Günümüzün dijital dünyasında, web uygulamaları ve dinamik içerikler her zamankinden daha faz…

Amazon CloudFront orjinlerinizi entegre AWS güvenlik özellikleriyle nasıl koruyacağınızı öğrenin. OAI, OAC, AWS WAF gibi araçlarla içerik dağıtım güvenliğinizi artırmak için adım adım yönergeleri ve en iyi uygulamaları keşfedin. Bu kapsamlı rehber, içeriklerinizi siber tehditlere karşı güvence altına almanız için pratik bilgiler sunuyor.

Neden CloudFront Orjin Güvenliği Kritik Öneme Sahip?

Günümüzün dijital dünyasında, web uygulamaları ve dinamik içerikler her zamankinden daha fazla kullanıcıya ulaşmaktadır. Bu erişilebilirliğin temelinde, hızlı ve güvenilir içerik dağıtımı sağlayan İçerik Dağıtım Ağları (CDN’ler) yer alır. Amazon CloudFront, AWS ekosisteminin güçlü bir parçası olarak bu ihtiyacı karşılar; ancak, bir CDN kullanmanın getirdiği faydaların yanı sıra, güvenlik endişeleri de beraberinde gelir. CloudFront, kullanıcılarınıza içeriği coğrafi olarak yakın sunuculardan ulaştırarak gecikmeyi azaltır ve performansı artırırken, içeriğin gerçek kaynağı olan “orjin sunucuları” doğrudan internete açık kalabilme riski taşır. İşte tam da bu noktada orjin güvenliği devreye girer.

Bir CloudFront dağıtımında orjin sunucusu, S3 kovası, EC2 üzerindeki bir web sunucusu, Application Load Balancer (ALB) veya başka bir HTTP/HTTPS uç noktası olabilir. Bu orjinler, uygulamanızın kalbi ve hassas verilerinizin barınağıdır. Eğer bu orjinler uygun şekilde korunmazsa, kötü niyetli aktörler doğrudan orjin sunucusuna saldırarak CloudFront önbelleğini atlayabilir, önbelleğe alınmamış içeriğe erişebilir, DDoS saldırılarıyla hizmeti kesintiye uğratabilir veya hassas verileri ele geçirebilir. Bu durum, yalnızca hizmet kesintisi ve itibar kaybına yol açmakla kalmaz, aynı zamanda ciddi veri ihlalleri ve yasal yaptırımlar gibi felaket senaryolarına da neden olabilir. Dolayısıyla, CloudFront’u etkin bir şekilde kullanırken, orjin güvenliğini en üst düzeyde tutmak, genel güvenlik duruşunuzun vazgeçilmez bir parçasıdır. Bu, sadece bir “güzel uygulama” değil, modern web mimarilerinin temel bir gerekliliğidir. Güvenli bir orjin, tüm içerik dağıtım zincirinizin güçlü olmasını sağlar.

Orjin güvenliği, birçok farklı vektörden gelebilecek tehditlere karşı kapsamlı bir savunma mekanizması kurmayı gerektirir. Örneğin, DDoS (Distributed Denial of Service) saldırıları, orjin sunucusunu aşırı yükleyerek erişilemez hale getirebilir. Yetkisiz erişim denemeleri, hassas bilgilere sızmayı hedefleyebilir. API suiistimalleri, uygulamanızın işleyişini bozabilir veya veri manipülasyonuna yol açabilir. Bu nedenle, CloudFront’un sağladığı güvenlik özelliklerini kullanarak orjin sunucularınızı bu tür tehditlere karşı güçlendirmek hayati öneme sahiptir. Bu makale boyunca, bu kritik güvenlik katmanlarını adım adım nasıl uygulayacağınızı ve en iyi uygulamaları nasıl benimseyeceğinizi detaylandıracağız. Amacımız, hem yeni başlayanların hem de deneyimli AWS kullanıcılarının, CloudFront dağıtımlarının arkasındaki orjinleri sağlam bir şekilde korumalarına yardımcı olmaktır.

CloudFront Orjin Güvenliğinin Temel Taşları Nelerdir?

Amazon CloudFront’u kullanırken orjin sunucularınızı güvende tutmak için birkaç temel mekanizma bulunmaktadır. Bu mekanizmalar, CloudFront’un orjininize yetkili bir şekilde erişmesini sağlarken, diğer tüm doğrudan erişim girişimlerini engellemeyi hedefler. İşte bu mekanizmaların en önemlileri ve nasıl çalıştıkları:

Orjin Erişim Kimliği (OAI) ve Orjin Erişim Kontrolü (OAC) Nasıl Çalışır?

