Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
WAF ile AGS birlikte kullanıldığında sıralama nasıldır?
Kısa cevap
Aynı HTTP vService'te L7 DDoS & Threat Protection, AGS ve WAF birlikte açıksa değerlendirme sırası şöyledir: önce bot skoru hesaplanır, sonra AGS oturumu doğrulanır, en sonda WAF isteği denetler (WAF ve Bot/DDoS ile farkı). AGS Root Path (varsayılan /ags-portal) ile başlayan istekler, yani AGS'nin giriş, doğrulama ve yardımcı sayfaları, parola ve kod taşıdığı için WAF denetimine girmez; WAF öğrenmesine ve saldırı kayıtlarına düşmez, Live Stats'ta Whitelisted olarak sayılır. Oturumu olmayan kullanıcının uygulama yollarına gönderdiği istekler WAF'tan geçer: WAF isteği engellerse istemci giriş sayfasına yönlendirilmeden engelleme yanıtını (Blocking Page) alır, engellemezse istek AGS giriş akışına yönlendirilir. Oturumu doğrulanmış kullanıcının istekleri de WAF'ta tam denetlenir; oturum açmış olmak WAF muafiyeti sağlamaz. AGS'nin Kurum Servisine eklediği kimlik bilgileri WAF'tan sonra eklenir, WAF bunları görmez. AGS oturum bilgisi WAF'tan önce hazır olduğu için IF is an authenticated AGS user hazır koşulu WAF'ın koşul alanlarında seçilebilir; Whitelist Condition'da kullanılırsa oturum açmış kullanıcıların bütün istekleri WAF denetiminden çıkar.
Nasıl Çalışır?
WAF - WAAP, AGS - AAM ve L7 DDoS & Threat Protection'ın birlikte açık olduğu bir HTTP vService'te istek şu sırayla işlenir:
| # | Aşama | Ne olur |
|---|---|---|
| 1 | Bot skoru | Bot Protection isteğe skor verir. AGS oturumu doğrulanmış kullanıcının skoru, oturum doğrulandıktan sonra güven indirimi alır; indirim AGS açık her vService'te ayrıca bir ayar gerektirmeden uygulanır. |
| 2 | AGS oturum doğrulaması | İstemcinin AGS oturumu var mı, geçerli mi belirlenir. Bu aşamada istek henüz yönlendirilmez; yalnızca oturum durumu belirlenir. |
| 3 | WAF taraması | İstek AGS Root Path ile başlamıyorsa WAF'ta taranır; oturumu olan ve olmayan istekler aynı biçimde denetlenir. AGS Root Path ile başlayan istekler taranmaz. AGS'den bağımsız olarak Whitelist Condition'a uyan istekler ve Do Not WAF Static Contents açıkken statik içerik istekleri de taranmaz. |
| 4 | Yanıt | L7 DDoS & Threat Protection yaptırımı, isteği sonlandıran Actions ve WAF engelleme yanıtı (Blocking Page) bu sırayla değerlendirilir. WAF'ın engellediği istek bu aşamada yanıtlanır ve AGS giriş akışına ulaşmaz. |
| 5 | AGS yönlendirmesi | Engellenmeyen ve oturumu olmayan istek AGS giriş akışına yönlendirilir; kullanıcı giriş sayfasını görür. |
| 6 | Kurum Servisine iletim | Oturumu geçerli olan isteğe kimlik bilgileri eklenir, AGS cookie'leri istekten çıkarılır ve istek Kurum Servisine gider. Bu ekleme WAF taramasından sonra yapıldığı için WAF bu bilgileri görmez. İstemcinin aynı adla gönderdiği bir header varsa WAF onu taranan istekte görür; ardından bu header silinir ve yerine AGS'nin değeri yazılır. |
Bütün aşamalar: Bir istek TR7 içinde hangi aşamalardan geçerek backend'e ulaşır?
TR7'de WAF ve AGS
- WAF dışında kalan yol: AGS'nin yolları arasında yalnızca AGS Root Path ile başlayan istekler WAF denetimine girmez. Değer AGS etkin vService'in Flowchart sekmesindeki General Settings penceresinde ayarlanır ve Save ile uygulanır; eşleşme metin önekiyle yapıldığı için Kurum Servisinde aynı önekle başlayan bir yol bulunmamalıdır (AGS Root Path). AGS Activation Condition ile AGS kapsamı dışında bırakılan istekler WAF'ta normal biçimde taranır.
- Sayım: AGS Root Path trafiği WAF Live Stats'taki WAF Inspection Distribution panelinde Whitelisted kartına yazılır; Clean, Blocked ya da Learning sayılarına girmez (WAF Inspection Distribution'daki Whitelisted, Clean, Blocked, Monitor, Teacher, Learning kategorileri ne anlama gelir?).
- AGS kullanıcısına göre WAF kuralı: IF is an authenticated AGS user hazır koşulu WAF Management'taki koşul alanlarında (ör. Conditional Blocking Pages) seçilebilir; örneğin oturum açmış kullanıcılara farklı bir engelleme sayfası gösterilebilir. Aynı koşul Whitelist Condition'a konursa oturum açmış kullanıcıların istekleri hiç taranmaz ve bu kullanıcılardan gelen zararlı istekler de denetim dışında kalır; AGS kimliği doğrular, içeriği denetlemez.
- Açma: WAF, L7 DDoS & Threat Protection ve AGS'yi bir vService'e nasıl bağlarım?
Sık Karıştırılan Noktalar
- "AGS'de oturum açmış kullanıcıyı WAF denetlemez." Doğrulanmış kullanıcının istekleri de tam denetlenir; WAF ile AGS birbirinin yerine geçmez.
- "AGS giriş formu WAF'a takılabilir." AGS Root Path ile başlayan istekler WAF denetimine girmez; giriş formundaki parola ya da kod alanları WAF kurallarını tetiklemez.
- "Oturumu olmayan saldırgan önce giriş sayfasına gider." WAF engelleme yanıtı AGS yönlendirmesinden önce döner; WAF'ın engellediği istek giriş sayfasını görmez.
- "WAF, AGS'nin Kurum Servisine eklediği kimlik header'larını da tarar." Kimlik bilgileri WAF taramasından sonra eklenir; WAF isteği istemciden geldiği hâliyle görür.
- "Whitelist Condition'a AGS koşulu koymak güvenli bir performans ayarıdır." Oturum açmış kullanıcıların zararlı istekleri de denetim dışında kalır; AGS içeriği denetlemez.
Dokümantasyonda nasıl yapılır
