Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Negatif güvenlik modeli (imza tarama) ile pozitif güvenlik modeli arasındaki fark nedir?
Kısa cevap
Negatif model, istekte bilinen bir saldırı deseni olup olmadığını sorar: saldırı biçimleri imza olarak tanımlanır ve her istekte aranır; kurulumu kolaydır ama imzası yazılmamış saldırıyı göremez. Pozitif model, isteğin uygulamanın beklediği şekle uyup uymadığını sorar: her path için izinli metotlar, parametreler, uzunluk ve tip sınırları tanımlanır ve tanıma uymayan istek ihlal sayılır; saldırının biçimini bilmek gerekmez ama uygulamanın haritası gerekir (iki güvenlik modeli). TR7'de negatif modelin karşılığı Signature & Rule Library ve vService'in OWASP Rules ekranı, pozitif modelin karşılığı Virtual Host Group'un Page Types listesi ve Check Fields denetimleridir. Pozitif modelin haritası elle yazılmak zorunda değildir; Learning modunda toplanan trafikten Analysis & Learning ile üretilir. İki model aynı saldırı puanında birleşir (hibrit güvenlik modeli).
Karşılaştırma
| Negatif model | Pozitif model | |
|---|---|---|
| Sorduğu soru | Bilinen bir saldırı deseni var mı? | İstek beklenen şekle uyuyor mu? |
| Kaynağı | Yerleşik imza kütüphanesi, global ve vService katmanındaki özel imzalar (kural katmanları) | Öğrenilmiş, içe aktarılmış ya da elle yazılmış Page Types |
| TR7 ekranı | Signature & Rule Library, OWASP Rules | Page types, Check Fields |
| İhlal puanı | Risk düzeyine göre 2, 4, 6 ya da 8; yerleşik üç imza kuralında 9 (ihlal puanları) | 24 |
| Bilinmeyen saldırı | İmzası yoksa yakalamaz | Beklenen şekilden sapıyorsa yakalar (TR7 WAF, zero-day bir saldırıyı imzası olmadan yakalayabilir mi?) |
| Hazırlık | Gerekmez | Öğrenme, içe aktarma ya da kural yazımı |
| Çalıştığı modlar | Learning, Monitor, Blocking | Monitor, Blocking (Learning'de yalnızca gövde boyutu, kesik gövde ve multipart denetimleri, puana girmeden) |
| Kapatma | Kuralın OWASP ayarları kapatılır (Learning modunda yine taranır) | Checks kartında Structure Checks ve Argument Checks kapatılır; izinli metotlar, gövde tipini engelleyen anahtarlar, MIME türü listeleri ve RAW sekmesindeki çözümlenemeyen gövde denetimleri bu anahtarlardan bağımsızdır |
TR7'de Pozitif Modelin Kuralları
Page types listesine kural dört yoldan gelir (kural seti nasıl oluşur):
| Kaynak | Nasıl |
|---|---|
| Analysis & Learning | Learning modunda ya da Conditional Learning kimliğiyle biriken öğrenme kaydı elle başlatılan analizle işlenir; öneriler incelenip uygulanır. Conditional learning kendisi kural yazmaz, yalnızca bu kaydı toplar |
| Learning Methods | Teacher ve AI Learning, grup Monitor ya da Blocking modundayken ürettikleri önerileri kurala kendiliğinden yazar |
| Event Logs | False positive kayıtlar seçilip Allow, Teach ya da Allow / Teach ile kurala işlenir |
| Elle ve dosyadan | Page types ekranında Add, Import ve Import (OpenAPI) |
İki modelin tek puanda nasıl birleştiği: TR7'nin hibrit güvenlik modeli nedir; iki model birlikte nasıl çalışır?
Sık Karıştırılan Noktalar
- "Pozitif model için bütün kuralları elle yazmak gerekir." Kurallar trafikten öğrenilir ya da OpenAPI belgesinden üretilir (Analysis & Learning, Import (OpenAPI)).
- "Learning modunda yapısal denetimler de çalışır." Learning modunda path, başlık ve alan yapı denetimleri çalışmaz, gövde denetimleri puana girmez ve saldırı puanına göre hiçbir istek engellenmez; yapısal ihlaller yalnızca Monitor ve Blocking modlarında puana girer.
Dokümantasyonda nasıl yapılır