Daha önce CloudFront ile S3 kovalarını kullanmış olanlar OAI (Origin Access Identity) kavramına aşinadır. OAI, CloudFront dağıtımınızın S3 kovasına erişmek için kullanabileceği özel bir sanal kimlik oluşturarak çalışır. S3 kovanınızın politikasına bu OAI’ye erişim izni verirseniz, yalnızca CloudFront dağıtımınız bu kovadaki nesnelere erişebilir, doğrudan S3 URL’leri üzerinden erişim ise engellenir. Bu, S3’teki içeriğinizi herkese açık hale getirmeden CloudFront aracılığıyla dağıtmanın en güvenli yoludur.

Ancak, OAI’nin bazı sınırlamaları vardı. Özellikle, yalnızca S3 orjinleriyle çalışıyordu ve modern güvenlik uygulamaları için bazı yetenekleri eksikti. İşte bu noktada OAC (Origin Access Control) devreye girer. OAC, OAI’nin daha yeni, daha güçlü ve daha esnek bir evrimidir. OAC, S3 kovalarının yanı sıra EC2, Application Load Balancer ve diğer HTTP/HTTPS orjinleri için de güvenli erişim sağlayabilir. OAC, CloudFront ve orjin arasındaki bağlantıyı imzalı isteklerle (signed requests) güçlendirerek ve çift yönlü TLS (mTLS) gibi gelişmiş güvenlik kontrolleri sunarak orjin güvenliğini bir adım öteye taşır.

OAC’nin temel faydaları şunlardır:

• S3 Dışı Orjin Desteği: Artık yalnızca S3 ile sınırlı kalmadan, herhangi bir HTTP/HTTPS orjini güvenli bir şekilde bağlayabilirsiniz.
• Daha Güçlü Şifreleme: CloudFront ve orjin arasındaki iletişimi daha güçlü TLS sürümleri ve şifrelemelerle korur.
• Kapsamlı Protokol Desteği: HTTP ve HTTPS protokollerini destekler.
• Gelişmiş Denetlenebilirlik: Erişim denetim günlüklerinde daha ayrıntılı bilgi sağlar.

OAC yapılandırması genellikle CloudFront dağıtımınızı oluştururken veya mevcut bir dağıtımı düzenlerken yapılır. İşte bir OAC oluşturmak için tipik adımlar:

1. AWS Yönetim Konsolu’nda CloudFront hizmetine gidin.
2. “Origin access” bölümüne gidin ve “Create origin access control” seçeneğini tıklayın.
3. OAC için bir isim ve açıklama belirleyin.
4. OAC’yi oluşturduktan sonra, CloudFront dağıtımınızın orjin ayarlarında, kullanmak istediğiniz orjin için bu OAC’yi seçin.
5. Eğer orjininiz bir S3 kovası ise, CloudFront size kova politikasını otomatik olarak güncellemeniz için bir düğme veya yönerge sunacaktır. Diğer HTTP orjinleri için, orjininizdeki güvenlik grubunun veya Web Uygulama Güvenlik Duvarı’nın (WAF) CloudFront IP aralıklarından gelen isteklere izin verdiğinden emin olmanız gerekebilir, ancak doğrudan internet erişimine kapalı tutulmalıdır.

OAC ile yapılandırılan bir S3 orjini için S3 kova politikasının bir örneği şöyle görünebilir (YOUR_BUCKET_NAME ve YOUR_OAC_ID yerine kendi değerlerinizi koymalısınız):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCloudFrontServicePrincipal",
            "Effect": "Allow",
            "Principal": {
                "Service": "cloudfront.amazonaws.com"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::YOUR_BUCKET_NAME/*",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceArn": "arn:aws:cloudfront::YOUR_ACCOUNT_ID:distribution/YOUR_DISTRIBUTION_ID"
                }
            }
        },
        {
            "Sid": "AllowOACAccess",
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::YOUR_ACCOUNT_ID:oidc-provider/cloudfront.amazonaws.com/${YOUR_OAC_ID}"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::YOUR_BUCKET_NAME/*"
        }
    ]
}

Bu politika, yalnızca belirli bir CloudFront dağıtımının (OAC aracılığıyla) S3 kovasındaki nesnelere erişmesine izin verir. Başka hiçbir kaynaktan doğrudan erişim mümkün değildir, bu da orjin güvenliğini önemli ölçüde artırır.

