Mengenal WAF Lapisan Tambahan Keamanan Siber

Mengenal WAF Lapisan Tambahan Keamanan Siber – Web Application Firewall (WAF) adalah sistem keamanan yang dirancang khusus untuk memantau, memfilter, dan memblokir lalu lintas HTTP/HTTPS dari dan ke aplikasi web atau API.

Berbeda dengan firewall jaringan konvensional, WAF beroperasi di Layer 7 (Application Layer) pada model OSI. Hal ini memungkinkannya untuk memeriksa isi muatan data (payload) dari setiap permintaan (request) HTTP secara mendalam untuk mendeteksi ancaman spesifik yang sering kali lolos dari pemeriksaan firewall biasa.

Cara Kerja WAF

WAF umumnya bertindak sebagai Reverse Proxy, berdiri di antara pengguna (client) dan server origin. Setiap request yang dikirimkan oleh pengguna akan diperiksa oleh WAF terlebih dahulu sebelum diteruskan ke server aplikasi.

WAF memproses traffic menggunakan tiga model kebijakan (security model):

• Blacklisting (Negative Security Model): Hanya memblokir request yang mencocokkan pola ancaman atau tanda serangan (signatures) yang sudah dikenal, seperti perintah SQL injection.
• Whitelisting (Positive Security Model): Secara default menolak semua lalu lintas, dan hanya mengizinkan request yang secara eksplisit didefinisikan aman (misalnya berdasarkan struktur URL, parameter, atau daftar IP tepercaya).
• Hybrid Security Model: Menggabungkan analisis signature (blacklisting) dan validasi lalu lintas tepercaya (whitelisting) untuk proteksi yang optimal.

Jenis Ancaman yang Diblokir oleh WAF

WAF dirancang untuk memitigasi berbagai kerentanan aplikasi web, termasuk daftar OWASP Top 10, di antaranya:

• SQL Injection (SQLi): Upaya menyuntikkan perintah SQL berbahaya ke formulir atau parameter URL untuk mengakses database tanpa izin.
• Cross-Site Scripting (XSS): Menyuntikkan skrip berbahaya (misalnya JavaScript) ke sisi klien untuk mencuri sesi login atau data cookie.
• Cross-Site Request Forgery (CSRF): Memaksa pengguna terautentikasi untuk mengeksekusi perintah yang tidak diinginkan pada aplikasi.
• Remote File Inclusion (RFI) / Local File Inclusion (LFI): Mengeksploitasi mekanisme pemanggilan berkas untuk menjalankan code execution atau membaca file sensitif server.
• Layer 7 DDoS & HTTP Flood: Serangan yang membanjiri server dengan ribuan request HTTP palsu untuk membuat aplikasi kelaparan sumber daya (resource exhaustion).
• Automated Bots & Scraping: Mencegah bot jahat melakukan pencurian konten, credential stuffing, atau pemindaian celah keamanan.

Jenis-Jenis WAF

Berikut adalah beberapa jenis Web Application Firewall:

• WAF berbasis jaringan: Dipasang secara lokal (on-premise) untuk mengurangi latensi atau jeda waktu.
• WAF berbasis host: Menyatu langsung di dalam perangkat lunak aplikasi.
• WAF berbasis cloud: Layanan luar jaringan seperti Cloudflare WAF yang mudah diatur lewat perubahan DN

Lapisan Tambahan Keamanan Siber

Web Application Firewall juga dapat memberikan lapisan pertahanan tambahan terhadap serangan terhadap aplikasi e-commerce. Ini menilik dari kasus Magento dan Adobe Commerce.

WAF dapat membantu mendeteksi pola permintaan berbahaya sebelum mencapai aplikasi. Dalam kasus CVE-2026-71362, laporan keamanan siber bahwa Shield WAF mereka telah memblokir percobaan eksploitasi menunjukkan bagaimana kontrol pada lapisan aplikasi dapat membantu mengurangi risiko ketika patch belum dapat langsung diterapkan.

Namun WAF bukan pengganti patch. 

Konfigurasi WAF dapat berubah, pola serangan dapat dimodifikasi, dan serangan baru mungkin tidak cocok dengan signature yang tersedia.

