Web Application Firewall

"Firewall merupakan suatu cara/sistem/mekanisme yang diterapkan baik terhadap hardware , software ataupun sistem itu sendiri dengan tujuan untuk melindungi, baik dengan menyaring, membatasi atau bahkan menolak suatu atau semua hubungan/kegiatan suatu segmen pada jaringan pribadi dengan jaringan luar yang bukan merupakan ruang lingkupnya" - y3dips:firewall

Saya lebih senang menyebut firewall sebagai suatu sistem/mekanisme dibandingkan menyebutnya "hardware" ataupun "software" yang bahkan akhirnya membentuk pola pikir banyak orang, bahkan (dahulu) beberapa individu tidak percaya jika di komputer pribadi bisa terdapat firewall. Atau saat saya ceritakan redhat milik saya firewallnya sudah "built in". Ya, ya.. kala itu :)

Sebelum menginjak pembahasan tentang Web Application firewall yang termasuk "Application layer firewall", maka ada baiknya kita jenguk dulu beberapa generasi sebelumnya: Generasi awal lebih sering di sebut dengan Packet Filter firewall, firewall jenis ini bekerja pada lapisan transport (transport layer protocol; IP, TCP, UDP, ICMP), pada level ini firewall berfungsi dan bekerja berdasarkan list "deny" dan "accept" yang di berikan. Kemudian dilanjutkan dengan generasi yang lebih dikenal dengan "Circuit level" firewall. Generasi ini lebih dikenal dengan sebutan "stateful firewall", selain perlindungan yang lebih besar terhadap network (membatasi internet dan internal) dengan dukungan NAT (network address translation) yang relatif lebih baik, serta dukungan terhadap "full connection state (handshake, established, or closing).

"Application level firewall" telah menggunakan teknologi untuk melakukan pemeriksaan terhadap paket jaringan pada layer aplikasi yang belum diterapkan pada generasi sebelumnya. Generasi yang di perkenalkan pada tahun 1991 ini menggunakan Metoda "Proxying", dimana semua request user akan di evalusi serta semua paket dari server akan di periksa sebelum diteruskan ke klien. Pada generasi ini telah memberikan dukungan terhadap "high-level" protokol seperti HTTP, FTP dsb. Sebagai contoh dukungan tambahan terhadap protokol HTTP adalah HTTP object caching, URL filtering, dan user authentication.

Pada awal tahun 2006, Web Application Security Consortium merilis "Web Application Firewall Evaluation Criteria" yang bertujuan mendapatkan secara detil kriteria-kriteria dari web application firewall yang diinginkan, Web application firewalls (WAF) adalah salah satu teknologi (appliance, plugins, set of HTTP rules) yang diciptakan khusus untuk mengatasi berbagai jenis serangan terhadap keamanan web, WAF diproyeksikan untuk dapat menutupi kelemahan "network firewall" dan IPS.

Beberapa produk Open Source dari web application firewall yang cukup di kenal adalah ModSecurity, serta Stinger yang di keluarkan oleh The Open Web Application Security Project (OWASP), sedangkan salah satu contoh web apllicationi firewall yang komersil dan cukup dikenal adalah, Barracuda Web Site Firewall yang memiliki berbagai fitur yang memberikan perlindungan terhadap berbagai jenis web application attack, seperti Cross Site Scripting (XSS), SQL injection flaws, OS command injections, Site reconnaissance Session, dan juga Information leakage. Sedangkan beberapa produk komersil lainnya yang cukup di kenal adalah ISA Server keluaran Microsoft, SecureIIS dari eEye, Imperva - SecureSphere™, dsb.

Btw, No Script bisa di sebut firewall gak yah? (hayoooo, monggo di cek wafec-nya)

source:
http://en.wikipedia.org
http://www.modsecurity.org/
http://www.owasp.org/
http://www.webappsec.org/

images:
www.ranum.com (firewall)
juliecork.wordpress.com (scorpion)