AWS WAF ile Ağ Güvenliğini Güçlendirme

CloudFront orjin güvenliğinin bir diğer kritik bileşeni de AWS WAF'tır (Web Application Firewall). WAF, web uygulamalarınızı yaygın web güvenlik açıklarına karşı koruyan bir güvenlik duvarıdır. Bu açıklar arasında SQL enjeksiyonu, siteler arası komut çalıştırma (XSS), bot saldırıları ve DDoS saldırıları yer alabilir. CloudFront'un önüne konumlandırılan WAF, kötü niyetli trafiği orjin sunucunuza ulaşmadan önce filtreleyerek engeller.

AWS WAF'ı CloudFront ile entegre etmek oldukça basittir. WAF kurallarını, isteğinizin belirli parametrelerine (örneğin, IP adresleri, HTTP başlıkları, sorgu dizeleri, istek gövdesi) dayalı olarak yapılandırabilirsiniz. Örneğin, belirli bir ülkedeki IP adreslerinden gelen istekleri engelleyebilir, bilinen kötü amaçlı bot trafiğini tespit edip durdurabilir veya uygulamanızın belirli API uç noktalarına yönelik aşırı istekleri sınırlayabilirsiniz.

WAF kurallarını oluştururken, AWS Managed Rules (AWS Tarafından Yönetilen Kurallar) setlerini kullanmak, başlangıç için harika bir yoldur. Bu kurallar, AWS güvenlik uzmanları tarafından yönetilir ve güncellenir, böylece yaygın tehditlere karşı otomatik koruma sağlarlar. Ayrıca, kendi özel kurallarınızı da yazabilirsiniz. İşte yaygın WAF kullanım durumları:

• DDoS Koruması: Hız tabanlı kurallar veya coğrafi engelleme ile temel DDoS koruması sağlar.
• Bot Koruması: Bilinen kötü amaçlı botları engelleyerek kaynak tüketimini azaltır.
• Yaygın Web Açıkları: SQL enjeksiyonu, XSS gibi OWASP Top 10 açıklarına karşı koruma sağlar.
• API Koruması: API uç noktalarını hedefleyen özel saldırıları engeller.
• Coğrafi Kısıtlamalar: Belirli coğrafyalardan gelen erişimi kısıtlar.

Bir WAF Kural Grubu'nun (Rule Group) nasıl görünebileceğine dair basitleştirilmiş bir JSON örneği:

{
    "Name": "MyWebACL",
    "DefaultAction": {
        "Allow": {}
    },
    "Rules": [
        {
            "Name": "BlockSQLi",
            "Priority": 1,
            "Action": {
                "Block": {}
            },
            "Statement": {
                "ByteMatchStatement": {
                    "SearchString": "UNION SELECT",
                    "FieldToMatch": {
                        "AllQueryArguments": {}
                    },
                    "TextTransformations": [
                        { "Priority": 0, "Type": "LOWERCASE" }
                    ],
                    "PositionalConstraint": "CONTAINS"
                }
            },
            "VisibilityConfig": {
                "SampledRequestsEnabled": true,
                "CloudWatchMetricsEnabled": true,
                "MetricName": "BlockSQLiMetric"
            }
        },
        {
            "Name": "RateLimit",
            "Priority": 2,
            "Action": {
                "Block": {}
            },
            "Statement": {
                "RateLimitStatement": {
                    "Limit": 1000,
                    "AggregateKeyType": "IP"
                }
            },
            "VisibilityConfig": {
                "SampledRequestsEnabled": true,
                "CloudWatchMetricsEnabled": true,
                "MetricName": "RateLimitMetric"
            }
        }
    ]
}

Bu örnek, basit bir SQL enjeksiyon saldırısını tespit eden ve IP başına istek hızını sınırlayan iki kuralı göstermektedir. WAF kuralları, CloudFront dağıtımınızın önünde uygulandığında, kötü niyetli trafiğin orjin sunucunuza ulaşmasını engeller, böylece orjin kaynaklarınızı korur ve performans yükünü azaltır. CloudFront'un global ağı üzerinde çalıştığı için, WAF koruması da dünya çapında dağıtılır, bu da DDoS saldırılarına karşı küresel bir savunma sağlar.

