Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Hangi istekler "statik içerik" sayılıp WAF incelemesinden çıkarılır (uzantı, metot, query ve gövde koşulları); bu güvenli mi?
Kısa cevap
Do not WAF static contents açıkken (varsayılan açık) bir istek dört koşulun hepsini sağlarsa statik sayılır: path tanımlı statik uzantılardan biriyle biter, metot GET'tir, istekte query bölümü yoktur ve gövde boştur. Bu istekler WAF denetimine hiç girmez; imza taraması, yapısal denetimler, kara liste denetimi ve öğrenme atlanır, Dashboard'da Whitelisted serisinde sayılır. Query ya da gövde taşıyan veya GET dışı metotla gelen istekler uzantısı statik olsa bile denetlenir; böylece statik dosya adının arkasına parametre gizleyen istekler kapsam dışına çıkamaz. Ayar vService geneldir; uygulama statik uzantılı path'leri dinamik olarak işliyorsa ayar Whitelist & Blacklist penceresinden kapatılır.
Nasıl Çalışır?
Do not WAF static contents, Whitelist & Blacklist ayarlarının beyaz liste tarafındadır. Bir isteğin statik sayılması için dört koşul birlikte sağlanmalıdır:
| Koşul | Statik sayılır | Denetlenir |
|---|---|---|
| Path'in sonu | .txt .bmp .jpeg .jpg .pdf .ps .ttf .svg .svgz .webp .css .woff .woff2 .csv .gif .png .tif .tiff .mid .midi .swf .doc .docx .ppt .pptx .xls .xlsx .mp4 .flv .mov .wmv .avi .ogg .mkv .mpg | Diğer bütün uzantılar; ör. .js, .ico, .html, .map, .json, .xml |
| Metot | GET | HEAD, POST ve diğer bütün metotlar |
| Query | Yok | Var (/logo.png?v=2 dahil) |
| Gövde | Boş | Dolu |
- Uzantı, path'in sonuyla büyük/küçük harf ayrımı gözetilerek karşılaştırılır; listedeki uzantılar küçük harflidir.
- Statik sayılan istek için WAF hiç çalışmaz: imza taraması, yapısal denetimler ve Blacklist Protection denetimi yapılmaz, öğrenme için kayıt yazılmaz, Event Logs kaydı oluşmaz. Beyaz liste kara listeden önceliklidir.
- Statik istekler vService'in Dashboard'undaki WAF Inspection Distribution panelinde Whitelisted serisinde sayılır.
- Ayar yalnızca WAF denetimini atlatır; vService'in Actions listesindeki kurallar bu isteklere de uygulanır.
Güvenli mi?
| Durum | Değerlendirme |
|---|---|
| Statik dosyalar sunucuda olduğu gibi servis ediliyor | Query'si ve gövdesi olmayan bir GET isteğinde denetlenecek veri yalnızca path'tedir; ayar açık bırakılabilir ve WAF yükü azalır |
| Statik dosya adının arkasına parametre ya da gövde eklenmiş istek | Dört koşul birlikte arandığı için denetime girer |
Uygulama statik uzantılı path'leri dinamik olarak üretiyor (ör. /report/123.pdf rapor sayfası) ya da path'teki değeri işliyor | Bu istekler denetime girmez; ayar kapatılır |
| Path'e gömülü saldırılar (ör. path traversal) için path denetimi isteniyor | Statik uzantıyla biten path'ler de denetlensin isteniyorsa ayar kapatılır |
TR7'de Ayar
Ayar vService geneldir ve bütün Virtual Host Group'larda ortaktır. Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde Inspection & Blocking bölümündeki Whitelist & blacklist kartının kalem ikonuna tıklanır, Do not WAF static contents kutusu işaretlenir ya da işareti kaldırılır ve pencerenin altındaki Edit tıklanır (Whitelist & Blacklist Edit ekranı). Ayar açıkken kartta Static content bypasses WAF inspection satırı görünür (kart). Değişiklik ayrı bir dağıtım adımı olmadan uygulanır; cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir, Manual Sync Mode açıksa eş cihaza elle gönderilir.
Uzantı listesi arayüzden değiştirilmez. Belirli istekleri denetimden çıkarmak için Whitelist Condition kullanılır.
Sık Karıştırılan Noktalar
- "Uzantısı statik olan her istek denetimden çıkar." Query, gövde ya da GET dışı metot varsa istek denetlenir; dört koşul birlikte aranır.
- "Statik istekler kara listeye takılır." Beyaz liste kara listeden önceliklidir; Blacklist Protection bu istekler için WAF'ta uygulanmaz. Kaynağın bütün istekleri engellenecekse kara liste koşulu Load Balancer tarafında (Blacklist IP Category) kullanılır.
- "
.jsve.htmldosyaları da statik sayılır." Bu uzantılar listede yoktur; bu istekler denetlenir. - "Statik istekler öğrenmeye katkı verir." Denetime girmeyen istekler öğrenme için de kaydedilmez; bu yüzden Page type listesinde yer almaz.
Dokümantasyonda nasıl yapılır
