SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Temel

L4 DDoS'ta geçmişte karantinaya alınmış kaynakları ve nedenlerini nasıl görürüm (Quarantine History)? ​

Kısa cevap

Route table'ın Quarantine History sekmesi, L4 DDoS Protection'ın karantinaya aldığı her kaynağı süresi dolduktan sonra da kalıcı bir log olarak listeler: Date, IP (ülke bayrağıyla), Country, kaynağı karantinaya gönderen kuralın adı (Reason), kuralın o andaki eşiği (Limit), karantina süresi (Duration) ve çıkış zamanı (Released At) (kolonlar). Ekran son 7 günün kayıtlarıyla açılır; aralık Time Range ile değiştirilir, liste kendiliğinden yenilenmez, Get Logs ile yeniden yüklenir. Satır yalnızca karantinaya girişte yazılır; elle çıkarma işlemleri User Logs'a kaydedilir. Kayıtlar ayrıca Quarantine Log Forwarding ile seçilen log hedeflerine (SIEM) gönderilir. O anda karantinada olanlar ise L4 DDoS Live View'da görülür.

Sorun: Süresi Dolan Karantina Canlı Tablodan Kaybolur ​

L4 DDoS Live View'daki karantina tablosu yalnızca şu anda karantinada olan kaynakları gösterir; karantina süresi (Quarantine Time, varsayılan olarak 10 dakika) dolan kaynak oradan düşer. "Dün gece hangi adresler karantinaya alındı, hangi kural yüzünden?" sorusunu yanıtlamak, yanlış pozitifleri bulmak ya da bir olayı sonradan incelemek için kalıcı bir kayıt gerekir.

Çözüm: İki Yöntem ​

İki yöntem aynı karantina girişlerini kullanır; biri cihaz üzerinde görüntüler, diğeri dış sistemlere iletir.

DurumunuzUygun yöntem
Geçmiş karantinaları TR7 arayüzünde görmek, süzmek ve dışa aktarmak istiyorumYöntem 1: Quarantine History sekmesi
Karantina kayıtlarını SIEM ya da syslog sunucusunda toplamak istiyorumYöntem 2: Quarantine Log Forwarding
O anda karantinada olan kaynakları görmek ve çıkarmak istiyorumKarantinadaki istemcileri nasıl görürüm?
  • Nasıl çalışır Cihaz route table'ın karantina listelerini beş saniyede bir okur ve önceki okumada bulunmayan her kaynak için bir satır yazar (kayıt ne zaman oluşur). Satır yalnızca karantinaya girişte yazılır; çıkış zamanı aynı satırın Released At kolonundadır.
  • Nerede açılır Left Monitor Panel → Route Tables & L4 DDoS → route table → Quarantine History
  • GereksinimL4 DDoS Protection (eklenti); en az bir L4 DDoS kuralının Quarantine modunda çalışması; route table'ı görüntüleme yetkisi
  • Kapsam Açılan route table'ın kayıtları; vService tipinden bağımsız

Adım adım yapılandırma ​

1
Adım 1 Quarantine History sekmesini aç

Left Monitor Panel'de sol üstteki kategori sekmelerinden Route Tables & L4 DDoS seçilir, route table'a tıklanır ve açılan ekranda Quarantine History sekmesine geçilir (erişim). Son 7 günün kayıtları kendiliğinden yüklenir.

2
Adım 2 Zaman aralığını seç

Time Range seçicisinden hazır bir aralık (5 dk ile 3 ay arasında), Custom Duration ya da Custom Date Range seçilir; varsayılan değeri Last 7 day(s)'tır. Aralık değiştiğinde kayıtlar yeniden yüklenir.

3
Adım 3 Kayıtları süz

Varsayılan olarak açık gelen Filtre Şeridi'ndeki Reason kartından kural, Country kartından ülke, IP Tags ya da IP Version kartlarından ilgili değer seçilir; cluster'da Device kartı da bulunur. Arama kutusu bütün kolonlarda arar.

4
Adım 4 Satırı oku

Reason kolonu kaynağı karantinaya gönderen kuralın arayüzdeki adını, Limit kolonu kuralın o andaki eşiğini (hız kurallarında <değer>/s, bağlantı kurallarında <değer> concurrent, imza tabanlı kurallarda -), Duration karantina süresini ve Released At çıkış zamanını gösterir. IP Version kolonu varsayılan olarak gizlidir; Columns seçicisinden eklenir.

