Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Kural sayısı arttıkça gecikme artar mı?
Kısa cevap
İmza sayısı açısından orantılı olarak artmaz (imza ve desen ayrımı). İmzalar tek tek sırayla denenmez: her katmanın (yerleşik imza kütüphanesi, cihaz geneli özel kurallar, vService'e özel kurallar) desenleri önceden derlenmiş tek bir veritabanında durur ve isteğin her değeri yüklü veritabanlarına karşı taranır; query ve URL kodlamalı form değerleri, kodlama içeriyorsa çözümlenmiş hâliyle bir kez daha taranır. Bu yüzden kütüphaneye imza eklemek taranan değer sayısını değiştirmez. Disabled imzalar ve bir alanda kapsam dışı bırakılan imzalar isabet ve puan üretmez; Aggressive dışındaki OWASP Protection Level düzeylerinde puanı 2 olan imzalar kapalıdır. Süreyi asıl büyüten taranan veri miktarıdır: parametre sayısı, gövde boyutu, JSON ve XML derinliği. Sayfa tipi sayısının etkisi sınırlıdır: tam path sayfa tipleri doğrudan bulunur, glob sayfa tiplerinde bir path'in eşleşme sonucu ilk görüldüğünde hesaplanıp hatırlanır. İmza durumu, puanı ve kapsamı değiştiğinde yeniden derleme gerekmez; desen değişiklikleri arka planda derlenir (imza veritabanının yeniden derlenmesi). WAF bir istekte ilk isabette durmaz, bütün değerleri tarar; isabet sayısı arttıkça kayıt maliyeti artar.
Ne Süreyi Etkiler?
| Değişken | Süreye etkisi |
|---|---|
| Yerleşik ya da özel imza sayısı | Orantılı değil; katman başına derlenmiş tek veritabanı (başarım) |
| Yüklü veritabanı sayısı | En çok üç: yerleşik kütüphane, cihaz geneli özel kurallar ve vService'e özel kurallar; özel kuralı olmayan katmanın veritabanı yüklenmez |
| Disabled ya da kapsam dışı imzalar | İsabet ve puan üretmez |
| Taranan değer sayısı ve boyutu | Doğrudan etkiler |
| Tam path sayfa tipleri | Doğrudan bulunur |
| Glob sayfa tipleri | Path'in eşleşme sonucu ilk görüldüğünde hesaplanır ve hatırlanır (host grubu başına en çok 10.000 farklı path; sonrakiler her istekte hesaplanır) |
| İsabet sayısı | Kayıt için eşleşen değerin çıkarılması ve kaydın yazılması |
- Yapılandırma yeniden yüklendikten sonraki ilk isteklerde glob sayfa tipi ve host grubu desenleri hazırlanır; çok sayıda glob desen tanımlıysa bu ilk istekler biraz daha uzun sürebilir.
- İmza ve desen sayıları: TR7 WAF'ta kaç imza / kural var? · İmza ile desen arasındaki fark nedir; "Unique Signature Patterns" ve "Total Active Signatures" neden farklı sayılar?
- Derleme gerektiren ve gerektirmeyen işlemler: OWASP Rules · işlemlerin bu ekrandaki karşılığı
- Bütün isabetlerin değerlendirilmesi: Bir istekte birden fazla saldırı varsa WAF ilk eşleşmede mi durur, hepsini mi değerlendirir?
- Ölçüm: WAF'ın bir isteğe eklediği süreyi nasıl ölçerim; hangi isteklerde görülür?
Sık Karıştırılan Noktalar
- "İmza eklemek gecikmeyi orantılı artırır." Desenler derlenmiş veritabanında birlikte taranır.
- "Çok sayıda sayfa tipi her istekte tek tek denenir." Tam path doğrudan bulunur; glob sonuçları path başına hatırlanır.
- "Bir imzayı Disabled yapmak yeniden derleme ister." State, puan ve kapsam değişiklikleri derleme gerektirmez.
Dokümantasyonda nasıl yapılır
