Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
WAF'ın çalışma modları nelerdir?
Kısa cevap
WAF'ın üç çalışma modu vardır: Learning Mode, Monitor Mode ve Blocking Mode. Learning modunda path, başlık ve alan yapı denetimleri çalışmaz ve imza isabetleri puana eklenmez, istek engellenmez ve trafik öğrenme günlüğüne yazılır; Monitor modunda denetim ve puanlama Blocking ile aynıdır ama istek engellenmez, eşiğe ulaşan istek Event Logs'a yazılır; Blocking modunda saldırı puanı OWASP Protection Level eşiğine ulaşan istek engellenir. Mod vService'e değil Virtual Host Group'a atanır; tek grupla çalışan vService'te bu, vService'in modudur. WAF ilk açıldığında varsayılan grup Learning modunda başlar; mod, WAF Management sekmesindeki mod kartının Edit penceresinden değiştirilir ve ürün modu kendiliğinden değiştirmez.
Modlar
| Learning mode | Monitor mode | Blocking mode | |
|---|---|---|---|
| İmza taraması | Var; alan bazlı OWASP anahtarları ve istisnalar yok sayılır | Var | Var |
| Yapısal ve alan denetimleri (Check Fields) | Path, başlık ve alan yapı denetimleri yok; gövde boyutu, kesik gövde ve multipart denetimleri çalışır, puana girmez | Var | Var |
| Saldırı puanı | Toplanmaz | Toplanır | Toplanır |
| Engelleme | Yok | Yok | Puan ≥ eşik ise istek engellenir (Blocking Status Code, varsayılan 418) |
| Taraması 2 saniyelik süre sınırı içinde tamamlanamayan istek | Geçirilir (tarama kurallar yüklenirken ve host grubu belirlenmeden kesildiyse ve vService'te Blocking modunda bir grup varsa engellenir) | Geçirilir (tarama kurallar yüklenirken ve host grubu belirlenmeden kesildiyse ve vService'te Blocking modunda bir grup varsa engellenir) | Engellenir; Fail-open açıksa taranmadan geçirilir |
| Event Logs kaydı | Yazılmaz | Yazılır | Yazılır |
| Öğrenme günlüğü | Yazılır | - | - |
| WAF Inspection Distribution serisi | Learning | Eşiğe ulaşanlar Monitor, diğerleri Clean | Engellenenler Blocked, diğerleri Clean |
| Mod kartı | Mavi · Learning mode — rules are not enforced yet | Sarı (amber) · Attacks are only monitored, not blocked | Kırmızı · Attacks are blocked |
- Tarama süre sınırı: WAF'ın bir isteği taramak için kullanabileceği süre 2 saniyedir; olağan taramalar milisaniyeler sürer ve bu süre bir ayar değildir. Süre yalnızca taramanın kendisini sayar, gövdenin ağdan gelmesini beklemek bu süreye girmez. Tarama bu süre içinde tamamlanamazsa (ör. çok büyük ya da karmaşık bir istekte) WAF istek hakkında karar veremez. Blocking modundaki grupta denetlenmemiş bir istek Kurum Servisine ulaşmasın diye istek engellenir ve istemci olağan engelleme yanıtını alır; Learning ve Monitor modlarında istek geçirilir (tek istisna, taramanın WAF kuralları yüklenirken ve host grubu belirlenmeden kesilmesidir: vService'te Blocking modunda bir grup varsa bu istek de engellenir; Teacher ve Conditional Learning istekleri bu istisnanın dışındadır (WAF Mode · Blocking Mode)). Bu isteklerin de geçirilmesi gerekiyorsa Request Body Limits penceresindeki Fail-open açılır; açıkken bu istekler taranmadan geçtiği için seçenek yalnızca bu engeller hizmeti etkiliyorsa açılır (Tarama belirli bir süreyi aşarsa istek ne olur (2 saniyelik tarama sınırı)?).
- Modun hangi istekte nasıl uygulandığının ayrıntısı: modların çalışma anı davranışı.
- Mod, Learning Methods altındaki öğrenme yöntemlerinden (Conditional Learning, Teacher, AI Learning) ve imzanın State değerinden (Enabled, Monitor, Disabled) ayrıdır (WAF mode ve öğrenme yöntemleri farkı).
- Whitelist & Blacklist ekranının whitelist tarafına uyan istekler (Do not WAF static contents kapsamındaki statik içerik, Whitelist Condition'a uyan istekler) WAF denetimine girmediği için moddan etkilenmez.
- Mod değişikliği ayrı bir dağıtım adımı olmadan uygulanır. Cluster kurulumunda varsayılan auto-sync ile eş cihaza da gönderilir; Manual Sync Mode açıksa eş cihaza elle gönderilir.
- Modun değiştirilmesi: Learning modundan Monitor'a, Monitor'dan Blocking'e ne zaman geçmeliyim?
Sık Karıştırılan Noktalar
- "İmzanın Monitor durumu ile Monitor modu aynıdır." İmzanın State değeri yalnızca o imzayı, WAF Mode ise Virtual Host Group'taki bütün trafiği etkiler.
- "WAF öğrenme bitince Blocking'e kendiliğinden geçer." Üründe otomatik mod geçişi yoktur; geçişler mod kartından elle yapılır.
- "Learning ya da Monitor modunda görülen 418 yanıtı WAF'tan gelir." Bu modlardaki grupta WAF isteği engellemez; taraması süre sınırı içinde tamamlanamayan istek de geçirilir (tek istisna, taramanın WAF kuralları yüklenirken ve host grubu belirlenmeden kesilmesidir: vService'te Blocking mode'da bir grup varsa bu istek engellenir (WAF Mode · Blocking Mode)). 418'in nereden geldiği ve nasıl bulunacağı: Learning veya Monitor modundayken de bir istek 418 ile engellenebilir mi?
Dokümantasyonda nasıl yapılır