HTTPS ve Sertifika Yönetimi: Veri Bütünlüğü ve Şifreleme

CloudFront orjin güvenliğinin ayrılmaz bir parçası da HTTPS kullanımını zorunlu kılmaktır. HTTPS (Hypertext Transfer Protocol Secure), CloudFront ile kullanıcılarınız ve CloudFront ile orjin sunucunuz arasındaki tüm iletişimi şifreleyerek veri bütünlüğünü ve gizliliğini sağlar. Bu, ortadaki adam (Man-in-the-Middle) saldırılarını önler ve hassas verilerin ele geçirilmesini zorlaştırır.

CloudFront dağıtımınız için özel bir SSL/TLS sertifikası kullanmak, web sitenizin veya uygulamanızın güvenilirliğini artırır. AWS Certificate Manager (ACM) aracılığıyla ücretsiz olarak AWS tarafından yönetilen sertifikaları kolayca sağlayabilir ve CloudFront ile entegre edebilirsiniz. ACM, sertifikalarınızın yenilenmesini de otomatik olarak yönetir, böylece sertifika süresi dolduğunda hizmet kesintisi riskini ortadan kaldırır.

CloudFront dağıtımınızı yapılandırırken aşağıdaki HTTPS ayarlarını göz önünde bulundurmalısınız:

• Viewer Protocol Policy (Görüntüleyici Protokol Politikası): Kullanıcılarınızın CloudFront'a nasıl erişeceğini belirler. Genellikle "Redirect HTTP to HTTPS" (HTTP'yi HTTPS'e Yönlendir) veya "HTTPS Only" (Sadece HTTPS) seçeneğini kullanmalısınız. Bu, tüm kullanıcı trafiğinin şifrelenmiş bir bağlantı üzerinden gelmesini sağlar.
• Origin Protocol Policy (Orjin Protokol Politikası): CloudFront'un orjin sunucunuzla nasıl iletişim kuracağını belirler. Orjin sunucunuzun HTTPS'i desteklediğinden ve geçerli bir sertifikaya sahip olduğundan emin olun. CloudFront'un orjin ile sadece HTTPS üzerinden iletişim kurmasını sağlamak, uçtan uca şifrelemeyi garanti eder.
• SSL/TLS Sertifikası: ACM'den sağladığınız özel bir sertifikayı CloudFront dağıtımınıza atayın. Bu, müşterilerinizin tarayıcılarında alan adınız için güvenli bir bağlantı gösterilmesini sağlar.

Tüm bu adımlar, verilerinizin hem transit halindeyken (in-transit) hem de orjin sunucunuzda (at-rest, uygun depolama şifrelemesi ile) güvende kalmasını sağlamak için kritik öneme sahiptir.

Gelişmiş Orjin Güvenliği Stratejileri ve En İyi Uygulamalar

CloudFront orjin güvenliğini sağlamanın temel mekanizmalarının ötesinde, daha sağlam bir savunma için uygulanabilecek gelişmiş stratejiler ve en iyi uygulamalar mevcuttur. Bu yaklaşımlar, özellikle yüksek hassasiyetli verilerle çalışan veya karmaşık tehdit modellerine sahip uygulamalar için kritik öneme sahiptir.

Lambda@Edge veya CloudFront Functions ile Dinamik Erişim Kontrolü

CloudFront'un güçlü özelliklerinden biri olan Lambda@Edge ve CloudFront Functions, içerik dağıtım sürecine mantık ekleyerek dinamik erişim kontrolü sağlamanıza olanak tanır. Bu sunucusuz işlevler, istekleri CloudFront'un kenar konumlarında (edge locations) işleyebilir, bu da orjininize ulaşmadan önce özel doğrulama ve yetkilendirme mantığı uygulayabileceğiniz anlamına gelir.

Örneğin, Lambda@Edge kullanarak:

• Token Tabanlı Yetkilendirme: Her isteğin geçerli bir yetkilendirme tokenı içerip içermediğini kontrol edebilirsiniz. Eğer token yoksa veya geçersizse, isteği orjine göndermeden reddedebilirsiniz.
• Coğrafi Kısıtlama Özelleştirmesi: AWS WAF'ın coğrafi kısıtlamalarına ek olarak, belirli kullanıcı gruplarına veya abonelik seviyelerine göre daha dinamik coğrafi erişim politikaları uygulayabilirsiniz.
• A/B Testi veya Kişiselleştirme: Kullanıcı özniteliklerine göre farklı içerikler sunarken, bu içeriklerin doğru kullanıcıya gittiğinden emin olmak için güvenlik kontrolleri ekleyebilirsiniz.

