Günümüzün hızla değişen dijital dünyasında, web uygulamalarının güvenliği her zamankinden daha kritik hale geldi. Özellikle Kubernetes gibi dinamik ve mikroservis tabanlı ortamlarda, uygulamaları siber saldırılardan korumak karmaşık bir süreçtir. Bu kapsamlı rehber, popüler Ingress-Nginx Controller’ı ile güçlü bir Web Uygulama Güvenlik Duvarı (WAF) olan SafeLine WAF’ı Kubernetes kümenize nasıl entegre edeceğinizi adım adım açıklayacak, böylece uygulamalarınızı güvende tutarken performans kaybı yaşamayacaksınız.

Kubernetes, modern uygulamaların dağıtımı ve yönetimi için devrim niteliğinde bir platform sunsa da, beraberinde yeni güvenlik zorluklarını da getiriyor. Mikroservis mimarisinin doğası gereği, her bir hizmet kendi başına bir potansiyel güvenlik açığı olabilir. Geleneksel güvenlik yaklaşımları, dağıtık ve dinamik Kubernetes ortamları için yeterli olmayabilir. OWASP Top 10 gibi bilinen zafiyetler (SQL Enjeksiyonu, Siteler Arası Betik Çalıştırma (XSS), Kimlik Doğrulama Hataları vb.) hala web uygulamaları için en büyük tehditler arasında yer almaktadır. Üstelik, DDoS saldırıları veya gelişmiş bot saldırıları, uygulamanızın kullanılabilirliğini ciddi şekilde etkileyebilir.

Ingress-Nginx Controller, Kubernetes’te gelen trafiği servislerinize yönlendirmek için mükemmel bir araçtır. Bir ters proxy ve yük dengeleyici olarak işlev görerek, dış dünyadan gelen istekleri doğru pod’lara iletir. SSL/TLS sonlandırma gibi önemli görevleri de üstlenir. Ancak, Ingress-Nginx tek başına bir WAF’ın sunduğu derinlemesine uygulama katmanı korumasını sağlamaz. Kötü niyetli yükleri (payload) analiz etme, SQL enjeksiyonu veya XSS saldırılarını tespit etme ve engelleme gibi ileri düzey güvenlik yetenekleri, bir WAF çözümünün uzmanlık alanıdır. İşte bu noktada SafeLine WAF devreye girer. SafeLine WAF, gerçek zamanlı trafik analizi, davranışsal tespit motorları ve kapsamlı kural setleri sayesinde, uygulamanıza ulaşmadan önce tehditleri filtreleyerek koruma sağlar. Bu sayede, hem altyapınızı hem de uygulamalarınızı bilinmeyen ve sıfırıncı gün saldırılarından koruyabilir, güvenlik duruşunuzu önemli ölçüde güçlendirebilirsiniz. Bir e-ticaret platformunun yaşadığı bir vaka analizini düşünelim: Black Friday döneminde yoğun trafiğin yanı sıra çok sayıda otomatik bot saldırısıyla karşı karşıya kaldılar. Geleneksel güvenlik duvarları bu saldırıları ayırt etmekte zorlanırken, SafeLine WAF’ın davranışsal analiz yetenekleri sayesinde gerçek müşterilerin trafiği sorunsuz bir şekilde geçirilerek kötü niyetli istekler engellendi. Bu durum, hem uygulamanın performansı hem de müşteri memnuniyeti açısından kritik bir rol oynadı.

SafeLine WAF ve Ingress-Nginx Temelleri: Kavramlara Hızlı Bir Bakış

Entegrasyon sürecine dalmadan önce, bu iki önemli bileşenin ne olduğunu ve nasıl çalıştığını anlamak kritik öneme sahiptir. Temel kavramları kavradığımızda, entegrasyon adımları çok daha anlamlı hale gelecektir.

SafeLine WAF Nedir ve Nasıl Çalışır?

SafeLine WAF (Web Uygulama Güvenlik Duvarı), web uygulamalarını çeşitli siber saldırılardan korumak için tasarlanmış bir güvenlik çözümüdür. Uygulamanız ile internet arasındaki trafik akışını izleyerek, kötü niyetli istekleri tespit eder ve engeller. SafeLine WAF, genellikle bir ters proxy gibi çalışır; yani, kullanıcıdan gelen tüm istekler önce WAF üzerinden geçer, WAF bu istekleri analiz eder ve güvenli bulursa uygulamanıza iletir. Saldırgan bir davranış tespit edildiğinde ise isteği engeller veya bir uyarı kaydı oluşturur.

