F5 ASM چیست و چه فرقی با Load Balancer معمولی دارد؟

F5 برای خیلی از تیم‌ها اول با Load Balancer شناخته می‌شود: Virtual Server، Pool، Health Monitor، SSL Profile و Persistence. اما F5 ASM یا همان Application Security Manager نقش دیگری دارد. ASM قرار نیست فقط ترافیک را بین سرورها تقسیم کند؛ وظیفه‌اش محافظت لایه application است: تشخیص الگوهای حمله، کنترل رفتار request، ساختن security policy، کاهش false positive و کمک به امن‌تر شدن مسیر وب‌اپلیکیشن.

اگر فقط دنبال طراحی لودبالانسینگ هستید، صفحه F5 Load Balancer نقطه شروع بهتری است. این مطلب مخصوص زمانی است که F5 در نقش WAF هم وارد مسیر می‌شود و باید فرق ASM با LTM روشن باشد.

تفاوت LTM و ASM را قاطی نکنید

LTM بیشتر با توزیع ترافیک، سلامت سرورها، SSL و مسیر سرویس کار دارد. ASM با محتوای request و رفتار برنامه. ممکن است یک سرویس از دید LTM کاملاً سالم باشد، Pool سبز باشد و SSL درست کار کند، اما ASM یک request را به دلیل signature، parameter، cookie، file type یا violation دیگر Block کند.

• LTM می‌پرسد ترافیک به کدام سرور برود و آیا سرور سالم است؟
• ASM می‌پرسد آیا این request از نظر application قابل قبول و امن است؟
• LTM خطای backend و health را بهتر نشان می‌دهد.
• ASM خطاهای مربوط به policy، signature و violation را نشان می‌دهد.

Policy در ASM باید از رفتار برنامه شروع شود

یک Policy خوب در F5 ASM از روی شناخت برنامه ساخته می‌شود: URLها، parameterها، methodها، نوع content، login flow، upload، API و مسیرهای حساس. اگر Policy بدون مرحله learning و بازبینی درست به Blocking برود، احتمال false positive بالا می‌رود. اگر هم همیشه در حالت خیلی آزاد بماند، WAF فقط یک لایه تزئینی می‌شود.

application: customer-portal
virtual_server: /Common/vs_customer_https
policy_mode: transparent -> blocking
reviewed_items: URLs, parameters, file types, login URLs, API paths
open_risks: upload endpoint, JSON search parameter, third-party callback
rollback: switch policy to transparent and keep logging enabled

Learning یعنی تأیید کورکورانه پیشنهادها نیست

ASM می‌تواند بر اساس ترافیک واقعی پیشنهادهایی برای Policy بدهد، اما این پیشنهادها باید با شناخت برنامه بررسی شوند. اگر ترافیک آلوده یا اسکنر در دوره learning حضور داشته باشد، ممکن است الگوی بد وارد مدل ذهنی Policy شود. از طرف دیگر، اگر ترافیک کافی و متنوع نباشد، بعداً کاربر واقعی با false positive روبه‌رو می‌شود.

ASM در کنار FortiWeb و WAFهای دیگر

در بعضی سازمان‌ها FortiWeb، F5 ASM یا F5 Advanced WAF به‌عنوان گزینه‌های مختلف WAF مطرح می‌شوند. انتخاب بین آن‌ها فقط اسم محصول نیست؛ باید دید معماری فعلی چیست، TLS کجا terminate می‌شود، تیم چه تجربه‌ای دارد، لاگ‌ها کجا تحلیل می‌شوند، و برنامه چقدر نیاز به tuning دارد. صفحه مشاوره و پیاده‌سازی WAF همین تصمیم را در سطح پروژه توضیح می‌دهد.

منبع رسمی

برای جزئیات نسخه و قابلیت‌ها، مستندات رسمی F5 BIG-IP documentation و بخش‌های مربوط به BIG-IP ASM / Advanced WAF باید مبنا قرار بگیرد. در پروژه واقعی، نام ماژول و مسیر منوها ممکن است بسته به نسخه BIG-IP متفاوت باشد.