Ana içeriğe geç

Sunucu Yanıt Üstbilgilerini Değiştirme

Change server response headers kuralı, sunucu yanıt üstbilgilerini eklemenize, silmenize ve değerlerini değiştirmenize olanak tanır.

Bu kural türü, en sık olarak uygulama güvenliğinin ek bir katmanını yapılandırmak için kullanılır, örneğin:

  • İstemcinin belirli bir sayfa için hangi kaynakları yükleyebileceğini kontrol eden Content-Security-Policy yanıt üstbilgisini eklemek. Bu, XSS saldırılarına karşı korunmaya yardımcı olur.

    Sunucunuz bu üstbilgiyi varsayılan olarak döndürmüyorsa, Change server response headers kuralını kullanarak eklemeniz önerilir. MDN Web Docs içinde olası üstbilgi değerlerinin açıklamalarını ve üstbilgi kullanım örneklerini bulabilirsiniz.

    Benzer şekilde, bu kural X-XSS-Protection, X-Frame-Options, X-Content-Type-Options yanıt üstbilgilerini eklemek için de kullanılabilir.

  • NGINX Server üstbilgisini veya yüklü modül sürümlerine ilişkin verileri içeren herhangi bir üstbilgiyi değiştirmek. Bu veriler, saldırgan tarafından yüklü modül sürümlerindeki zafiyetleri keşfetmek ve sonuç olarak keşfedilen zafiyetleri istismar etmek için potansiyel olarak kullanılabilir.

    NGINX Server üstbilgisi, Wallarm node 2.16 ile birlikte değiştirilebilir.

Change server response headers kuralı ayrıca iş ve teknik konularınızı ele almak için de kullanılabilir.

Kuralı oluşturma ve uygulama

Kuralı oluşturmak ve uygulamak için:

  1. Proceed to Wallarm Console:

    • Rules → Add rule or your branch → Add rule.
    • Attacks / Incidents → attack/incident → hit → Rule.
    • API Discovery (if enabled) → your endpoint → Create rule.

  2. If request is bölümünde, kuralın uygulanacağı kapsamı açıklayın.

  3. Then bölümünde, Change server response headers seçeneğini seçin ve aşağıdakileri ayarlayın:

    • Eklenecek ya da değeri değiştirilecek üstbilginin adı.
    • Belirtilen üstbilginin yeni değeri/değerleri.
    • Mevcut bir yanıt üstbilgisini silmek için değerini Replace sekmesinde boş bırakın.

  4. Kural derlemesinin tamamlanmasını bekleyin.

Örnek: güvenlik politikası üstbilgisini ve değerini ekleme

https://example.com/* kapsamındaki tüm içeriğin yalnızca sitenin orijininden gelmesine izin vermek için, Change server response headers kuralını kullanarak Content-Security-Policy: default-src 'self' yanıt üstbilgisini aşağıdaki şekilde ekleyebilirsiniz:

“Change server response headers” kuralı örneği