SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

İleri

KVKK / GDPR için loglardaki IP adreslerini maskeleyebilir miyim? ​

Kısa cevap

Evet. HTTP vService'te Ip Log Masking aksiyonu istemci IP adresini seçilen maskeye indirger (Masking(subnet) varsayılan 24); örneğin 203.0.113.45 kayıtlara 203.0.113.0 olarak yazılır. Aksiyon koşul almaz ve istek aşamasında, vService'in aksiyon listesindeki sırasında çalışır. Bu noktadan sonra isteğin kaynak adresi maskeli olduğu için log sunucusuna giden satırlar, Logs & Tracking'deki HTTP logs ve Debug Mode Logs, vService Report kayıtları ve Kurum Servisine giden X-Forwarded-For başlığı maskeli adresi taşır. WAF olay logları, IPFIX kayıtları, canlı istatistik tabloları ve karantina sayaçları gerçek adresi tutmaya devam eder; Source IP gibi koşullar da gerçek adresle değerlendirilir (maskelenen ve maskelenmeyen kayıtlar). Maske yalnızca IPv4 adreslere uygulanır ve 0–32 arasında kullanılmalıdır.

Sorun: Loglarda Kişisel Veri Olarak IP Adresi Tutuluyor ​

KVKK ve GDPR kapsamında IP adresi kişisel veri sayılabilir; log sunucusuna ve cihazdaki kayıtlara tam adres yazılması, saklama ve erişim yükümlülüklerini artırır. Adreslerin kayıtlara anonimleştirilmiş olarak yazılması istenir.

Çözüm ​

Maskeleme, HTTP vService'e eklenen tek bir aksiyonla yapılır. Aksiyon isteğin kaynak adresini değiştirdiği için yalnızca log satırını değil, sıralamada kendisinden sonra gelen her şeyi etkiler; sıralama bu yüzden önemlidir.

Ip Log Masking ​

  • Nasıl çalışır İstemcinin kaynak adresi, aksiyonun vService aksiyon listesindeki sırasında maskeli değerle değiştirilir. Bu noktadan sonra adresi okuyan kayıtlar ve aksiyonlar maskeli adresi görür; koşullar, WAF, Bot/DDoS ve karantina gerçek adresi kullanmaya devam eder.
  • Nerede açılırLoad Balancer → Actions → Action Type = Ip Log Masking
  • Gereksinim HTTP vService
  • vService tipi HTTP
  • Kurum Servisi tarafı vService'te X-Forwarded-For açıksa Kurum Servisi de maskeli adresi alır. Uygulamanın gerçek adrese ihtiyacı varsa adres, maskelemeden önce sıralanan bir Add HTTP Header aksiyonuyla ayrı bir başlıkta iletilir.

Adım adım yapılandırma ​

1
Adım 1 Aksiyon formunu aç

Load Balancer → Actions ekranında Add butonuna tıklanır.

2
Adım 2 Maskeyi tanımla

Action Name girilir, Action Type = Ip Log Masking seçilir ve Masking(subnet) girilir: varsayılan 24 son okteti, 16 son iki okteti sıfırlar. Form 128'e kadar değer kabul eder; 32'den büyük değer geçerli yapılandırma üretmez. Aksiyonda koşul alanı yoktur.

3
Adım 3 Aksiyonu kaydet

Add butonuna tıklanır.

4
Adım 4 vService'in düzenleme formunu aç

Load Balancer → Load Balancer vService List ekranında HTTP vService'e sağ tıklanıp Edit seçilir.

5
Adım 5 Aksiyonu ekle ve sırala

Details panelindeki Actions alanında aksiyon seçilir. Listede maskelemeden önce sıralanan aksiyonlar gerçek adresi görür (maskelemenin kapsamı). Blacklist IP Category koşulu kullanan aksiyonlar maskelemeden önce sıralanır; sonra sıralanırsa maskeli adresle arama yapılır ve eşleşme olmaz.

6
Adım 6 Kaydet

Save butonuna tıklanır. Değişikliğin uygulanması ekranın sağ altındaki senkron göstergesinden izlenir. Cluster kurulumunda varsayılan auto-sync ile değişiklik eş cihaza da gönderilir; Manual Sync Mode açıksa Synchronize ile elle gönderilir.

Doğrulama ​

1Cihaz loglarıTR7 tarafı

vService ekranının Logs & Tracking sekmesinde HTTP logs kaynağı seçilir ve yeni isteklerin istemci adresine bakılır.

Beklenen203.0.113.0
2Log sunucusu ve Kurum ServisiDış sistemler

Log sunucusuna gelen satırda ve Kurum Servisinin erişim logundaki X-Forwarded-For değerinde istemci adresine bakılır.

BeklenenMaskeli adres

Sık Yapılan Hatalar ​

  • Maskelemenin bütün kayıtlara uygulandığını sanmak. WAF olay logları, IPFIX kayıtları, canlı istatistik tabloları ve karantina sayaçları gerçek adresi tutar; KVKK değerlendirmesi bunları da kapsamalıdır.
  • IPv6 istemcilerin de maskeleneceğini varsaymak. Maske yalnızca IPv4 adreslere uygulanır; IPv6 adresler kayıtlara olduğu gibi yazılır.
  • Uygulamanın X-Forwarded-For'da gerçek adres alacağını beklemek. Kurum Servisi de maskeli adresi alır; gerçek adres gerekiyorsa maskelemeden önce sıralanan ayrı bir başlıkla iletilir.
  • Maskelemeden önce sonlanan istekleri unutmak. Bot/DDoS koruması ya da listede maskelemeden önce sıralanan Block, Show content veya Redirect aksiyonlarıyla sonlanan istekler gerçek adresle kaydedilir.
  • L7 TCP vService'te aksiyon aramak. Ip Log Masking yalnızca HTTP vService'te vardır; TCP logs maskelenmez.

Dokümantasyonda nasıl yapılır

İlgili sorular