Ana içeriğe geç

Sunucu Yanıt Başlıklarının Değiştirilmesi

Change server response headers kuralı, sunucu yanıt başlıklarının eklenmesine, silinmesine ve değerlerinin değiştirilmesine olanak tanır.

Bu kural türü, genellikle uygulama güvenliğinin ek katmanını yapılandırmak için kullanılır, örneğin:

  • Belirli bir sayfa için istemcinin yükleyebileceği kaynakları kontrol eden ve bu kaynak yüklemesini sağlayan yanıt başlığı olarak Content-Security-Policy eklemek. Bu, XSS saldırılarına karşı koruma sağlar.

    Eğer sunucunuz varsayılan olarak bu başlığı döndürmüyorsa, Change server response headers kuralını kullanarak eklemeniz önerilir. MDN Web Docs'ta, muhtemel başlık değerlerinin açıklamalarını ve başlık kullanım örneklerini bulabilirsiniz.

    Benzer şekilde, bu kural X-XSS-Protection, X-Frame-Options ve X-Content-Type-Options yanıt başlıklarını eklemek için de kullanılabilir.

  • NGINX Server başlığı ya da yüklü modül sürümlerine ait verileri içeren diğer başlıkları değiştirmek. Bu veriler, saldırganın yüklü modül sürümlerindeki güvenlik açıklarını tespit edip, bu açıkları kullanması için potansiyel bir kaynak oluşturabilir.

    NGINX Server başlığı, Wallarm node 2.16'dan itibaren değiştirilebilir hale gelmiştir.

Change server response headers kuralı, iş ve teknik sorunlarınızın herhangi birini çözmek için de kullanılabilir.

Kuralın Oluşturulması ve Uygulanması

Kuralı oluşturmak ve uygulamak için:

  1. Proceed to Wallarm Console:

    • Rules → Add rule or your branch → Add rule.
    • Attacks / Incidents → attack/incident → hit → Rule.
    • API Discovery (if enabled) → your endpoint → Create rule.

  2. If request is bölümünde, kuralın uygulanacağı kapsamı tanımlayın.

  3. Then bölümünde, Change server response headers seçeneğini seçin ve şunları ayarlayın:

    • Eklenmek istenen veya değeri değiştirilecek başlık adı.
    • Belirtilen başlık için yeni değer(ler).
    • Mevcut bir yanıt başlığını silmek için, Replace sekmesinde değeri boş bırakın.

  4. Kural derlemesinin tamamlanmasını bekleyin.

Örnek: Güvenlik Politikası Başlığının ve Değerinin Eklenmesi

https://example.com/* adresindeki içeriğin yalnızca sitenin kökeninden gelmesine izin vermek için, Change server response headers kuralını kullanarak Content-Security-Policy: default-src 'self' yanıt başlığını aşağıdaki gibi ekleyebilirsiniz:

Example of the rule "Change server response headers"