SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

İleri

Çok sayıda vService'te tutarlı WAF politikası nasıl yönetilir? ​

Kısa cevap

TR7'de birden çok vService'e bağlanan tek bir WAF politikası ya da şablon nesnesi yoktur: WAF ayarları vService başına, WAF Mode ve kural seti host grubu başına tutulur (yönetim ve operasyon). Tutarlılık dört araçla sağlanır. İmza tarafında Signature & Rule Library'deki global katman bir imzanın durumunu, puanını ya da kapsamını ve özel kuralları bütün WAF korumalı vService'lere tek seferde uygular; vService'e özel farklar o vService'in OWASP Rules ekranında kalır ve global katmanı geçersiz kılar (kural katmanları). Ayar tarafında WEB-CLI'daki waf options update-many koruma düzeyi, engelleme sayfası, gövde sınırları, bildirim gibi ayarları seçilen ya da bütün WAF korumalı vService'lere aynı değerle yazar. Mod ve varsayılan kurallar tarafında waf host-groups update-many, add-arg-headers ve reset-rules bütün WAF korumalı vService'lerin host grupları arasından seçilen gruplarda ya da bütün gruplarda çalışır. Kural seti tarafında referans bir host grubunun Export dosyası diğer gruplara Import edilir. Content Pages profili ve Load Balancer koşulları gibi paylaşılan nesneler bir kez değiştirilip onları kullanan her vService'e yansır. Uyum WAF-Protected vService List'in WAF mode ve OWASP Protection Level kolonlarıyla, olaylar Global WAF Event Log ve Global WAF Report ile izlenir; yetkiler WAF manager, WAF user ve WAF read-only rolleriyle ayrılır.

Nasıl Çalışır? ​

WAF yapılandırması üç düzeyde tutulur; tutarlılık için her düzeyin kendi aracı kullanılır.

DüzeyNe tutulurKapsamıTutarlılık aracı
CihazYerleşik imza kütüphanesi ve üzerindeki global katman (imza durumu, puanı, kapsamı, özel kurallar); Global WAF Report ayarıBütün WAF korumalı vService'lerSignature & Rule Library
vServiceWAF ayarları: OWASP Protection Level, Checks, Whitelist & Blacklist, Blocking page, Request Body Limits, Learning methods, Log settings, Periodic reporting, Notifications, SIEM & Attack Details; vService'in OWASP rules katmanıTek vServicewaf options update-many; OWASP rules farkları her vService'te ayrı
Host grubuWAF mode ve kural seti (sayfa tipleri, Any paths, Check fields)Tek host grubuwaf host-groups update-many, add-arg-headers, reset-rules; Export → Import

İmzalarda öncelik vService katmanı → global katman → yerleşik kütüphane sırasıyla, alan alan uygulanır: vService katmanında değiştirilen bir alan, aynı imzanın global katmandaki değerini o vService için geçersiz kılar (Kural katmanları nelerdir (yerleşik kütüphane, global katman, vService katmanı); hangisi öncelikli?).

Tutarlılık Araçları ​

İşAraçKapsamAyrıntı
Bir imzayı her yerde Monitor yapmak, puanını değiştirmek, özel kural eklemekConfiguration Menu → WAF → Signature & Rule LibraryBütün WAF korumalı vService'lerAynı false positive'i birden fazla vService'te tek seferde nasıl çözerim (global katman)?
Koruma düzeyini, engelleme yanıtını, gövde sınırlarını, bildirimleri eşitlemekwaf options update-manySeçilen ya da bütün WAF korumalı vService'lerBirden fazla vService'in WAF ayarını veya host group modunu tek seferde değiştirebilir miyim?
Host gruplarının modunu eşitlemekwaf host-groups update-manySeçilen ya da bütün host grupları (bütün WAF korumalı vService'lerde)Birden fazla vService'in WAF ayarını veya host group modunu tek seferde değiştirebilir miyim?
Any paths kuralını koruma düzeyine göre varsayılan tanımına döndürmek; varsayılan header denetimlerini yaymakwaf host-groups reset-rules · waf host-groups add-arg-headersSeçilen ya da bütün host gruplarıKuralları varsayılan ayarlara nasıl döndürürüm?
Referans bir kural setini çoğaltmakPage types → Export · hedef grupta Import (tam değiştirme) ya da Import (OpenAPI) (birleştirme)Grup grupBir host group'un kural setini JSON olarak dışa aktarıp başka bir ortama taşıyabilir miyim; hangi ayarlar bu dosyaya girmez?
Engelleme sayfasını, whitelist ya da log bastırma koşulunu ortak tutmakAynı Blocking Page Profile'ı ve aynı Load Balancer koşullarını kullanmakProfili ya da koşulu kullanan her vServiceEngellemede neden varsayılan olarak 418 durum kodu dönüyor; bunu değiştirebilir miyim?
  • Signature & Rule Library'de global katmanı değiştirmek WAF alanında tam yetki ister (WAF manager, Traffic+WAF manager, Admin); vService'in OWASP rules katmanı için WAF alanında değiştirme yetkisi yeter.
  • waf options update-many koruma düzeyini toplu yazarken Any paths kuralını yeniden kurmaz. Any paths'in varsayılan tanımı yalnızca Aggressive düzeyde daha sıkıdır (daha dar uzunluk sınırları, yalnızca GET, HEAD ve OPTIONS; JSON, XML ve form gövdeleri tümüyle engellenir, bu yüzden gövde kabul eden uçların kendi sayfa tipi önceden tanımlanır); koruma düzeyi Aggressive'e alındığında ya da Aggressive'den başka bir düzeye çekildiğinde Any paths kuralını yeni düzeyin tanımıyla kurmak için ardından waf host-groups reset-rules target selected scope defaultRule çalıştırılır. Bu işlem Any paths kuralındaki elle eklenmiş ve öğrenilmiş denetimleri siler.
  • Arayüzde vService'ler arası toplu ayar formu yoktur; toplu yazma WEB-CLI iledir (Birden fazla nesnede aynı alanı tek seferde değiştirebilir miyim?).

TR7'de İzleme ve Yetki ​

Sık Karıştırılan Noktalar ​

  • "Bir şablon değişince bağlı vService'ler güncellenir." Şablon nesnesi yoktur; değişiklik araçlarla her seferinde hedeflere yazılır ve sonra eklenen vService'ler aynı araçla ayrıca güncellenir.
  • "Global katmandaki değişiklik her vService'te aynı sonucu verir." vService'in OWASP rules ekranında aynı imza için değiştirilmiş alan varsa o vService'te vService katmanı geçerlidir.
  • "Export dosyası vService'in bütün WAF ayarlarını taşır." Dosya yalnızca bir host grubunun kural setini taşır; koruma düzeyi, engelleme sayfası, öğrenme ayarları ve OWASP rules değişiklikleri dosyaya girmez.
  • "Collective Analysis & Learning vService'ler arasında çalışır." Collective Analysis & Learning tek bir vService'in host grupları içindir.

Dokümantasyonda nasıl yapılır

İlgili sorular