İstek gövdesinde (JSON / XML / form) belirli içerikleri arayıp engelleyebilir miyim?

Kısa cevap

Evet. HTTP vService'te HTTP Request Body koşulu gövdenin ilk Body Size to Parse(Bytes) baytında (varsayılan 1024, en fazla 16384) metin ya da Regex arar; koşul Block aksiyonuna bağlanır. Arama ham bayt üzerindedir: JSON ve XML ayrıştırılmaz, form değerleri URL kodlu hâliyle aranır. WAF etkinse Signature & Rule Library'de Inspection Scopes alanında Form, JSON, XML ya da Raw seçili bir özel kural ayrıştırılmış gövdede arama yapar; sayfa tiplerindeki Value Pattern ve Allowed JSON Keys gibi izinli anahtar alanları ise beklenen biçim dışındaki değerleri ihlal sayar.

Sorun: İstek Gövdesinde İstenmeyen İçerik Geliyor

API'lere ya da formlara yetki yükseltme alanları, yasaklı anahtar kelimeler ya da bilinen saldırı desenleri içeren gövdeler gönderilebilir. Bu içerikleri taşıyan isteklerin Kurum Servisine ulaşmadan durdurulması istenir.

Çözüm: Dört Yöntem

Yöntem 1 WAF olmadan çalışır; Yöntem 2 ve 3 WAF ile çalışır ve birlikte kullanılabilir; Yöntem 4, Yöntem 1'in komut satırı karşılığıdır. SQL enjeksiyonu ve XSS gibi bilinen saldırılar için kural yazılmaz: WAF açık ve Blocking modundaysa hazır imzalar gövdeyi zaten tarar (WAF nedir).

Durumunuz	Uygun yöntem
WAF olmadan, gövdenin ilk 16 KB'ında metin ya da desen arama	Yöntem 1: HTTP Request Body + Block
WAF var; ayrıştırılmış form, JSON ya da XML değerlerinde desen arama	Yöntem 2: WAF özel kural (Signature & Rule Library)
WAF var; beklenen değer biçimi ya da izinli alan adları dışını reddetme	Yöntem 3: WAF value pattern ve izinli anahtarlar
Yöntem 1'i komut satırından kurmak	Yöntem 4: WEB-CLI

Yöntem 1: HTTP Request Body + Block Önerilen

• Nasıl çalışır Koşul, gövdenin ilk Body Size to Parse(Bytes) baytında deseni ham metin olarak arar. Gövde koşulu kullanılan vService'te istekler bu kadar tamponlanır; birden çok gövde koşulu varsa en büyük değer bütün isteklere uygulanır.
• Nerede açılırLoad Balancer → Conditions → HTTP Request Body · Load Balancer → Actions → Block
• Gereksinim Yok
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 Koşul formunu aç

Load Balancer → Conditions → Add ile koşul formu açılır (nasıl eklenir).

2

Adım 2 Koşulu tanımla

Condition Name = govde-rol, Criteria = HTTP Request Body seçilir; eşleştirme listesinde Regex (düz metin için Includes) seçilir. Query alanına desen (ör. "role"\s*:\s*"admin") yazılır, gerekiyorsa Case Insensitive işaretlenir ve Body Size to Parse(Bytes) = 4096 girilir. Bu koşulda Is present seçeneği yoktur. Örnek desen {"role":"admin"} ve {"role" : "admin"} gövdelerini yakalar, {"role":"user"} gövdesini yakalamaz.

3

Adım 3 Koşulu kaydet

Koşul Add ile kaydedilir.

4

Adım 4 Aksiyon formunu aç

Load Balancer → Actions → Add ile aksiyon formu açılır.

5

Adım 5 Block aksiyonunu tanımla

Action Name = govde-engelle, Action Type = Block seçilir; Execution Level varsayılan On request, Deny Type varsayılan Standard ve Status Code varsayılan 403 bırakılır.

6

Adım 6 Koşulu bağla

Conditions alanında govde-rol seçilir. Arama yalnızca bir API yoluna uygulanacaksa aynı grupta bir Path koşulu and ile eklenir; böylece diğer isteklerin gövdesi taranmaz.

7

Adım 7 Aksiyonu kaydet

Aksiyon Add ile kaydedilir.

8

Adım 8 vService'i düzenle

Load Balancer → Load Balancer vService List ekranında HTTP vService seçilip Edit ile düzenleme formu açılır.

