Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Load Balancer modülü tek başına ne kadar güvenlik sağlar; WAF'a ne zaman ihtiyacım olur?
Kısa cevap
Load Balancer - ADC, yazılan kurallarla erişim denetimi sağlar. Source IP (ülke, şehir, adres, ASN), Blacklist IP Category ya da Path, HTTP Header, Query Parameter ve HTTP Request Body gibi koşullarla Block uygular; eşiği aşan istemciye Quarantine, insan doğrulaması için Advanced CAPTCHA, Basic Auth için User Authentication (On HTTP request), TLS için SSL Security, Manage HTTP Security Headers ve yanıtta veri gizleme için Modify Response Content de bu modüldedir. Ancak bilinen saldırı desenlerini kendiliğinden tanımaz, uygulamanın beklenen istek yapısını öğrenmez ve gövdeyi ayrıştırmaz. SQL enjeksiyonu ve XSS gibi saldırılara karşı imza taraması, JSON ya da XML alan denetimi ve trafikten öğrenilen pozitif model gerektiğinde WAF devreye alınır.
Load Balancer'ın Güvenlik Araçları
| Amaç | Arayüzdeki karşılığı | vService tipi |
|---|---|---|
| Kaynağa göre engelleme | Source IP (Country, City, Manual, ASN), Blacklist IP Category, Network Type Group / Network Type Category koşulları + HTTP'de Block, L7 TCP'de TCP Connection Management | HTTP · L7 TCP |
| İçeriğe göre engelleme | Path, Path + Query, HTTP Header, Query Parameter, HTTP Request Body, Request Size (bytes) koşulları + Block | HTTP |
| Eşik ve karantina | Quarantine, Advanced Traffic Inspection + Tracking Condition | HTTP · L7 TCP |
| İnsan doğrulama | Advanced CAPTCHA | HTTP |
| Kimlik doğrulama | User Authentication (On HTTP request) (Basic Auth) | HTTP |
| Tarayıcı güvenliği | Manage HTTP Security Headers, HTTP Cookie Security, Cookie Encryption, Redirect to HTTPS | HTTP |
| İstek düzeltme | URL Normalization | HTTP |
| Yanıtta veri gizleme | Modify Response Content → Mask | HTTP |
| Bot türü | Bot Type koşulu (User-Agent'a göre) | HTTP |
Bu araçların hepsi yazılan kuralı uygular: koşula uymayan bir saldırı varyantı, kodlanmış bir yük ya da kural yazılmamış bir yol denetlenmez.
WAF Ne Ekler?
| Konu | Load Balancer | WAF |
|---|---|---|
| Bilinen saldırılar (SQLi, XSS, komut enjeksiyonu) | Kural elle yazılır | Hazır imza kütüphanesi (iki güvenlik modeli) |
| Gövde denetimi | HTTP Request Body koşuluyla ilk en fazla 16384 bayt, ham metin olarak (Body Size to Parse(Bytes)) | JSON, XML ve form ayrıştırılarak, alan alan |
| Beklenen istek yapısı | Yok | Trafikten öğrenilen sayfa tipleri ve izinli parametreler |
| False positive yönetimi | Kural düzenlenir | Event Logs önizlemesinden Allow / Teach |
| Çalışma modları | Aksiyon ya çalışır ya çalışmaz | Learning, Monitor, Blocking |
| vService tipi | HTTP · L7 TCP | Yalnızca HTTP |
WAF gerektiren durumlar:
- Bilinen web saldırılarının kural yazmadan engellenmesi isteniyorsa.
- API'lerde JSON ya da XML alanlarının, izinli parametre listesinin ve değer biçiminin denetlenmesi gerekiyorsa.
- İstek gövdesinin tamamının ayrıştırılarak denetlenmesi gerekiyorsa.
- Uygulamanın trafiğinden kural öğrenilip false positive'lerin kayıttan öğretilmesi isteniyorsa.
Hacim, bot ve IP itibarı koruması için L7 DDoS & Threat Protection, kimlik ve çok faktörlü doğrulama için AGS kullanılır; paket ve bağlantı katmanındaki saldırılar için route table başına çalışan L4 DDoS Protection vardır. Ürün ve lisans ayrımı: TR7 Load Balancer - ADC modülü neleri kapsar, neleri kapsamaz?
İşlem Sırası
Güvenlik modülleri (AGS, WAF, L7 DDoS & Threat Protection) Load Balancer Actions listesinden önce çalışır; WAF isteği aksiyonların değiştirmediği hâliyle görür (Bir istek TR7 içinde hangi aşamalardan geçerek backend'e ulaşır?). Modüllerin vService'e bağlanması: WAF, L7 DDoS & Threat Protection ve AGS'yi bir vService'e nasıl bağlarım?
Sık Karıştırılan Noktalar
- "Block aksiyonu WAF'ın yerini tutar." Block yalnızca yazılan deseni yakalar; kodlanmış ya da farklı biçimdeki saldırı yükleri WAF imza kütüphanesiyle yakalanır.
- "WAF açılınca hemen korur." WAF açıldığında Learning modunda başlar ve istekleri engellemez; engelleme Blocking modunda başlar.
- "WAF yanıtları da denetler." WAF istekleri denetler; yanıtta hassas veri gizleme Load Balancer'ın Modify Response Content aksiyonuyla yapılır.
Dokümantasyonda nasıl yapılır