CloudFront Functions ise daha basit ve performansa duyarlı işlevler için tasarlanmıştır. Örneğin, bir isteğin başlığını kontrol edip belirli bir değer içermiyorsa anında engellemek gibi senaryolarda kullanılabilir. Bu işlevler, Lambda@Edge'e göre daha hızlı çalışır ve daha uygun maliyetlidir, çünkü daha kısa çalışma süreleri ve daha az kaynak gereksinimleri vardır.

İşte bir CloudFront Function örneği, belirli bir X-Custom-Auth başlığı olmayan istekleri engellemek için:

function handler(event) {
    var request = event.request;
    var headers = request.headers;

    // Check for a custom authorization header
    if (!headers['x-custom-auth'] || headers['x-custom-auth'].value !== 'my-secret-token') {
        return {
            statusCode: 403,
            statusDescription: 'Forbidden',
            headers: {
                'content-type': { value: 'text/plain' }
            },
            body: 'Unauthorized access.'
        };
    }

    // If the header is present and valid, allow the request to proceed
    return request;
}

Bu tür dinamik kontroller, orjin sunucunuza ulaşacak isteklerin daha sıkı bir şekilde filtrelenmesini sağlar ve kötü niyetli veya yetkisiz trafiğin daha erken aşamada durdurulmasına yardımcı olur.

İmzalı URL'ler ve İmzalı Çerezler ile İçerik Erişimini Kısıtlama

Belirli bir içeriğin sadece belirli bir süre veya belirli koşullar altında erişilebilir olmasını istediğinizde, CloudFront'un imzalı URL'ler (Signed URLs) ve imzalı çerezler (Signed Cookies) özelliklerini kullanabilirsiniz. Bu, özellikle premium içerik, tek seferlik indirmeler veya süreli abonelikler gibi senaryolarda oldukça etkilidir.

İmzalı URL'ler: Tek bir dosya veya belirli bir içeriğe erişimi kısıtlamak için kullanılır. Bir URL'ye bir imza, son kullanma tarihi ve isteğe bağlı olarak IP adresi kısıtlaması eklenir. Kullanıcı, bu imzalı URL ile içeriğe erişebilir, ancak URL'nin geçerlilik süresi dolduğunda veya imza değiştirildiğinde erişim reddedilir.

İmzalı Çerezler: Bir veya daha fazla dosyaya erişimi kısıtlamak için kullanılır. Genellikle bir web uygulamasında oturum açmış kullanıcılara belirli içerik gruplarına erişim vermek için kullanılır. İmzalı bir çerez ayarlandığında, kullanıcı tarayıcısında bu çerezle birlikte tüm CloudFront isteklerini yapar ve CloudFront, çerezi doğrularak içeriğe erişimi onaylar.

Bu özellikler, orjin sunucunuzdaki içeriğin yalnızca yetkili kullanıcılar veya süreçler tarafından erişilebilir olmasını sağlayarak önemli bir güvenlik katmanı ekler. Örneğin, bir abonelik hizmetinde premium bir videoyu yalnızca ödeme yapmış kullanıcılara sunmak için imzalı URL'ler kullanabilirsiniz. Bu URL'leri sunucu tarafında oluşturmalı ve sadece yetkilendirilmiş kullanıcılara vermelisiniz.

Güvenlik Başlıkları ve Origin Shield

Web uygulamalarınızın güvenliğini artırmak için çeşitli HTTP güvenlik başlıklarını kullanmak da önemlidir. Örneğin, Content Security Policy (CSP), X-XSS-Protection, X-Content-Type-Options ve Strict-Transport-Security (HSTS) gibi başlıklar, yaygın web saldırılarına karşı tarayıcı düzeyinde koruma sağlar. Bu başlıkları CloudFront'un çıktı yanıtlarına ekleyerek tüm dağıtılan içeriğiniz için geçerli olmasını sağlayabilirsiniz.

CloudFront Origin Shield ise, CloudFront'un orjin sunucunuza yaptığı istekleri konsolide eden ek bir önbellekleme katmanıdır. Origin Shield, orjininize yönelik yükü azaltır ve gereksiz istekleri filtreleyerek orjin sunucunuzu korur. Bu, özellikle ani trafik artışlarında veya DDoS saldırılarında orjin sunucunuzun daha dayanıklı olmasına yardımcı olur. Origin Shield, orjin sunucunuzu doğrudan gelen isteklerden daha da yalıtarak ek bir güvenlik ve performans katmanı sunar.