SafeLine WAF’ın temel çalışma prensipleri şunlardır:

• İmza Tabanlı Koruma: Bilinen saldırı kalıplarını (imzalarını) içeren bir veritabanı kullanarak SQL enjeksiyonu, XSS gibi yaygın saldırı türlerini tespit eder.
• Davranışsal Analiz: Normal kullanıcı davranışını öğrenir ve bu profilin dışındaki anormal aktiviteleri belirleyerek sıfırıncı gün saldırılarına karşı koruma sağlar. Örneğin, bir kullanıcının aniden çok sayıda başarısız oturum açma denemesi yapması veya alışılmadık URL’lere erişmeye çalışması gibi durumlar şüpheli olarak işaretlenebilir.
• Protokol Doğrulama: HTTP/HTTPS protokol standartlarına uymayan istekleri reddeder.
• DDoS Koruması: Belirli trafik desenlerini analiz ederek dağıtık hizmet reddi (DDoS) saldırılarını hafifletmeye yardımcı olur.
• Kural Setleri: Güvenlik politikalarını tanımlayan ve yöneticilerin belirli tehditlere karşı koruma sağlamak için özelleştirebileceği esnek kural setleri sunar.

SafeLine WAF, farklı dağıtım modellerine sahip olabilir: donanım tabanlı cihazlar, sanal makineler veya bir konteyner olarak Kubernetes gibi ortamlarda konuşlandırılabilir. Nginx ile entegrasyonumuzda, SafeLine WAF’ı genellikle bir Docker imajı olarak veya Ingress-Nginx’in bir upstream servisi olarak çalıştıracağız.

Kubernetes’te Ingress-Nginx’in Rolü Nedir?

Kubernetes kümelerinde çalışan uygulamalar genellikle doğrudan internetten erişilebilir değildir. Bu uygulamalara dışarıdan erişimi sağlamak için Ingress kaynakları kullanılır. Ingress-Nginx Controller ise, bu Ingress kaynaklarını dinleyen ve bunlara göre Nginx web sunucusunu dinamik olarak yapılandıran özel bir denetleyicidir. Temel olarak, gelen trafiği Kubernetes servislerinize yönlendiren bir giriş noktası (entry point) görevi görür.

Ingress-Nginx’in başlıca görevleri:

• Yük Dengeleme: Gelen istekleri birden fazla uygulama pod’una dağıtarak performansı ve kullanılabilirliği artırır.
• SSL/TLS Sonlandırma: Şifrelenmiş trafiği sonlandırarak, uygulamanızın bu görevi üstlenmesine gerek kalmadan güvenli iletişim sağlar.
• Host ve Path Tabanlı Yönlendirme: Farklı alan adlarına veya URL yollarına (path) göre istekleri farklı servis ve pod’lara yönlendirir.
• Kimlik Doğrulama ve Yetkilendirme: Temel HTTP kimlik doğrulama gibi basit güvenlik katmanları sağlayabilir.
• Genişletilebilirlik: Annotation’lar ve ConfigMap’ler aracılığıyla Nginx yapılandırmasını özelleştirme imkanı sunar, bu da SafeLine WAF gibi çözümlerle entegrasyon için kritik öneme sahiptir.

Özetle, Ingress-Nginx dış trafiği Kubernetes kümenize getirirken, SafeLine WAF bu trafiği uygulama katmanında derinlemesine analiz ederek koruma kalkanı görevi görür. Bu iki teknolojinin birleşimi, güçlü ve esnek bir güvenlik mimarisi oluşturur.

# Basit bir Ingress-Nginx tanımı
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-app-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  rules:
  - host: myapp.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: my-app-service
            port:
              number: 80

Bu örnekte, myapp.example.com adresine gelen istekler my-app-service adlı servise yönlendiriliyor. SafeLine WAF'ı entegre ederken, bu tür Ingress objelerini ve Ingress-Nginx Controller'ın genel yapılandırmasını özelleştireceğiz.

SafeLine WAF'ı Ingress-Nginx ile Entegre Etmenin Farklı Yolları Nelerdir?

SafeLine WAF'ı Kubernetes ortamına ve özellikle Ingress-Nginx ile birleştirmek için birkaç farklı yaklaşım bulunmaktadır. Her yöntemin kendine özgü avantajları ve dezavantajları vardır. En uygun entegrasyon modelini seçmek, genellikle uygulamanızın gereksinimlerine, performans beklentilerine ve yönetim kolaylığına bağlıdır.

