Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
WAF ile L7 DDoS & Threat Protection arasındaki fark nedir; ikisine birden ihtiyacım var mı?
Kısa cevap
Farklı sorulara yanıt verirler ve birbirinin yerine geçmezler (WAF ile farkı). WAF isteğin içeriğine bakar: path, sorgu, header ve gövdede SQL injection, XSS, path traversal gibi saldırı desenlerini ve uygulamanın beklemediği yapıları arar. L7 DDoS & Threat Protection (docs'taki bölüm adıyla Bot/DDoS Protection) ise isteğin ne kadar, nereden ve kimden geldiğine bakar; L7 DDoS Protection, IP Reputation Protection ve Bot Protection korumalarından oluşur. Temiz içerikli ama saniyede binlerce kez tekrarlanan bir istek WAF için sorunsuz, L7 DDoS Protection için bir sel göstergesidir; tek bir zararlı istek ise tersidir. Bu yüzden internete açık bir HTTP uygulamasında ikisi birlikte kullanılır. Aynı vService'te ikisi de açıksa her istek ikisinde de değerlendirilir; istemciye yanıt verilirken L7 DDoS & Threat Protection'ın yaptırımı WAF'ın engelleme sayfasından (Blocking Page) önce gelir, WAF'ın saldırı kaydı yine oluşur. WAF yalnızca HTTP vService'te, L7 DDoS & Threat Protection HTTP ve L7 TCP vService'te çalışır. Paket ve bağlantı düzeyindeki seller için ayrı bir katman olan L4 DDoS Protection kullanılır.
Karşılaştırma
| WAF | L7 DDoS & Threat Protection | |
|---|---|---|
| Sorduğu soru | İsteğin içeriği zararlı mı? | İstek ne kadar, nereden ve kimden geliyor? |
| Baktığı | Path, sorgu, header ve gövdenin içeriği | Kaynak bazlı ve toplam sayaçlar, kaynağın itibarı, istemcinin davranışı |
| Tipik yakaladığı | SQL injection, XSS, path traversal, uygulamanın beklemediği parametre ve yapı | İstek seli, kötü itibarlı kaynak, scraper, credential stuffing, botnet |
| Korumalar | İmzalar (OWASP Rules), öğrenilen sayfa tipleri (WAF Rules), yapısal ve argüman denetimleri (Checks), Blacklist Protection | L7 DDoS Protection, IP Reputation Protection, Bot Protection (üç koruma) |
| Karar | Saldırı puanı engelleme eşiğine ulaşan istek engellenir | Korumalardan yalnızca biri sonuç uygular; öncelik L7 DDoS → IP Reputation → Bot Protection |
| Çalışma modları | Host grubu başına Learning, Monitor, Blocking (WAF Mode) | Koruma başına; açılışta L7 DDoS Protection ve Bot Protection Monitor, IP Reputation Protection Active (başlangıç modları) |
| Yanıt | Varsayılan 418 durum kodlu engelleme sayfası | Block, Captcha, Quarantine, Silent drop gibi yaptırımlar |
| vService tipi | Yalnızca HTTP | HTTP ve L7 TCP |
| Ortak veri | Cihaz geneli IP itibar veritabanı (WAF'ın IP itibar bilgisi L7 DDoS & Threat Protection'daki IP Reputation protection ile ortak mı?) | Aynı veritabanı |
Nasıl Çalışır?
WAF ve L7 DDoS & Threat Protection aynı vService'te açıkken istek şu sırayla işlenir:
- Ölçüm ve skor: L7 DDoS & Threat Protection'ın sayaçları güncellenir, bot skoru hesaplanır.
- WAF taraması: WAF isteği tarar; saldırı kaydı ve WAF sayaçları bu aşamada oluşur.
- L7 DDoS & Threat Protection yaptırımı: Yaptırım modundaki bir koruma karar verdiyse yanıtı bu verir.
- Actions: vService'in Actions listesindeki istek action'ları çalışır.
- WAF engelleme yanıtı: WAF'ın engellediği ve önceki aşamalarda yanıtlanmamış istek engelleme sayfasını alır.
Bu sıranın sonucu: L7 DDoS & Threat Protection'ın durdurduğu zararlı bir istek de WAF'ta taranmış olur ve WAF'ın Event Logs ekranında görünür. İsteği fiilen WAF'ın mı yoksa L7 DDoS & Threat Protection'ın mı sonlandırdığı, vService'te Debug açıksa Debug Mode Logs kaydının Security Action hücresinde yazar; ikisi de aynı ağırlıkta karar verdiyse hücre Bot/DDoS kararını gösterir. Bütün aşamalar: Bir istek TR7 içinde hangi aşamalardan geçerek backend'e ulaşır?
TR7'de İkisini Birlikte Kullanmak
- Açma: İkisi de HTTP vService formunun Details listesindeki WAF ve L7 DDoS & Threat Protection kutularıyla açılır; adımlar: WAF, L7 DDoS & Threat Protection ve AGS'yi bir vService'e nasıl bağlarım?
- Başlangıç davranışı: WAF açıldığında host grubu Learning modunda başlar ve hiçbir isteği engellemez (etkinleştirildikten sonra). L7 DDoS & Threat Protection açıldığında IP Reputation Protection doğrudan Active başlar; varsayılan kural listesi kritik kategorileri karantinaya alır, VPN IP dışındaki diğer kategorileri engeller. İkisi aynı anda açılırken bu fark hesaba katılır.
- Yönetim: WAF ayarları vService'in WAF Management sekmesinde, L7 DDoS & Threat Protection ayarları Bot/DDoS Management sekmesinde yapılır. Her ikisinin kaydı ayrı Event Logs ekranlarında tutulur.
- Ürün ve eklenti: WAF, TR7'nin dört ürününden biri olan WAF - WAAP ürünüdür; bot yönetimi de bu ürünün kapsamındadır. L7 DDoS Protection ise bir eklentidir: standart DDoS koruması ürün lisansıyla gelir, eklenti korumayı daha fazla vService'e genişletir. L4 DDoS Protection da eklentidir.
- Ağ katmanı: Yarım kalan TCP el sıkışmaları, UDP ve ICMP selleri HTTP isteği oluşturmadığı için ne WAF ne de L7 DDoS & Threat Protection tarafından görülür; bu trafik route table başına L4 DDoS Protection ile karşılanır.
Sık Karıştırılan Noktalar
- "WAF istek sayısını da sınırlar." WAF istekleri tek tek, içeriğine göre değerlendirir; istek ve bağlantı limitleri L7 DDoS & Threat Protection'ın L7 DDoS Protection korumasındadır.
- "L7 DDoS & Threat Protection'ın durdurduğu istek WAF'a hiç ulaşmaz." WAF taraması yaptırımdan önce çalışır; istek WAF kayıtlarında ve sayaçlarında görünebilir, istemciye ise L7 DDoS & Threat Protection'ın yanıtı gider.
- "Biri açıksa diğerine gerek yoktur." WAF temiz içerikli seli, L7 DDoS & Threat Protection ise tek seferlik zararlı yükü durdurmak için tasarlanmamıştır; ikisi farklı saldırı türlerini karşılar.
- "L7 TCP vService'te WAF açılabilir." WAF yalnızca HTTP vService'te çalışır; L7 TCP vService'te yalnızca L7 DDoS & Threat Protection kullanılır (TR7 WAF hangi vService türlerinde çalışır; L7 TCP veya Network vService'te kullanabilir miyim?).
Dokümantasyonda nasıl yapılır
