menyisipkan SQL injection, XSS, atau aktivitas bot berbahaya.

Risiko ini meningkat seiring besarnya lalu lintas digital. Akamai mencatat lebih dari 311 miliar serangan terhadap aplikasi web dan API sepanjang 2024, naik 33% dibandingkan tahun sebelumnya.

Untuk menyaring ancaman tersebut, website dapat menggunakan WAF atau Web Application Firewall. Sistem ini memeriksa lalu lintas dan memblokir permintaan berbahaya sebelum mencapai aplikasi.

Kamu juga bisa mempelajari keamanan aplikasi melalui Bootcamp Cyber Security Dibimbing. Yuk, simak sampai akhir untuk memahami fungsi, cara kerja, jenis, dan manfaat WAF!

Baca Juga: Apa Itu Web Application Security? Ini Penjelasannya

Apa Itu WAF?

WAF adalah singkatan dari Web Application Firewall, yaitu sistem keamanan yang ditempatkan di antara pengguna dan aplikasi web. Sistem ini memeriksa lalu lintas HTTP maupun HTTPS sebelum permintaan diteruskan ke server aplikasi.

Menurut Cloudflare, WAF membantu melindungi aplikasi web dengan menyaring dan memantau lalu lintas antara aplikasi dengan internet. Teknologi ini bekerja pada Layer 7 atau lapisan aplikasi dalam model OSI.

WAF umumnya beroperasi sebagai reverse proxy. Artinya, pengguna tidak langsung mengakses server utama karena setiap permintaan harus melewati pemeriksaan WAF terlebih dahulu.

Jika permintaan dinilai aman, WAF akan meneruskannya ke aplikasi. Sebaliknya, lalu lintas yang sesuai dengan pola serangan dapat diblokir, dibatasi, atau diminta melewati verifikasi tambahan.

Apa Fungsi WAF?

Fungsi WAF bukan hanya memblokir alamat IP tertentu. Sistem ini menganalisis isi permintaan web secara lebih mendalam untuk mengenali pola yang dapat membahayakan aplikasi.

Berikut beberapa fungsi WAF dalam menjaga keamanan aplikasi web.

1. Menyaring Lalu Lintas HTTP dan HTTPS

WAF memeriksa permintaan yang dikirimkan pengguna melalui HTTP maupun HTTPS. Pemeriksaan dapat mencakup alamat IP, URL, header, cookie, parameter, metode permintaan, serta isi data yang dikirimkan.

Dari informasi tersebut, WAF menentukan apakah lalu lintas termasuk aman atau mencurigakan. Permintaan yang memenuhi kebijakan keamanan akan diteruskan ke aplikasi.

2. Memblokir Serangan Aplikasi Web

WAF dapat mengenali pola serangan yang menargetkan kelemahan aplikasi. Contohnya meliputi SQL injection, XSS, file inclusion, manipulasi cookie, dan eksploitasi parameter.

Perlindungan ini membantu mengurangi kemungkinan penyerang mengakses data atau menjalankan perintah yang tidak sah. Namun, aturan WAF tetap perlu diperbarui agar mampu menghadapi pola serangan terbaru.

3. Mengendalikan Aktivitas Bot

Tidak semua bot memiliki tujuan yang baik. Beberapa bot digunakan untuk mengambil data secara berlebihan, mencoba kombinasi kata sandi, membuat akun palsu, atau membanjiri aplikasi dengan permintaan otomatis.

WAF dapat menilai pola permintaan dan membatasi aktivitas bot yang mencurigakan. Sistem dapat memberikan challenge, menerapkan rate limiting, atau langsung memblokir permintaan tersebut.

4. Menerapkan Rate Limiting

Rate limiting membatasi jumlah permintaan yang boleh dikirimkan dalam periode tertentu. Fitur ini membantu mencegah penyalahgunaan API, percobaan login berulang, dan serangan DDoS pada lapisan aplikasi.

Sebagai contoh, WAF dapat membatasi percobaan login dari satu alamat IP. Ketika batas terlampaui, permintaan berikutnya dapat ditolak sementara.

5. Melakukan Virtual Patching

Virtual patching adalah perlindungan sementara yang diterapkan melalui aturan keamanan tanpa langsung mengubah kode aplikasi. Cara ini berguna ketika ditemukan kerentanan baru, tetapi tim pengembang belum sempat memperbaiki aplikasinya.

WAF dapat memblokir pola eksploitasi yang menargetkan kerentanan tersebut. Meski begitu, virtual patching bukan pengganti perbaikan permanen pada kode maupun komponen aplikasi.