1. Sidecar Deseni (Yan Kapsayıcı):
   • Açıklama: Bu desende, SafeLine WAF her bir uygulama pod'unun yanında ayrı bir konteyner olarak çalışır. Uygulama trafiği önce SafeLine sidecar'ına, oradan da ana uygulama konteynerine yönlendirilir.
   • Avantajları: Uygulamaya özgü ince taneli kontrol, mikroservis düzeyinde yalıtım.
   • Dezavantajları: Her pod için ayrı bir WAF örneği çalıştırmak kaynak tüketimini artırır. Yönetimi ve güncellemeleri karmaşıklaştırabilir, çünkü her uygulama deployment'ını güncellemeniz gerekebilir. Bu model genellikle SafeLine WAF'ın bu şekilde konteynerleştirilebilen hafif bir versiyonu varsa mantıklıdır.
2. Ters Proxy Zincirlemesi (Chained Reverse Proxies):
   • Açıklama: Bu yaklaşımda, Ingress-Nginx gelen trafiği alır ve bu trafiği doğrudan uygulama servislerine yönlendirmek yerine, önce SafeLine WAF'ın çalıştığı ayrı bir Kubernetes servisine iletir. SafeLine WAF trafiği analiz ettikten sonra, güvenli bulduğu istekleri nihai uygulama servislerine yönlendirir.
   • Avantajları: WAF'ın merkezi bir konumda yönetilmesini sağlar, uygulama pod'larından bağımsızdır. Ingress-Nginx'in esnekliği sayesinde kolayca yapılandırılabilir. Ölçeklenebilirlik için hem Ingress-Nginx hem de SafeLine WAF ayrı ayrı ölçeklenebilir.
   • Dezavantajları: Trafiğin iki ayrı proxy katmanından geçmesi nedeniyle ek gecikmeye (latency) neden olabilir, ancak modern ağ altyapılarıyla bu genellikle ihmal edilebilir düzeydedir. Yapılandırma biraz daha karmaşık olabilir.
3. Ingress Controller Seviyesinde Entegrasyon (Modül veya Custom Config):
   • Açıklama: Bu, çoğu durumda en ideal ve tercih edilen yöntemdir. SafeLine WAF, Ingress-Nginx Controller'ın kendisiyle bütünleşir. Bu, iki ana şekilde olabilir:
     • Doğrudan Nginx Modülü Olarak: Eğer SafeLine WAF, Nginx için bir modül olarak sunuluyorsa, Ingress-Nginx Controller'ın Nginx imajı bu modül ile birlikte derlenebilir veya dinamik olarak yüklenebilir. Bu sayede SafeLine WAF doğrudan Ingress-Nginx işlemine dahil olur.
     • Nginx Yapılandırması ile Özelleştirme: Ingress-Nginx, ConfigMap'ler ve Ingress Annotation'ları aracılığıyla Nginx ana yapılandırma dosyasının (nginx.conf) çeşitli bölümlerini özelleştirmenize olanak tanır. Bu sayede, SafeLine WAF'ı ayrı bir upstream olarak tanımlayabilir ve tüm trafiği bu upstream'e yönlendirebiliriz. Veya Nginx'in lua-nginx-module ya da NJS (Nginx JavaScript) modüllerini kullanarak SafeLine WAF'ın API'si ile etkileşime geçebilir, istekleri dinamik olarak WAF'a gönderebiliriz.
   • Avantajları: Entegre bir çözüm sunar, daha az ağ atlaması (hop), genellikle en iyi performans. Yönetim ve güncellemeler tek bir noktadan (Ingress Controller) yapılabilir.
   • Dezavantajları: Nginx imajını özelleştirmek veya karmaşık Nginx yapılandırmaları yazmak gerekebilir. Bu da başlangıçta biraz daha fazla bilgi ve çaba gerektirebilir.