Vaka Analizi: Büyük Ölçekli Bir Medya Şirketinin CloudFront Orjin Güvenliği

Büyük bir medya şirketi, global çapta kullanıcılarına yüksek çözünürlüklü video içerikleri ve statik web sitesi varlıkları sunmaktadır. Bu şirketin ana altyapısı AWS üzerinde çalışmakta ve içerik dağıtımı için Amazon CloudFront'u yoğun bir şekilde kullanmaktadır. Karşılaştıkları temel zorluklar şunlardı:

1. Video akış sunucularına (EC2 instance'ları üzerinde çalışan) doğrudan gelen DDoS saldırıları.
2. S3'teki hassas medya varlıklarına yetkisiz erişim girişimleri.
3. Yüksek trafik anlarında orjin sunucularının aşırı yüklenmesi.
4. Farklı coğrafyalardan gelen erişim kısıtlamaları ihtiyacı.

Bu zorlukların üstesinden gelmek için medya şirketi aşağıdaki CloudFront orjin güvenliği stratejilerini uyguladı:

Çözüm Adımları ve Uygulama

1. S3 Orjinleri İçin OAC Geçişi: Şirket, statik web sitesi dosyaları ve bazı medya varlıklarını barındırdığı tüm S3 kovaları için mevcut OAI yapılandırmalarını OAC'ye taşıdı. Bu, S3'teki içeriğin yalnızca CloudFront aracılığıyla erişilebilir olmasını sağlarken, daha güçlü şifreleme ve denetim yeteneklerinden faydalandı. OAC'ler, S3 kova politikalarıyla birlikte çalışarak doğrudan kova URL'lerinden erişimi tamamen engelledi.
2. EC2 Orjinleri İçin OAC ve Güvenlik Grupları: Video akış sunucularının bulunduğu EC2 instances'ları için de OAC kullanıldı. Bu sunucuların güvenlik grupları, yalnızca CloudFront'un bilinen IP aralıklarından ve OAC tarafından imzalanmış istekleri kabul edecek şekilde yapılandırıldı. Tüm diğer portlar ve IP aralıklarından gelen erişim engellendi, bu da doğrudan sunucu saldırılarını imkansız hale getirdi.
3. AWS WAF Entegrasyonu: Tüm CloudFront dağıtımlarının önüne bir AWS WAF Web ACL (Access Control List) eklendi. Bu Web ACL şunları içeriyordu:
   • AWS Managed Rule for Core Rule Set: OWASP Top 10 web açıklarına karşı temel koruma sağladı.
   • Rate-based Rules: Belirli IP adreslerinden gelen aşırı istekleri otomatik olarak engelledi, DDoS saldırılarına karşı ilk savunma hattını oluşturdu. Her 5 dakikada 1000'den fazla istek yapan IP adresleri otomatik olarak bloke edildi.
   • Geo-blocking Rules: Şirketin hizmet sunmadığı belirli ülkelerden gelen trafiği engelledi. Özellikle kötü niyetli trafiğin yoğunlaştığı bölgelerden gelen erişimi kesti.
   • Custom Rules: Belirli bot imzalarını veya anormal HTTP başlıklarını hedefleyen özel kurallar yazıldı. Örneğin, bilinen video akış korsanlığı araçlarının imzalarını içeren istekler engellendi.
4. Origin Shield Kullanımı: Orjin sunucularına yönelik yükü daha da azaltmak ve önbellek isabet oranlarını artırmak için tüm CloudFront dağıtımlarında Origin Shield etkinleştirildi. Bu, özellikle popüler içeriklere yönelik yoğun taleplerde orjin sunucularının aşırı yüklenmesini önledi.
5. Lambda@Edge ile Özel Yetkilendirme: Premium video içeriklerine erişim için, CloudFront'un viewer-request olayına bir Lambda@Edge fonksiyonu eklenerek özel bir token doğrulama mekanizması uygulandı. Bu fonksiyon, her istekte bir JWT (JSON Web Token) kontrol etti. Token geçerli ve süresi dolmamışsa istek orjine iletildi, aksi takdirde 403 Forbidden yanıtı döndürüldü. Bu sayede, yalnızca abone olan ve geçerli bir oturumu olan kullanıcılar premium içeriğe erişebildi.