Karena itu, pendekatan yang lebih tepat adalah: Patch sebagai perbaikan utama, WAF sebagai lapisan pertahanan tambahan.

Jangan Lupakan Extension

Salah satu karakteristik penting ekosistem Magento adalah keberadaan extension pihak ketiga.

Extension dapat menambahkan berbagai fungsi yang tidak tersedia dalam instalasi dasar. Namun, setiap extension juga memperluas attack surface.

Pada 2026, peneliti telah melaporkan sejumlah kerentanan serius pada extension Magento, termasuk kerentanan yang memungkinkan unauthenticated file upload maupun remote code execution.

Kemudian pada Juni 2026, misalnya, Peneliti mengungkap kerentanan kritis pada Mirasvit Cache Warmer yang dapat dieksploitasi tanpa autentikasi dan berpotensi menghasilkan remote code execution.

Karena itu, administrator tidak cukup hanya memperbarui Magento atau Adobe Commerce core.

Extension juga harus:

• Dipantau versinya.
• Diperbarui ketika vendor merilis patch.
• Dihapus apabila sudah tidak diperlukan.
• Diperoleh hanya dari sumber terpercaya dan.
• Dievaluasi dari sisi keamanan sebelum digunakan di lingkungan produksi.

Tidak Boleh Menunggu Sampai Diserang

CVE-2026-71362 memberikan satu pelajaran penting bagi pengelola toko online: kerentanan pada mekanisme otorisasi dapat sama berbahayanya dengan kerentanan yang memungkinkan eksekusi kode.

Tidak semua serangan harus dimulai dengan malware atau remote code execution.

Kadang-kadang, masalahnya lebih sederhana tetapi dampaknya tetap serius: aplikasi gagal memastikan bahwa pengguna hanya dapat mengakses data yang memang menjadi haknya.

Dalam lingkungan e-commerce, kegagalan tersebut dapat berubah menjadi account takeover, pencurian data pelanggan, penipuan, hingga kerugian reputasi.

Karena itu, administrator Magento dan Adobe Commerce sebaiknya tidak menunggu munculnya laporan korban dalam jumlah besar sebelum bertindak.

Pembaruan keamanan perlu diterapkan sesegera mungkin pada sistem yang terdampak. Setelah itu, administrator perlu melakukan pemeriksaan terhadap log dan aktivitas sistem untuk memastikan tidak ada indikasi kompromi yang terjadi sebelum patch diterapkan.

Yang juga tidak kalah penting adalah membangun proses vulnerability management yang berkelanjutan.

Kerentanan baru akan terus ditemukan. Extension baru akan terus dipasang. Infrastruktur akan terus berubah. Karena itu, keamanan toko online tidak dapat bergantung pada satu kali aktivitas patching.

Menjaga Kepercayaan di Balik Transaksi Digital

Toko online pada dasarnya bukan hanya sebuah website. Di belakangnya terdapat identitas pelanggan, transaksi, sistem pembayaran, data pengiriman, kredensial, integrasi dengan pihak ketiga, dan berbagai proses bisnis yang saling terhubung.

Ketika sebuah kerentanan memungkinkan penyerang berpindah dari pengguna anonim menjadi pemilik sesi pelanggan lain, batas kepercayaan tersebut ikut runtuh.

CVE-2026-71362 menjadi pengingat bahwa authorization merupakan fondasi penting dalam keamanan aplikasi. Sistem harus selalu memverifikasi bukan hanya apakah seseorang telah berhasil masuk, tetapi juga apakah orang tersebut memang berhak mengakses sumber daya yang dimintanya.

Bagi pengelola e-commerce, pesan akhirnya sederhana: jangan menunggu sampai akun pelanggan diambil alih untuk mulai memperhatikan keamanan sesi.

Perbarui platform, periksa extension, pantau aktivitas, gunakan pertahanan berlapis, dan selalu anggap bahwa kerentanan yang baru diumumkan dapat segera menjadi target serangan.

Dalam dunia e-commerce, menjaga keamanan bukan hanya berarti melindungi server. Menjaga keamanan berarti menjaga kepercayaan pelanggan.

Sumber berita:

WeLiveSecurity