Genellikle, merkezi yönetim ve performans avantajları nedeniyle Ingress Controller seviyesinde entegrasyon veya Ters Proxy Zincirlemesi en çok tercih edilen yöntemlerdir. Bu makale, özellikle Ingress Controller seviyesinde entegrasyona odaklanacaktır, çünkü bu yöntem birçok senaryo için en uygun dengeli çözümü sunar. Büyük bir medya şirketinin, tüm web sitelerini ve API'lerini tek bir merkezi SafeLine WAF kümesi arkasına alarak nasıl birleşik bir güvenlik stratejisi izlediğini düşünün. Geleneksel olarak her bir uygulamanın kendi WAF'ını yönetmesi yerine, Ingress-Nginx seviyesinde yapılan bu entegrasyon sayesinde, güvenlik politikaları tutarlı bir şekilde uygulanmış, yönetim yükü azalmış ve ölçeklenebilirlik artırılmıştır. Bu merkezi yaklaşım, güvenlik analistlerinin tehditleri daha hızlı tespit edip yanıt vermesini de sağlamıştır.

Adım Adım Entegrasyon: SafeLine WAF'ı Ingress-Nginx'e Nasıl Ekleriz?

Bu bölümde, SafeLine WAF'ı Ingress-Nginx Controller ile adım adım nasıl entegre edeceğimizi ele alacağız. Tercih edilen yöntem, SafeLine WAF'ı ayrı bir servis olarak dağıtmak ve Ingress-Nginx'i bu servise trafiği yönlendirecek şekilde yapılandırmaktır.

Ön Koşullar ve Hazırlıklar

Başlamadan önce aşağıdaki öğelerin kurulu ve yapılandırılmış olduğundan emin olun:

• Aktif bir Kubernetes kümesi (minikube, kind, EKS, AKS, GKE vb.).
• kubectl komut satırı aracı, kümenize bağlanmak için yapılandırılmış olmalı.
• Helm 3, Kubernetes paket yöneticisi olarak kurulu olmalı.
• Ingress-Nginx Controller kümenize kurulu olmalı. (Kurulu değilse, resmi Helm grafiğini kullanarak kurabilirsiniz:

  
  helm repo add ingress-nginx https://kubernetes.github.io/ingress-nginx
  helm repo update
  helm install ingress-nginx ingress-nginx/ingress-nginx
          

• SafeLine WAF'ın Docker imajına veya dağıtım paketine erişiminiz olmalı. Genellikle, SafeLine size özel bir Docker imajı sağlar veya bir Helm grafiği aracılığıyla dağıtım kolaylığı sunar. Bu örnekte, SafeLine'ın bir proxy gibi davrandığı bir imajı olduğunu varsayacağız.
• Gerekli SafeLine lisans bilgileri ve temel yapılandırma parametreleri (örneğin, yönetim arayüzü erişimi, kural setleri).

SafeLine WAF'ı Kubernetes Ortamına Dağıtma

Öncelikle SafeLine WAF'ı Kubernetes kümenize bir deployment ve service olarak dağıtmalıyız. Bu örnekte, SafeLine WAF'ın safeline/waf-proxy adında bir Docker imajı olduğunu ve 8080 portunda dinlediğini varsayalım.

# safeline-deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: safeline-waf
  labels:
    app: safeline-waf
spec:
  replicas: 2 # Yüksek kullanılabilirlik ve ölçeklenebilirlik için replica sayısını artırabilirsiniz
  selector:
    matchLabels:
      app: safeline-waf
  template:
    metadata:
      labels:
        app: safeline-waf
    spec:
      containers:
      - name: safeline-waf-container
        image: safeline/waf-proxy:latest # SafeLine WAF'ın güncel imaj adını kullanın
        ports:
        - containerPort: 8080 # SafeLine WAF'ın dinlediği port
        env:
          - name: SAFELINE_LICENSE_KEY
            valueFrom:
              secretKeyRef:
                name: safeline-secrets # Lisans anahtarınızı içeren Secret adı
                key: license-key
          # Diğer SafeLine yapılandırma değişkenlerini buraya ekleyebilirsiniz
          # Örnek: SAFELINE_LOG_LEVEL, SAFELINE_RULES_URL
        resources:
          requests:
            memory: "256Mi"
            cpu: "200m"
          limits:
            memory: "512Mi"
            cpu: "500m"
---
# safeline-service.yaml
apiVersion: v1
kind: Service
metadata:
  name: safeline-waf-service
  labels:
    app: safeline-waf
spec:
  selector:
    app: safeline-waf
  ports:
    - protocol: TCP
      port: 80
      targetPort: 8080 # Container'ın dinlediği port
  type: ClusterIP # Sadece küme içinden erişilebilir

