Masalah
Membeli WAF tidak otomatis membuat aplikasi aman. Traffic, identity, TLS, origin exposure, application controls, dan logging tetap harus membentuk satu architecture yang konsisten.
ArchitectureCloud SecurityLanjutan
Mendesain arsitektur secure web application: Cloudflare, WAF, origin, logging, dan SIEM
Susun kontrol edge, origin, identity, dan observability sebagai satu alur pertahanan yang dapat diverifikasi, bukan kumpulan fitur terpisah.
Tujuan latihan
Membuat kerangka desain secure web application yang menempatkan kontrol di layer yang tepat dan menghasilkan evidence untuk operasi.
PersiapanPemahaman dasar DNS, TLS, WAF, web server, dan logging. Ini adalah blueprint konseptual, bukan desain final untuk semua organisasi.
User→
Cloudflare security edge→
Origin + SIEM
1. DNS dan edge
Hostname publik mengarah ke Cloudflare proxied record sehingga HTTP/HTTPS melewati edge. Di layer ini, DDoS protection, WAF, rate limiting, bot controls, dan cache diterapkan sesuai kebutuhan.
2. TLS end-to-end
Gunakan HTTPS dari client ke edge dan edge ke origin. Full (strict) memastikan Cloudflare memvalidasi sertifikat origin; untuk kebutuhan lebih ketat, pertimbangkan AOP/mTLS.
3. Origin sebagai private trust boundary
Batasi exposure origin dan hanya buka port yang diperlukan. Pisahkan jalur administrasi dari traffic aplikasi dan terapkan patching, service hardening, serta least privilege pada host/cloud resource.
4. Application security
WAF bukan pengganti input validation, authentication, authorization, secure session, secret management, dan dependency security di aplikasi.
5. Logging dan SIEM
Kirim edge logs dan origin/application logs ke lokasi yang dapat dicari dan dikorelasikan. Cloudflare Logpush mengirim dataset secara batch secepat mungkin, tetapi bukan storage/search engine; destination dan health monitoring tetap diperlukan.
6. Detection dan response
Definisikan alert untuk lonjakan 4xx/5xx, WAF blocks, rate limit, authentication anomaly, dan origin error. Alert harus memiliki owner serta langkah triage agar tidak berhenti sebagai notifikasi.
7. Verifikasi arsitektur
Uji normal path, blocked path, origin failure, TLS failure, dan logging. Dokumentasikan mana hasil test nyata dan mana asumsi desain.
8. Definisikan trust boundary dan data flow
Gambar siapa yang dapat berbicara dengan edge, origin, identity provider, database, logging destination, dan jalur admin. Untuk setiap boundary, tentukan authentication, encryption, allowed source, dan telemetry. Diagram yang hanya menaruh kotak produk tanpa data flow tidak cukup untuk menilai risiko.
9. Rancang failure mode dan bypass resistance
Tentukan perilaku saat Cloudflare, origin, IdP, logging, atau SIEM bermasalah. Pastikan jalur recovery tidak otomatis menjadi bypass permanen terhadap WAF atau access control. Uji juga apakah origin dapat diakses langsung ketika seharusnya hanya menerima traffic edge.
10. Jadikan logging sebagai evidence, bukan hanya arsip
Tentukan field minimum untuk korelasi seperti timestamp, request ID/Ray ID, client/source context, host, path, action, status, dan origin result sesuai dataset. Pastikan retention, parsing, timezone, dan akses analyst mendukung investigasi nyata.
Kesalahan umum
Jangan menganggap WAF menggantikan secure coding atau identity. Jangan mengirim semua log tanpa mempertimbangkan biaya, privacy, dan use case. Jangan membuat arsitektur yang hanya berfungsi pada happy path; failure dan recovery path harus didesain sejak awal.
Checklist verifikasi
Uji normal request, WAF block/challenge, rate-limit, authentication failure, origin unavailable, certificate issue, direct-origin attempt, log delivery, alert, dan triage. Dokumentasikan mana kontrol preventif, detektif, dan recovery serta owner masing-masing.
Pelajaran
Arsitektur aman adalah rangkaian kontrol yang saling melengkapi: edge mengurangi exposure, origin tetap di-hardening, aplikasi tetap aman, dan observability membuktikan apa yang terjadi.