6. Mencatat Aktivitas Keamanan

Setiap permintaan yang diperiksa dapat dicatat dalam log WAF. Informasi tersebut membantu tim keamanan mengetahui sumber, waktu, tujuan, dan pola serangan yang terjadi.

Log juga dapat diintegrasikan dengan SIEM atau sistem pemantauan lainnya. Tim keamanan kemudian bisa menyelidiki insiden dan menyempurnakan aturan berdasarkan temuan tersebut.

Bagaimana Cara Kerja WAF?

Cara kerja WAF dimulai ketika pengguna mengirimkan permintaan menuju website atau API. Alih-alih langsung mencapai server, permintaan tersebut terlebih dahulu melewati WAF.

Secara umum, prosesnya berlangsung melalui tahapan berikut:

1. Pengguna mengirimkan permintaan: Pengguna atau aplikasi mengakses URL, mengisi formulir, melakukan login, atau memanggil API.
2. WAF menerima lalu lintas: Sistem menangkap permintaan HTTP atau HTTPS sebelum diteruskan ke server aplikasi.
3. Permintaan dianalisis: WAF memeriksa IP, URL, header, cookie, parameter, isi permintaan, serta frekuensi akses.
4. Aturan keamanan diterapkan: Informasi tersebut dibandingkan dengan kebijakan dan pola serangan yang telah dikonfigurasi.
5. WAF menentukan tindakan: Permintaan dapat diizinkan, diblokir, dicatat, dibatasi, atau diarahkan ke proses verifikasi.
6. Permintaan aman diteruskan: Hanya lalu lintas yang dianggap sesuai kebijakan yang diteruskan menuju aplikasi.

Cara kerja tersebut memungkinkan ancaman dihentikan sebelum mencapai server utama. Meski demikian, konfigurasi yang kurang tepat dapat menghasilkan false positive, yaitu permintaan sah yang keliru dianggap berbahaya.

Apa Saja Jenis WAF?

Jenis WAF dapat dibedakan berdasarkan lokasi pemasangan dan cara pengelolaannya. Setiap jenis menawarkan tingkat kontrol, biaya, dan kebutuhan pemeliharaan yang berbeda.

1. Network-Based WAF

Network-based WAF biasanya menggunakan perangkat fisik yang ditempatkan di dalam infrastruktur organisasi. Jenis ini menawarkan kontrol dan performa tinggi karena berada dekat dengan jaringan aplikasi.

Namun, biaya pengadaan dan pemeliharaannya relatif besar. Organisasi juga membutuhkan tenaga ahli untuk melakukan konfigurasi, pembaruan, serta pemantauan sistem.

2. Host-Based WAF

Host-based WAF dipasang langsung pada server atau menjadi bagian dari aplikasi. Pendekatan ini memberikan fleksibilitas tinggi karena aturan dapat disesuaikan dengan kebutuhan aplikasi tertentu.

Kekurangannya, WAF menggunakan sebagian sumber daya server dan membutuhkan pengelolaan teknis. Kesalahan konfigurasi juga dapat memengaruhi kinerja aplikasi yang dilindungi.

3. Cloud-Based WAF

Cloud-based WAF disediakan sebagai layanan berbasis cloud. Pengguna biasanya hanya perlu mengarahkan lalu lintas aplikasi melalui penyedia layanan tanpa memasang perangkat fisik.

Jenis ini mudah diterapkan, dapat menyesuaikan kapasitas, dan pembaruan aturannya dikelola penyedia. Contohnya adalah layanan yang disediakan AWS, Cloudflare, Azure, dan penyedia keamanan lainnya.

Apa Saja Model Keamanan WAF?

Sumber: Desain oleh Dibimbing

Selain berdasarkan implementasinya, WAF dapat dibedakan menurut model aturan yang digunakan. Berikut tiga model keamanan yang umum ditemukan.

1. Blocklist

Model blocklist mengizinkan lalu lintas secara umum, tetapi memblokir permintaan yang sesuai dengan pola serangan. Pendekatan ini disebut juga sebagai model keamanan negatif.

Kelebihannya adalah tidak terlalu membatasi pengguna sah. Namun, WAF harus memiliki aturan yang selalu diperbarui agar dapat mengenali metode serangan baru.

2. Allowlist

Model allowlist hanya mengizinkan permintaan yang telah dinyatakan aman. Lalu lintas di luar pola tersebut akan ditolak secara otomatis.

