Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
"Do not WAF static contents" açıkken bir istek hangi koşulda statik sayılır?
Kısa cevap
Dört koşul birlikte sağlanmalıdır: path listedeki statik dosya uzantılarından biriyle bitmeli, metot GET olmalı, istekte sorgu dizgesi bulunmamalı ve gövde boş olmalıdır (Do not WAF static contents). Uzantı listesi görsel, yazı tipi, stil, belge ve video dosyalarını kapsar; .js, .html, .ico ve .map listede yoktur. Statik sayılan istek WAF'a hiç girmez: imza taraması, yapısal denetimler, kara liste denetimi ve öğrenme yapılmaz, Event Logs'a kayıt yazılmaz ve istek Dashboard'da Whitelisted kategorisinde sayılır. Koşullardan biri sağlanmazsa, örneğin /logo.png?x=1 ya da POST ile gelen bir .pdf isteğinde, istek normal denetime girer. Ayar vService genelindedir, WAF açıldığında açıktır ve Whitelist & Blacklist penceresinden değiştirilir. Muafiyetin vService'te uygulandığı, koşulları sağlayan bir statik dosya isteğinin Dashboard'da Whitelisted kategorisinde sayılmasıyla doğrulanır.
Koşullar
| Koşul | Statik sayılır | Denetlenir |
|---|---|---|
| Uzantı (path sonu) | .txt .bmp .jpeg .jpg .png .gif .tif .tiff .svg .svgz .webp .pdf .ps .ttf .woff .woff2 .css .csv .doc .docx .xls .xlsx .ppt .pptx .mid .midi .swf .mp4 .flv .mov .wmv .avi .ogg .mkv .mpg | .js .html .ico .map ve listede olmayan bütün uzantılar |
| Metot | GET | HEAD, POST, PUT ve diğerleri |
| Sorgu dizgesi | Yok | Var (path sonrasında ? ile başlayan sorgu) |
| Gövde | Boş | Dolu |
- Statik sayılınca: WAF, kara liste ve öğrenme atlanır; Event Logs'a kayıt yazılmaz; Dashboard'da Whitelisted sayılır (Whitelist'e aldığım trafik hiç loglanır mı; dashboard'da nerede görünür?).
- Whitelist condition ile birlikte: İki muafiyet birbirinden bağımsızdır; istek ikisinden birine uyarsa WAF'a girmez (Belirli IP'leri veya istekleri WAF incelemesinden tamamen muaf tutabilir miyim (Whitelist Condition)?).
- Doğrulama: Koşulları sağlayan bir istek (ör.
curl -s -o /dev/null "https://www.example.com/logo.png") gönderildikten sonra Dashboard'daki Whitelisted sayısı artmalı ve istek Event Logs'ta görünmemelidir; Whitelisted sayısı artmıyorsa istek WAF denetiminden geçiyordur. - Kart satırı: Whitelist & Blacklist kartında açıkken Static content bypasses WAF inspection, kapalıyken Static content whitelist is off yazar.
- Güvenlik değerlendirmesi: Hangi istekler "statik içerik" sayılıp WAF incelemesinden çıkarılır (uzantı, metot, query ve gövde koşulları); bu güvenli mi?
- Performans: Statik içeriği incelemeden çıkarmak performansa ne kazandırır?
TR7'de Ayarı Değiştirme
1
Adım 1 Whitelist & blacklist penceresini aç
Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde Inspection & Blocking bölümündeki Whitelist & blacklist kartının sağ üstündeki kalem ikonuna tıklanır.
2
Adım 2 Anahtarı değiştir
Do not WAF static contents anahtarı açılır ya da kapatılır.
3
Adım 3 Kaydet
Edit tıklanır; değişiklik ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.
- WEB-CLI:
waf options update poolId <vService> --syncWithDefaultFwRules false --dontWafStaticContent false(WAF kapsamı); yeniden açmak için değertrueyazılır.
Sık Karıştırılan Noktalar
- "JavaScript dosyaları da statik sayılır."
.jslistede değildir; bu istekler denetlenir. - "Uzantı yeterlidir." Sorgu dizgesi, gövde ya da GET dışı metot varsa istek denetlenir;
/x.png?cmd=...gibi istekler muafiyetten yararlanamaz. - "Statik istekler kara listeden de geçer." Statik sayılan istek WAF'a hiç girmediği için WAF kara liste denetimi de yapılmaz.
Dokümantasyonda nasıl yapılır