Bu YAML dosyalarını uygulayın:

kubectl apply -f safeline-deployment.yaml
kubectl apply -f safeline-service.yaml

SafeLine WAF'ın lisans anahtarını bir Kubernetes Secret objesi içinde saklamak güvenlik açısından önemlidir. Önce bir secret oluşturmanız gerekebilir:

kubectl create secret generic safeline-secrets --from-literal=license-key='YOUR_SAFELINE_LICENSE_KEY'

Ingress-Nginx'i SafeLine WAF ile Konfigüre Etme

Şimdi Ingress-Nginx Controller'ı, gelen tüm web trafiğini SafeLine WAF servisimize yönlendirecek şekilde yapılandırmamız gerekiyor. Bunu yapmanın en esnek yolu, Ingress objelerindeki nginx.ingress.kubernetes.io/upstream-vhosts ve nginx.ingress.kubernetes.io/configuration-snippet gibi annotation'ları kullanmaktır. Ancak daha kapsamlı bir yaklaşım, varsayılan backend'i veya belirli Ingress kurallarını SafeLine'a yönlendirmek olabilir.

Yöntem 1: Ingress Annotation'ları ile Yönlendirme

Her bir Ingress objesini SafeLine WAF'a yönlendirebilirsiniz. Bu, Ingress-Nginx'in trafiği doğrudan uygulamanıza göndermeden önce SafeLine WAF servisine iletmesini sağlar.

# my-app-ingress-with-waf.yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: my-app-ingress
  annotations:
    nginx.ingress.kubernetes.io/backend-protocol: HTTP
    nginx.ingress.kubernetes.io/proxy-read-timeout: "180"
    nginx.ingress.kubernetes.io/proxy-send-timeout: "180"
    # Tüm trafiği SafeLine WAF servisine yönlendir
    nginx.ingress.kubernetes.io/upstream-vhost: "safeline-waf-service.default.svc.cluster.local" # SafeLine servisi ve namespace'i
    nginx.ingress.kubernetes.io/configuration-snippet: |
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header Host $host;
      proxy_pass http://safeline-waf-service.default.svc.cluster.local:80;
spec:
  rules:
  - host: myapp.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: safeline-waf-service # SafeLine WAF servisini hedefleyin
            port:
              number: 80 # SafeLine WAF servisinin dinlediği port

Bu Ingress tanımında, myapp.example.com adresine gelen tüm istekler ilk olarak safeline-waf-service'e yönlendirilir. SafeLine WAF, bu istekleri işledikten sonra, kendi içinde yapılandırdığı kurallara göre gerçek uygulama servisine iletecektir. Bu, SafeLine WAF'ın bir ters proxy olarak görev yaptığı "Ters Proxy Zincirlemesi" modelidir. SafeLine WAF'ın kendisi de son kullanıcı uygulamasına doğru proxy_pass yapmalıdır.

Yöntem 2: Ingress-Nginx ConfigMap ile Varsayılan Backend'i Yönlendirme (Daha Gelişmiş)

Eğer tüm Ingress trafiğini veya belirli bir host grubunu SafeLine WAF üzerinden geçirmek istiyorsanız, Ingress-Nginx Controller'ın ConfigMap'ini özelleştirerek genel bir kural tanımlayabilirsiniz. Bu, daha merkezi bir yapılandırma sağlar.

# ingress-nginx-configmap-custom.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: ingress-nginx-controller
  namespace: ingress-nginx # Ingress-Nginx Controller'ın kurulu olduğu namespace
data:
  # Varsayılan Nginx config'ini SafeLine WAF'a yönlendirmek için custom http block
  # Bu yaklaşım, sadece Ingress-Nginx'in temel yapılandırmasını etkiler.
  # Daha kesin kontrol için annotation'lar veya Ingress objesindeki backend override daha iyidir.
  # Eğer SafeLine WAF'ı ayrı bir Nginx modülü olarak entegre ediyorsanız, buradaki http-snippet kullanışlı olabilir.
  # Bu örnek, genellikle SafeLine WAF'ın doğrudan bir Nginx modülü olarak çalıştığı senaryolar için daha uygundur.
  # Aksi takdirde, yukarıdaki Ingress Annotation'ı yöntemi daha basittir.

  # Örnek: Eğer SafeLine WAF, Nginx'in kendi bir modülü ise
  # http-snippet: |
  #   safeline_enable on;
  #   safeline_rules /etc/nginx/safeline_rules.conf;
  #   # Diğer SafeLine modül konfigürasyonları...