Pendekatan ini menawarkan kontrol lebih ketat, tetapi membutuhkan konfigurasi yang akurat. Perubahan pada aplikasi juga harus diikuti pembaruan aturan agar fitur yang sah tidak ikut terblokir.

3. Hybrid

Model hybrid menggabungkan blocklist dan allowlist. Sistem dapat memblokir pola serangan yang dikenal sekaligus menetapkan format permintaan yang diperbolehkan.

Pendekatan ini memberikan perlindungan lebih seimbang. Namun, tim keamanan tetap perlu meninjau aturan dan menyesuaikannya dengan perilaku aplikasi.

Serangan Apa Saja yang Bisa Dicegah WAF?

WAF dirancang untuk menghadapi ancaman pada lapisan aplikasi. Berikut beberapa serangan yang bisa dideteksi atau dikurangi menggunakan WAF.

1. SQL Injection

SQL injection terjadi ketika penyerang memasukkan perintah SQL berbahaya melalui formulir, parameter URL, atau input aplikasi. Tujuannya bisa berupa membaca, mengubah, maupun menghapus data pada basis data.

WAF dapat mendeteksi pola perintah SQL mencurigakan dalam suatu permintaan. Permintaan tersebut kemudian diblokir sebelum diproses aplikasi.

2. Cross-Site Scripting

Cross-Site Scripting atau XSS merupakan serangan yang menyisipkan skrip berbahaya ke halaman web. Skrip tersebut bisa dijalankan pada peramban pengguna untuk mencuri cookie, informasi login, atau data lainnya.

WAF membantu mengenali pola skrip berbahaya dalam parameter maupun input. Perlindungan ini tetap perlu didukung oleh validasi dan sanitasi input pada aplikasi.

3. Cross-Site Request Forgery

Cross-Site Request Forgery atau CSRF membuat pengguna yang telah login menjalankan tindakan tanpa disadari. Contohnya adalah mengganti alamat email atau mengirim transaksi melalui permintaan yang telah dimanipulasi.

WAF dapat memeriksa pola permintaan dan menerapkan aturan untuk mengurangi risiko CSRF. Namun, aplikasi tetap perlu menggunakan perlindungan seperti anti-CSRF token.

4. File Inclusion

Serangan file inclusion mencoba membuat aplikasi memuat berkas yang tidak seharusnya diakses. Celah ini dapat digunakan untuk membaca data sensitif atau menjalankan kode berbahaya.

WAF bisa memblokir pola URL dan parameter yang menunjukkan upaya akses berkas mencurigakan. Aturannya perlu disesuaikan dengan struktur aplikasi yang dilindungi.

5. Layer 7 DDoS

Serangan DDoS Layer 7 membanjiri aplikasi dengan permintaan yang terlihat seperti lalu lintas normal. Tujuannya adalah menghabiskan sumber daya aplikasi hingga layanan melambat atau tidak dapat digunakan.

WAF dapat menerapkan rate limiting, analisis perilaku, dan pembatasan bot. AWS WAF, misalnya, menyediakan kemampuan untuk memantau, memblokir, atau membatasi lalu lintas bot dan serangan pada Layer 7.

Apa Manfaat WAF bagi Website?

Penggunaan WAF memberikan perlindungan tambahan bagi organisasi yang menjalankan website, aplikasi, atau API. Berikut beberapa manfaat WAF yang bisa diperoleh.

1. Mengurangi risiko eksploitasi: Permintaan mencurigakan dapat dihentikan sebelum mencapai aplikasi.
2. Melindungi data pengguna: WAF membantu mencegah serangan yang menargetkan informasi pribadi dan kredensial.
3. Menjaga ketersediaan layanan: Pembatasan bot dan lalu lintas berlebihan membantu menjaga performa aplikasi.
4. Mempercepat respons ancaman: Aturan dapat diperbarui tanpa menunggu perubahan besar pada kode aplikasi.
5. Meningkatkan visibilitas: Log memberikan informasi mengenai pola serangan dan aktivitas mencurigakan.
6. Mendukung kepatuhan: WAF dapat menjadi salah satu kontrol keamanan dalam memenuhi standar tertentu.
7. Melindungi API: Permintaan menuju API dapat diperiksa berdasarkan parameter, header, dan pola akses.

Manfaat tersebut akan lebih optimal jika WAF dikonfigurasi berdasarkan karakteristik aplikasi. Mengaktifkan WAF tanpa pemantauan dan penyesuaian aturan berpotensi menyebabkan perlindungan yang kurang efektif.

Apa Perbedaan WAF dan Firewall?