   
   // Lambda@Edge örnek kodu (sadece konsept)
   exports.handler = async (event) => {
       const request = event.Records[0].cf.request;
       const headers = request.headers;
   
       // Check for authorization header and validate token
       if (!headers['authorization'] || !isValidToken(headers['authorization'].value)) {
           return {
               statusCode: 403,
               statusDescription: 'Forbidden',
               body: 'Unauthorized'
           };
       }
       return request;
   };
   
   function isValidToken(token) {
       // Gerçek token doğrulama mantığı buraya gelecek
       // Örneğin, JWT'yi çözme, imza doğrulama, süre kontrolü vb.
       return token === 'Bearer my-secret-jwt'; 
   }
           

6. HTTPS Zorunluluğu: Tüm CloudFront dağıtımları için "Redirect HTTP to HTTPS" politikası uygulandı ve ACM üzerinden sağlanan ücretsiz SSL/TLS sertifikaları kullanıldı. Orjin sunucularıyla iletişim de sadece HTTPS üzerinden yapıldı, böylece uçtan uca şifreleme sağlandı.

Sonuç ve Kazanımlar

Bu kapsamlı güvenlik stratejilerinin uygulanması sonucunda medya şirketi, CloudFront orjinlerinin güvenliğini önemli ölçüde artırdı. Doğrudan orjin sunucularına yönelik DDoS saldırıları tamamen engellendi, yetkisiz S3 erişim girişimleri durduruldu ve premium içeriklerin sadece yetkili abonelere sunulması sağlandı. WAF ve Origin Shield entegrasyonları sayesinde, orjin sunucularının performansı iyileştirildi ve yüksek trafik anlarında bile kesintisiz hizmet verilebildi. Bu vaka analizi, çok katmanlı bir CloudFront orjin güvenlik yaklaşımının, modern web uygulamalarının karşılaşabileceği karmaşık tehditlere karşı ne kadar etkili olabileceğini açıkça göstermektedir.

CloudFront Mobil Uyumluluğu Nasıl Sağlanır?

Modern web'in vazgeçilmez bir parçası olan mobil uyumluluk, kullanıcı deneyimi ve SEO için kritik öneme sahiptir. CloudFront doğrudan bir "mobil uyumlu HTML üretme" servisi olmasa da, içerik dağıtımı aşamasında mobil uyumlu web uygulamalarınızı destekleyecek ve optimize edecek bazı önemli noktalar bulunmaktadır. CloudFront'un kendisi, içeriğinizi hızlı ve güvenilir bir şekilde mobil cihazlara ulaştırarak dolaylı yoldan mobil deneyimi iyileştirir. Ancak asıl mobil uyumluluk, web sitenizin veya uygulamanızın frontend geliştirme aşamasında sağlanır.

Responsive Tasarım İlkeleri

Mobil uyumlu bir web sitesi veya uygulama oluşturmanın temelinde responsive (duyarlı) tasarım yatar. Bu yaklaşım, web sitenizin farklı ekran boyutlarına ve cihazlara (masaüstü, tablet, mobil telefon) otomatik olarak uyum sağlamasını sağlar. CSS'in media queries özelliği, responsive tasarımın olmazsa olmazıdır.

CloudFront, responsive web sitenizin CSS, JavaScript ve görüntü dosyalarını önbelleğe alarak ve dünya çapındaki kenar konumlarından dağıtarak mobil cihazlara hızlı yükleme süreleri sağlar. Yüksek çözünürlüklü görseller için CloudFront, "Image Optimization" özelliğini kullanarak veya Lambda@Edge ile dinamik boyutlandırma yaparak mobil cihazlara uygun optimize edilmiş görseller sunabilir. Bu sayede, mobil kullanıcılar daha hızlı yüklenen ve bant genişliğinden tasarruf eden bir deneyim yaşarlar.

İşte bir media query örneği:

/* Genel stil kuralları */
body {
    font-family: Arial, sans-serif;
    margin: 0;
    padding: 0;
}

.container {
    width: 960px;
    margin: 0 auto;
    padding: 20px;
}

/* Mobil cihazlar için media query (ekran genişliği 600px ve altı) */
@media screen and (max-width: 600px) {
    .container {
        width: 100%; /* Mobil cihazlarda tam genişlik */
        padding: 10px;
    }

    h2 {
        font-size: 1.5em; /* Mobil cihazlarda başlık boyutunu küçült */
    }

    p {
        font-size: 0.9em; /* Mobil cihazlarda paragraf boyutunu küçült */
    }
}

Bu CSS kod bloğu, bir web sayfasının genel stilini tanımlar ve ardından max-width: 600px koşulunu kullanarak ekran genişliği 600 piksel ve altında olan cihazlar için farklı stiller uygular. Bu sayede, sayfa mobil cihazlarda daha okunaklı ve kullanılabilir hale gelir. CloudFront, bu tür CSS dosyalarını önbelleğe alarak ve kenar konumlarından hızla dağıtarak mobil cihazlara hızlı yükleme süreleri sağlar.