  # Alternatif olarak, eğer SafeLine WAF bir upstream ise ve onu genel olarak kullanmak istiyorsanız:
  # server-snippet: |
  #   location / {
  #     proxy_pass http://safeline-waf-service.default.svc.cluster.local:80;
  #     proxy_set_header Host $host;
  #     proxy_set_header X-Real-IP $remote_addr;
  #     proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  #     proxy_set_header X-Forwarded-Proto $scheme;
  #   }

Yukarıdaki ConfigMap örneği, SafeLine WAF'ın Nginx'e doğrudan bir modül olarak entegre edildiği veya Ingress-Nginx'in varsayılan davranışını tamamen değiştirmek istediğiniz durumlarda daha alakalıdır. Çoğu SafeLine entegrasyonunda, "Yöntem 1: Ingress Annotation'ları ile Yönlendirme" veya SafeLine WAF'ın kendi Helm grafiği daha pratik ve yönetilebilirdir.

Eğer SafeLine WAF'ın kendi Helm grafiği veya Kubernetes operatörü varsa, entegrasyon süreci çok daha basit olacaktır. Bu araçlar, SafeLine WAF'ı otomatik olarak dağıtır ve Ingress-Nginx ile entegrasyon için gerekli ConfigMap'leri, Ingress objelerini veya özel Controller'ları yapılandırabilir. Her zaman WAF satıcınızın sağladığı resmi entegrasyon yöntemlerini tercih etmelisiniz.

Performans, Ölçeklenebilirlik ve Gelişmiş Optimizasyon İpuçları

SafeLine WAF ve Ingress-Nginx entegrasyonunu kurduktan sonra, sisteminizin performansını, ölçeklenebilirliğini ve güvenilirliğini en üst düzeye çıkarmak için bazı gelişmiş optimizasyon teknikleri uygulamak önemlidir. Özellikle yüksek trafikli ortamlarda, bu ipuçları kritik fark yaratabilir.

SafeLine WAF ve Ingress-Nginx'in Ölçeklenmesi

• Yatay Ölçekleme (Horizontal Scaling): Hem SafeLine WAF deployment'ınızı hem de Ingress-Nginx Controller'ınızı Horizontal Pod Autoscaler (HPA) ile yapılandırın. CPU veya bellek kullanımına dayalı olarak pod sayısını otomatik olarak artırıp azaltmak, ani trafik dalgalanmalarına karşı sisteminizi dayanıklı hale getirir.

  
  # SafeLine WAF için HPA örneği
  apiVersion: autoscaling/v2
  kind: HorizontalPodAutoscaler
  metadata:
    name: safeline-waf-hpa
  spec:
    scaleTargetRef:
      apiVersion: apps/v1
      kind: Deployment
      name: safeline-waf
    minReplicas: 2
    maxReplicas: 10
    metrics:
    - type: Resource
      resource:
        name: cpu
        target:
          type: Utilization
          averageUtilization: 70 # CPU kullanımı %70'e ulaştığında ölçeklendir
          

  
  Benzer bir HPA'yı Ingress-Nginx Controller deployment'ınız için de uygulayın.

• Kaynak Yönetimi (Resource Management): SafeLine WAF ve Ingress-Nginx pod'larınız için doğru CPU ve bellek requests ve limits değerlerini belirleyin. Yetersiz kaynaklar performansı düşürebilirken, aşırı kaynak ataması küme kaynaklarını israf edebilir. İlk başta gözlemleyerek ve kademeli olarak optimize ederek ideal değerleri bulun.
• Özel Nginx Optimizasyonları: Ingress-Nginx ConfigMap'i aracılığıyla Nginx'in performans ayarlarını (örneğin, worker_processes, worker_connections, keepalive_timeout) özelleştirebilirsiniz. Bu ayarlar, ağ ortamınız ve beklenen trafik yükünüzle eşleşmelidir.

Caching Stratejileri ve Performans İyileştirmeleri

• Ingress-Nginx Cache Kullanımı: Statik içerikler veya sık erişilen API yanıtları için Ingress-Nginx'in yerleşik önbellek mekanizmasını kullanabilirsiniz. Bu, SafeLine WAF'ın aynı istekleri tekrar tekrar işlemesini engelleyerek hem WAF'ın yükünü azaltır hem de genel yanıt süresini düşürür.