WAF dan network firewall sama-sama menyaring lalu lintas, tetapi keduanya bekerja pada fokus yang berbeda. WAF melindungi aplikasi web, sedangkan network firewall menjaga akses antarjaringan.

Berikut perbedaan WAF dan firewall secara ringkas:

1. Lapisan perlindungan: WAF bekerja pada Layer 7, sedangkan firewall jaringan umumnya beroperasi pada Layer 3 dan Layer 4.
2. Objek yang diperiksa: WAF menganalisis HTTP, HTTPS, URL, cookie, dan parameter. Firewall memeriksa IP, port, serta protokol.
3. Ancaman utama: WAF menghadapi SQL injection, XSS, dan serangan aplikasi. Firewall berfokus pada akses jaringan yang tidak sah.
4. Penempatan: WAF berada di depan aplikasi web. Firewall biasanya ditempatkan di batas atau segmen jaringan.
5. Penggunaan: WAF melindungi website dan API, sementara firewall melindungi infrastruktur jaringan secara lebih luas.

Keduanya bukan pengganti satu sama lain. WAF dan firewall sebaiknya digunakan bersama sebagai bagian dari strategi keamanan berlapis.

Apa Kelebihan dan Kekurangan WAF?

Sebelum menerapkan WAF, kamu perlu memahami kelebihan sekaligus keterbatasannya. Dengan begitu, penggunaan teknologi ini bisa disesuaikan dengan kebutuhan aplikasi.

1. Kelebihan WAF

1. Dapat diterapkan tanpa banyak mengubah kode aplikasi.
2. Melindungi aplikasi dari berbagai pola serangan umum.
3. Mendukung pembuatan aturan khusus sesuai kebutuhan.
4. Menyediakan log dan informasi aktivitas serangan.
5. Membantu mengendalikan bot serta lalu lintas berlebihan.
6. Memungkinkan penerapan virtual patching dengan cepat.

2. Kekurangan WAF

1. Berpotensi menghasilkan false positive atau false negative.
2. Aturan perlu dipantau dan diperbarui secara berkala.
3. Tidak dapat memperbaiki kode aplikasi yang rentan.
4. Konfigurasi yang kurang tepat dapat mengganggu pengguna sah.
5. Tidak melindungi seluruh lapisan jaringan dan sistem.
6. Layanan tertentu dapat menambah biaya dan latensi.

WAF sebaiknya tidak dijadikan satu-satunya solusi keamanan. Perlindungan tetap perlu dilengkapi dengan secure coding, pengujian keamanan, pengelolaan akses, pembaruan sistem, serta pemantauan insiden.

Bagaimana Cara Memilih WAF?

Pemilihan WAF perlu mempertimbangkan kebutuhan teknis, tingkat risiko, dan sumber daya organisasi. Jangan hanya memilih berdasarkan jumlah fitur yang ditawarkan.

Berikut beberapa hal yang perlu diperhatikan:

1. Kenali arsitektur aplikasi: Tentukan apakah aplikasi berjalan di server sendiri, cloud, atau menggunakan arsitektur hibrida.
2. Periksa jenis perlindungan: Pastikan WAF mendukung proteksi terhadap OWASP Top 10, bot, API, dan serangan Layer 7.
3. Evaluasi kemudahan konfigurasi: Pilih solusi yang menyediakan aturan terkelola sekaligus mendukung aturan khusus.
4. Perhatikan tingkat false positive: WAF harus mampu memblokir ancaman tanpa terlalu sering mengganggu pengguna sah.
5. Tinjau kemampuan pemantauan: Pastikan tersedia log, laporan, notifikasi, serta integrasi dengan sistem keamanan lain.
6. Pertimbangkan skalabilitas: WAF perlu mampu menghadapi peningkatan pengguna dan lalu lintas aplikasi.
7. Hitung biaya keseluruhan: Masukkan biaya lisensi, infrastruktur, pemeliharaan, dan tenaga pengelola.
8. Uji sebelum diterapkan penuh: Jalankan WAF dalam mode pemantauan untuk melihat pengaruh aturan terhadap lalu lintas normal.

Apakah WAF Menjamin Website Sepenuhnya Aman?

WAF tidak menjamin website sepenuhnya aman karena perlindungannya berfokus pada lalu lintas aplikasi. Ancaman yang berasal dari kesalahan hak akses, kredensial bocor, konfigurasi server, atau celah pada sistem lain mungkin tetap bisa terjadi.

Penelitian mengenai teknik bypass juga menunjukkan bahwa WAF memiliki keterbatasan ketika memproses permintaan yang kompleks. Oleh sebab itu, WAF perlu menjadi bagian dari pertahanan berlapis, bukan satu-satunya pengamanan aplikasi.

