IPS/IDS ile WAF arasındaki fark nedir?

Kısa cevap

IDS trafiği izleyip şüpheli olanı raporlar, IPS hat üzerinde durup zararlı bulduğunu keser; ikisi de birçok protokol için genel desenler taşır ve korunan uygulama hakkında bilgi sahibi değildir. WAF yalnızca HTTP isteğine odaklanır, TLS sonlandırıldıktan sonra içeriği JSON, XML ve form alanlarına kadar ayrıştırır ve uygulamanın haritasını çıkarabildiği için bir adreste hiç görülmemiş bir parametreyi ya da yalnızca GET kabul eden bir adrese gelen POST'u yakalayabilir (ağ güvenlik duvarı ve IPS/IDS ile farkı). TR7 WAF'ta izleme ile engelleme ayrımının karşılığı Virtual Host Group başına seçilen WAF Mode'dur: Monitor modunda eşiğe ulaşan istek kaydedilir ama geçer, Blocking modunda engellenir. TR7'de IPS/IDS adında ayrı bir ürün ya da ayar yoktur; paket ve bağlantı katmanındaki saldırılar L4 DDoS Protection ile karşılanır.

Karşılaştırma

	IDS	IPS	TR7 WAF
Konum	Trafiğin kopyasını izler	Hat üzerinde	Hat üzerinde (HTTP vService)
Tepki	Uyarı	Keser	Moda göre kaydeder ya da engeller
Protokol	Çok sayıda	Çok sayıda	Yalnızca HTTP
Şifreli trafik	İçeriği göremez	Trafiği sonlandırmadıkça içeriği göremez	TLS TR7'de sonlandırıldıktan sonra içeriği görür
Uygulama bilgisi	Yok	Yok	Öğrenilmiş Page Types: izinli metotlar, parametreler, uzunluk sınırları
TR7'deki karşılığı	-	-	Monitor modu izlemeye, Blocking modu engellemeye karşılık gelir (WAF'ın çalışma modları nelerdir?)

TR7'de İzleme ve Engelleme

• Monitor ve Blocking modlarında denetimlerin tamamı aynı biçimde çalışır; fark yalnızca kararın trafiğe uygulanıp uygulanmamasıdır. Üçüncü mod olan Learning'de hiçbir istek engellenmez, yalnızca imza taraması yapılır ve trafik öğrenme kaydına yazılır (modların çalışma anı davranışı).
• Mod vService'in bütününe değil Virtual Host Group'a atanır; aynı vService'te bir alan adı Blocking'de, diğeri Monitor'da çalışabilir.
• Monitor modunda eşiğe ulaşan istekler Event Logs'ta "Not blocked — Monitor mode" olarak görünür.

Sık Karıştırılan Noktalar

• "TR7 WAF'ın bir IPS modu vardır." Arayüzde IPS/IDS adında bir ayar yoktur; izleme ve engelleme WAF Mode ile seçilir.
• "Monitor modu korur." Monitor modunda eşiğe ulaşan saldırılar da Kurum Servisine iletilir; koruma için Blocking moduna geçilir (Monitor modunda kalmanın riski nedir; Monitor modu için bir süre sınırı var mı?).

Dokümantasyonda nasıl yapılır

• WAF - WAAP · Ağ güvenlik duvarı ve IPS/IDS ile farkı
• WAF Mode · Modların çalışma anı davranışı
• WAF - WAAP · İki güvenlik modeli

İlgili sorular

• Zaten bir network firewall'um var; neden ayrıca WAF'a ihtiyacım olsun?
• WAF'ın çalışma modları nelerdir?
• Negatif güvenlik modeli (imza tarama) ile pozitif güvenlik modeli arasındaki fark nedir?