  
  # Ingress objesine eklenen Nginx cache annotation'ları
  apiVersion: networking.k8s.io/v1
  kind: Ingress
  metadata:
    name: my-app-ingress
    annotations:
      nginx.ingress.kubernetes.io/proxy-buffering: "on"
      nginx.ingress.kubernetes.io/proxy-buffers: "8 16k"
      nginx.ingress.kubernetes.io/proxy-buffer-size: "32k"
      nginx.ingress.kubernetes.io/proxy-cache-valid: "200 302 10m" # 200 ve 302 durum kodları için 10 dakika cache
      nginx.ingress.kubernetes.io/proxy-cache-key: "$scheme$host$request_uri"
      nginx.ingress.kubernetes.io/proxy-cache: "my-cache" # ConfigMap'te tanımlanmış cache alanı
      # Diğer cache ayarları...
  

  
  Bu cache mekanizmasını aktif etmek için Ingress-Nginx Controller'ın ConfigMap'inde bir proxy-cache-path tanımlamanız gerekebilir.

• WAF Yükünü Hafifletme: Güvenli olduğu bilinen (örneğin, sadece statik dosya sunan) belirli URL yollarını SafeLine WAF bypass kuralları ile direkt olarak uygulamaya yönlendirebilirsiniz. Bu, WAF'ın sadece gerçekten riskli trafiğe odaklanmasını sağlar.

Monitoring, Logging ve Gözlemlenebilirlik

Güvenliğinizi ve performansınızı sürekli olarak izlemek için kapsamlı bir gözlemlenebilirlik (observability) stratejisi uygulayın:

• Metrik Toplama: Prometheus ve Grafana kullanarak hem Ingress-Nginx hem de SafeLine WAF pod'larından metrikleri toplayın. Ingress-Nginx, /metrics endpoint'i üzerinden zengin metrikler sunar. SafeLine WAF da benzer şekilde kendi performans ve güvenlik metriklerini dışa aktarmalıdır.
• Merkezi Loglama: SafeLine WAF'ın ve Ingress-Nginx'in ürettiği tüm logları ELK Stack (Elasticsearch, Logstash, Kibana) veya Loki gibi merkezi bir loglama sistemine gönderin. Bu, güvenlik olaylarını, performans sorunlarını ve anormal davranışları hızlı bir şekilde tespit etmenizi sağlar.
• Uyarılar (Alerting): Belirli güvenlik olayları (örneğin, çok sayıda WAF engellemesi) veya performans düşüşleri (örneğin, yüksek gecikme süresi) için Prometheus Alertmanager veya benzeri araçlarla uyarılar tanımlayın.

Mobil Uyumlu Tasarım ve HTTP Başlıkları

Makale gereksinimlerinden biri de mobil uyumlu HTML üretmek ve media query örnekleri eklemekti. Doğrudan Ingress-Nginx veya SafeLine WAF bu işi yapmasa da, uygulamanızın mobil uyumlu içeriği doğru bir şekilde sunulduğundan emin olmak için Ingress-Nginx aracılığıyla bazı HTTP başlıklarını yönetebilir veya uygulamanızın kendisinde uygun medya sorguları kullanabilirsiniz. İşte bir örnek:

    
    
    
    


    

        
Mobil Uyumlu Başlık
        
Bu paragraf, farklı ekran boyutlarına göre font büyüklüğünü ve konteyner genişliğini otomatik olarak ayarlayan bir tasarıma sahiptir. Ingress-Nginx ve SafeLine WAF, bu içeriğin güvenli ve performanslı bir şekilde son kullanıcılara ulaşmasını sağlar.
    

Bu HTML ve CSS örneği, web uygulamanızın kendisinde nasıl mobil uyumluluğu sağlayacağınızı göstermektedir. Ingress-Nginx, bu HTML içeriğini performanslı bir şekilde sunarken, SafeLine WAF ise bu içeriğe yönelik saldırıları engeller.

Sıkça Sorulan Sorular (SSS)

SafeLine WAF'ı Ingress-Nginx ile entegre etme süreci hakkında sıkça sorulan bazı sorular ve cevapları aşağıdadır:

1. SafeLine WAF, Ingress-Nginx performansını düşürür mü?

   Her ek güvenlik katmanı gibi, SafeLine WAF da trafiği analiz ettiği için belirli bir miktarda gecikmeye (latency) neden olabilir. Ancak modern WAF çözümleri, yüksek performans göz önünde bulundurularak tasarlanmıştır. Doğru ölçekleme, kaynak tahsisi ve optimizasyonlarla (örneğin, önbellekleme), bu performans düşüşü genellikle ihmal edilebilir düzeyde tutulabilir. Üstelik, güvenliğin sağladığı faydalar genellikle olası küçük performans kayıplarından çok daha ağır basar.