HTML yapınızı da buna uygun olarak oluşturmanız önemlidir. etiketini HTML kısmına eklemek, tarayıcıya sayfanın cihazın genişliğine göre ölçeklenmesi gerektiğini bildirir ve mobil uyumluluğun ilk adımıdır.

    
    
    
    
    


    

        
Mobil Uyumlu İçerik
        
Bu paragraf, farklı ekran boyutlarına göre kendini ayarlayacaktır.
    

CloudFront ve Mobil Performans Optimizasyonu

CloudFront, mobil uygulamaların ve web sitelerinin performansını artırmak için bir dizi özellik sunar:

• Küresel Edge Ağı: İçeriği kullanıcılara coğrafi olarak yakın sunuculardan ulaştırarak gecikmeyi (latency) azaltır. Bu, mobil ağlarda daha da önemli hale gelir.
• HTTP/2 ve HTTP/3 (QUIC) Desteği: Bu protokoller, birden çok isteği tek bir bağlantı üzerinden göndererek ve başlık sıkıştırma gibi tekniklerle mobil cihazlarda daha hızlı yükleme süreleri sağlar.
• Sıkıştırma (Compression): CloudFront, gzip veya Brotli gibi sıkıştırma algoritmaları kullanarak metin tabanlı varlıkların (HTML, CSS, JS) boyutunu azaltır. Bu, özellikle sınırlı bant genişliğine sahip mobil ağlarda önemli ölçüde hız artışı sağlar.
• Cache Yönetimi: İçeriklerinizi doğru bir şekilde önbelleğe alarak, mobil kullanıcıların tekrar eden ziyaretlerinde çok daha hızlı yükleme süreleri elde etmesini sağlarsınız. Cache-Control başlıklarını doğru yapılandırmak kritik öneme sahiptir.

Özetle, CloudFront doğrudan mobil uyumlu HTML üretmezken, mobil uyumlu bir web sitesinin veya uygulamanın dünya çapında hızlı, güvenli ve verimli bir şekilde dağıtılmasında kilit bir rol oynar. Geliştirme aşamasında responsive tasarım ilkelerini ve performans optimizasyonlarını benimsemek, CloudFront ile birlikte mükemmel bir mobil deneyim sunmanızı sağlar.

Sonuç ve Sıkça Sorulan Sorular

Amazon CloudFront, içerik dağıtımında hız, performans ve güvenlik sunan güçlü bir AWS hizmetidir. Ancak, CloudFront'un gerçek potansiyelini ortaya çıkarmak ve web uygulamalarınızı siber tehditlere karşı tam anlamıyla korumak, orjin sunucularınızın sağlam bir şekilde güvence altına alınmasına bağlıdır. Bu makalede ele aldığımız gibi, OAI/OAC ile yetkisiz erişimi engellemek, AWS WAF ile yaygın web saldırılarına karşı kalkan oluşturmak, HTTPS ile veri şifrelemesini sağlamak ve Lambda@Edge gibi gelişmiş özelliklerle dinamik kontroller uygulamak, kapsamlı bir güvenlik duruşu için elzemdir.

Gerçek dünya senaryoları ve vaka analizleri, bu güvenlik katmanlarının bir araya geldiğinde nasıl güçlü bir savunma oluşturduğunu göstermektedir. Mobil uyumluluğun önemini de göz ardı etmeden, CloudFront'un sunduğu optimizasyon yeteneklerinden faydalanarak kullanıcılarınıza hızlı ve güvenli bir deneyim sunabilirsiniz. Unutmayın, güvenlik sürekli bir süreçtir ve en iyi uygulamaları düzenli olarak gözden geçirmek ve uygulamak, web varlıklarınızın gelecekte de güvende kalmasını sağlayacaktır. AWS'nin sunduğu bu entegre güvenlik araçları sayesinde, karmaşık siber güvenlik zorluklarını basitleştirebilir ve işinize odaklanabilirsiniz.

Sıkça Sorulan Sorular (SSS)