9

Adım 9 Aksiyonu vService'e ekle

Details → Actions alanında govde-engelle seçilir. Aksiyon vService'e eklenmedikçe çalışmaz.

10

Adım 10 Kaydet

Form Save ile kaydedilir. Cluster'da değişiklik varsayılan olarak eş cihaza otomatik aktarılır; Manual Sync Mode açıksa Synchronize ile gönderilir.

Doğrulama

1Engellemeİstemci tarafı

Komut: curl -s -o /dev/null -w '%{http_code}' -X POST -H 'Content-Type: application/json' -d '{"role":"admin"}' https://www.example.com/api

Beklenen403

2Normal gövdeİstemci tarafı

Aynı komut -d '{"role":"user"}' ile çalıştırılır.

BeklenenUygulamanın normal yanıtı (ör. 200)

Yöntem 2: WAF → Özel Kural (Signature & Rule Library)

• Nasıl çalışır Özel kural, seçilen kapsamlarda (ayrıştırılmış form alanları, JSON ve XML değerleri ya da ham gövde) deseni arar ve eşleşmede isteğin risk puanına Score kadar katkı yapar; toplam puan vService'teki koruma düzeyinin eşiğine ulaşınca istek engellenir.
• Nerede açılır Configuration Menu → WAF → Signature & Rule Library → Add (bütün vService'ler) · vService'in OWASP Rules ekranı (yalnızca o vService)
• Gereksinim WAF lisansı; WAF etkin HTTP vService; WAF alanında tam yetki (kütüphaneye yazmak için)
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 WAF'ı etkinleştir (gerekiyorsa)

vService'te WAF açık değilse HTTP vService düzenlenir, Details altındaki WAF kutusu işaretlenip Save ile kaydedilir; ayrıntı: WAF, L7 DDoS & Threat Protection ve AGS'yi bir vService'e nasıl bağlarım?

2

Adım 2 Kural formunu aç

Configuration Menu → WAF → Signature & Rule Library ekranında Add ile kural ekleme formu açılır.

3

Adım 3 Kuralı tanımla

Name girilir; State varsayılan Enabled, Score varsayılan Medium bırakılır ya da değiştirilir. Inspection Scopes alanında varsayılan Path kaldırılıp Form, JSON, XML ya da Raw seçilir ve Pattern (Regex) girilir. Desen PCRE'nin bir alt kümesiyle yazılır; geri referans ve lookahead/lookbehind desteklenmez, uzunluk en fazla 4096 karakterdir.

4

Adım 4 Kuralı kaydet

Form Accept ile kaydedilir; ayrı bir dağıtım adımı yoktur.

5

Adım 5 WAF modunu Blocking yap (gerekiyorsa)

Left Monitor Panel → WAF-Protected vServices → vService → WAF Management sekmesinde mod kartının Edit butonuyla WAF Mode = Blocking Mode seçilip kaydedilir. WAF Learning modunda başlar; Learning ve Monitor modlarında istek engellenmez, yalnızca kaydedilir.

Doğrulama

1WAF olay kaydıTR7 tarafı

Desenli gövde gönderilir; WAF-Protected vServices → vService → Event Logs ekranına bakılır.

BeklenenÖzel kural tetiklenir; eşik aşıldıysa Attack blocked

Yöntem 3: WAF → Value Pattern ve İzinli Anahtarlar

• Nasıl çalışır Sayfa tipindeki alan denetimleri "şuna uymuyorsa ihlal" mantığıyla çalışır: değer Value Pattern desenine uymazsa ya da anahtar izinli listede yoksa istek ihlal sayılır.
• Nerede açılır Left Monitor Panel → WAF-Protected vServices → vService → WAF Management → Page Types → kural → JSON / XML / Form sekmesi
• Gereksinim WAF lisansı; WAF etkin HTTP vService
• vService tipi HTTP

Adım adım yapılandırma

1

Adım 1 WAF'ı etkinleştir (gerekiyorsa)

vService'te WAF açık değilse Yöntem 2'nin 1. adımı uygulanır.

2

Adım 2 Kural sekmesini aç

WAF Management sekmesinde Page Types listesinden ilgili yolun kuralı açılır; gövde türüne göre JSON, XML ya da Form sekmesi seçilir.