2. Entegrasyon için en iyi dağıtım modeli nedir?

   Genellikle, SafeLine WAF'ın Ingress-Nginx Controller'ın arkasında ayrı bir servis olarak çalıştığı ve Ingress-Nginx'in trafiği bu WAF servisine yönlendirdiği "Ters Proxy Zincirlemesi" veya "Ingress Controller seviyesinde entegrasyon" modeli en çok tercih edilenidir. Bu model, yönetim kolaylığı, merkezi kontrol ve ölçeklenebilirlik açısından iyi bir denge sunar. Sidecar deseni, özellikle çok ince taneli güvenlik kontrolleri gerektiğinde veya WAF çok hafif bir konteyner olarak sunuluyorsa düşünülebilir.

3. TLS sonlandırmayı nerede yapmalıyız?

   TLS sonlandırmayı Ingress-Nginx Controller seviyesinde yapmak en yaygın ve önerilen yaklaşımdır. Bu, Ingress-Nginx'in gelen şifreli trafiği şifresini çözerek SafeLine WAF'a ve ardından uygulamanıza HTTP olarak iletmesini sağlar. SafeLine WAF, şifre çözülmüş trafiği analiz edebilir. Eğer SafeLine WAF kendisi de TLS sonlandırma yeteneğine sahipse ve ek bir güvenlik katmanı olarak bu işlevi yerine getirmesini istiyorsanız, TLS'i SafeLine WAF'ta sonlandırıp, WAF'ın uygulamanıza giden trafiği tekrar şifrelemesini (veya HTTP olarak göndermesini) sağlayabilirsiniz. Ancak bu, yapılandırmayı karmaşıklaştırabilir.

4. SafeLine WAF kurallarını nasıl güncellerim?

   SafeLine WAF kuralları genellikle WAF'ın kendi yönetim arayüzü veya API'si aracılığıyla güncellenir. Eğer WAF konteyner olarak çalışıyorsa, bu kuralları bir ConfigMap olarak Kubernetes'e ekleyip WAF pod'una mount edebilir veya bir Persistent Volume kullanabilirsiniz. Otomatik kural güncellemeleri için, SafeLine'ın sağladığı mekanizmaları (örneğin, bir CI/CD hattı veya bir operatör aracılığıyla) takip etmek en iyisidir.

5. Hangi logları izlemeliyim?

   Sistemin sağlığı ve güvenliği için hem Ingress-Nginx hem de SafeLine WAF'ın loglarını yakından izlemelisiniz. Ingress-Nginx logları, trafik akışını, hataları ve yönlendirme sorunlarını gösterirken, SafeLine WAF logları tespit edilen saldırıları, engellenen istekleri, kural tetiklenmelerini ve genel güvenlik olaylarını detaylandırır. Merkezi bir loglama sistemi kullanarak bu logları korele etmek, tehditleri ve performans sorunlarını daha hızlı anlamanıza yardımcı olur.

Sonuç

Kubernetes tabanlı uygulamaların güvenliği, modern BT altyapılarının en kritik bileşenlerinden biridir. SafeLine WAF'ı Ingress-Nginx Controller ile entegre etmek, uygulamalarınıza güçlü bir uygulama katmanı güvenlik duvarı koruması eklemenin etkili bir yoludur. Bu entegrasyon, bilinen web saldırılarına karşı koruma sağlarken, aynı zamanda gelişmiş tehditleri de davranışsal analiz yetenekleriyle engellemeye yardımcı olur. Adım adım kurulum, doğru yapılandırma ve sürekli optimizasyon ile hem performanstan ödün vermeden güvenliği sağlayabilir hem de siber tehditlere karşı güçlü bir savunma hattı oluşturabilirsiniz.

Unutmayın ki güvenlik sürekli bir yolculuktur. Entegrasyonu tamamladıktan sonra bile, güvenlik politikalarınızı düzenli olarak gözden geçirmeli, SafeLine WAF kurallarınızı güncellemeli ve sisteminizi izlemeye devam etmelisiniz. Bu yaklaşım, dinamik tehdit ortamında uygulamalarınızın her zaman güvende kalmasını sağlayacaktır.