Baca Juga: Secure Coding: Pengertian, Prinsip, dan Teknik Penerapannya

Kesimpulan

WAF adalah sistem keamanan yang menyaring dan memblokir lalu lintas berbahaya sebelum mencapai aplikasi web. Teknologi ini membantu menghadapi SQL injection, XSS, aktivitas bot, serta serangan DDoS pada lapisan aplikasi.

Namun, WAF tidak dapat menggantikan perbaikan kode dan sistem keamanan lainnya. Gunakan bersama secure coding, pembaruan sistem, pengujian keamanan, dan pemantauan rutin agar perlindungan website lebih menyeluruh.

Rekomendasi Bootcamp Cyber Security Terbaik di Indonesia: Dibimbing

Kalau kamu ingin berkarier di bidang keamanan siber, memahami teori dan jenis serangan saja belum cukup. Kamu juga perlu menguasai ethical hacking, keamanan jaringan, pengujian penetrasi, dan penanganan insiden melalui praktik yang relevan dengan kebutuhan industri.

Bootcamp Cyber Security Dibimbing dirancang untuk membantumu belajar melalui kelas interaktif, laboratorium virtual, tugas mingguan, dan studi kasus nyata. Program ini cocok untuk mahasiswa, fresh graduate, profesional yang ingin upskill, maupun kamu yang berencana beralih karier ke bidang keamanan siber.

Program Bootcamp Cyber Security Dibimbing:

1. Live Class: Ikuti 40+ live class dan 10+ extra video learning bersama mentor ahli.
2. Virtual Lab: Dapatkan akses gratis ke laboratorium virtual dan berbagai tools keamanan IT.
3. Weekly Assignment: Kerjakan 10+ tugas mingguan untuk membangun portofolio Cyber Security.
4. Final Project: Selesaikan dua final project berbasis studi kasus nyata.
5. Kurikulum Red Team dan Blue Team: Pelajari materi penyerangan sekaligus pertahanan sistem secara menyeluruh.
6. Personalized Session: Akses konsultasi 1-on-1 tanpa batas bersama instruktur expert.
7. Pendampingan Mentor: Dapatkan dukungan fasilitator dan mentor berdedikasi yang tersedia 24/7.
8. Persiapan Karier: Ikuti layanan persiapan karier dan penyaluran kerja ke 700+ perusahaan.
9. Persiapan Sertifikasi: Dapatkan program belajar intensif untuk menghadapi sertifikasi CEH.
10. Sertifikat CompTIA: Tersedia sertifikat CompTIA untuk peserta program Job Connect+.

Siap Berkarier di Bidang Cyber Security?

Kalau kamu ingin membangun keterampilan teknis sekaligus portofolio yang relevan, Bootcamp Cyber Security Dibimbing bisa menjadi pilihan untuk mempersiapkan karier secara lebih terstruktur. Yuk, tingkatkan skill dan mulai perjalanan kariermu di bidang keamanan siber bersama Dibimbing!

FAQ

1. Apa Itu WAF?

WAF adalah singkatan dari Web Application Firewall, yaitu sistem yang menyaring lalu lintas menuju aplikasi web. Teknologi ini membantu meningkatkan keamanan aplikasi web dengan memblokir permintaan berbahaya.

2. Apa Fungsi WAF untuk Website?

Fungsi WAF adalah memberikan perlindungan website dari serangan yang menargetkan lapisan aplikasi. Sistem ini dapat mendeteksi SQL injection, serangan XSS, bot berbahaya, dan permintaan mencurigakan lainnya.

3. Bagaimana Cara Kerja WAF?

Cara kerja WAF adalah memeriksa permintaan HTTP dan HTTPS sebelum diteruskan ke server aplikasi. Permintaan yang sesuai aturan keamanan diteruskan, sedangkan lalu lintas berbahaya diblokir atau dibatasi.

4. Apa Saja Jenis WAF?

Jenis WAF terdiri dari network-based WAF, host-based WAF, dan cloud-based WAF. Pemilihannya perlu disesuaikan dengan arsitektur aplikasi, anggaran, tingkat kontrol, dan kemampuan pengelolaan organisasi.

5. Apa Perbedaan WAF dan Firewall?

Perbedaan WAF dan firewall terletak pada lapisan serta lalu lintas yang dilindungi. WAF berfokus pada keamanan aplikasi web, sedangkan firewall jaringan memeriksa alamat IP, port, protokol, dan koneksi antarjaringan.