3

Adım 3 Denetimi tanımla

Ortak kural ya da tek bir alana özel kural formunda JSON Value Pattern, XML Value Pattern ya da Form Value Pattern ile beklenen değer biçimi; Allowed JSON Keys, Allowed XML Keys ya da Allowed Form Fields ile izinli anahtar listesi tanımlanır. Bu yolda gövde türü hiç beklenmiyorsa Block All JSON Contents gibi seçenekler kullanılır.

4

Adım 4 Kuralı kaydet

Form Add ile kaydedilir.

5

Adım 5 WAF modunu Blocking yap (gerekiyorsa)

Yöntem 2'nin 5. adımı uygulanır.

Doğrulama

1WAF olay kaydıTR7 tarafı

Desene uymayan bir değer gönderilir; WAF Event Logs ekranına bakılır.

BeklenenValue pattern ihlali, Attack blocked

Yöntem 4: WEB-CLI

• Nasıl çalışır Yöntem 1'deki HTTP Request Body koşulu ve Block aksiyonu lb condition / lb action ile oluşturulur, aksiyon lb service ile vService'e eklenir.
• Nerede açılır TR7 WEB-CLI → lb condition · lb action · lb service
• Gereksinim WEB-CLI erişimi
• vService tipi HTTP

Adım adım yapılandırma

WEB-CLI her satırı ayrı bir komut olarak çalıştırır; komutlar tek satırda yazılır. Desen tek tırnak içinde yazılır; | karakteri tırnak içinde bile komutu böldüğü için | içeren desenler arayüzden (Yöntem 1) girilir.

1

Adım 1 Koşulu oluştur

req_body = HTTP Request Body; --bodySize = Body Size to Parse(Bytes) (içerik eşleştiren ölçütler).

lb condition add criteria req_body query '"role"\s*:\s*"admin"' --content_placement regex --caseInsensitive true --bodySize 4096 --name govde-rol

2

Adım 2 Koşul kimliğini al

Aksiyonun --cond alanı koşulun adını değil kimliğini ister. lb condition add başarılı olduğunda çıktı vermez; kimlik aşağıdaki listenin id sütununda görülür (lbConditions- ile başlar).

lb condition list

3

Adım 3 Block aksiyonunu oluştur

Status code belirtilmezse 403'tür (engelleme aksiyonları).

lb action add type deny name govde-engelle --cond <govde-rol-kimliği>

4

Adım 4 Mevcut aksiyonları gör

rules.0, rules.1… satırları vService'e bağlı aksiyonları gösterir.

lb service show <vService>

5

Adım 5 Aksiyonu vService'e ekle

Yeni aksiyon ilk boş indekse, yani mevcut aksiyon sayısına yazılır. Örnekte vService'te iki aksiyon (rules.0, rules.1) olduğu için --rules.2 kullanılır; dolu bir indekse yazmak oradaki aksiyonun yerine geçer.

lb service update id <vService> --rules.2 govde-engelle

Doğrulama

1Engellemeİstemci tarafı

Yöntem 1'deki curl denemesi tekrarlanır.

Beklenen403

Sık Yapılan Hatalar

• GET isteklerinde gövde aramak. Gövdesiz isteklerde HTTP Request Body koşulu eşleşmez.
• Desenin Body size to parse sınırından sonra yer alması. Koşul yalnızca ilk N baytı görür; en fazla 16384 bayt taranır.
• JSON boşluk farklarını hesaba katmamak. "role":"admin" ile "role" : "admin" farklı metinlerdir; Regex'te \s* kullanılır.
• URL kodlu form ya da sıkıştırılmış gövdede düz metin aramak. Koşul ham baytı görür; form değerleri kodlu hâliyle aranır.
• --cond alanına koşul adını yazmak. WEB-CLI'da --cond koşul kimliği bekler; ad yazılırsa aksiyon var olmayan bir koşula bağlanır.

Dokümantasyonda nasıl yapılır

• HTTP Request Body · Body Size to Parse(Bytes)
• HTTP Request Body · SQL injection senaryosu
• Signature & Rule Library · Kural ekleme formu
• JSON · JSON Value Pattern

İlgili sorular

• Büyük boyutlu istekleri (ör. belirli bir boyutun üzerini) engelleyebilir miyim?
• Debug/test parametreleri içeren istekleri engelleyebilir miyim?
• Load Balancer modülü tek başına ne kadar güvenlik sağlar; WAF'a ne zaman ihtiyacım olur?