AGS ile WAF ve Bot/DDoS koruması arasındaki fark nedir?

Kısa cevap

Üç modül aynı HTTP vService'te çalışır ama farklı sorular sorar: AGS - AAM isteği gönderen kullanıcının kim olduğunu doğrular, WAF isteğin içeriğinin zararlı olup olmadığına bakar, Bot/DDoS Protection ise isteğin hacmini, kaynağını ve istemcinin davranışını ölçer. Biri diğerinin yerine geçmez: oturum açmış kullanıcının istekleri de WAF'ta denetlenir, WAF ise kimliği doğrulanmamış kullanıcıyı durdurmaz. Birlikte açıldıklarında AGS'nin giriş sayfaları (AGS Root Path altı) WAF taramasına girmez; bu sayfalara gelen otomatik trafiğe AGS'nin kendi Bot Protection Policies politikaları yanıt verir.

Nasıl Çalışır?

Aynı isteğe üç açıdan bakılır (WAF ve Bot/DDoS ile farkı):

1. Bot/DDoS Protection kaynağı ve sıklığı değerlendirir: L7 DDoS Protection hacmi, IP Reputation Protection kaynağın itibarını, Bot Protection istemcinin davranışını ölçer.
2. AGS istekte geçerli bir oturum olup olmadığına bakar; oturum yoksa isteği giriş akışına alır.
3. WAF isteğin içeriğini tarar; kullanıcının kim olduğunu sormaz.

Üçü açıkken önce bot skoru hesaplanır, sonra AGS oturumu belirlenir, en sonda WAF taraması yapılır (WAF ile AGS birlikte kullanıldığında sıralama nasıldır?).

Karşılaştırma

	AGS - AAM	WAF	Bot/DDoS Protection
Sorduğu soru	Bu kullanıcı kim, erişebilir mi?	İsteğin içeriği zararlı mı?	İstek ne kadar, nereden, hangi istemciden geliyor?
Baktığı	Oturum, giriş bilgileri, ikinci faktör	Path, query, header ve gövde	İstek ve bağlantı sayaçları, IP itibarı, istemci davranışı
Tipik yakaladığı	Oturumu olmayan erişim, parola denemeleri	SQL injection, XSS, path traversal	İstek seli, scraper, botnet
vService tipi	HTTP	HTTP	HTTP ve L7 TCP

TR7'de Üç Modül Birlikte

• Giriş sayfaları WAF dışında: AGS Root Path altındaki giriş, OTP ve CAPTCHA istekleri parola ve kod taşıdığı için WAF taramasına ve WAF öğrenmesine girmez. Diğer yollardaki istekler, oturumu olsun ya da olmasın, WAF'ta denetlenir.
• Bot skoru AGS'de de kullanılır: AGS etkin vService'te Bot/DDoS Protection kapalı olsa da bot skoru hesaplanır; AGS'nin Bot Score tetikleyicili politikaları (ör. varsayılan Bot Score CAPTCHA Challenge ve Bot Score Deny) bu skoru kullanır. Oturumu doğrulanmış kullanıcının bot skoru güven indirimi alır.
• Kapsam: AGS'nin bot politikaları yalnızca AGS motoruna yönlenen isteklerde çalışır; uygulama trafiğinin hacim ve bot koruması Bot/DDoS Protection'dadır (AGS'deki bot protection policies ve CAPTCHA ne işe yarar; Bot/DDoS korumasından farkı nedir?).
• Açılış: Üçü de vService formundaki Details listesinde ayrı kutularla açılır (WAF, L7 DDoS & Threat Protection ve AGS'yi bir vService'e nasıl bağlarım?).

Sık Karıştırılan Noktalar

• "Oturum açmış kullanıcıya WAF gerekmez." Kimliği doğrulanmış kullanıcı da zararlı istek gönderebilir; istekleri WAF'ta tam denetlenir.
• "WAF, giriş yapmamış kullanıcıyı durdurur." WAF içeriğe bakar, kimlik sormaz; erişimi kimliğe bağlamak AGS'nin işidir.
• "AGS'nin bot politikaları Bot/DDoS Protection'ın yerini tutar." Bot Protection Policies yalnızca AGS motoruna yönlenen istekleri kapsar; uygulamanın kendi trafiği için Bot/DDoS Protection açılır.

Dokümantasyonda nasıl yapılır

• AGS - AAM · WAF ve Bot/DDoS ile farkı
• Bot/DDoS Protection · WAF ile farkı
• WAF - WAAP · WAF - WAAP nedir
• Flowchart · AGS Root Path

İlgili sorular

• WAF ile AGS birlikte kullanıldığında sıralama nasıldır?
• AGS'deki bot protection policies ve CAPTCHA ne işe yarar; Bot/DDoS korumasından farkı nedir?
• WAF ile L7 DDoS & Threat Protection arasındaki fark nedir; ikisine birden ihtiyacım var mı?
• Load Balancer ile AGS arasındaki fark nedir; AGS, Load Balancer'ın neresinde çalışır?