5
Adım 5 Listeyi yenile ya da dışa aktar

Ekran açıkken gelen yeni girişleri görmek için Get Logs butonuna tıklanır. Listeyi Excel, CSV ya da PDF olarak almak için Export butonu kullanılır (Export).

Doğrulama ​

1Quarantine History listesiTR7 tarafı

Live View'da karantinada görülen bir kaynağın adresi Quarantine History'de aranır.

BeklenenKaynağın satırı: Reason = karantinaya gönderen kural, Released At = Date + Duration
Algılama beş saniyelik adımlarla yapıldığından Duration, karantina süresinin birkaç saniye altında görünebilir (ör. 2 saatlik süre için 1h 59m).

Yöntem 2: Quarantine Log Forwarding ​

  • Nasıl çalışır Quarantine History'ye yazılan her giriş seçilen Log Forwarding profillerine de gönderilir; mesaj <ip> quarantined (<kural>) biçimindedir, JSON ve CEF biçimlerinde route table, IP, ülke, kural, eşik, süre ve çıkış zamanı ek alan olarak taşınır (Quarantine Log Forwarding).
  • Nerede açılırL4 DDoS Management → Quarantine kutusu → log iletimi cümlesinin kalem ikonu
  • GereksinimSettings → General Settings → Log Forwarding ekranında tanımlı en az bir profil; Network alanında değiştirme yetkisi
  • Kapsam Route table başına en fazla 5 profil; her hedefe saniyede en fazla 200 kayıt

Adım adım yapılandırma ​

1
Adım 1 İletim penceresini aç

L4 DDoS Management sekmesinde Quarantine kutusundaki log iletimi cümlesinin (Quarantine entries are not forwarded to a log destination) sağındaki kalem ikonuna tıklanır; Rule Settings · Quarantine Log Forwarding penceresi açılır.

2
Adım 2 Log hedeflerini seç

Quarantine Log Forwarding alanında bir ya da daha fazla Log Forwarding profili seçilir (varsayılan: Nothing chosen). Profilin Log Sources seçimi bu iletimi etkilemez.

3
Adım 3 Kaydet

Save butonuna tıklanır. İletim bundan sonraki karantina girişlerine uygulanır; geriye dönük gönderim yapılmaz.

Doğrulama ​

1Quarantine kutusuTR7 tarafı

Log iletimi cümlesi okunur.

BeklenenQuarantine entries are forwarded to <profil adları>
2SIEM / syslog sunucusuLog hedefi

Bir sonraki karantina girişinden sonra hedefte gelen kayıtlara bakılır.

Beklenen<ip> quarantined (<kural>) · önem derecesi warning
Yoğun saldırıda saniyede 200 kaydı aşan girişler iletilmez; en fazla dakikada bir "N quarantine entries were not forwarded in the last minute (they remain in the quarantine history)" özeti gönderilir. Kayıtlar Quarantine History'de bulunmaya devam eder.

Sık Yapılan Hatalar ​

  • Karantinadan çıkışın da ayrı satır olarak yazılmasını beklemek. Log yalnızca girişleri kaydeder. Live View'dan elle çıkarma ya da bir kuralın listesini boşaltma geçmişteki satırı değiştirmez; Released At planlanan zamanı göstermeye devam eder. Bu işlemler User Logs ekranında görülür.
  • Block modundaki kuralların da burada görüneceğini sanmak. Quarantine History yalnızca karantina listelerine giren kaynakları kaydeder; Block modundaki bir kuralın düşürdüğü paketler bu ekranda değil, Dashboard'ın Dropped Traffic sekmesinde görülür.
  • IP kolonundaki rengin karantina anındaki durumu gösterdiğini sanmak. Adresin kara liste, beyaz liste ve IP Tags rengi ekranın açıldığı ana aittir.
  • Çok kısa karantinaların da kaydedildiğini sanmak. Beş saniyelik iki okuma arasında girip çıkan kaynak için satır oluşmaz; cihaz açılışında listede zaten bulunan kaynaklar da başlangıç durumu sayılır ve yazılmaz.
  • Bütün route table'ların kayıtlarını tek ekranda aramak. Geçmiş route table başına tutulur; ekran yalnızca açıldığı route table'ın kayıtlarını gösterir. Cluster'da iki cihazın kayıtları birleştirilir; kaydı yazan cihaz Source kolonunda görünür.

Dokümantasyonda nasıl yapılır

İlgili sorular